Gdzie są przetwarzane dane Copilota - granica danych w UE

Microsoft 365 Copilot

Gdzie są przetwarzane dane Copilota - granica danych w UE

W skrócie

Pytanie "gdzie fizycznie sa przetwarzane nasze dane, gdy uzywamy Copilota?" wraca przy kazdym wdrozeniu w firmie z Unii Europejskiej. Dla dzialow prawnych, inspektorow ochrony danych i sektorow regulowanych lokalizacja przetwarzania danych osobowych to nie ciekawostka, tylko warunek zgodnosci. W tym wpisie tlumaczymy, czym jest granica danych w UE (EU Data Boundary) i jak potwierdzic zakres dla swojego planu.

Jak to wyglada w praktyce

Dzial prawny zadaje IT proste z pozoru pytanie: "czy dane wpisywane do Copilota opuszczaja Unie Europejska?". Odpowiedz "chyba nie" nie wystarcza, bo od lokalizacji przetwarzania zaleza zapisy w rejestrze czynnosci przetwarzania i w ocenie skutkow. Projekt staje, bo nikt nie potrafi wskazac zrodla, ktore da sie zacytowac w dokumentacji. Czasem pojawia sie tez odwrotny mit, ze "wszystko idzie do USA", ktory zamyka rozmowe, zanim ktos sprawdzi fakty.

Dlaczego Copilot tak robi

Copilot nie wysyla danych do dowolnego serwisu w internecie. Dziala wewnatrz Twojego tenantu (dzierzawy Microsoft 365) i w ramach tych samych zobowiazan umownych co reszta uslug M365. Kiedy zadajesz pytanie, przez Microsoft Graph pobierane sa tylko tresci, do ktorych masz dostep, a model generuje odpowiedz w granicy uslugi Microsoft 365. Dla lokalizacji kluczowy jest mechanizm EU Data Boundary: Microsoft udostepnia granice danych dla klientow z Unii, w ramach ktorej kluczowe przetwarzanie danych klientow odbywa sie w centrach danych na terenie UE. To odpowiedz na wymog kontroli nad lokalizacja przetwarzania danych osobowych. Wazne zastrzezenie: dokladny zakres i to, ktore elementy uslugi sa objete granica, moga sie roznic i ewoluuja, dlatego zawsze potwierdza sie je w aktualnej dokumentacji umownej dla konkretnego planu.

Jak to rozwiazac krok po kroku

1. Nazwij, o jakie dane pytasz. Rozroznij dane osobowe pracownikow, dane klientow i tresci firmowe, bo od tego zalezy, jak opiszesz przetwarzanie w dokumentacji.
2. Signal do dzialu prawnego: potwierdz zakres EU Data Boundary w aktualnej dokumentacji Microsoftu dla swojego planu, a nie w broszurach czy artykulach. Szczegoly sie zmieniaja.
3. Siegnij do zrodel umownych: Product Terms, warunki przetwarzania danych (Data Protection Addendum) oraz dokumentacja EU Data Boundary. To material, ktory mozesz zacytowac w rejestrze czynnosci przetwarzania.
4. Ustal role stron. W typowym scenariuszu organizacja jest administratorem danych, a Microsoft podmiotem przetwarzajacym. Zapisz to w dokumentacji zgodnosci.
5. Uwzglednij Copilota w rejestrze czynnosci przetwarzania i, jesli przetwarzanie moze wiazac sie z wysokim ryzykiem, wykonaj ocene skutkow dla ochrony danych (DPIA). Wlacz inspektora ochrony danych wczesnie.
6. Skonsultuj wynik z wlasnym dzialem prawnym lub inspektorem ochrony danych. To ich rola, zeby potwierdzic zgodnosc dla Twojego konkretnego przypadku.

Jak sprawdzic, ze zadzialalo

Sukcesem jest sytuacja, w ktorej w dokumentacji zgodnosci masz konkretne odwolanie do oficjalnego zrodla Microsoftu opisujacego zakres EU Data Boundary dla Twojego planu, a nie ogolnikowe zapewnienie. Rejestr czynnosci przetwarzania zawiera wpis o Copilocie z okreslonymi rolami stron i lokalizacja przetwarzania, a inspektor ochrony danych zaakceptowal ten opis. Nie polegaj na naszym tekscie ani na materialach marketingowych: konkretny zakres i lokalizacje zmieniaja sie, dlatego potwierdzeniem jest zawsze aktualna dokumentacja umowna i akceptacja wlasnego dzialu prawnego.

Wroc do listy: 200 najczestszych problemow z Microsoft 365 Copilot