Microsoft hefur lagt mikla áherslu á að hjálpa fyrirtækjum og stofnunum að uppfylla staðla, lög og reglugerðir, s.s. GDPR/persónuverndarlögin. Með nýja samningnum geta stofnanir notað öll helstu öryggistól Microsoft og nýtt sér þau til að uppfylla nauðsynleg skilyrði algengra staðla, laga og reglugerða. Microsoft uppfyllir að sínu leiti GDPR, m.a. með því að tryggja að gögn séu geymd í gagnaverum innan EES svæðisins. Stofnanir bera ábyrgð á eigin gögnum og þurfa því að fara eftir persónuverndarlögum, m.a. með áhættugreiningum. Eftirfarandi eru upplýsingasíður og myndefni um GDPR, Microsoft og tólin sem hægt er að nýta:
Til þess að fylgja GDPR reglum þá þarf hver sofnun fyrir sig að gera sitt eigið áhættumat og velja síðan sínar lausnir í framhaldi af þeim. Ekkert kerfi er fullkomið og er gert ráð fyrir því í GDPR, að loknu áhættumati hjá fyrirtækjum og stofnunum að mögulegt sé að komast að þeirri niðurstöðu að sumar upplýsingar eru það viðkvæmar að þær megi ekki undir nokkrum kringumstæðum vera aðgengilegar á stafrænu formi svo dæmi sé tekið.
Compliance Manager - Dæmi um nær einstakt tól sem getur hjálpað stofnunum að vera í samræmi m.a. við persónuverndarlögin
Vinnslusamningur er innifalinn í þjónustuskilmálum frá Microsoft, sjá sérstaklega viðhengi 3 (Attachment 3, "The Standard Contractual Clauses (Processors)") í skilmálunum sem hægt er að skoða hér , en einnig "Data Protection Terms" kaflann og viðhengi 4 (Attachment 4, "European Union General Data Protection Regulation Terms").
Könnun Persónuverndar Hollands á Office 365 ProPlus (og öðrum útgáfum)
Samantekt af Data Protection Impact Assessment af Microsoft Office af hálfu Hollenska ríkisins hér.
1903 uppfærslan á Office 365 ProPlus er hluti af viðbrögðum Microsoft við niðurstöðum skýrlsunnar, sjá hér.
Tilkynning Hollenska DPA (Persónuvernd) vegna viðbragða Microsoft við skýrslunnar
Upplýsingar frá Microsoft um hvaða greiningargögn er safnað og hvers vegna.
Persónuvernd Hessen (Þýskaland) takmarkar tímabundið notkun skýjaþjónusta af hálfu barna
Hessen takmarkaði notkun á Office 365 og Windows 10 hjá skólum með börn undir 16 ára aldri. Það var vegna þess að börnin gætu sjálf ekki gefið leyfi fyrir vinnslu upplýsinga og að foreldrar mættu það ekki heldur fyrir þeirra hönd. Þetta gilti ekki eingöngu um Microsoft ský heldur öll önnur ský og skýjaþjónustur, s.s. G-Suite.
Hér er fréttaskeyti Persónuverndar Hessen um bannið.
Þetta þýddi í raun að þær útgáfur sem mætti nota á tölvum með Microsoft búnaði væri Windows 7 og Office 2013. Það hefði því þurft að niðurfæra hugbúnaðarútgáfur verulega hjá mörgum.
Persónuvernd Hessen fór yfir málið með Microsoft í kjölfarið. Það kom í ljós að flestar athugasemdir hefði verið svarað eða lagfærðar, sértaklega með 1904 útgáfu Windows 10. Takmörkunin var því felld niður, sjá fréttatilkynningu hér.
Til þess að fylgja GDPR reglum þá þarf hver fyrir sig að gera sitt eigið áhættumat og velja síðan sínar lausnir í framhaldi af þeim. Ekkert kerfi er fullkomið og er gert ráð fyrir því í GDPR, að loknu áhættu mati hjá fyrirtækjum og stofnunum er mögulegt að komast að þeirri niðurstöðu að sumar upplýsingar eru það viðkvæmar að þær megi ekki undir nokkrum kringumstæðum vera aðgengilegar á stafrænu formi svo dæmi sé tekið.