Czy Microsoft może sam przesłać Twoje pliki do chmury? Prawnik wyjaśnia [WYWIAD]

Word zapisuje pliki automatycznie

Maciej Bartusik: Microsoft testuje nową funkcję: dokumenty tworzone w Wordzie będą automatycznie zapisywać się na chmurze w ramach usługi OneDrive. Wcześniej program pytał o zgodę, jednak w testowej wersji systemu Windows 11 dzieje się to automatycznie. Co uważa Pani mecenas o tym rozwiązaniu?

Monika Danek: Na pierwszy rzut oka to wygodne, bo istnieje mniejsze prawdopodobieństwo, że plik zginie. Jednak z punktu widzenia prywatności i prawa pojawia się kilka problemów.

Jakich?

Po pierwsze nie każdy o tym wie, a więc część osób może nieświadomie przesyłać do chmury poufne dokumenty. Wśród nich mogą znaleźć się np. dane klientów, umowy, pozwy czy inne informacje chronione tajemnicą zawodową.

Wygoda kontra prywatność

Nie wiadomo też dokładnie, gdzie dane trafiają – OneDrive ma serwery w różnych krajach, w tym również poza Unią Europejską. A tam zasady ochrony danych są słabsze niż w UE.

Dla prawników, lekarzy czy pisarzy – może to być problem. Ich dokumenty często zawierają dane osobowe albo treści objęte tajemnicą zawodową lub prawem autorskim. Przechowywanie ich „na cudzym komputerze” wymaga pewności, że nikt inny nie ma do nich dostępu.

Automatyczny zapis a prawo

Czy takie działanie Microsoftu jest nielegalne?

Sam zapis w chmurze nie jest nielegalny, ale automatyczne przesyłanie plików bez pytania użytkownika to ryzyko dla prywatności i poufności.

Aby jednak odpowiedzieć jednoznacznie, czy takie rozwiązanie stanowi naruszenie praw autorskich bądź przepisów o ochronie danych osobowych, należałoby szczegółowo przeanalizować aktualne warunki licencyjne Microsoftu oraz ewentualne aneksy wprowadzające tę zmianę. To dość obszerne opracowanie, bo wymagałoby porównania wersji obowiązujących w różnych regionach, w tym dla Europejskiego Obszaru Gospodarczego.

Pliki w chmurze i RODO – co trzeba wiedzieć?

Jakie jeszcze problemy prawne może tworzyć nowy pomysł Microsoftu? Co z ochroną danych osobowych?

W przypadku dokumentów zawierających dane osobowe – a tym bardziej dane wrażliwe, np. medyczne, dane klientów kancelarii czy uczestników postępowań – zapisywanie ich w chmurze stanowi przetwarzanie danych osobowych przez Microsoft jako podmiot przetwarzający.

Co to znaczy dla użytkownika?

Użytkownik, jako administrator danych, musi mieć pewność co do podstawy prawnej przechowywania plików, lokalizacji serwerów, stosowanych zabezpieczeń oraz zgodności transferów danych z RODO. Brak świadomej zgody użytkownika na przesyłanie dokumentów do chmury może budzić wątpliwości jeśli chodzi o transparentność.

Microsoft przetwarza dane osobowe, gdy te są w plikach

Skoro użytkownik nadal jest administratorem, to jaką funkcję pełni Microsoft?

Jeśli w pliku Worda zapisujesz dane innych osób – np. klientów, pracowników, pacjentów albo uczestników jakiejś sprawy – to te informacje są danymi osobowymi w rozumieniu RODO.

Jeżeli Word zapisuje taki plik w chmurze OneDrive, to te dane są wysyłane na serwery Microsoftu. Wtedy Microsoft staje się tzw. podmiotem przetwarzającym. Jest to firma, która ma techniczny dostęp do danych i przechowuje je w Twoim imieniu. Ty natomiast (np. jako prawnik, lekarz czy przedsiębiorca) pozostajesz „administratorem danych”. Taka osoba jest odpowiedzialna za to, by te dane były bezpieczne i przetwarzane zgodnie z prawem.

Obowiązki administratora danych

Co powinieneś wiedzieć jako administrator tych danych?

