Suverenita
Microsoft 365 možno používať v rámci GDPR (všeobecné nariadenie o ochrane údajov). Nariadenie amerických výrobcov softvéru nezakazuje. Vyžaduje vedieť, kto čo spracúva, na akom základe dáta opúšťajú Úniu a ako dotknuté osoby uplatňujú svoje práva. Tu je to, čo musí firma overiť, v tomto poradí, a čo musí zapísať do záznamov o spracovateľských činnostiach.
Pri obsahu schránok, súborov a tímov, ktoré spravujete, je klient spravidla prevádzkovateľom. Microsoft je sprostredkovateľ. Pri niektorých dátach účtu, fakturácie, bezpečnosti a merania služby môže byť Microsoft samostatným prevádzkovateľom. Data Processing Addendum a Microsoft Privacy Statement tieto prípady rozlišujú.
Ako overiť. Rola určuje povinnosti. Prečítajte si oba dokumenty vedľa seba a každú kategóriu dát zaraďte do príslušnej kolónky. Účtovná kancelária s 25 zamestnancami bude mať napríklad na jednej strane e-maily a klientske spisy (Microsoft ako sprostredkovateľ), na druhej fakturáciu predplatného (Microsoft ako samostatný prevádzkovateľ).
Do záznamov. Jeden riadok pre každú spracovateľskú činnosť, s rolou Microsoft a dokumentom, na ktorom je založená.
Častá chyba. Napísať „Microsoft je náš sprostredkovateľ“ pre celú službu.
DPA spoločnosti Microsoft je súčasťou online podmienok. Overte, či pokrýva služby, ktoré ste zapli: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate a každý konektor.
Ako overiť. Tenant sa vyvíja nad rámec pôvodnej objednávky. Porovnajte zoznam zapnutých služieb v centre spravovania s rozsahom DPA a archivujte verziu DPA platnú ku dňu overenia.
Do záznamov. Služba, dátum aktivácie, účel. Služba, ktorú administrátor aktivoval „na vyskúšanie“, patrí do záznamov odo dňa, keď spracúva dáta vašich zamestnancov alebo klientov.
Častá chyba. Domnievať sa, že konektor k nástroju tretej strany spadá pod DPA spoločnosti Microsoft. Tretia strana má vlastné podmienky, ktoré si treba prečítať samostatne.
Pre oprávnený tenant Microsoft opisuje EU Data Boundary: zákaznícke dáta a pseudonymizované osobné údaje uložené a spracúvané v EÚ alebo EZVO, dáta profesionálnych služieb uložené v pokoji v tejto zóne. Tri kontroly bránia tomu, aby ste vyhlásenie považovali za úplný rozsah.
Prečo. Hranica je rozsah so zverejnenými výnimkami a práve tie musia vaše záznamy pokryť. Stránka dáta hostované v Európe vysvetľuje, prečo je skutočnou témou práve tento zoznam.
Ako overiť a zaznamenať. Porovnajte konfiguráciu tenanta (Multi-Geo alebo nie, aktivované voliteľné funkcie) so stránkou výnimiek spoločnosti Microsoft, riadok po riadku, a do záznamov zapíšte tie, ktoré sa vás týkajú.
Častá chyba. Prepísať „dáta v Európe“ do zásad ochrany súkromia bez zmienky o podpore a voliteľných funkciách.
Ak sú osobné údaje prístupné zo Spojených štátov alebo sa prenášajú americkej organizácii, prenos musí mať právny základ: rozhodnutie o primeranosti, štandardné zmluvné doložky alebo iný nástroj podľa článku 46 GDPR.
K 5. októbru 2026 je rozhodnutie (EÚ) 2023/1795 (Data Privacy Framework) v platnosti pre certifikované americké organizácie. Je napadnuté pred Súdnym dvorom a je predmetom politického preskúmania. Podľa komentára advokátskej kancelárie WilmerHale Všeobecný súd Európskej únie 3. septembra 2025 zamietol žalobu o neplatnosť a 31. októbra 2025 bolo na Súdny dvor podané odvolanie. Kancelária DAC Beachcroft zhŕňa situáciu v názve vlastného komentára: zatiaľ stabilita, potom neistota. Kým rozhodnutie nie je odvolané ani zrušené, prenosy, na ktoré sa vzťahuje, sa oň môžu opierať.
Precedens vysvetľuje opatrnosť. Súdny dvor 16. júla 2020 v rozsudku C-311/18 (tzv. Schrems II) zrušil rozhodnutie 2016/1250 (Privacy Shield), najmä pre rozsah amerických programov sledovania a absenciu účinného opravného prostriedku. Štandardné zmluvné doložky zostali platné, ale vyžadujú posúdenie v každom jednotlivom prípade.
