Paġna ewlenija›Gwidi›Sovranità
Sovranità
Microsoft 365 jista’ jintuża f’qafas tal-GDPR (Regolament Ġenerali dwar il-Protezzjoni tad-Data). Ir-regolament ma jipprojbixxix il-manifatturi tas-software Amerikani. Jeħtieġ li tkun taf min jipproċessa xiex, fuq liema bażi d-data toħroġ mill-Unjoni, u kif il-persuni jeżerċitaw id-drittijiet tagħhom. Hawn x’għandu jivverifika negozju, f’ordni, u x’għandu jikteb fir-reġistru.
Għall-kontenut tal-kaxxi tal-posta, tal-fajls u tat-timijiet li tamministra, il-klijent ġeneralment huwa l-kontrollur. Microsoft hija l-proċessur. Għal ċerta data tal-kont, tal-fatturazzjoni, tas-sigurtà u tal-kejl tas-servizz, Microsoft tista’ tkun kontrollur separat. Id-Data Processing Addendum u l-Microsoft Privacy Statement jifirdu dawn il-każijiet.
Kif tivverifika. Ir-rwol jiddetermina l-obbligi. Aqra ż-żewġ dokumenti ħdejn xulxin u poġġi kull kategorija ta’ data f’kaxxa. Ditta ta’ kontabilità ta’ 25 persuna, pereżempju, ikollha min-naħa l-emails u r-rekords tal-klijenti (Microsoft proċessur), u min-naħa l-oħra l-fatturazzjoni tal-abbonament (Microsoft kontrollur separat).
Fir-reġistru. Ringiela għal kull attività ta’ pproċessar, bir-rwol ta’ Microsoft u d-dokument li fuqu huwa bbażat.
Żball komuni. Li tikteb “Microsoft hija l-proċessur tagħna” għas-servizz kollu.
Id-DPA ta’ Microsoft huwa inkorporat fil-kundizzjonijiet online. Ivverifika li jkopri s-servizzi li attivajt: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate, u kull connector.
Kif tivverifika. Tenant jevolvi lil hinn mill-ordni inizjali. Qabbel il-lista tas-servizzi attivati fiċ-ċentru tal-amministrazzjoni mal-perimetru tad-DPA, u arkivja l-verżjoni tad-DPA fis-seħħ fid-data tal-verifika.
Fir-reġistru. Is-servizz, id-data tal-attivazzjoni, l-għan. Servizz attivat minn amministratur “biex jipprova” jidħol fir-reġistru mill-jum li jipproċessa data tal-impjegati jew tal-klijenti tiegħek.
Żball komuni. Li tqis li connector lejn għodda ta’ terza parti jaqa’ taħt id-DPA ta’ Microsoft. It-terza parti għandha l-kundizzjonijiet tagħha stess, li jridu jinqraw separatament.
Għal tenant eliġibbli, Microsoft tiddeskrivi l-EU Data Boundary: data tal-klijent u data personali psewdonimizzata maħżuna u pproċessata fl-UE jew fl-EFTA, data ta’ servizzi professjonali maħżuna f’din iż-żona meta ma tkunx qed tintuża. Tliet kontrolli jevitaw li tieħu t-tħabbira għal perimetru totali.
Għaliex. Il-konfini huma perimetru b’eċċezzjonijiet ippubblikati, u huma dawn l-eċċezzjonijiet li r-reġistru tiegħek irid jassumi. Il-paġna data ospitata fl-Ewropa tispjega għaliex din il-lista hija s-suġġett reali.
Kif tivverifika u tirreġistra. Qabbel il-konfigurazzjoni tat-tenant (Multi-Geo jew le, funzjonijiet fakultattivi attivati) mal-paġna tal-eċċezzjonijiet ta’ Microsoft, ringiela b’ringiela, u niżżel fir-reġistru dawk li jikkonċernawk.
Żball komuni. Li tikkopja “data fl-Ewropa” fil-politika tal-privatezza mingħajr ma ssemmi s-sapport jew il-funzjonijiet fakultattivi.
