Suverenost
Microsoft 365 može se koristiti u okviru GDPR-a (Opća uredba o zaštiti podataka). Uredba ne zabranjuje američke proizvođače softvera. Ona zahtijeva da znate tko obrađuje što, na kojoj osnovi podaci napuštaju Uniju i kako ispitanici ostvaruju svoja prava. U nastavku je navedeno što tvrtka mora provjeriti, redom, i što mora upisati u evidenciju.
Za sadržaj pretinaca, datoteka i timova koje administrirate klijent je obično voditelj obrade. Microsoft je izvršitelj obrade. Za određene podatke o računu, naplati, sigurnosti i mjerenju usluge Microsoft može biti zasebni voditelj obrade. Data Processing Addendum i Microsoft Privacy Statement razdvajaju te slučajeve.
Kako provjeriti. Uloga određuje obveze. Pročitajte oba dokumenta usporedno i svaku kategoriju podataka svrstajte u jednu rubriku. Računovodstveni ured s 25 zaposlenika, primjerice, imat će s jedne strane e-poštu i dosjee klijenata (Microsoft kao izvršitelj obrade), a s druge naplatu pretplate (Microsoft kao zasebni voditelj obrade).
U evidenciji. Jedan redak po obradi, s ulogom Microsofta i dokumentom na kojem se ona temelji.
Česta pogreška. Napisati „Microsoft je naš izvršitelj obrade” za cijelu uslugu.
Microsoftov DPA uključen je u mrežne uvjete. Provjerite obuhvaća li usluge koje ste uključili: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate i svaki konektor.
Kako provjeriti. Tenant se razvija izvan okvira početne narudžbe. Usporedite popis uključenih usluga u centru za administraciju s opsegom DPA-a i arhivirajte verziju DPA-a koja je na snazi na datum provjere.
U evidenciji. Usluga, datum aktivacije, svrha. Usluga koju je administrator aktivirao „da isproba” ulazi u evidenciju onog dana kada počne obrađivati podatke Vaših zaposlenika ili klijenata.
Česta pogreška. Smatrati da je konektor prema alatu treće strane obuhvaćen Microsoftovim DPA-om. Treća strana ima vlastite uvjete koje treba zasebno pročitati.
Za prihvatljivog tenanta Microsoft opisuje EU Data Boundary: podaci klijenata i pseudonimizirani osobni podaci pohranjeni i obrađeni u EU-u ili EFTA-i, podaci profesionalnih usluga pohranjeni u mirovanju u toj zoni. Tri provjere sprječavaju da se najava shvati kao potpuni opseg.
Zašto. Granica je opseg s objavljenim iznimkama, a upravo njih Vaša evidencija mora preuzeti. Stranica podaci pohranjeni u Europi objašnjava zašto je taj popis prava tema.
Kako provjeriti i zabilježiti. Usporedite konfiguraciju tenanta (Multi-Geo ili ne, aktivirane opcionalne funkcije) s Microsoftovom stranicom iznimaka, redak po redak, i u evidenciju upišite one koje se odnose na Vas.
Česta pogreška. Prepisati „podaci u Europi” u politiku privatnosti bez spominjanja podrške i opcionalnih funkcija.
Kada su osobni podaci dostupni iz Sjedinjenih Država ili preneseni američkoj organizaciji, prijenos mora imati pravnu osnovu: odluku o primjerenosti, standardne ugovorne klauzule ili drugi alat iz članka 46 GDPR-a.
Na dan 5. listopada 2026. odluka (EU) 2023/1795 (Data Privacy Framework) na snazi je za certificirane američke organizacije. Osporava se pred Sudom i predmet je političkog preispitivanja. Prema komentaru odvjetničkog društva WilmerHale, Opći sud Europske unije odbio je tužbu za poništenje 3. rujna 2025., a 31. listopada 2025. podnesena je žalba Sudu. Odvjetničko društvo DAC Beachcroft sažima stanje u naslovu vlastitog komentara: stabilnost za sada, neizvjesnost nakon toga. Sve dok odluka nije povučena ni poništena, prijenosi koje obuhvaća mogu se na nju oslanjati.
Prethodni slučaj objašnjava oprez. Dana 16. srpnja 2020., u presudi C-311/18 (poznatoj kao Schrems II), Sud je poništio odluku 2016/1250 (Privacy Shield), osobito zbog opsega američkih programa nadzora i nepostojanja djelotvornog pravnog lijeka. Standardne ugovorne klauzule ostale su valjane, ali zahtijevaju procjenu od slučaja do slučaja.
