Vilka inställningar i Microsoft 365 avgör dataskyddet?

Publicerad 30 oktober 2026

Sammanfattning: För den kunddata som behandlas för att leverera Microsoft 365 är Microsoft personuppgiftsbiträde och följer era dokumenterade instruktioner; ni är personuppgiftsansvariga och bestämmer hur tjänsten används. För vissa begränsade egna behandlingar, som fakturering, är Microsoft självständigt personuppgiftsansvarig. Dataskyddet i Microsoft 365 avgörs till stor del av sex områden: delning och gäståtkomst, lagring och gallring, känslighetsetiketter, DLP, granskningsloggen och var data lagras. Inget av detta blir rätt av sig självt; inställningarna behöver spegla era egna beslut om ändamål, åtkomst och lagringstider.

Vad Microsoft gör och vad ni själva ställer in

Enligt Microsofts egen beskrivning behandlar Microsoft kunddata som personuppgiftsbiträde, enligt den personuppgiftsansvariges dokumenterade instruktioner i Product Terms och Microsoft Products and Services Data Protection Addendum (DPA). DPA:n anger samtidigt att Microsoft är självständigt personuppgiftsansvarig när Microsoft behandlar personuppgifter för vissa affärsprocesser som hör till leveransen, till exempel fakturering och kontohantering, intern rapportering och ekonomisk redovisning. Microsoft skriver också att det är den personuppgiftsansvarige som ansvarar för att bedöma riskerna och bestämma hur data används. Det motsvarar rollfördelningen i artikel 28 i GDPR: biträdet ska ge tillräckliga garantier, men ansvaret för behandlingen ligger kvar hos er.

Microsoft anger också att inget i tjänsterna i sig kräver en konsekvensbedömning; det beror på hur ni har konfigurerat dem. Tjänsten innehåller verktygen, men era val avgör om de används.

Område	Microsoft	Ni
Plattformens drift och säkerhet	Ansvarar enligt Product Terms och DPA	Följer upp avtal och underbiträden
Delning och gäster	Tillhandahåller inställningarna	Bestämmer nivåer och undantag
Lagring och gallring	Verkställer retention-inställningarna	Beslutar lagringstider och ställer in dem
Etiketter och DLP	Tillhandahåller funktionerna	Beslutar klassning och regler
Granskningslogg	Loggar och sparar enligt licens	Bestämmer hur länge loggar behövs och vem som söker
Lagringsplats	Åtar sig EU Data Boundary för omfattade tjänster	Kontrollerar omfattning och undantag

Delning och gäståtkomst i SharePoint, OneDrive och Teams

Delningsinställningarna avgör hur lätt personuppgifter lämnar organisationen. I SharePoint administrationscenter väljer ni en nivå för hela organisationen:

• Anyone: länkar som fungerar utan inloggning. Det är den mest tillåtande nivån.
• New and existing guests: externa personer måste logga in eller verifiera sig med en kod.
• Existing guests: delning bara med gäster som redan finns i katalogen.
• Only people in your organization: ingen extern delning.

OneDrive kan ställas in mer restriktivt än SharePoint men inte mer tillåtande, och varje webbplats kan ställas in strängare än organisationsnivån. Tillåter ni Anyone-länkar kan ni kräva att de upphör efter ett visst antal dagar och begränsa dem till läsbehörighet. Ni väljer också vilken länktyp som föreslås som standard, där Specific people är det mest restriktiva valet, och gästers åtkomst till en webbplats eller OneDrive kan ställas in att upphöra automatiskt.

Gäståtkomst i Teams är en inställning för hela organisationen som hänger ihop med Microsoft Entra ID, Microsoft 365-grupper och SharePoint. En gäst som lämnar ett team finns kvar som gästkonto i katalogen tills en administratör tar bort det, så bestäm hur gästkonton ska ses över.

Lagring och gallring med retention policies och retention labels

Enligt artikel 5.1 e i GDPR, lagringsminimering, får personuppgifter inte förvaras i identifierbar form längre än vad som är nödvändigt för ändamålen. I Microsoft 365 omsätter ni era gallringsbeslut med Microsoft Purview. En retention policy gäller för en hel webbplats eller postlåda, medan en retention label sätts på enskilda objekt som ett dokument eller ett e-postmeddelande. Båda kan behålla innehåll, radera det, eller behålla och sedan radera.

Två principer från Microsoft är viktiga att känna till: lagring går före radering, och den längsta lagringstiden vinner. En bred policy som behåller allt i 10 år kan alltså göra att material som ni har beslutat att gallra efter 2 år finns kvar. Det som användare raderar under en lagringsperiod sparas dessutom på dolda platser, till exempel i Preservation Hold-biblioteket i SharePoint och OneDrive.

Tänk också på tidigare anställda. När ett konto tas bort sparas användarens OneDrive som standard i 30 dagar, och tiden kan ställas in mellan 30 och 3650 dagar. Som standard får användarens chef åtkomst till OneDrive när kontot tas bort. Det bör stämma med vad ni har beslutat och informerat de anställda om.

Känslighetsetiketter och DLP

Känslighetsetiketter i Microsoft Purview Information Protection klassar innehåll och kan kryptera det, lägga till märkning som sidhuvud eller vattenstämpel och styra inställningar för team, grupper och webbplatser, till exempel extern delning och åtkomst från ohanterade enheter. Etiketten följer med filen eftersom den lagras i filens metadata.

DLP (data loss prevention) bevakar känslig information i bland annat Exchange, SharePoint, OneDrive och Teams-chattar. En DLP-policy kan visa en varning för användaren, blockera delningen eller låta användaren åsidosätta blockeringen med en motivering. Microsoft har en inbyggd informationstyp för svenska personnummer som kan användas i DLP-regler.