Na przykład, jaka jest podstawa prawna ich przetwarzania. Może to być wyrażona przy instalacji programu zgoda. Oprócz tego powinieneś wiedzieć, gdzie dokładnie te dane są przechowywane, a więc znać lokalizacje serwerów. Musisz również być świadomym, jakie zabezpieczenia stosuje firma.

Co jednak najistotniejsze powinieneś być świadomy, że dane są wysyłane do chmury. Jeśli Word zaczyna robić to automatycznie, bez pytania i bez wyraźnej zgody, to użytkownik może nie mieć świadomości, że dane jego klientów czy pacjentów trafiają poza jego komputer. A to może być niezgodne z zasadami RODO, które wymagają przejrzystości i minimalizowania ryzyka ujawnienia danych.

Poufne dane w nieznanym miejscu

Pomówmy o tych ryzykach. Pani mecenas wspomniała o kwestii lokalizacji serwerów. Jakie zagrożenia wiążą się z fizycznym miejscem, w którym spoczywają przechowywane w chmurze dane?

OneDrive nie trzyma plików tylko w jednym miejscu – korzysta z wielu centrów danych rozsianych po świecie. I choć część z nich jest w Europie, to inne mogą być np. w Stanach Zjednoczonych lub w innych krajach poza Unią Europejską.

Jeśli więc plik z danymi osobowymi -– np. umowa z klientem, pozew, dane kontaktowe pracowników – zostanie zapisany na takim serwerze w USA, to oznacza to tzw. transfer danych poza Europejski Obszar Gospodarczy (EOG).

Pliki w chmurze mogą być wszędzie

Dlaczego jest to istotne?

W Unii Europejskiej obowiązuje bardzo wysoki standard ochrony danych. W wielu innych krajach – w tym w USA – te zasady są mniej restrykcyjne. Dlatego Trybunał Sprawiedliwości UE stwierdził w 2020 roku, że jeśli dane Europejczyków są wysyłane poza UE, to trzeba wdrożyć dodatkowe zabezpieczenia, takie jak np. szyfrowanie plików. Funkcje ochrony mogą pełnić również specjalne umowy między firmami.

Problem w tym, że zwykły użytkownik Worda i OneDrive często nie ma pojęcia, gdzie jego dane są przechowywane, ani czy Microsoft stosuje takie zabezpieczenia dla każdego konta. Brak tej informacji można uznać za naruszenie zasad przejrzystości z RODO. Użytkownik ma prawo wiedzieć, gdzie dokładnie trafiają jego dane i kto może mieć do nich dostęp.

Tajemnica zawodowa a dysk w chmurze

Czy to, że niektóre dane trafiają automatycznie do chmury, nie stanowi również zagrożenia dla tajemnicy zawodowej?

Automatyczne zapisywanie dokumentów w chmurze faktycznie może naruszać obowiązek zachowania tajemnicy zawodowej. Może się tak stać, jeśli nie jest zagwarantowane pełne szyfrowanie po stronie klienta i kontrola nad dostępem do danych.

Prawnik radzi: szyfruj dane

Dlatego osoby związane tajemnicą zawodową powinni korzystać tylko z rozwiązań chmurowych, które szyfrują pliki już na komputerze użytkownika. Takie szyfrowanie sprawia, że nawet dostawca chmury nie jest w stanie ich otworzyć. Użytkownik powinien mieć też pełną kontrolę nad dostępem do pliku. A więc nad tym, kto i z jakiego miejsca może go zobaczyć. Najbezpieczniej jednak korzystać z programów, które pozwalają na zapis lokalny, wyłącznie na własnym sprzęcie.

Jeśli Word automatycznie zapisuje poufne dokumenty do chmury, to prawnik czy lekarz  może – nawet nieświadomie – naruszyć tajemnicę zawodową. Jego pliki trafiają na serwery firmy zewnętrznej, nad którymi nie ma pełnej kontroli.

Ryzyko wykorzystania pracy

A co z prawami autorskimi?

Zapis w chmurze nie łamie sam w sobie prawa autorskiego, ale tworzy ryzyko utraty wyłącznej kontroli nad dziełem. W przypadku pisarzy, dziennikarzy czy naukowców domyślny zapis do OneDrive oznacza, że utwór od chwili utworzenia jest przesyłany i przechowywany na cudzej infrastrukturze. Sam fakt przechowywania nie stanowi naruszenia autorskich praw majątkowych, o ile Microsoft nie uzyskuje żadnych praw do korzystania z treści (co warto sprawdzić w warunkach licencyjnych). Ryzyko polega jednak na potencjalnym braku kontroli nad miejscem i zakresem przetwarzania utworów.