CLOUD Act sa v DPA „nepodpisuje“. Uplatňuje sa, ak je to relevantné, na Microsoft ako americkú spoločnosť, ktorá má dáta v držbe alebo pod kontrolou. Článok 48 GDPR zase stanovuje, že rozhodnutie súdu alebo orgánu tretej krajiny, ktoré vyžaduje poskytnutie osobných údajov, možno uznať alebo vykonať len vtedy, ak je založené na medzinárodnej dohode, napríklad na zmluve o vzájomnej právnej pomoci, platnej medzi touto krajinou a Úniou alebo členským štátom. Americký poskytovateľ pôsobiaci v Európe sa tak môže ocitnúť medzi dvoma pravidlami. Článok 48 túto kolíziu opisuje; nerieši ju.
Dňa 10. júna 2025 sa pred vyšetrovacou komisiou Senátu pre verejné obstarávanie riaditeľa pre verejné a právne záležitosti Microsoft France pýtali, či môže pod prísahou zaručiť, že dáta francúzskych občanov zverené spoločnosti Microsoft prostredníctvom Ugap nebudú nikdy na základe príkazu americkej vlády odovzdané bez výslovného súhlasu francúzskych orgánov. Odpovedal: „Nie, nemôžem to zaručiť, ale, opäť, ešte sa to nikdy nestalo.“ Podrobnosti nájdete v časti ochrana firmy pred CLOUD Act.
Do záznamov. Právny základ každého prenosu a záložný plán: nástroj podľa článku 46, o ktorý by ste sa opreli, keby rozhodnutie padlo.
Častá chyba. Zamieňať lokalizáciu (bod 3) a právny základ prenosu. Dáta uložené v Európe môžu zostať prístupné zo Spojených štátov.
Zamestnanec alebo klient môže požiadať o prístup, opravu, vymazanie, obmedzenie alebo prenosnosť. V Microsoft 365 sa časť z toho robí v centre spravovania a v nástroji na vyhľadávanie obsahu.
Ako overiť. Lehota je jeden mesiac. Sprostredkovateľ poskytuje prostriedky; prevádzkovateľ odpovedá dotknutej osobe. Urobte si skúšku nanečisto: určená osoba vyexportuje pre testovací účet schránku, OneDrive a súbory Teams.
Do záznamov. Postup, meno zodpovednej osoby a jej zástupcu.
Častá chyba. Čakať, kým bývalý zamestnanec v spore podá žiadosť, a až vtedy objaviť nástroj na vyhľadávanie.
Uchovávanie zdieľaných schránok, logov, záznamov zo schôdzí, kópií v rámci zákonného uchovávania (litigation hold). Čo sa pri ukončení zmluvy stane s tenantom, v akej lehote a v akom formáte získate späť správy, súbory a to, čo sa exportovať nedá (úplná história konverzácií Teams, niektoré toky Power Automate)?
Ako overiť. Zistite skutočne nakonfigurované doby, nie tie z internej politiky, a vyskúšajte úplný export jedného účtu.
Do záznamov. Doba pre každú kategóriu, odôvodnenie každého zákonného uchovávania, postup odchodu.
Častá chyba. Nechať zákonné uchovávanie aktívne roky po skončení sporu, ktorý ho odôvodňoval.
Copilot a analytické funkcie spracúvajú obsah, ktorý im zveríte. Ak ich aktivujete, informovanie zamestnancov a rámec používania sú súčasťou súladu. Tento bod je internou záležitosťou vašej firmy. Nezávisí od krajiny dátového centra.
Ako overiť. Existuje informačné oznámenie a určuje nejaké pravidlo, ktoré dáta možno týmto funkciám predložiť?
Častá chyba. Spustiť pilotný projekt Copilot pre jeden tím bez upozornenia ostatných osôb, ktorých dáta sa nachádzajú v spracúvaných súboroch.
Nie. Nariadenie upravuje role, prenosy a práva dotknutých osôb. Nezakazuje výrobcu softvéru pre jeho národnosť; vyžaduje zdokumentovať, čo robíte a na akom základe.
Nie. Opisuje, kde sú niektoré dáta uložené a spracúvané. Microsoft zostáva americkou spoločnosťou a 18 U.S.C. § 2713 sa vzťahuje na dáta, ktoré má poskytovateľ v držbe alebo pod kontrolou, nech sú kdekoľvek.
