Το Microsoft 365 μπορεί να χρησιμοποιηθεί σε πλαίσιο GDPR (Γενικός Κανονισμός για την Προστασία Δεδομένων). Ο κανονισμός δεν απαγορεύει τους αμερικανούς κατασκευαστές λογισμικού. Επιβάλλει να γνωρίζετε ποιος επεξεργάζεται τι, σε ποια βάση τα δεδομένα φεύγουν από την Ένωση και πώς τα πρόσωπα ασκούν τα δικαιώματά τους. Ακολουθούν όσα πρέπει να ελέγξει μια επιχείρηση, με τη σειρά, και όσα πρέπει να καταγράψει στο αρχείο.
Για το περιεχόμενο των γραμματοκιβωτίων, των αρχείων και των ομάδων που διαχειρίζεστε, ο πελάτης είναι κατά κανόνα υπεύθυνος επεξεργασίας. Η Microsoft είναι εκτελούσα την επεξεργασία. Για ορισμένα δεδομένα λογαριασμού, τιμολόγησης, ασφάλειας και μέτρησης της υπηρεσίας, η Microsoft μπορεί να είναι χωριστός υπεύθυνος επεξεργασίας. Το Data Processing Addendum και το Microsoft Privacy Statement διαχωρίζουν αυτές τις περιπτώσεις.
Πώς να το ελέγξετε. Ο ρόλος καθορίζει τις υποχρεώσεις. Διαβάστε τα δύο έγγραφα παράλληλα και κατατάξτε κάθε κατηγορία δεδομένων σε μια θέση. Ένα λογιστικό γραφείο 25 ατόμων, για παράδειγμα, θα έχει από τη μία πλευρά τα email και τους φακέλους των πελατών (η Microsoft εκτελούσα την επεξεργασία), από την άλλη την τιμολόγηση της συνδρομής (η Microsoft χωριστός υπεύθυνος επεξεργασίας).
Στο αρχείο. Μία γραμμή ανά επεξεργασία, με τον ρόλο της Microsoft και το έγγραφο που τον θεμελιώνει.
Συχνό λάθος. Να γράφετε «η Microsoft είναι ο εκτελών την επεξεργασία μας» για το σύνολο της υπηρεσίας.
Η DPA της Microsoft ενσωματώνεται στους online όρους. Ελέγξτε ότι καλύπτει τις υπηρεσίες που έχετε ενεργοποιήσει: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate και κάθε connector.
Πώς να το ελέγξετε. Ένας tenant εξελίσσεται πέρα από την αρχική παραγγελία. Συγκρίνετε τον κατάλογο των ενεργοποιημένων υπηρεσιών στο κέντρο διαχείρισης με το πεδίο της DPA και αρχειοθετήστε την έκδοση της DPA που ισχύει κατά την ημερομηνία του ελέγχου.
Στο αρχείο. Η υπηρεσία, η ημερομηνία ενεργοποίησης, ο σκοπός. Μια υπηρεσία που ενεργοποιήθηκε από διαχειριστή «για δοκιμή» εισέρχεται στο αρχείο την ημέρα που επεξεργάζεται δεδομένα των εργαζομένων ή των πελατών σας.
Συχνό λάθος. Να θεωρείτε ότι ένας connector προς εργαλείο τρίτου καλύπτεται από την DPA της Microsoft. Ο τρίτος έχει τους δικούς του όρους, που πρέπει να διαβαστούν χωριστά.
Για έναν επιλέξιμο tenant, η Microsoft περιγράφει το EU Data Boundary: δεδομένα πελατών και ψευδωνυμοποιημένα προσωπικά δεδομένα που αποθηκεύονται και υποβάλλονται σε επεξεργασία στην ΕΕ ή την ΕΖΕΣ, δεδομένα επαγγελματικών υπηρεσιών που αποθηκεύονται σε κατάσταση ηρεμίας σε αυτή τη ζώνη. Τρεις έλεγχοι αποτρέπουν να εκληφθεί η ανακοίνωση ως συνολική περίμετρος.
