Suverenost
Microsoft 365 je mogoče uporabljati v okviru GDPR (Splošna uredba o varstvu podatkov). Uredba ameriških proizvajalcev programske opreme ne prepoveduje. Zahteva pa, da veste, kdo kaj obdeluje, na kateri podlagi podatki zapuščajo Unijo in kako posamezniki uveljavljajo svoje pravice. Tu je, kaj mora podjetje preveriti, po vrstnem redu, in kaj mora zapisati v evidenco.
Za vsebino poštnih predalov, datotek in ekip, ki jih upravljate, je stranka praviloma upravljavec. Microsoft je obdelovalec. Za nekatere podatke o računu, obračunu, varnosti in merjenju storitve je Microsoft lahko ločen upravljavec. Data Processing Addendum in Microsoft Privacy Statement ta primera razmejujeta.
Kako preveriti. Vloga določa obveznosti. Dokumenta preberite vzporedno in vsako kategorijo podatkov uvrstite v ustrezno polje. Računovodska družba s 25 zaposlenimi bo na primer na eni strani imela e-pošto in dosjeje strank (Microsoft kot obdelovalec), na drugi strani obračun naročnine (Microsoft kot ločen upravljavec).
V evidenco. Ena vrstica na obdelavo, z vlogo Microsofta in dokumentom, na katerem temelji.
Pogosta napaka. Zapisati „Microsoft je naš obdelovalec“ za celotno storitev.
Microsoftov DPA je vključen v spletne pogoje. Preverite, ali zajema storitve, ki ste jih vklopili: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate in vse povezovalnike.
Kako preveriti. Najemnik (tenant) se razvija onkraj prvotnega naročila. Seznam vklopljenih storitev v skrbniškem središču primerjajte z obsegom DPA in arhivirajte različico DPA, ki je veljala na datum preverjanja.
V evidenco. Storitev, datum vklopa, namen. Storitev, ki jo je skrbnik vklopil „za preizkus“, pride v evidenco tistega dne, ko začne obdelovati podatke vaših zaposlenih ali strank.
Pogosta napaka. Šteti, da povezovalnik do orodja tretje osebe spada pod Microsoftov DPA. Tretja oseba ima svoje pogoje, ki jih je treba prebrati ločeno.
Za upravičenega najemnika Microsoft opisuje EU Data Boundary: podatki strank in psevdonimizirani osebni podatki, shranjeni in obdelani v EU ali EFTA, podatki strokovnih storitev, shranjeni v mirovanju na tem območju. Tri preverjanja preprečijo, da bi napoved razumeli kot celoten obseg.
Zakaj. Meja je obseg z objavljenimi izjemami, in prav te mora vaša evidenca prevzeti. Stran podatki, gostovani v Evropi pojasnjuje, zakaj je ta seznam pravo vprašanje.
Kako preveriti in zabeležiti. Konfiguracijo najemnika (Multi-Geo ali ne, vklopljene izbirne funkcije) primerjajte z Microsoftovo stranjo izjem, vrstico za vrstico, in v evidenco zapišite tiste, ki vas zadevajo.
Pogosta napaka. V politiko zasebnosti prepisati „podatki v Evropi“, ne da bi omenili podporo ali izbirne funkcije.
Kadar so osebni podatki dostopni iz Združenih držav ali preneseni ameriški organizaciji, mora prenos imeti pravno podlago: sklep o ustreznosti, standardne pogodbene klavzule ali drug instrument iz člena 46 GDPR.
Na dan 5. oktobra 2026 sklep (EU) 2023/1795 (Data Privacy Framework) velja za certificirane ameriške organizacije. Izpodbijan je pred Sodiščem in je predmet političnega ponovnega pregleda. Po komentarju odvetniške pisarne WilmerHale je Splošno sodišče Evropske unije 3. septembra 2025 zavrnilo ničnostno tožbo, 31. oktobra 2025 pa je bila na Sodišče vložena pritožba. Odvetniška pisarna DAC Beachcroft stanje povzema v naslovu svojega komentarja: zaenkrat stabilnost, nato negotovost. Dokler sklep ni umaknjen ali razveljavljen, se lahko prenosi, ki jih zajema, nanj opirajo.