Záznamy to už musia uvádzať. Po Schrems II zostali štandardné zmluvné doložky platné, s posúdením v každom jednotlivom prípade. Ak si toto posúdenie pripravíte vopred, nebudete ho musieť spisovať v časovej tiesni.
Vy ako prevádzkovateľ. Microsoft poskytuje nástroje na export; odpoveď a mesačná lehota sú na vás.
Takto sa končí, keď sú nástroje Microsoft jadrom vašej činnosti, DPA je zavedená, rozsah rezidencie je pochopený a záznamy dokumentujú zostávajúce prenosy. Zmena balíka sa nestáva povinnosťou podľa GDPR len preto, že výrobca softvéru je americký.
Argumenty pre zotrvanie sú vážne. Konštrukčná kancelária, ktorá žije v pokročilom Exceli, Power BI a Teams, by zmenou balíka prišla o funkcie a migrácia so sebou nesie vlastné riziká. Dobre zdokumentovaný tenant Microsoft je viac v súlade ako zle zdokumentovaná alternatíva. Rozhodnutie treba prehodnotiť, ak sa zmení právny základ prenosov. Zvažovanie je podrobne opísané v časti zostať pri Microsoft 365 alebo ho opustiť.
Takto sa končí, keď vedenie chce, aby obsah mala európska spoločnosť, alebo keď výnimky týkajúce sa prenosov a prístupu podpory prekračujú to, čo záznamy dokážu pokryť. Podnet môže prísť aj od klientov: verejné obstarávanie, ktoré vyžaduje európskeho operátora služby, rozhoduje otázku pre dotknutý rozsah.
Aj tento záver má svoje argumenty. Ak je operátor služby európsky a pri držbe dát nezávisí od americkej skupiny, kolízia opísaná v bode 4 sa pri týchto dátach už nevyskytuje, pod podmienkou, že jeho sprostredkovatelia znovu nezavedú amerického poskytovateľa. Od ničoho iného neoslobodzuje: zmluva so sprostredkovateľom, záznamy, postup pre práva dotknutých osôb a vyskúšaný odchod zostávajú nevyhnutné. Stránka migrácia z Microsoft 365 opisuje, čo táto zmena obnáša, bez toho, aby ju prezentovala ako automatický krok, a kontrolný zoznam migrácie ju rozdeľuje na kroky.
Klytic, ktorý prevádzkuje francúzska spoločnosť Dedicace Software, je jednou z možností, ak sa spôsoby použitia zmestia do e-mailovej služby, dokumentov (zdieľanie, online úpravy samostatne alebo spoločne, história verzií), videokonferencií, CRM a telefónie. Služby sa nakupujú samostatne; môžete si tiež ponechať Microsoft 365 a pridať len filtrovanie Klytic MTA umiestnené pred ním. Hosting je možný v ktorejkoľvek geografickej zóne zodpovedajúcej príslušnej jurisdikcii, ak sú dostupné požadované služby, napríklad v Európe alebo na Mauríciu, alebo na serveroch klienta. Dáta zostávajú pod kontrolou klienta alebo ich v jeho mene uchováva Klytic. Dokumenty sú šifrované pri zdroji kľúčom, ktorý Klytic nemôže prečítať; e-maily sú šifrované v pokoji kľúčmi spravovanými spoločnosťou Klytic a klient pri nich môže použiť koncové šifrovanie (S/MIME alebo GPG), pričom si ponecháva svoj súkromný kľúč. Podrobnosti sú uvedené na stránke ochrana firmy pred CLOUD Act. Zmluva musí túto držbu a toto šifrovanie opísať. Klytic nenahrádza pokročilý Excel, Power BI ani Teams. Nemá kvalifikáciu SecNumCloud a francúzsky operátor naďalej podlieha francúzskemu právu.
Táto stránka opisuje všeobecný rámec. Nepredstavuje právne poradenstvo.
Právny stav ku dňu 5. októbra 2026. Tento text nenahrádza analýzu zmluvy. Rozhodnutie o primeranosti ochrany medzi EÚ a USA (EÚ) 2023/1795 je v platnosti. Je napadnuté. Pre SecNumCloud je smerodajný katalóg ANSSI.
Overené v októbri 2026.
E-mail, dokumenty, videokonferencie, CRM a telefónia, hostované v zóne zodpovedajúcej vašej jurisdikcii, napríklad v Európe alebo na Mauríciu, alebo vo vašich priestoroch.
Uvítacia ponuka
Skúšobná ponuka bez záväzkov. Poradca vám zavolá, aby pochopil vaše potreby a pripravil vaše prostredie Klytic.