Meta data personali tkun aċċessibbli mill-Istati Uniti jew tiġi trasferita lejn organizzazzjoni Amerikana, it-trasferiment irid ikollu bażi: deċiżjoni ta’ adegwatezza, klawżoli kuntrattwali standard, jew għodda oħra tal-artikolu 46 tal-GDPR.
Sal-5 ta’ Ottubru 2026, id-deċiżjoni (UE) 2023/1795 (Data Privacy Framework) hija fis-seħħ għall-organizzazzjonijiet Amerikani ċertifikati. Hija kkontestata quddiem il-Qorti tal-Ġustizzja u qed tiġi riveduta politikament. Skont kumment tad-ditta legali WilmerHale, il-Qorti Ġenerali tal-Unjoni Ewropea ċaħdet rikors għall-annullament fit-3 ta’ Settembru 2025, u sar appell quddiem il-Qorti tal-Ġustizzja fil-31 ta’ Ottubru 2025. Id-ditta legali DAC Beachcroft tiġbor fil-qosor is-sitwazzjoni fit-titlu tal-kumment tagħha stess: stabbiltà għalissa, inċertezza wara. Sakemm id-deċiżjoni la tiġi rtirata u lanqas annullata, it-trasferimenti li tkopri jistgħu jistrieħu fuqha.
Il-preċedent jispjega l-prudenza. Fis-16 ta’ Lulju 2020, fis-sentenza C-311/18 (magħrufa bħala Schrems II), il-Qorti tal-Ġustizzja invalidat id-deċiżjoni 2016/1250 (Privacy Shield), b’mod partikolari minħabba l-firxa tal-programmi ta’ sorveljanza Amerikani u n-nuqqas ta’ rimedju effettiv. Il-klawżoli kuntrattwali standard baqgħu validi, iżda jeħtieġu evalwazzjoni każ b’każ.
Il-CLOUD Act ma “jiġix iffirmat” fid-DPA. Japplika, fejn rilevanti, għal Microsoft bħala kumpanija Amerikana li għandha jew tikkontrolla d-data. L-artikolu 48 tal-GDPR jipprevedi, min-naħa tiegħu, li deċiżjoni ta’ qorti jew ta’ awtorità ta’ pajjiż terz li teħtieġ l-iżvelar ta’ data personali tista’ tiġi rikonoxxuta jew infurzata biss jekk tkun ibbażata fuq ftehim internazzjonali, pereżempju trattat ta’ assistenza legali reċiproka, fis-seħħ bejn dak il-pajjiż u l-Unjoni jew l-Istat Membru. Fornitur Amerikan li jopera fl-Ewropa għalhekk jista’ jsib ruħu maqbud bejn żewġ regoli. L-artikolu 48 jiddeskrivi dan il-kunflitt; ma jsolvihx.
Fl-10 ta’ Ġunju 2025, quddiem il-kumitat ta’ inkjesta tas-Senat dwar l-akkwist pubbliku, id-direttur tal-affarijiet pubbliċi u legali ta’ Microsoft France ġie mistoqsi jekk setax jiggarantixxi taħt ġurament li d-data taċ-ċittadini Franċiżi fdata lil Microsoft permezz tal-Ugap qatt ma tiġi trażmessa, wara ordni tal-gvern Amerikan, mingħajr il-qbil espliċitu tal-awtoritajiet Franċiżi. Huwa wieġeb: “Le, ma nistax niggarantixxi dan, iżda, għal darb’oħra, dan qatt ma ġara s’issa.” Id-dettall jinsab f’kif tipproteġi negozju mill-CLOUD Act.
Fir-reġistru. Il-bażi ta’ kull trasferiment, u l-pjan alternattiv: l-għodda tal-artikolu 46 li fuqha tistrieħ jekk id-deċiżjoni taqa’.
Żball komuni. Li tħawwad il-lokalizzazzjoni (punt 3) mal-bażi tat-trasferiment. Data maħżuna fl-Ewropa tista’ tibqa’ aċċessibbli mill-Istati Uniti.
Impjegat jew klijent jista’ jitlob l-aċċess, ir-rettifika, it-tħassir, ir-restrizzjoni jew il-portabbiltà. Fuq Microsoft 365, parti minn dan isir fiċ-ċentru tal-amministrazzjoni u fl-għodda tat-tfittxija tal-kontenut.