Γιατί. Το όριο είναι μια περίμετρος με δημοσιευμένες εξαιρέσεις, και αυτές είναι που πρέπει να αναλάβει το αρχείο σας. Η σελίδα δεδομένα που φιλοξενούνται στην Ευρώπη εξηγεί γιατί αυτός ο κατάλογος είναι το πραγματικό ζήτημα.
Πώς να το ελέγξετε και να το καταγράψετε. Αντιπαραβάλετε τη διαμόρφωση του tenant (Multi-Geo ή όχι, ενεργοποιημένες προαιρετικές λειτουργίες) με τη σελίδα εξαιρέσεων της Microsoft, γραμμή προς γραμμή, και σημειώστε στο αρχείο όσες σας αφορούν.
Συχνό λάθος. Να αντιγράφετε «δεδομένα στην Ευρώπη» στην πολιτική απορρήτου χωρίς να αναφέρετε την υποστήριξη ή τις προαιρετικές λειτουργίες.
Όταν δεδομένα προσωπικού χαρακτήρα είναι προσβάσιμα από τις Ηνωμένες Πολιτείες ή διαβιβάζονται σε αμερικανικό οργανισμό, η διαβίβαση πρέπει να έχει νομική βάση: απόφαση επάρκειας, τυποποιημένες συμβατικές ρήτρες ή άλλο εργαλείο του άρθρου 46 του GDPR.
Στις 5 Οκτωβρίου 2026, η απόφαση (ΕΕ) 2023/1795 (Data Privacy Framework) είναι σε ισχύ για τους πιστοποιημένους αμερικανικούς οργανισμούς. Αμφισβητείται ενώπιον του Δικαστηρίου και αποτελεί αντικείμενο πολιτικής επανεξέτασης. Σύμφωνα με σχόλιο της δικηγορικής εταιρείας WilmerHale, το Γενικό Δικαστήριο της Ευρωπαϊκής Ένωσης απέρριψε μια προσφυγή ακύρωσης στις 3 Σεπτεμβρίου 2025 και ασκήθηκε αναίρεση ενώπιον του Δικαστηρίου στις 31 Οκτωβρίου 2025. Η δικηγορική εταιρεία DAC Beachcroft συνοψίζει την κατάσταση στον τίτλο του δικού της σχολίου: σταθερότητα προς το παρόν, αβεβαιότητα στη συνέχεια. Όσο η απόφαση δεν ανακαλείται ούτε ακυρώνεται, οι διαβιβάσεις που καλύπτει μπορούν να στηρίζονται σε αυτήν.
Το προηγούμενο εξηγεί τη σύνεση. Στις 16 Ιουλίου 2020, με την απόφαση C-311/18 (γνωστή ως Schrems II), το Δικαστήριο ακύρωσε την απόφαση 2016/1250 (Privacy Shield), λόγω ιδίως της έκτασης των αμερικανικών προγραμμάτων επιτήρησης και της απουσίας αποτελεσματικής προσφυγής. Οι τυποποιημένες συμβατικές ρήτρες παρέμειναν έγκυρες, αλλά απαιτούν αξιολόγηση κατά περίπτωση.
Ο CLOUD Act δεν «υπογράφεται» στην DPA. Εφαρμόζεται, κατά περίπτωση, στη Microsoft ως αμερικανική εταιρεία που κατέχει ή ελέγχει τα δεδομένα. Το άρθρο 48 του GDPR προβλέπει, από την πλευρά του, ότι μια απόφαση δικαστηρίου ή αρχής τρίτης χώρας που απαιτεί τη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα μπορεί να αναγνωριστεί ή να εκτελεστεί μόνο αν βασίζεται σε διεθνή συμφωνία, για παράδειγμα σύμβαση αμοιβαίας δικαστικής συνδρομής, που ισχύει μεταξύ αυτής της χώρας και της Ένωσης ή του κράτους μέλους. Ένας αμερικανικός πάροχος που δραστηριοποιείται στην Ευρώπη μπορεί επομένως να βρεθεί εγκλωβισμένος ανάμεσα σε δύο κανόνες. Το άρθρο 48 περιγράφει αυτή τη σύγκρουση· δεν την επιλύει.