CLOUD Act se ne „potpisuje” u DPA-u. On se, ovisno o slučaju, primjenjuje na Microsoft kao američko društvo koje drži ili kontrolira podatke. Članak 48 GDPR-a sa svoje strane predviđa da se odluka suda ili tijela treće zemlje kojom se zahtijeva otkrivanje osobnih podataka može priznati ili izvršiti samo ako se temelji na međunarodnom sporazumu, primjerice ugovoru o uzajamnoj pravnoj pomoći, koji je na snazi između te zemlje i Unije ili države članice. Američki pružatelj usluge koji posluje u Europi stoga se može naći između dvaju pravila. Članak 48 opisuje taj sukob; ne rješava ga.
Dana 10. lipnja 2025., pred istražnim povjerenstvom francuskog Senata za javnu nabavu, direktor za javne i pravne poslove Microsofta Francuska upitan je može li pod prisegom jamčiti da podaci francuskih građana povjereni Microsoftu putem Ugapa nikada neće biti preneseni, na temelju naloga američke vlade, bez izričite suglasnosti francuskih vlasti. Odgovorio je: „Ne, ne mogu to jamčiti, ali, ponavljam, to se još nikada nije dogodilo.” Pojedinosti se nalaze u članku zaštita tvrtke od CLOUD Acta.
U evidenciji. Pravna osnova svakog prijenosa i rezervni plan: alat iz članka 46 na koji biste se oslonili ako odluka otpadne.
Česta pogreška. Brkati lokaciju (točka 3) i pravnu osnovu prijenosa. Podaci pohranjeni u Europi mogu ostati dostupni iz Sjedinjenih Država.
Zaposlenik ili klijent može zatražiti pristup, ispravak, brisanje, ograničenje ili prenosivost. U Microsoft 365 dio toga obavlja se u centru za administraciju i alatu za pretraživanje sadržaja.
Kako provjeriti. Rok je mjesec dana. Izvršitelj obrade osigurava sredstva; voditelj obrade odgovara ispitaniku. Provedite probni test: imenovana osoba za testni račun izvozi pretinac, OneDrive i datoteke iz Teamsa.
U evidenciji. Postupak, ime odgovorne osobe i njezina zamjenika.
Česta pogreška. Čekati da bivši zaposlenik u sporu podnese zahtjev kako biste otkrili alat za pretraživanje.
Čuvanje dijeljenih pretinaca, zapisnika, snimki sastanaka, kopija sudskog čuvanja (litigation hold). Pri raskidu ugovora, što se događa sa tenantom, u kojem roku i u kojem formatu vraćate poruke, datoteke i ono što se ne može izvesti (potpunu povijest razgovora u Teamsu, određene tokove Power Automatea)?
Kako provjeriti. Zabilježite stvarno konfigurirana razdoblja, a ne ona iz interne politike, i testirajte potpuni izvoz jednog računa.
U evidenciji. Jedno razdoblje čuvanja po kategoriji, obrazloženje svakog sudskog čuvanja, postupak izlaska.
Česta pogreška. Ostaviti sudsko čuvanje aktivnim godinama nakon završetka spora koji ga je opravdao.
Copilot i analitičke funkcije obrađuju sadržaj koji im povjerite. Ako ih aktivirate, informiranje zaposlenika i okvir korištenja dio su usklađenosti. Ta je točka interna stvar Vaše tvrtke. Ne ovisi o državi podatkovnog centra.
Kako provjeriti. Postoji li obavijest za zaposlenike i propisuje li neko pravilo koji se podaci smiju podvrgnuti tim funkcijama?
Česta pogreška. Otvoriti pilot Copilota jednom timu bez obavještavanja ostalih osoba čiji se podaci nalaze u obrađenim datotekama.
Ne. Uredba uređuje uloge, prijenose i prava ispitanika. Ne zabranjuje proizvođača softvera zbog njegove nacionalnosti; zahtijeva da dokumentirate što radite i na kojoj osnovi.
Ne. Ona opisuje gdje se određeni podaci pohranjuju i obrađuju. Microsoft ostaje američko društvo, a 18 U.S.C. § 2713 odnosi se na podatke koje pružatelj usluge drži ili kontrolira, gdje god se nalazili.