Kif tivverifika. It-terminu huwa ta’ xahar. Il-proċessur jipprovdi l-mezzi; il-kontrollur iwieġeb lill-persuna. Agħmel test minn qabel: il-persuna nnominata testratta, għal kont tat-test, il-kaxxa tal-posta, il-OneDrive u l-fajls ta’ Teams.
Fir-reġistru. Il-proċedura, l-isem tal-persuna responsabbli u ta’ min jieħu postha.
Żball komuni. Li tistenna li ex-impjegat f’tilwima jagħmel talba biex tiskopri l-għodda tat-tfittxija.
Żamma tal-kaxxi tal-posta kondiviżi, tar-reġistri, tar-reġistrazzjonijiet tal-laqgħat, tal-kopji ta’ żamma legali (litigation hold). Mat-terminazzjoni, x’isir mit-tenant, f’kemm żmien, u f’liema format tieħu lura l-messaġġi, il-fajls u dak li ma jistax jiġi esportat (storja sħiħa tal-konversazzjonijiet ta’ Teams, ċerti flussi ta’ Power Automate)?
Kif tivverifika. Niżżel it-tul ta’ żmien konfigurat fil-fatt, mhux dak tal-politika interna, u ttestja l-esportazzjoni sħiħa ta’ kont.
Fir-reġistru. Tul ta’ żmien għal kull kategorija, il-ġustifikazzjoni ta’ kull żamma legali, il-proċedura tal-ħruġ.
Żball komuni. Li tħalli żamma legali attiva għal snin wara t-tmiem tat-tilwima li ġġustifikatha.
Copilot u l-funzjonijiet ta’ analiżi jipproċessaw il-kontenut li tafdalhom. Jekk tattivahom, l-informazzjoni lill-impjegati u l-qafas tal-użu huma parti mill-konformità. Dan il-punt huwa intern għan-negozju tiegħek. Ma jiddependix mill-pajjiż taċ-ċentru tad-data.
Kif tivverifika. Teżisti nota ta’ informazzjoni, u hemm regola li tgħid liema data tista’ tingħata lil dawn il-funzjonijiet?
Żball komuni. Li tiftaħ pilota ta’ Copilot għal tim mingħajr ma tavża lill-persuni l-oħra li d-data tagħhom tidher fil-fajls ipproċessati.
Le. Ir-regolament jirregola r-rwoli, it-trasferimenti u d-drittijiet tal-persuni. Ma jipprojbixxix manifattur tas-software minħabba n-nazzjonalità tiegħu; jitlob li tiddokumenta dak li tagħmel u fuq liema bażi.
Le. Tiddeskrivi fejn ċerta data tinħażen u tiġi pproċessata. Microsoft tibqa’ kumpanija Amerikana, u 18 U.S.C. § 2713 jolqot id-data li fornitur għandu jew jikkontrolla, kull fejn tkun.
Ir-reġistru għandu diġà jgħid dan. Wara Schrems II, il-klawżoli kuntrattwali standard baqgħu validi, b’evalwazzjoni każ b’każ. Jekk tippreparaha minn qabel tevita li tiktibha bl-għaġla.
Int, bħala kontrollur. Microsoft tipprovdi l-għodod tal-estrazzjoni; it-tweġiba u t-terminu ta’ xahar huma r-responsabbiltà tiegħek.
Tikkonkludi hekk meta l-użi ta’ Microsoft huma fil-qalba tax-xogħol, id-DPA huwa fis-seħħ, il-perimetru tar-residenza huwa mifhum, u r-reġistru jiddokumenta t-trasferimenti residwi. Li tibdel is-suite ma jsirx obbligu tal-GDPR sempliċement għax il-manifattur tas-software huwa Amerikan.
L-argumenti biex tibqa’ huma serji. Uffiċċju tad-disinn li jgħix f’Excel avvanzat, Power BI u Teams jitlef funzjonijiet jekk jibdel is-suite, u migrazzjoni ġġib magħha r-riskji tagħha. Tenant ta’ Microsoft iddokumentat tajjeb huwa aktar konformi minn alternattiva ddokumentata ħażin. Id-deċiżjoni terġa’ tiġi eżaminata jekk il-bażi tat-trasferimenti tinbidel. L-għażliet huma deskritti fid-dettall f’tibqa’ jew titlaq minn Microsoft 365.