Previdnost pojasnjuje precedens. Sodišče je s sodbo C-311/18 (imenovano Schrems II) z dne 16. julija 2020 razveljavilo sklep 2016/1250 (Privacy Shield), med drugim zaradi obsega ameriških programov nadzora in odsotnosti učinkovitega pravnega sredstva. Standardne pogodbene klavzule so ostale veljavne, vendar zahtevajo presojo za vsak primer posebej.
CLOUD Act se v DPA ne „podpiše“. Kadar je to primerno, velja za Microsoft kot ameriško družbo, ki podatke hrani ali nadzoruje. Člen 48 GDPR pa določa, da se odločba sodišča ali organa tretje države, ki zahteva razkritje osebnih podatkov, lahko prizna ali izvrši le, če temelji na mednarodnem sporazumu, na primer pogodbi o medsebojni pravni pomoči, ki velja med to državo in Unijo ali državo članico. Ameriški ponudnik, ki deluje v Evropi, se tako lahko znajde ujet med dvema praviloma. Člen 48 to kolizijo opisuje; ne razreši je.
Dne 10. junija 2025 so pred preiskovalno komisijo senata o javnem naročanju direktorja za javne in pravne zadeve družbe Microsoft France vprašali, ali lahko pod prisego jamči, da podatki francoskih državljanov, zaupani Microsoftu prek Ugap, na podlagi naloga ameriške vlade nikoli ne bodo posredovani brez izrecnega soglasja francoskih organov. Odgovoril je: „Ne, tega ne morem zagotoviti, vendar, ponavljam, to se še nikoli ni zgodilo.“ Podrobnosti so na strani zaščita podjetja pred CLOUD Act.
V evidenco. Pravna podlaga vsakega prenosa in nadomestni načrt: instrument iz člena 46, na katerega bi se oprli, če bi sklep padel.
Pogosta napaka. Zamenjevati lokacijo (točka 3) in pravno podlago za prenos. Podatki, shranjeni v Evropi, so lahko še vedno dostopni iz Združenih držav.
Zaposleni ali stranka lahko zahteva dostop, popravek, izbris, omejitev ali prenosljivost. V Microsoft 365 se del tega opravi v skrbniškem središču in orodju za iskanje vsebine.
Kako preveriti. Rok je en mesec. Obdelovalec zagotavlja sredstva; upravljavec odgovori posamezniku. Opravite preizkus vnaprej: določena oseba za testni račun izvleče poštni predal, OneDrive in datoteke Teams.
V evidenco. Postopek, ime odgovorne osebe in njenega namestnika.
Pogosta napaka. Čakati, da nekdanji zaposleni v sporu vloži zahtevo, in šele takrat spoznati orodje za iskanje.
Hramba skupnih poštnih predalov, dnevnikov, posnetkov sestankov, kopij v pravnem zadržanju (litigation hold). Kaj se ob odpovedi zgodi z najemnikom, v kakšnem roku in v katerem formatu dobite nazaj sporočila, datoteke in tisto, česar ni mogoče izvoziti (celotna zgodovina pogovorov Teams, nekateri tokovi Power Automate)?
Kako preveriti. Zabeležite dejansko nastavljena obdobja hrambe, ne tistih iz notranje politike, in preizkusite celoten izvoz enega računa.
V evidenco. Eno obdobje hrambe na kategorijo, utemeljitev vsakega pravnega zadržanja, postopek izstopa.
Pogosta napaka. Pustiti pravno zadržanje aktivno še leta po koncu spora, ki ga je upravičil.
Copilot in analitične funkcije obdelujejo vsebino, ki jim jo zaupate. Če jih vklopite, sta obveščanje zaposlenih in okvir uporabe del skladnosti. Ta točka je notranja zadeva vašega podjetja. Ni odvisna od države podatkovnega centra.
Kako preveriti. Ali obstaja obvestilo in ali kakšno pravilo določa, kateri podatki se lahko predložijo tem funkcijam?
Pogosta napaka. Odpreti pilotni projekt Copilot za eno ekipo, ne da bi obvestili druge osebe, katerih podatki so v obdelanih datotekah.
Ne. Uredba ureja vloge, prenose in pravice posameznikov. Proizvajalca programske opreme ne prepoveduje zaradi njegovega državljanstva; zahteva, da dokumentirate, kaj počnete in na kateri podlagi.
Ne. Opisuje, kje so nekateri podatki shranjeni in obdelani. Microsoft ostaja ameriška družba, 18 U.S.C. § 2713 pa se nanaša na podatke, ki jih ponudnik hrani ali nadzoruje, kjer koli so.
