Microsoft 365 on edelleen vankka valinta, kun eri toimintonne todella käyttävät ohjelmistopaketin koko laajuutta. Euroopassa ylläpidetystä ratkaisusta tulee vankka valinta, kun haluat, että sähköpostit ja tiedostot ovat eurooppalaisen yrityksen hallussa ja käyttötapasi mahtuvat suppeampaan rajaukseen. Molemmat lauseet voivat olla totta samanaikaisesti saman yrityksen kahdessa eri osastossa.
Jokainen seuraavista kohdista on järkevä syy pysyä, ainakin osassa yritystä.
”Suvereeni ratkaisu”, joka lupaa saman laajuuden varauksetta, liioittelee tuotettaan. Eurooppalaiset ja sveitsiläiset ohjelmistopaketit kattavat sähköpostin, tiedostot, videoneuvottelut ja joskus pikaviestinnän. Ne eivät korvaa tätä saareketta.
Muutoksen kustannus ei rajoitu tilaukseen: koulutus, mallien uudelleenrakentaminen, uudelleen liitettävät integraatiot, heikomman tuottavuuden jakso. Jos lähdön syy on iskulause, mikään ei korvaa tätä kustannusta.
Esimerkki. 25 hengen tilitoimisto hoitaa tarkastustoimeksiantonsa makroja sisältävillä Excel-työkirjoilla. Microsoft 365:stä luopuminen kokonaisuutena olisi virhe. Hyödyllinen kysymys on suppeampi: onko yleisen sähköpostipalvelun ja asiakkaiden kanssa vaihdettavien asiakirjojen oltava saman palvelun ylläpitäjän hallussa kuin työkirjojen?
Microsoft on yhdysvaltalainen yritys. EU Data Boundary sijoittaa kelpoisten vuokraajaympäristöjen (tenant) asiakastiedot ja pseudonymisoidut henkilötiedot EU:hun tai EFTA-alueelle dokumentoiduin poikkeuksin: tuki, tietyt eskalaatiot, valinnaiset toiminnot. Microsoftin mukaan Multi-Geo-vuokraajaympäristö ei kuulu sen piiriin. Tämä vastaa osaan kysymyksestä ”missä levyt ovat”. Se ei vastaa kysymykseen ”kenet voidaan Yhdysvalloissa velvoittaa luovuttamaan hallinnassaan olevia tietoja”.
CLOUD Actiin perustuva säännös (18 U.S.C. § 2713) koskee tietoja, jotka palveluntarjoaja pitää hallussaan tai hallinnoi, myös Yhdysvaltojen ulkopuolella. GDPR:n (EU:n yleinen tietosuoja-asetus) 48 artikla puolestaan tunnustaa kolmannen maan päätöksen, jossa vaaditaan henkilötietojen luovuttamista, vain jos se perustuu unionin tai jäsenvaltion kanssa voimassa olevaan kansainväliseen sopimukseen, esimerkiksi oikeusapusopimukseen. Euroopassa toimiva yhdysvaltalainen palveluntarjoaja voi siis joutua kahden oikeusjärjestyksen väliin, eikä yksittäisen tapauksen lopputulos ole ennalta kirjoitettu.
Ranskan senaatin julkisia hankintoja käsittelevässä tutkintavaliokunnassa 10. kesäkuuta 2025 Microsoft Francen julkisista ja oikeudellisista asioista vastaavalta johtajalta kysyttiin, voisiko hän valan nojalla taata, ettei Microsoftille Ugapin kautta uskottuja Ranskan kansalaisten tietoja koskaan luovuteta Yhdysvaltojen hallituksen määräyksestä ilman Ranskan viranomaisten nimenomaista suostumusta. Hänen vastauksensa: ”Ei, en voi taata sitä, mutta, toistan, niin ei ole vielä koskaan tapahtunut.” Lauseen kummallakin puoliskolla on merkitystä, ja jokainen johto punnitsee ne.
Jäljelle jää siirtojen oikeusperuste. Tilanteessa 5. lokakuuta 2026 tietosuojan riittävyyttä koskeva päätös (EU) 2023/1795 on voimassa. Se on riitautettu, kuten asianajajien kommenteissa (DAC Beachcroft, WilmerHale) todetaan; WilmerHalen mukaan Euroopan unionin yleinen tuomioistuin hylkäsi kumoamiskanteen 3. syyskuuta 2025, ja unionin tuomioistuimeen jätettiin valitus 31. lokakuuta 2025. Yksityiskohdat ovat sivuilla yrityksen suojaaminen CLOUD Actilta ja GDPR ja Microsoft 365.
