GDPR (Persónuverndarlög) sem varða Microsoft 365

Microsoft hefur lagt mikla áherslu á að hjálpa fyrirtækjum og stofnunum að uppfylla staðla, lög og reglugerðir, s.s. GDPR/persónuverndarlögin. Með nýja samningnum geta stofnanir notað öll helstu öryggistól Microsoft og nýtt sér þau til að uppfylla nauðsynleg skilyrði algengra staðla, laga og reglugerða. Microsoft uppfyllir að sínu leiti GDPR, m.a. með því að tryggja að gögn séu geymd í gagnaverum innan EES svæðisins. Stofnanir bera ábyrgð á eigin gögnum og þurfa því að fara eftir persónuverndarlögum, m.a. með áhættugreiningum. Eftirfarandi eru upplýsingasíður og myndefni um GDPR, Microsoft og tólin sem hægt er að nýta:

Til þess að fylgja GDPR reglum þá þarf hver sofnun fyrir sig að gera sitt eigið áhættumat og velja síðan sínar lausnir í framhaldi af þeim. Ekkert kerfi er fullkomið og er gert ráð fyrir því í GDPR, að loknu áhættumati hjá fyrirtækjum og stofnunum að mögulegt sé að komast að þeirri niðurstöðu að sumar upplýsingar eru það viðkvæmar að þær megi ekki undir nokkrum kringumstæðum vera aðgengilegar á stafrænu formi svo dæmi sé tekið.

GDPR (Persónuverndarlög) sem varða Microsoft 365

• Allt um Office 365 Security and Compliance hér.
• Compliance lausnir fyrir Microsoft 365 hér.
• Microsoft GDPR FAQ hér.
• GDPR "contractual commitments" af hálfu Microsoft hér.
• Almennt yfirlit yfir GDPR frá Microsoft hér.
• Almenna GDPR síða Microsoft m.a. yfirlit yfir öryggislausnir í boði, sem og spurt og svarað
• Öryggisvefsíða Microsoft og GDPR síða þess með m.a. tengla á skilmála Microsoft
• Compliance Manager - Dæmi um nær einstakt tól sem getur hjálpað stofnunum að vera í samræmi m.a. við persónuverndarlögin
• Vinnslusamningur er innifalinn í þjónustuskilmálum frá Microsoft, sjá sérstaklega viðhengi 3 (Attachment 3, "The Standard Contractual Clauses (Processors)") í skilmálunum sem hægt er að skoða hér , en einnig "Data Protection Terms" kaflann og viðhengi 4 (Attachment 4, "European Union General Data Protection Regulation Terms").

Könnun Persónuvernd Hollands á Office 365 ProPlus (og öðrum útgáfum)

Samantekt af Data Protection Impact Assessment af Microsoft Office af hálfu Hollenska ríkisins hér. 

• DPIA DIAGNOSTIC DATA IN MICROSOFT OFFICE PROPLUS – 5.nov 2018 (Commissioned by the Ministry of Justice and Security)
• Impact assessment shows privacy risks in Microsoft Office ProPlus Enterprise – (Privacy Company) – Um skýrsluna og hvað hefur gerst síðan.
• 1903 uppfærslan á Office 365 ProPlus er hluti af viðbrögðum Microsoft við niðurstöðum skýrlsunnar, sjá hér.
• Tilkynning Hollenska DPA (Persónuvernd) vegna viðbragða Microsoft við skýrslunnar
• Upplýsingar frá Microsoft um hvaða greiningargögn er safnað og hvers vegna.

Til þess að fylgja GDPR reglum þá þarf hver fyrir sig að gera sitt eigið áhættumat og velja síðan sínar lausnir í framhaldi af þeim. Ekkert kerfi er fullkomið og er gert ráð fyrir því í GDPR, að loknu áhættu mati hjá fyrirtækjum og stofnunum er mögulegt að komast að þeirri niðurstöðu að sumar upplýsingar eru það viðkvæmar að þær megi ekki undir nokkrum kringumstæðum vera aðgengilegar á stafrænu formi svo dæmi sé tekið.