Soevereiniteit
Microsoft 365 kan worden gebruikt binnen het kader van de AVG (Algemene verordening gegevensbescherming). De verordening verbiedt Amerikaanse softwareleveranciers niet. Ze verplicht u te weten wie wat verwerkt, op welke grondslag de gegevens de Unie verlaten en hoe betrokkenen hun rechten uitoefenen. Hieronder leest u wat een onderneming moet controleren, in volgorde, en wat zij in het register moet vastleggen.
Voor de inhoud van de mailboxen, bestanden en teams die u beheert, is de klant doorgaans verwerkingsverantwoordelijke. Microsoft is verwerker. Voor bepaalde account-, facturerings-, beveiligings- en meetgegevens van de dienst kan Microsoft een afzonderlijke verwerkingsverantwoordelijke zijn. Het Data Processing Addendum en het Microsoft Privacy Statement scheiden deze gevallen.
Hoe u dit controleert. De rol bepaalt de verplichtingen. Lees de twee documenten naast elkaar en deel elke categorie gegevens in een vakje in. Een accountantskantoor met 25 medewerkers zal bijvoorbeeld aan de ene kant de e-mails en klantdossiers hebben (Microsoft als verwerker), aan de andere kant de facturering van het abonnement (Microsoft als afzonderlijke verwerkingsverantwoordelijke).
In het register. Eén regel per verwerking, met de rol van Microsoft en het document waarop die berust.
Veelgemaakte fout. “Microsoft is onze verwerker” schrijven voor de dienst als geheel.
De DPA van Microsoft is opgenomen in de online voorwaarden. Controleer of ze de diensten dekt die u hebt ingeschakeld: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate en elke connector.
Hoe u dit controleert. Een tenant ontwikkelt zich verder dan de oorspronkelijke bestelling. Vergelijk de lijst van ingeschakelde diensten in het beheercentrum met de reikwijdte van de DPA, en archiveer de versie van de DPA die op de datum van de controle van kracht is.
In het register. De dienst, de activeringsdatum, het doel. Een dienst die een beheerder heeft geactiveerd “om te proberen”, komt in het register op de dag dat hij gegevens van uw medewerkers of uw klanten verwerkt.
Veelgemaakte fout. Ervan uitgaan dat een connector naar een externe tool onder de DPA van Microsoft valt. De derde partij heeft eigen voorwaarden, die u afzonderlijk moet lezen.
Voor een tenant die in aanmerking komt, beschrijft Microsoft de EU Data Boundary: klantgegevens en gepseudonimiseerde persoonsgegevens opgeslagen en verwerkt in de EU of de EVA, gegevens van professionele diensten in rust opgeslagen in die zone. Drie controles voorkomen dat u de aankondiging voor een volledige reikwijdte aanziet.
Waarom. De grens is een gebied met gepubliceerde uitzonderingen, en het zijn die uitzonderingen waarvoor uw register moet instaan. De pagina gegevens gehost in Europa legt uit waarom deze lijst het eigenlijke onderwerp is.
Hoe u dit controleert en vastlegt. Leg de configuratie van de tenant (Multi-Geo of niet, geactiveerde optionele functies) regel voor regel naast de uitzonderingenpagina van Microsoft, en noteer in het register de uitzonderingen die op u van toepassing zijn.
Veelgemaakte fout. “Gegevens in Europa” overnemen in de privacyverklaring zonder de support of de optionele functies te vermelden.
Wanneer persoonsgegevens toegankelijk zijn vanuit de Verenigde Staten of worden doorgegeven aan een Amerikaanse organisatie, moet de doorgifte een grondslag hebben: een adequaatheidsbesluit, modelcontractbepalingen of een ander instrument uit artikel 46 van de AVG.
Op 5 oktober 2026 is besluit (EU) 2023/1795 (Data Privacy Framework) van kracht voor gecertificeerde Amerikaanse organisaties. Het wordt betwist voor het Hof van Justitie en is onderwerp van een politieke herbeoordeling. Volgens een commentaar van het advocatenkantoor WilmerHale heeft het Gerecht van de Europese Unie op 3 september 2025 een beroep tot nietigverklaring verworpen, en is op 31 oktober 2025 hogere voorziening ingesteld bij het Hof van Justitie. Het kantoor DAC Beachcroft vat de situatie samen in de titel van zijn eigen commentaar: voorlopig stabiliteit, daarna onzekerheid. Zolang het besluit niet is ingetrokken of nietig verklaard, kunnen de doorgiften die het dekt erop steunen.