Microsoft 365:ssä pysyminen ei siis ole ”vaatimustenvastainen” valinta: henkilötietojen käsittelysopimus (DPA), tietojen sijainti ja siirtojen kirjanpito mahdollistavat sen dokumentoinnin. Se on valinta, jossa hyväksytään kahden oikeusjärjestyksen alainen palvelun ylläpitäjä. Päätös kuuluu johdolle, ei pelkästään IT-osastolle.
Oikeudellisesti. Eurooppalaisen oikeuden alainen palvelun ylläpitäjä. Sopimus, jota koskevat riidat ratkaisee eurooppalainen tuomioistuin. Jos tämä palvelun ylläpitäjä ei ole tietojen hallussapidon osalta riippuvainen yhdysvaltalaisesta konsernista eikä yhdysvaltalaisista henkilötietojen käsittelijöistä, CLOUD Actin mukainen määräys ei kohdistu siihen. Se on edelleen oman maansa lainsäädännön alainen: kyse on lainkäyttövallan vaihdosta, ei koskemattomuudesta. Pyydä luettelo henkilötietojen käsittelijöistä (varmuuskopiot, tuki, sähköpostien lähetys), tiedot siitä, missä tietoihin pääsevät henkilöt sijaitsevat, ja kuka pitää hallussaan salausavaimia.
Operatiivisesti. Tuki, joka ei lähtökohtaisesti ole yhdysvaltalaisen konsernin tukea. Tarjouksesta riippuen: palvelinsijainti Ranskassa, Saksassa tai omissa tiloissasi. Niin ikään tarjouksesta riippuen: mahdollisuus ottaa pelkkä sähköpostipalvelu. Suppea rajaus on helpompi kuvata käsittelytoimien selosteessa ja auditoida.
Mitä se ei automaattisesti tarjoa. SecNumCloud-kvalifiointia: se koskee tiettyä tarjousta ANSSI:n luettelossa. Vaatimuskehikkonsa versiosta 3.2 (2022) lähtien SecNumCloud sisältää vaatimuksia suojasta EU:n ulkopuolista lainsäädäntöä vastaan (kotipaikka, pääoman hallinta, sijainti, henkilöstö); esitteessä mainittu sana ei korvaa sitä. Ei myöskään vastaavia toimisto-ohjelmia eikä näkymätöntä Teams-siirtoa. Lisäksi ohjelmiston ohjelmistotoimittaja voi olla ulkomainen (Zimbran ohjelmistotoimittaja on yhdysvaltalainen): sopimuksessa on todettava, ettei ohjelmistotoimittajalla ole pääsyä sisältöihin.
Valinta ei ole joko–tai. Kolme kokoonpanoa on yleistä.
Microsoft-saarekkeen säilyttäminen yhtä toimintoa varten ja yleisen sähköpostipalvelun siirtäminen. Teollinen pk-yritys, jolla on kaksi toimipaikkaa, pitää Microsoft 365 -lisenssit taloushallinnolle ja suunnitteluosastolle; tuotanto, myynti ja hallinto siirtyvät Euroopassa ylläpidettyyn sähköpostipalveluun ja tiedostojen jakoon. Tällöin on ratkaistava kaksi hakemistoa, saman verkkotunnuksen reititys kahden järjestelmän välillä, ristikkäiset kalenterikutsut sekä kirjallinen sääntö siitä, mitkä tiedot menevät minne. Yleinen virhe on antaa jokaisen valita tilanteen mukaan.
Ohjelmistopaketin säilyttäminen ja suodattimen sijoittaminen sen eteen. Jos päätös palvelun ylläpitäjästä ei ole vielä kypsä mutta tietojenkalastelu vaatii pikaisia toimia, Exchangen eteen sijoitettu MTA suodattaa saapuvan postin koskematta postilaatikoihin. Sisällöt puolestaan jäävät Microsoftille. Kyse on tietoturvatoimesta, ei palvelun ylläpitäjän vaihdosta.
Vaiheittainen irtautuminen. Ensin sähköpostipalvelu, koska se perustuu standardiprotokolliin; sen jälkeen tiedostot; Teams niin kauan kuin asiakkaat sitä edellyttävät. Jokainen vaihe arvioidaan tulostensa perusteella ennen seuraavan aloittamista. Sivut siirtyminen Microsoft 365:stä ja siirto ilman katkoja kuvaavat toimenpiteiden järjestyksen.