Evidenca mora to že določati. Po Schrems II so standardne pogodbene klavzule ostale veljavne, s presojo za vsak primer posebej. Če jo pripravite vnaprej, se izognete pisanju v naglici.
Vi, kot upravljavec. Microsoft zagotavlja orodja za izvleček; odgovor in enomesečni rok sta vaša obveznost.
Tako se konča, kadar so načini uporabe Microsofta v središču poslovanja, je DPA vzpostavljen, je obseg rezidentnosti razumljen in evidenca dokumentira preostale prenose. Zamenjava paketa ne postane obveznost po GDPR zgolj zato, ker je proizvajalec programske opreme ameriški.
Argumenti za ostanek so resni. Projektni biro, ki živi v naprednem Excelu, Power BI in Teams, bi z zamenjavo paketa izgubil funkcije, selitev pa nosi svoja tveganja. Dobro dokumentiran najemnik Microsoft je bolj skladen kot slabo dokumentirana alternativa. Odločitev se ponovno preuči, če se pravna podlaga za prenose spremeni. Tehtanja so podrobno opisana na strani ostati pri Microsoft 365 ali ga zapustiti.
Tako se konča, kadar vodstvo želi, da vsebino hrani evropska družba, ali kadar izjeme pri prenosih in dostopu podpore presegajo tisto, kar lahko evidenca prevzame. Pobuda lahko pride tudi od strank: razpis, ki zahteva evropskega operaterja storitve, odloči o vprašanju za zadevni obseg.
Tudi ta sklep ima svoje argumente. Kadar je operater storitve evropski in pri hrambi podatkov ni odvisen od ameriške skupine, se kolizija, opisana v točki 4, za te podatke ne postavlja več, pod pogojem, da njegovi obdelovalci ne uvedejo znova ameriškega ponudnika. Ne odveže pa ničesar drugega: pogodba o obdelavi, evidenca, postopek za pravice in preizkušen izstop ostajajo potrebni. Stran selitev z Microsoft 365 opisuje, kaj ta sprememba pomeni, ne da bi jo predstavila kot samodejen korak, kontrolni seznam selitve pa jo razdeli na korake.
Klytic, ki ga upravlja francoska družba Dedicace Software, je ena od možnosti, če načini uporabe ostanejo v okviru e-pošte, dokumentov (deljenje, spletno urejanje posamično ali skupaj, zgodovina različic), videokonferenc, CRM in telefonije. Storitve se kupujejo ločeno; Microsoft 365 je mogoče tudi obdržati in dodati le filtriranje Klytic MTA, postavljeno pred njim. Gostovanje poteka na katerem koli geografskem območju, ki ustreza veljavni pristojnosti, pod pogojem, da so potrebne storitve na voljo, na primer v Evropi ali na Mavriciju, ali na strežnikih stranke. Podatki ostanejo pod nadzorom stranke ali jih Klytic hrani v njenem imenu. Dokumenti so šifrirani na izvoru s ključem, ki ga Klytic ne more prebrati; e-poštna sporočila so šifrirana v mirovanju s ključi, ki jih upravlja Klytic, stranka pa lahko zanje uporabi šifriranje od konca do konca (S/MIME ali GPG) in pri tem obdrži svoj zasebni ključ. Podrobnosti so opisane na strani zaščita podjetja pred CLOUD Act. Pogodba mora opisati to hrambo in to šifriranje. Klytic ne nadomešča naprednega Excela, Power BI ali Teams. Nima kvalifikacije SecNumCloud, za francoskega operaterja pa še naprej velja francosko pravo.
Ta stran opisuje splošni okvir. Ne pomeni pravnega svetovanja.
Pravno stanje na dan 5. oktobra 2026. To besedilo ne nadomešča pregleda pogodbe. Sklep o ustreznosti EU–ZDA (EU) 2023/1795 je v veljavi. Je predmet izpodbijanja. Za SecNumCloud je merodajen katalog ANSSI.
Dostopano oktobra 2026.
E-pošta, dokumenti, videokonference, CRM in telefonija, gostovani na območju, ki ustreza vaši pristojnosti, na primer v Evropi ali na Mavriciju, ali v vaših prostorih.
Pozdravna ponudba
Preizkus brez obveznosti. Svetovalec vas pokliče, da spozna vaše potrebe in pripravi vaše okolje Klytic.