Στις 10 Ιουνίου 2025, ενώπιον της εξεταστικής επιτροπής της Γερουσίας για τις δημόσιες προμήθειες, ζητήθηκε από τον διευθυντή δημοσίων και νομικών υποθέσεων της Microsoft France να πει αν μπορούσε να εγγυηθεί ενόρκως ότι τα δεδομένα των γάλλων πολιτών που έχουν εμπιστευθεί στη Microsoft μέσω της Ugap δεν θα διαβιβάζονταν ποτέ, κατόπιν εντολής της αμερικανικής κυβέρνησης, χωρίς τη ρητή συμφωνία των γαλλικών αρχών. Απάντησε: «Όχι, δεν μπορώ να το εγγυηθώ, αλλά, επαναλαμβάνω, αυτό δεν έχει συμβεί ποτέ μέχρι σήμερα.» Οι λεπτομέρειες βρίσκονται στη σελίδα προστασία μιας επιχείρησης από τον CLOUD Act.
Στο αρχείο. Η νομική βάση κάθε διαβίβασης και το εναλλακτικό σχέδιο: το εργαλείο του άρθρου 46 στο οποίο θα στηριζόσασταν αν η απόφαση καταπέσει.
Συχνό λάθος. Να συγχέετε την τοποθεσία (σημείο 3) με τη νομική βάση της διαβίβασης. Δεδομένα αποθηκευμένα στην Ευρώπη μπορεί να παραμένουν προσβάσιμα από τις Ηνωμένες Πολιτείες.
Ένας εργαζόμενος ή ένας πελάτης μπορεί να ζητήσει πρόσβαση, διόρθωση, διαγραφή, περιορισμό ή φορητότητα. Στο Microsoft 365, ένα μέρος γίνεται στο κέντρο διαχείρισης και στο εργαλείο αναζήτησης περιεχομένου.
Πώς να το ελέγξετε. Η προθεσμία είναι ένας μήνας. Ο εκτελών την επεξεργασία παρέχει τα μέσα· ο υπεύθυνος επεξεργασίας απαντά στο πρόσωπο. Κάντε μια δοκιμή εν ψυχρώ: το ορισμένο πρόσωπο εξάγει, για έναν δοκιμαστικό λογαριασμό, το γραμματοκιβώτιο, το OneDrive και τα αρχεία του Teams.
Στο αρχείο. Η διαδικασία, το όνομα του υπευθύνου και του αναπληρωτή του.
Συχνό λάθος. Να περιμένετε να υποβάλει αίτημα ένας πρώην εργαζόμενος σε αντιδικία για να ανακαλύψετε το εργαλείο αναζήτησης.
Διατήρηση των κοινόχρηστων γραμματοκιβωτίων, των αρχείων καταγραφής, των καταγραφών συσκέψεων, των αντιγράφων δικαστικής διατήρησης (litigation hold). Κατά τη λύση της σύμβασης, τι γίνεται ο tenant, σε ποια προθεσμία και σε ποια μορφή ανακτάτε τα μηνύματα, τα αρχεία και ό,τι δεν εξάγεται (πλήρες ιστορικό των συνομιλιών του Teams, ορισμένες ροές του Power Automate);
Πώς να το ελέγξετε. Καταγράψτε τις διάρκειες που έχουν πράγματι διαμορφωθεί, όχι αυτές της εσωτερικής πολιτικής, και δοκιμάστε την πλήρη εξαγωγή ενός λογαριασμού.
Στο αρχείο. Μία διάρκεια ανά κατηγορία, η αιτιολόγηση κάθε δικαστικής διατήρησης, η διαδικασία εξόδου.
Συχνό λάθος. Να αφήνετε ενεργή μια δικαστική διατήρηση χρόνια μετά το τέλος της αντιδικίας που την δικαιολόγησε.