| Jos seuraava lause pitää paikkansa | Suunta |
|---|---|
| Tiimit tuottavat työnsä edistyneellä Excelillä tai Power BI:llä | Pidä Microsoft 365 näillä tiimeillä |
| Asiakkaat ja toimittajat edellyttävät Teamsia | Pidä Teams tai tarjoa heille tietoisesti toinen kanava |
| Yleinen tarve on sähköposti, tiedostot ja niiden verkkoeditointi, videoneuvottelu, CRM, puhelin | Palvelu kerrallaan koottava eurooppalainen ohjelmistopaketti sopii |
| Tarjouspyyntö edellyttää nimenomaisesti SecNumCloud-kvalifioitua tarjousta | Valitse tämä tarjous ANSSI:n luettelosta, ei sähköpostipalvelua, joka käyttää sanaa ”suvereeni” |
| Haluat suodattimen postilaatikoiden eteen luopumatta Exchangesta | Microsoft 365:n eteen sijoitettu MTA riittää. Ohjelmistopaketti voi jäädä |
| Johto haluaa, että tavanomaiset sähköpostit ja tiedostot ovat eurooppalaisen yrityksen hallussa | Siirrä yleinen sähköpostipalvelu ja tiedostot, pidä saareke toiminnoille, jotka sitä edellyttävät |
| Vuokraajaympäristö on Multi-Geo, tai Copilot ja liittimet ovat käytössä | Lue EU Data Boundaryn poikkeukset ennen kuin päättelet, että tietojen sijainti riittää |
| Emoyhtiö edellyttää Entra ID:tä ja sen sovelluksia | Pidä Microsoft 365; kysymys ratkaistaan konsernin tasolla |
| Kukaan talossa ei osaa ylläpitää palvelinta | Valitse palvelun ylläpitäjä, joka operoi palvelua, ei itse asennettavaa ohjelmistoa |
Jos kaksi keskenään ristiriitaista riviä pitää teillä paikkansa, vastaus on lähes aina yhdistelmäskenaario.
Yleinen virhe on antaa kokeilu pelkästään IT-osaston tehtäväksi: se validoi tekniikan, ei käyttöä. Maksuton kokeilu on tätä varten.
Sitä voidaan käyttää GDPR:n mukaisesti. Asetus ei kiellä yhdysvaltalaisia ohjelmistotoimittajia; se edellyttää käytössä olevat palvelut kattavaa henkilötietojen käsittelysopimusta (DPA), oikeusperustetta siirroille ja ajantasaista selostetta. Palvelun ylläpitäjän kansallisuus on erillinen päätös. Katso GDPR ja Microsoft 365.
Ei. Se kuvaa, missä tiettyjä tietoja säilytetään ja käsitellään. CLOUD Act koskee palveluntarjoajaa, joka pitää tietoja hallussaan tai hallinnoi niitä, riippumatta levyn sijainnista.
Kyllä, säilyttämällä lisenssit niitä tarvitseville henkilöille. Tarkista etukäteen, mitä tapahtuu kalentereille, sähköpostipalvelusta ajoitetuille Teams-kokouksille ja jaetuille postilaatikoille.
Ei. SecNumCloud-kvalifiointi koskee tiettyä tarjousta ANSSI:n luettelossa. Euroopassa ylläpidetty sähköpostipalvelu voi sopia ilman sitä, ellei tarjouspyyntösi sitä edellytä.
Klytic on yksi mahdollisista eurooppalaisista ratkaisuista, ei ainoa vastaus. Sen palvelun ylläpitäjä on ranskalainen yritys Dedicace Software, ja se sopii, jos haluat koota sähköpostipalvelun, asiakirjat (asiakaskohtainen erillinen Nextcloud-instanssi, ei jaettu tila, jossa on jakaminen, verkkoeditointi yksin tai yhdessä ja versiohistoria), videoneuvottelun, CRM:n ja puhelinpalvelun. Palvelinsijainti millä tahansa sovellettavaa lainkäyttöaluetta vastaavalla maantieteellisellä alueella, edellyttäen että tarvittavat palvelut ovat saatavilla, esimerkiksi Euroopassa tai Mauritiuksella, tai asiakkaan palvelimilla.
Se ei sovi, jos projektin tavoitteena on saada Office takaisin: se ei korvaa edistynyttä Exceliä, Power BI:tä eikä Teamsia. Klytic ei ole SecNumCloud-kvalifioitu, ja ranskalainen palvelun ylläpitäjä on edelleen Ranskan lainsäädännön alainen. Muiden toimijoiden yleiskatsaus on vuoden 2026 opas.
Tämä sivu kuvaa yleisen kehyksen. Se ei ole oikeudellista neuvontaa.
Tarkistettu lokakuussa 2026.
Kokeile Klyticiä 30 päivää omilla sähköposteillasi ja tiedostoillasi ilman sitoumusta.
Tervetuliaistarjous
Sitoumukseton kokeilu. Asiantuntijamme soittaa sinulle kartoittaakseen tarpeesi ja valmistellakseen Klytic-ympäristösi.