Etiketter och DLP fungerar bara om de bygger på en klassning som ni själva har beslutat. Börja med få nivåer som användarna förstår, och kör nya DLP-policyer i simuleringsläge innan de börjar blockera.

Granskningsloggen: kan ni visa vad som hände?

Granskningsloggen i Microsoft Purview Audit visar vem som gjorde vad, till exempel vem som öppnade, delade eller raderade en fil. Den behövs när ni utreder en personuppgiftsincident och kan vara en del av de lämpliga tekniska och organisatoriska åtgärder som artikel 32 kräver.

• Granskningsloggen är enligt Microsoft påslagen som standard i Microsoft 365, men inte för licenserna Business Basic, Business Standard och Business Premium, där den måste slås på manuellt. Kontrollera därför statusen i er egen tenant. När loggningen är påslagen sparar Audit (Standard) poster i 180 dagar.
• Audit (Premium) sparar som standard poster från Exchange, SharePoint, OneDrive och Microsoft Entra ID i ett år och låter er skapa egna lagringspolicyer för loggarna.
• Lagring i upp till 10 år kräver en särskild tilläggslicens per användare.

Enligt Microsoft krävs för lagring längre än 180 dagar att användaren som utför aktiviteten har en E5-licens eller ett motsvarande tillägg; för gäster och övriga användare sparas posterna i 180 dagar. Bestäm hur länge ni behöver loggarna. De innehåller själva personuppgifter.

Var lagras data? EU Data Boundary och lagringsplats

EU Data Boundary är Microsofts åtagande att lagra och behandla kunddata och personuppgifter för sina företagstjänster, däribland Microsoft 365, inom EU och EFTA. För Microsoft 365 omfattas kunder vars tenant är registrerad i ett land inom EU eller EFTA. Kunder som har köpt Multi-Geo omfattas inte, och Microsoft beskriver själv vissa begränsade situationer där data fortfarande överförs utanför gränsen.

Ni ser var er tenant lagrar data i Microsoft 365 administrationscenter under Settings, Org settings, Organization profile och Data location. Sverige är en av de lokala regioner där tillägget Advanced Data Residency ger utökade åtaganden om lagringsplats.

Gränsen gäller inte automatiskt allt som kopplas till tenanten. Microsoft anger till exempel att vissa AI-modeller från tredje part, som används som underbiträden i Microsoft Copilot (tidigare Microsoft 365 Copilot), för närvarande är undantagna från EU Data Boundary. För kunder i EU/EFTA är de modellerna avstängda som standard, men en administratör kan slå på dem. Copilot visar dessutom bara innehåll som användaren redan har minst läsbehörighet till, vilket gör att för generös delning snabbt blir synlig när Copilot införs. Följ därför upp underbiträden och tredjelandsöverföringar i ert register och i avtalet, även när ni använder EU Data Boundary.

Kontrollera också inställningen Flex routing för Copilot. När den är påslagen kan AI-bearbetningen, alltså steget där språkmodellen tar fram svaret, ske utanför EU Data Boundary under perioder med hög belastning, enligt Microsoft i USA, Kanada eller Australien. Data i vila lagras fortfarande inom gränsen, med undantag för begränsade pseudonymiserade uppgifter. För berättigade tenanter som skapats efter den 25 mars 2026 är inställningen påslagen som standard, och för äldre tenanter uppmanar Microsoft administratörerna att kontrollera den. Den finns i Microsoft 365 administrationscenter under Copilot och Settings och kan stängas av när som helst. Har ni krav på behandling inom EU behöver ni alltså kontrollera tenantens faktiska inställning, inte bara utgå från att Microsoft 365 omfattas av EU Data Boundary.

Checklista: det här har ni när grunden är på plats

1. En beslutad nivå för extern delning, med motiverade undantag per webbplats.
2. Utgångsdatum för Anyone-länkar och gäståtkomst, eller ett beslut om att inte tillåta dem.
3. En rutin för att se över och ta bort gästkonton.
4. Retention-inställningar som motsvarar er gallringsplan, och kontroll av var längre lagringstider tar över.
5. Ett beslut om vad som händer med tidigare anställdas OneDrive och vem som får åtkomst.
6. En klassning med känslighetsetiketter och DLP-policyer som har körts i simuleringsläge.
7. En granskningslogg som är kontrollerad som påslagen, och ett beslut om hur länge loggarna behövs och vem som får söka i dem.
8. En kontrollerad lagringsplats och en genomgång av vilka tjänster och AI-funktioner som ligger utanför EU Data Boundary.
9. Ett beslut om Flex routing för Copilot och om AI-modeller från tredje part, med inställningarna kontrollerade i tenanten.

Vill ni veta hur er Microsoft 365-miljö står sig? Vi går igenom inställningarna för delning, gäster, lagring, etiketter och loggning mot era egna beslut om personuppgifter. Läs mer om vårt arbete med dataskydd och integritet och om en GDPR-nulägesanalys, eller kontakta oss.

Källor: Microsoft Learn, sidorna om Microsoft och GDPR, delningsinställningar i SharePoint och OneDrive, gäståtkomst i Teams, retention policies och labels, OneDrive för borttagna användare, känslighetsetiketter, DLP, Sweden national ID, Audit, aktivering och lagring av granskningsloggar, EU Data Boundary, datalagringsplats, Microsoft Copilot, AI-leverantörer som underbiträden och Flex routing (EU and EFTA); Microsoft Products and Services Data Protection Addendum (DPA), maj 2026; förordning (EU) 2016/679 (GDPR), artiklarna 5, 28 och 32. Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Funktioner, standardvärden och licensvillkor i Microsoft 365 ändras löpande; kontrollera aktuella uppgifter hos Microsoft och bedöm er egen situation innan ni ändrar inställningar.