Microsoft 365 udløser ikke i sig selv krav om en konsekvensanalyse. Det afgøres af, hvad I bruger tjenesterne til, og hvilke oplysninger I lægger i dem. Microsofts egen vejledning siger det samme. Uanset svaret skal I vide, hvilke oplysninger der behandles, hvem der gør det, og til hvilke formål. Fire spørgsmål bærer vurderingen: hvilke tjenester I bruger, hvordan de er sat op, hvad Microsoft selv bruger oplysninger til, og om data forlader EU. Artiklen bygger på Microsofts databeskyttelsestillæg (DPA) i udgaven af 1. november 2026, læst den 5. november 2026. Vilkårene ændrer sig, så læs den udgave, der gælder for jer. Her tages ikke stilling til, om tjenesten er god eller dårlig.
Baggrunden hos Datatilsynet
Datatilsynet svarede i 2024 en region, der ville flytte til Microsoft 365, kort efter afgørelsen af 30. januar 2024 i Chromebook-sagen. Svaret var en umiddelbar vurdering i en verserende sag. Regionen skulle kortlægge, hvilke personer og oplysninger der indgår, herunder metadata, og afdække, om leverandøren behandler oplysningerne til egne formål, og i hvilken rolle. Tilsynet spurgte også, hvordan aggregeret statistik dannes, og navnlig om oplysningerne anonymiseres, før de når leverandøren.
Regionen er en offentlig myndighed med et snævrere hjemmelskrav. Private står på et andet grundlag, og spørgsmålene om Microsofts egne formål skal besvares på samme måde. Hvad svaret betyder for netop jeres behandling, er et spørgsmål til advokat. Tilsynet tilføjede, at et standardprodukt ikke fritager den dataansvarlige for at kunne påvise, at reglerne overholdes.
Hvilke tjenester og oplysninger
Begynd med en liste. Mail, Teams, SharePoint og OneDrive bruges forskelligt, og de indeholder ikke det samme. Mails til HR, optagede møder, delte mapper med CPR-numre og filer om ansatte giver en anden risiko end kalenderaftaler. Læs også listen over tilvalg: analyser af samarbejde, tilføjelsesprogrammer fra tredjeparter og AI-funktioner ændrer behandlingen.
Microsofts vejledning til dataansvarlige gennemgår risikofaktorerne og oplyser, at analyse af samarbejdsdata og tilføjelser hænger sammen med kundens opsætning. Vejledningen er skrevet af leverandøren og er opdateret 5. maj 2026. Den kan bruges som materiale til analysen, men vurderingen skal være jeres. Hvor oplysningerne konkret ligger, er emnet i hvor ligger jeres persondata.
Indstillingerne
Her gemmer en stor del af risikoen sig, og her kan I selv gøre noget. Vurdér mindst:
- hvem der kan dele filer eksternt, og hvad standardvalget er,
- hvem der kan se hvad i SharePoint og Teams,
- hvor længe mails, chats og optagelser gemmes, og hvad der slettes automatisk,
- om revisionslogning er slået til, og hvor længe logs gemmes,
- MFA og administratoradgange,
- hvem der må godkende apps og tilføjelser.
Foranstaltningerne i analysen skal være dem, der faktisk er slået til. Det kan ses i administrationsportalen, og en DPO med IT-baggrund vil bede om at se det. Copilot og andre AI-funktioner bør vurderes for sig, se Copilot og persondata.
Microsofts egne formål
Efter DPA’en er kunden dataansvarlig og Microsoft databehandler, medmindre andet er angivet. Microsoft behandler oplysningerne for at levere tjenesterne efter kundens dokumenterede instruks. At levere omfatter ifølge DPA’en også fejlsøgning og at holde produkterne opdaterede og forbedre bl.a. pålidelighed, kvalitet og sikkerhed. Det var netop den formulering, Datatilsynet bad regionen undersøge nærmere.
Dertil kommer såkaldte business operations. Kunden giver Microsoft lov til at danne aggregerede statistiske data og beregne statistik, uden adgang til indholdet, til fakturering og kontostyring, medarbejderkompensation, intern rapportering og forretningsmodellering og finansiel rapportering. For den behandling påtager Microsoft sig pligterne som selvstændig dataansvarlig. DPA’en udelukker profilering og reklame.
Analysen skal svare på tre spørgsmål. Passer formålene til det, I har oplyst personerne om? Er der et grundlag for, at oplysninger videregives til det brug? Hvor sker aggregeringen? Dybden i aftalen hører til databehandleraftalen med Microsoft og leverandørens egne formål.
Tredjelande
DPA’en siger, at overførsler ud af EU og EØS er omfattet af standardkontrakterne fra 2021, og at Microsoft er certificeret under Data Privacy Framework. For tjenester inden for EU Data Boundary lover Microsoft at lagre og behandle kundedata i EU og EFTA, som nærmere angivet i produktvilkårene. Vilkårene og Microsofts dokumentation beskriver også tilfælde, hvor data kan forlade grænsen, og hvilke tjenester der ikke er omfattet. Support og underdatabehandlere bør have deres egen linje i analysen, for support fra et tredjeland er også en overførsel.
Tag status på tjenesterne på den dag, I vurderer, og skriv datoen på. Spørgsmålet om amerikansk ejerskab med data i EU er behandlet i amerikanskejet leverandør i EU.
Skal analysen laves?
Brug listen og kriterierne. Efter vores vurdering når en virksomhed med almindelig mail og dokumenter ofte ikke op på høj risiko, mens virksomheder med helbredsoplysninger i stort omfang, overvågning af ansattes adfærd eller analyse af medarbejderdata bør regne med en analyse. Også et nej skal begrundes. Kortlægningen og vurderingen af leverandøren skal under alle omstændigheder laves, for de er en del af kravet om at kunne påvise overholdelse (art. 5, stk. 2, og art. 24). Hvordan analysen laves, står i DPIA trin for trin.
DPO’en rådgiver og tager stilling. Opsætning, kortlægning og beslutning ligger hos virksomheden og IT-leverandøren.
Det skal I lade være med
- At kopiere en andens analyse · den beskriver en anden opsætning og andre oplysninger.
- At nøjes med vilkårene · det er de faktiske indstillinger, der afgør meget af risikoen.
- At vurdere én gang for alle · vilkår og tjenester ændrer sig, så datér vurderingen og gentag den.
- At bruge regionens svar direkte på en privat virksomhed · grundlaget er et andet.
Det skal I kræve af den eksterne
- ☐ En rådgivning om, hvorvidt jeres brug kræver en analyse, med begrundelse.
- ☐ Kontrol af de centrale indstillinger i administrationsportalen.
- ☐ Læsning af de gældende vilkår med dato.
- ☐ Spørgsmål til Microsofts egne formål, skrevet ned til analysen.
- ☐ En plan for, hvornår vurderingen tages op igen.
Kilder
- Microsoft Products and Services Data Protection Addendum, 1. november 2026, læst 5. november 2026: roller, levering, business operations, overførsler og hjælp efter art. 32 til 36.
- Microsoft: Data Protection Impact Assessments for Office 365, opdateret 5. maj 2026, læst 5. november 2026.
- Microsoft: EU Data Boundary, læst 5. november 2026.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365 (2024), j.nr. 2023-431-0012.
- Databeskyttelsesforordningen: art. 5, 24, 28 og 35.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databehandleraftale med Microsoft · DPIA før kontrakten
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