Utrata kontroli nad plikami w chmurze

Na czym polega ta utrata kontroli?

Jeśli Word automatycznie zapisuje teksty autorów w chmurze OneDrive, to znaczy, że kopie ich prac trafiają na serwery należące do Microsoftu. Od strony technicznej nie jest to jeszcze naruszenie praw autorskich dopóki Microsoft nie rości sobie żadnych praw do tych treści i nie korzysta z nich (np. nie analizuje ich, nie publikuje, nie udostępnia).

Twórca de facto traci pełną kontrolę nad utworem, bo nie ma pewności, gdzie fizycznie znajduje się plik i kto ma do niego dostęp. Warto się też zainteresować, czy treść przechowywana w ramach usługi OneDrive nie zostanie w przyszłości wykorzystania np. do uczenia modeli sztucznej inteligencji, czy analizy danych w ramach usług Microsoftu.

Zapisywanie bez pytania może być naruszeniem

Czy Microsoft może w ogóle bez pytania użytkownika o zdanie zapisywać jego pliki w chmurze?

Zmiana ustawienia zapisu na chmurę, wprowadzona bez wyraźnego komunikatu, może być postrzegana jako naruszenie obowiązków informacyjnych. To istotne zarówno z perspektywy RODO, jak i prawa konsumenckiego. Microsoft może łamać w ten sposób zasadę przejrzystości i uczciwego informowania o zmianach w usłudze.

RODO wymaga, żeby użytkownik z góry wiedział, gdzie i w jaki sposób jego dane będą przetwarzane. Czyli np. że plik trafia na serwery Microsoftu. Z kolei według prawa konsumenckiego firma music informować w sposób przejrzysty i uczciwy o każdej istotnej zmianie w usłudze. Szczególnie jeśli wpływa na prywatność lub warunki korzystania z produktu.

Jeśli więc użytkownik nie został wyraźnie poinformowany o tym, że jego dokumenty zaczęły być automatycznie zapisywane w chmurze, to firma może być postrzegana jako działająca wbrew zasadzie przejrzystości.

Świadome korzystanie z narzędzi

Na chwilę obecną według doniesień portalu Windows Central, rozwiązanie jest wykorzystywane tylko na testowej wersji systemu Windows 11 dostępnej dla użytkowników programu Windows Insider. Jeśli jednak trafi do oficjalnej wersji Worda, co powinna zrobić osoba chcąca chronić swoje pliki?

Najlepiej samodzielnie zmienić ustawienia Worda, żeby pliki zapisywały się lokalnie, a nie w chmurze. Szczególnie jeśli pracuje się z danymi klientów lub poufnymi dokumentami.

Monika Danek, radca prawny. Na co dzień doradza spółkom i fundacjom, wspierając ich rozwój prawny i organizacyjny. Specjalizuje się w ochronie danych osobowych, prowadzi audyty i wdraża rozwiązania zgodne z RODO w różnorodnych podmiotach. Z równą swobodą porusza się w świecie nieruchomości komercyjnych, inwestycji budowlanych, jak i projektów kulturalnych czy edukacyjnych. Uważa, że skuteczne doradztwo prawne zaczyna się od zrozumienia człowieka i jego celu, a nie od paragrafu. Absolwentka Wydziału Prawa i Administracji Uniwersytetu Śląskiego, członkini Okręgowej Izby Radców Prawnych w Krakowie.

Gdzie jeszcze nowoczesna technologia zderza się z prawem? Sprawdź na kanale Holistic News na YouTube:

Czy prawo stoi po stronie ochrony naszej prywatności? Sprawdź artykuł: Kierowcy Bolta będą filmować pasażerów. Gdzie trafią nagrania kobiet?

Nowy numer kwartalnika Holistic News — nowa promocja!

Do 31 października możesz skorzystać z darmowej dostawy paczkomatem.
Wpisz kod HNEWS0 finalizując zakupy w Księgarni Holistic News