Το Copilot και οι λειτουργίες ανάλυσης επεξεργάζονται το περιεχόμενο που τους εμπιστεύεστε. Αν τις ενεργοποιήσετε, η ενημέρωση των εργαζομένων και το πλαίσιο χρήσης αποτελούν μέρος της συμμόρφωσης. Το σημείο αυτό είναι εσωτερικό ζήτημα της επιχείρησής σας. Δεν εξαρτάται από τη χώρα του datacenter.
Πώς να το ελέγξετε. Υπάρχει ενημερωτικό σημείωμα και υπάρχει κανόνας που ορίζει ποια δεδομένα μπορούν να υποβληθούν σε αυτές τις λειτουργίες;
Συχνό λάθος. Να ξεκινά ένα πιλοτικό Copilot σε μια ομάδα χωρίς να ενημερωθούν τα άλλα πρόσωπα των οποίων τα δεδομένα περιλαμβάνονται στα αρχεία που υποβάλλονται σε επεξεργασία.
Όχι. Ο κανονισμός πλαισιώνει τους ρόλους, τις διαβιβάσεις και τα δικαιώματα των προσώπων. Δεν απαγορεύει έναν κατασκευαστή λογισμικού λόγω της εθνικότητάς του· ζητά να τεκμηριώνετε τι κάνετε και σε ποια βάση.
Όχι. Περιγράφει πού αποθηκεύονται και υποβάλλονται σε επεξεργασία ορισμένα δεδομένα. Η Microsoft παραμένει αμερικανική εταιρεία και το 18 U.S.C. § 2713 αφορά τα δεδομένα που ένας πάροχος κατέχει ή ελέγχει, όπου κι αν βρίσκονται.
Το αρχείο πρέπει ήδη να το προβλέπει. Μετά την Schrems II, οι τυποποιημένες συμβατικές ρήτρες παρέμειναν έγκυρες, με αξιολόγηση κατά περίπτωση. Αν την προετοιμάσετε εκ των προτέρων, αποφεύγετε να τη συντάξετε υπό πίεση.
Εσείς, ως υπεύθυνος επεξεργασίας. Η Microsoft παρέχει τα εργαλεία εξαγωγής· η απάντηση και η προθεσμία του ενός μήνα είναι δική σας ευθύνη.
Καταλήγει έτσι όταν οι χρήσεις της Microsoft βρίσκονται στον πυρήνα της δραστηριότητας, η DPA είναι σε ισχύ, η περίμετρος διατήρησης των δεδομένων είναι κατανοητή και το αρχείο τεκμηριώνει τις υπολειπόμενες διαβιβάσεις. Η αλλαγή σουίτας δεν γίνεται υποχρέωση βάσει του GDPR μόνο επειδή ο κατασκευαστής λογισμικού είναι αμερικανικός.
Τα επιχειρήματα υπέρ της παραμονής είναι σοβαρά. Ένα γραφείο μελετών που ζει στο προχωρημένο Excel, στο Power BI και στο Teams θα έχανε λειτουργίες αλλάζοντας σουίτα, και μια μετάβαση έχει τους δικούς της κινδύνους. Ένας καλά τεκμηριωμένος tenant της Microsoft είναι πιο συμμορφωμένος από μια κακώς τεκμηριωμένη εναλλακτική λύση. Η απόφαση επανεξετάζεται αν αλλάξει η νομική βάση των διαβιβάσεων. Οι σταθμίσεις αναλύονται στη σελίδα παραμονή στο Microsoft 365 ή αποχώρηση.
Καταλήγει έτσι όταν η διοίκηση θέλει το περιεχόμενο να το κατέχει ευρωπαϊκή εταιρεία ή όταν οι εξαιρέσεις διαβίβασης και πρόσβασης της υποστήριξης υπερβαίνουν όσα μπορεί να αναλάβει το αρχείο. Μπορεί επίσης να προέλθει από τους πελάτες: ένας διαγωνισμός που απαιτεί ευρωπαίο πάροχο λειτουργίας κρίνει το ζήτημα για την περίμετρο που αφορά.
