Microsoft 365 ja tietosuoja: mitä organisaation pitää tarkistaa

Microsoft 365 (entinen Office 365) on monen organisaation tärkein henkilötietojen käsittelypaikka: siellä ovat sähköpostit, tiedostot, kalenterit ja Teams-keskustelut. Microsoft on käsittelijä ja tarjoaa sopimukset ja asetukset, mutta rekisterinpitäjänä te vastaatte siitä, miten palvelua käytetään.

Mitä Microsoft hoitaa ja mitä te hoidatte?

Tarkistuslista

1. Onko käsittelysopimus voimassa? Tarkistakaa, että sopimus kattaa käyttämänne tilauksen, ja säilyttäkää voimassa oleva versio.
2. Missä tiedot sijaitsevat? Microsoft sitoutuu EU Data Boundaryssa tallentamaan ja käsittelemään asiakastiedot ja pseudonymisoidut henkilötiedot EU:ssa ja EFTA-maissa. Rajaus ei kata aivan kaikkea, joten poikkeukset kannattaa käydä läpi.
3. Millä perusteella tietoja siirtyy? Jos tietoja siirtyy EU:n ulkopuolelle, selvittäkää siirtoperuste. Vakiosopimuslausekkeilla tehty siirto edellyttää siirtovaikutusten arviointia.
4. Ovatko jaot kunnossa? Tarkistakaa SharePointin, OneDriven ja Teamsin jaot sekä ulkoiset käyttäjät. Vanhat “kaikille organisaatiossa” -jaot ovat yleisin ongelma.
5. Onko säilytysajat määritelty? Sähköpostit ja Teams-keskustelut jäävät helposti säilöön rajatta, jos asiasta ei ole päätetty.
6. Seurataanko työntekijöitä? Lokit, Teams-analytiikka ja työskentelyn raportointi voivat olla seurantaa. Tarkistakaa työelämän tietosuojalain ja yhteistoimintavelvoitteiden vaatimukset.
7. Mitä palvelu- ja diagnostiikkatietoja kerätään? Selvittäkää, mitä tietoja palvelu kerää käytöstä, ja kuvatkaa ne arvioinnissa.
8. Onko käsittely kuvattu? Microsoft 365 kuuluu sekä työntekijöiden tietosuojaselosteeseen että selosteeseen käsittelytoimista.

Tarvitaanko vaikutustenarviointi?

Ei automaattisesti. Arviointi on yleensä perusteltu, jos palvelussa käsitellään arkaluonteisia tietoja laajasti, työntekijöitä seurataan järjestelmällisesti tai palvelua käyttää laaja organisaatio. Työntekijät ovat Euroopan tietosuojaviranomaisten ohjeen mukaan haavoittuvassa asemassa, joten kaksi yhdeksästä kriteeristä täyttyy helposti.

Jos ratkaisu ei ole selvä, ennakkoarvio kertoo sen ja dokumentoi perustelun, hintaan 290 €.

Mitä arviointi maksaa?

Hinnat alv 0 %, ja niihin sisältyvät ennakkoarvio ja kirjaukset selosteisiin. Copilot muuttaa arvioinnin sisältöä, koska tekoäly pääsee käyttäjän tietoihin: lue Copilotin tietosuojaohje ja katso kaikki hinnat.