Het precedent verklaart de voorzichtigheid. Op 16 juli 2020 heeft het Hof van Justitie in het arrest C-311/18 (bekend als Schrems II) besluit 2016/1250 (Privacy Shield) ongeldig verklaard, met name vanwege de reikwijdte van de Amerikaanse surveillanceprogramma’s en het ontbreken van een effectief rechtsmiddel. De modelcontractbepalingen zijn geldig gebleven, maar vereisen een beoordeling per geval.
De CLOUD Act wordt niet in de DPA “ondertekend”. Hij is in voorkomend geval van toepassing op Microsoft als Amerikaanse vennootschap die de gegevens in bezit of onder controle heeft. Artikel 48 van de AVG bepaalt van zijn kant dat een uitspraak van een gerecht of een besluit van een autoriteit van een derde land waarin de verstrekking van persoonsgegevens wordt geëist, alleen kan worden erkend of ten uitvoer gelegd als zij gebaseerd is op een internationale overeenkomst, bijvoorbeeld een verdrag inzake wederzijdse rechtshulp, die tussen dat land en de Unie of de lidstaat van kracht is. Een Amerikaanse leverancier die in Europa actief is, kan dus klem komen te zitten tussen twee regels. Artikel 48 beschrijft dit conflict; het lost het niet op.
Op 10 juni 2025 werd voor de parlementaire onderzoekscommissie van de Senaat over overheidsopdrachten aan de directeur publieke en juridische zaken van Microsoft France gevraagd of hij onder ede kon garanderen dat de gegevens van Franse burgers die via de Ugap aan Microsoft zijn toevertrouwd nooit, na een bevel van de Amerikaanse regering, zouden worden doorgegeven zonder de uitdrukkelijke toestemming van de Franse autoriteiten. Hij antwoordde: “Nee, dat kan ik niet garanderen, maar, nogmaals, dat is nog nooit gebeurd.” De details staan in een onderneming beschermen tegen de CLOUD Act.
In het register. De grondslag voor elke doorgifte, en het terugvalplan: het instrument uit artikel 46 waarop u zou steunen als het besluit zou wegvallen.
Veelgemaakte fout. De lokalisatie (punt 3) verwarren met de grondslag voor de doorgifte. Gegevens die in Europa zijn opgeslagen, kunnen toegankelijk blijven vanuit de Verenigde Staten.
Een medewerker of een klant kan om inzage, rectificatie, wissing, beperking of overdraagbaarheid verzoeken. In Microsoft 365 gebeurt een deel daarvan in het beheercentrum en de tool voor het zoeken naar inhoud.
Hoe u dit controleert. De termijn is één maand. De verwerker levert de middelen; de verwerkingsverantwoordelijke antwoordt de betrokkene. Voer een droge test uit: de aangewezen persoon haalt voor een testaccount de mailbox, de OneDrive en de Teams-bestanden op.
In het register. De procedure, de naam van de verantwoordelijke persoon en van diens vervanger.
Veelgemaakte fout. Wachten tot een voormalige medewerker met wie een geschil loopt een verzoek indient om de zoektool te ontdekken.
Bewaring van gedeelde mailboxen, logboeken, opnamen van vergaderingen, kopieën onder juridische bewaring (litigation hold). Wat gebeurt er bij de opzegging met de tenant, binnen welke termijn, en in welk formaat haalt u de berichten, de bestanden en wat niet exporteerbaar is (volledige geschiedenis van Teams-gesprekken, bepaalde Power Automate-flows) terug?
Hoe u dit controleert. Noteer de werkelijk geconfigureerde termijnen, niet die uit het interne beleid, en test de volledige export van een account.
In het register. Een termijn per categorie, de rechtvaardiging van elke juridische bewaring, de overstapprocedure.
Veelgemaakte fout. Een juridische bewaring jaren na het einde van het geschil dat haar rechtvaardigde actief laten.
Copilot en de analysefuncties verwerken de inhoud die u hun toevertrouwt. Als u ze activeert, maken de informatie aan medewerkers en het gebruikskader deel uit van de naleving. Dit punt is intern aan uw onderneming. Het hangt niet af van het land van het datacenter.
Hoe u dit controleert. Bestaat er een informatienota, en zegt een regel welke gegevens aan deze functies mogen worden voorgelegd?
Veelgemaakte fout. Een Copilot-pilot openstellen voor een team zonder de andere personen te waarschuwen van wie gegevens in de verwerkte bestanden staan.
Nee. De verordening regelt de rollen, de doorgiften en de rechten van betrokkenen. Ze verbiedt geen softwareleverancier op grond van zijn nationaliteit; ze vraagt u te documenteren wat u doet en op welke grondslag.