Και αυτό το συμπέρασμα έχει τα επιχειρήματά του. Όταν ο πάροχος λειτουργίας είναι ευρωπαίος και δεν εξαρτάται από αμερικανικό όμιλο για την κατοχή των δεδομένων, η σύγκρουση που περιγράφεται στο σημείο 4 δεν τίθεται πλέον για αυτά τα δεδομένα, υπό την προϋπόθεση ότι οι εκτελούντες την επεξεργασία του δεν επανεισάγουν αμερικανικό πάροχο. Δεν απαλλάσσει από τίποτε άλλο: η σύμβαση επεξεργασίας, το αρχείο, η διαδικασία για τα δικαιώματα και η δοκιμασμένη έξοδος παραμένουν απαραίτητα. Η σελίδα μετάβαση από το Microsoft 365 περιγράφει τι συνεπάγεται αυτή η αλλαγή, χωρίς να την παρουσιάζει ως αυτόματη κίνηση, και η λίστα ελέγχου μετάβασης την αναλύει σε στάδια.
Η Klytic, που λειτουργεί από τη γαλλική εταιρεία Dedicace Software, είναι μία από τις επιλογές αν οι χρήσεις χωρούν στην υπηρεσία email, στα έγγραφα (κοινή χρήση, online επεξεργασία μεμονωμένα ή από κοινού, ιστορικό εκδόσεων), στη βιντεοδιάσκεψη, στο CRM και στην τηλεφωνία. Οι υπηρεσίες αγοράζονται χωριστά· μπορείτε επίσης να κρατήσετε το Microsoft 365 και να προσθέσετε μόνο το φιλτράρισμα Klytic MTA, τοποθετημένο μπροστά του. Η φιλοξενία γίνεται σε οποιαδήποτε γεωγραφική ζώνη αντιστοιχεί στην εφαρμοστέα δικαιοδοσία, υπό την προϋπόθεση διαθεσιμότητας των απαιτούμενων υπηρεσιών, για παράδειγμα στην Ευρώπη ή στον Μαυρίκιο, ή στους διακομιστές του πελάτη. Τα δεδομένα τα κατέχει ο πελάτης, ή η Klytic για λογαριασμό του, και είναι κρυπτογραφημένα εγγενώς ή σύμφωνα με την επιλογή του· το κλειδί το κατέχει ο πελάτης ή φυλάσσεται στον λογαριασμό του, και η Klytic δεν έχει πρόσβαση σε αυτό. Τα στάδια στα οποία την κρυπτογράφηση τη διαχειρίζεται η Klytic περιγράφονται λεπτομερώς στη σελίδα προστασία μιας επιχείρησης από τον CLOUD Act. Η σύμβαση πρέπει να περιγράφει αυτή την κατοχή και αυτή την κρυπτογράφηση. Η Klytic δεν αναπαράγει το προχωρημένο Excel, το Power BI ούτε το Teams. Δεν είναι πιστοποιημένη κατά SecNumCloud, και ένας γάλλος πάροχος λειτουργίας παραμένει υποκείμενος στο γαλλικό δίκαιο.
Αυτή η σελίδα περιγράφει ένα γενικό πλαίσιο. Δεν αποτελεί νομική συμβουλή.
Νομική κατάσταση στις 5 Οκτωβρίου 2026. Το κείμενο αυτό δεν αντικαθιστά την ανάλυση μιας σύμβασης. Η απόφαση επάρκειας ΕΕ–ΗΠΑ (ΕΕ) 2023/1795 είναι σε ισχύ. Αμφισβητείται. Για το SecNumCloud, ισχύει ο κατάλογος της ANSSI.
Ανακτήθηκαν τον Οκτώβριο του 2026.
Email, έγγραφα, τηλεδιάσκεψη, CRM και τηλεφωνία, με φιλοξενία στη ζώνη που αντιστοιχεί στη δικαιοδοσία σας, για παράδειγμα στην Ευρώπη ή στον Μαυρίκιο, ή στις εγκαταστάσεις σας.
Προσφορά καλωσορίσματος
Δοκιμή χωρίς δέσμευση. Ένας σύμβουλος σας καλεί για να κατανοήσει τις ανάγκες σας και να προετοιμάσει τον χώρο σας στην Klytic.