Tikkonkludi hekk meta l-maniġment irid li kumpanija Ewropea jkollha l-kontenut, jew meta l-eċċezzjonijiet tat-trasferiment u tal-aċċess tas-sapport jaqbżu dak li r-reġistru jista’ jassumi. Tista’ tiġi wkoll mill-klijenti: sejħa għall-offerti li teħtieġ operatur tas-servizz Ewropew issolvi l-kwistjoni għall-perimetru kkonċernat.
Din il-konklużjoni għandha l-argumenti tagħha. Meta l-operatur tas-servizz huwa Ewropew u ma jiddependix minn grupp Amerikan għaż-żamma tad-data, il-kunflitt deskritt fil-punt 4 ma jibqax jinqala’ għal din id-data, sakemm is-sottokuntratturi tiegħu ma jerġgħux idaħħlu fornitur Amerikan. Ma teżentak minn xejn ieħor: kuntratt ta’ pproċessar, reġistru, proċedura għad-drittijiet u ħruġ ittestjat jibqgħu meħtieġa. Il-paġna migrazzjoni minn Microsoft 365 tiddeskrivi x’jinvolvi dan it-tibdil, mingħajr ma tippreżentah bħala pass awtomatiku, u l-checklist tal-migrazzjoni taqsmu fi stadji.
Klytic, operat mill-kumpanija Franċiża Dedicace Software, huwa waħda mill-għażliet jekk l-użi jidħlu fl-email, fid-dokumenti (qsim, editjar online waħdek jew ma’ oħrajn, storja tal-verżjonijiet), fil-vidjokonferenzi, fis-CRM u fit-telefonija. Is-servizzi jinxtraw separatament; tista’ wkoll iżżomm Microsoft 365 u żżid biss il-filtrazzjoni Klytic MTA, imqiegħda quddiemu. Il-hosting isir f’kull żona ġeografika li tikkorrispondi għall-ġurisdizzjoni applikabbli, soġġett għad-disponibbiltà tas-servizzi meħtieġa, pereżempju fl-Ewropa jew f’Mawrizju, jew fuq is-servers tal-klijent. Id-data tibqa’ taħt il-kontroll tal-klijent jew tinżamm minn Klytic f’ismu. Id-dokumenti huma kriptati fis-sors b’ċavetta li Klytic ma jistax jaqraha; l-emails huma kriptati waqt il-ħażna b’ċwievet ġestiti minn Klytic, u l-klijent jista’ jikkriptahom minn tarf sa tarf (S/MIME jew GPG) filwaqt li jżomm iċ-ċavetta privata tiegħu. Id-dettall jinsab fil-paġna kif tipproteġi negozju mill-CLOUD Act. Il-kuntratt għandu jiddeskrivi din iż-żamma u dan il-kriptaġġ. Klytic ma jirriproduċix Excel avvanzat, Power BI jew Teams. Mhuwiex ikkwalifikat SecNumCloud, u operatur Franċiż jibqa’ soġġett għal-liġi Franċiża.
Din il-paġna tiddeskrivi qafas ġenerali. Ma tikkostitwixxix parir legali.
Sitwazzjoni legali fil-5 ta’ Ottubru 2026. Dan it-test ma jissostitwixxix analiżi tal-kuntratt. Id-deċiżjoni ta’ adegwatezza UE–Stati Uniti (UE) 2023/1795 hija fis-seħħ. Qed tiġi kkontestata. Għal SecNumCloud, il-katalgu tal-ANSSI huwa r-referenza awtorevoli.
Ikkonsultati f’Ottubru 2026.
Email, dokumenti, vidjokonferenzi, CRM u telefonija, ospitati fiż-żona li tikkorrispondi għall-ġurisdizzjoni tiegħek, pereżempju fl-Ewropa jew f’Mawrizju, jew fil-bini tiegħek.
Offerta ta' merħba
Offerta ta' prova mingħajr impenn. Konsulent iċemplilek lura biex jifhem il-bżonnijiet tiegħek u jipprepara l-ispazju Klytic tiegħek.