Evidencija to već mora navoditi. Nakon presude Schrems II standardne ugovorne klauzule ostale su valjane, uz procjenu od slučaja do slučaja. Ako je pripremite unaprijed, nećete je morati sastavljati u žurbi.
Vi, kao voditelj obrade. Microsoft osigurava alate za izvoz; odgovor i rok od mjesec dana Vaša su odgovornost.
Završava tako kada su Microsoftovi načini korištenja u srži poslovanja, kada je DPA uspostavljen, kada je opseg rezidentnosti shvaćen i kada evidencija dokumentira preostale prijenose. Promjena paketa ne postaje obveza iz GDPR-a samo zato što je proizvođač softvera američki.
Argumenti za ostanak su ozbiljni. Projektni ured koji živi u naprednom Excelu, Power BI-ju i Teamsu izgubio bi funkcije promjenom paketa, a migracija nosi vlastite rizike. Dobro dokumentiran Microsoftov tenant usklađeniji je od loše dokumentirane alternative. Odluka se preispituje ako se promijeni pravna osnova prijenosa. Procjene su detaljno opisane u članku ostati u Microsoft 365 ili ga napustiti.
Završava tako kada uprava želi da sadržaj drži europsko društvo ili kada iznimke prijenosa i pristupa podrške premašuju ono što evidencija može preuzeti. Može doći i od klijenata: natječaj koji zahtijeva europskog operatera usluge rješava pitanje za dotični opseg.
I taj zaključak ima svoje argumente. Kada je operater usluge europski i ne ovisi o američkoj grupi u pogledu držanja podataka, sukob opisan u točki 4 više se ne postavlja za te podatke, pod uvjetom da njegovi izvršitelji obrade ponovno ne uvedu američkog pružatelja usluge. Ne oslobađa ni od čega drugog: ugovor o obradi, evidencija, postupak za prava ispitanika i testirani izlazak i dalje su potrebni. Stranica migracija s Microsoft 365 opisuje što ta promjena podrazumijeva, ne prikazujući je kao automatski korak, a kontrolni popis za migraciju dijeli je na korake.
Klytic, kojim upravlja francusko društvo Dedicace Software, jedna je od mogućnosti ako se načini korištenja svode na e-poštu, dokumente (dijeljenje, uređivanje na mreži samostalno ili u suradnji, povijest verzija), videokonferencije, CRM i telefoniju. Usluge se kupuju zasebno; moguće je i zadržati Microsoft 365 i dodati samo filtriranje Klytic MTA, postavljeno ispred. Hosting se obavlja u svakoj geografskoj zoni koja odgovara mjerodavnoj jurisdikciji, pod uvjetom dostupnosti potrebnih usluga, primjerice u Europi ili na Mauricijusu, ili na poslužiteljima klijenta. Podaci ostaju pod kontrolom klijenta ili ih Klytic čuva za njegov račun. Dokumenti su šifrirani na izvoru ključem koji Klytic ne može pročitati; poruke e-pošte šifrirane su u mirovanju ključevima kojima upravlja Klytic, a klijent ih može šifrirati s kraja na kraj (S/MIME ili GPG) zadržavajući svoj privatni ključ. Pojedinosti se nalaze na stranici zaštita tvrtke od CLOUD Acta. Ugovor mora opisati to držanje i to šifriranje. Klytic ne reproducira napredni Excel, Power BI ni Teams. Nije kvalificiran prema SecNumCloudu, a francuski operater ostaje podložan francuskom pravu.
Ova stranica opisuje opći okvir. Ona ne predstavlja pravni savjet.
Pravno stanje na dan 5. listopada 2026. Ovaj tekst ne zamjenjuje pregled ugovora. Odluka o primjerenosti EU–SAD (EU) 2023/1795 na snazi je. Predmet je osporavanja. Za SecNumCloud mjerodavan je katalog ANSSI-ja.
Pristupljeno u listopadu 2026.
E-pošta, dokumenti, videokonferencije, CRM i telefonija, smješteni u zoni koja odgovara Vašoj jurisdikciji, primjerice u Europi ili na Mauricijusu, ili u Vašim prostorima.
Ponuda dobrodošlice
Probna ponuda bez obveze. Savjetnik će Vas nazvati kako bi razumio Vaše potrebe i pripremio Vaš Klytic prostor.