Nee. Ze beschrijft waar bepaalde gegevens worden opgeslagen en verwerkt. Microsoft blijft een Amerikaanse vennootschap, en 18 U.S.C. § 2713 heeft betrekking op gegevens die een leverancier in bezit of onder controle heeft, waar ze zich ook bevinden.
Het register moet dat al vermelden. Na Schrems II zijn de modelcontractbepalingen geldig gebleven, met een beoordeling per geval. Door die beoordeling vooraf voor te bereiden, hoeft u haar niet in allerijl op te stellen.
U, als verwerkingsverantwoordelijke. Microsoft levert de extractietools; het antwoord en de termijn van één maand zijn uw verantwoordelijkheid.
Ze mondt daarin uit wanneer de Microsoft-toepassingen de kern van het werk vormen, de DPA is geregeld, de reikwijdte van de gegevensresidentie wordt begrepen en het register de resterende doorgiften documenteert. Van pakket wisselen wordt geen AVG-verplichting louter omdat de softwareleverancier Amerikaans is.
De argumenten om te blijven zijn serieus. Een ontwerpbureau dat draait op geavanceerd Excel, Power BI en Teams zou bij een overstap functies verliezen, en een migratie brengt haar eigen risico’s met zich mee. Een goed gedocumenteerde Microsoft-tenant voldoet beter aan de regels dan een slecht gedocumenteerd alternatief. De beslissing wordt opnieuw bekeken als de grondslag voor de doorgiften verandert. De afwegingen worden uitgewerkt in Microsoft 365 behouden of verlaten.
Ze mondt daarin uit wanneer de directie wil dat een Europese vennootschap de inhoud in bezit heeft, of wanneer de uitzonderingen voor doorgifte en toegang door support verder gaan dan waarvoor het register kan instaan. Ze kan ook van klanten komen: een aanbesteding die een Europese beheerder eist, beslecht de vraag voor het betrokken gebied.
Deze conclusie heeft haar argumenten. Wanneer de beheerder Europees is en voor het bezit van de gegevens niet afhangt van een Amerikaanse groep, doet het onder punt 4 beschreven conflict zich voor deze gegevens niet meer voor, op voorwaarde dat zijn verwerkers niet opnieuw een Amerikaanse leverancier binnenbrengen. Ze ontslaat u van niets anders: verwerkersovereenkomst, register, procedure voor de rechten en een geteste overstap blijven noodzakelijk. De pagina migreren van Microsoft 365 beschrijft wat deze verandering inhoudt, zonder haar voor te stellen als een automatische stap, en de migratiechecklist deelt haar op in stappen.
Klytic, beheerd door de Franse vennootschap Dedicace Software, is een van de opties als de toepassingen passen binnen e-mail, documenten (delen, online bewerken alleen of met meerderen, versiegeschiedenis), videoconferenties, het CRM en telefonie. De diensten worden afzonderlijk afgenomen; u kunt ook Microsoft 365 behouden en alleen de Klytic MTA-filtering toevoegen, die ervoor wordt geplaatst. Hosting vindt plaats in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de vereiste diensten, bijvoorbeeld in Europa of op Mauritius, of op de servers van de klant. De gegevens zijn in bezit van de klant, of van Klytic namens hem, en worden standaard of volgens zijn keuze versleuteld; de sleutel is in bezit van de klant of wordt bewaard in zijn account, en Klytic heeft er geen toegang toe. De stappen waarin de versleuteling door Klytic wordt beheerd, staan beschreven op de pagina een onderneming beschermen tegen de CLOUD Act. Het contract moet dit bezit en deze versleuteling beschrijven. Klytic biedt geen equivalent van geavanceerd Excel, Power BI of Teams. Het is niet SecNumCloud-gekwalificeerd, en een Franse operator blijft onderworpen aan Frans recht.
Deze pagina beschrijft een algemeen kader. Ze vormt geen juridisch advies.
Juridische stand van zaken op 5 oktober 2026. Deze tekst vervangt geen analyse van een contract. Het adequaatheidsbesluit EU–VS (EU) 2023/1795 is van kracht. Het wordt aangevochten. Voor SecNumCloud is de catalogus van het ANSSI bepalend.
Geraadpleegd in oktober 2026.
E-mail, documenten, videoconferentie, CRM en telefonie, gehost in de zone die bij uw rechtsgebied past, bijvoorbeeld in Europa of op Mauritius, of bij u op locatie.
Welkomstaanbod
Proefaanbod zonder verplichtingen. Een adviseur belt u terug om uw behoeften te begrijpen en uw Klytic-omgeving voor te bereiden.
