Microsoft 365 y el RGPD: guía de cumplimiento 2026

En una frase. Microsoft 365 puede utilizarse de forma conforme, pero nunca con la configuración de fábrica: hace falta el contrato de encargado archivado con su versión, una decisión documentada sobre qué datos salen del EEE, plazos de conservación que Microsoft no fija por usted e información previa a la plantilla sobre las capacidades de auditoría y analítica que active.

Ningún producto «cumple el RGPD». El cumplimiento es una propiedad de su tratamiento, no del software que lo soporta. Con Microsoft 365 la distinción importa más que con cualquier otra herramienta, porque no es una aplicación: es la infraestructura entera de una organización —identidad, correo, ficheros, reuniones, registros de auditoría— bajo un único contrato y un único panel de administración. Quien lo inscribe en el registro de actividades como «una herramienta» ya ha generado el primer hallazgo de auditoría. Los datos sobre el proveedor recogidos aquí están tomados a fecha de julio de 2026 y deben reverificarse en la documentación legal vigente de Microsoft antes de usarse en un expediente.

Puntos clave

• El contrato de encargado es el Data Protection Addendum (DPA) de Microsoft, publicado e incorporado por referencia al acuerdo de licencia: no requiere firma separada, pero sí archivar la versión aplicable con su fecha.
• La entidad contratante para clientes del EEE suele ser Microsoft Ireland Operations Ltd. Compruebe qué entidad figura en su contrato en lugar de darlo por hecho.
• Microsoft ha anunciado públicamente el programa EU Data Boundary para almacenar y tratar datos de clientes en la UE: es un compromiso del proveedor, no una garantía automática, y su alcance varía según el servicio.
• Los registros de auditoría, eDiscovery y la analítica de productividad son capacidades de control laboral: activan los arts. 87 y 90 LOPDGDD e imponen información previa a los trabajadores y a sus representantes.
• Correo y colaboración, identidad y accesos, registros de seguridad e investigaciones internas son cuatro tratamientos distintos y cuatro entradas distintas en el registro.

1. Qué datos personales trata Microsoft 365

Hay que bajar al detalle de campo, porque la respuesta genérica —«documentos de trabajo»— no sirve para redactar el registro. En el directorio de identidad constan nombre y apellidos, identificador único, correo corporativo, puesto, departamento, responsable jerárquico, teléfono y ubicación; cada inicio de sesión genera una traza con dirección IP, país, dispositivo, método de autenticación y resultado.

Encima está el contenido: mensajes con destinatarios y adjuntos, conversaciones de Teams, grabaciones y transcripciones de reuniones, ficheros de SharePoint y OneDrive con historial de versiones y autoría, entradas de calendario que revelan con quién se reúne cada persona y cuándo. Y encima del contenido, la capa que casi nadie inventaría: el registro unificado de auditoría —quién abrió qué documento, quién exportó un buzón—, las alertas de prevención de pérdida de datos, que por definición contienen el fragmento que disparó la regla, y los informes de analítica de uso. Los interesados son empleados, personal externo con cuenta, invitados de clientes y proveedores, y cualquier persona que aparezca en el contenido sin tener cuenta. Las categorías especiales del art. 9 RGPD no deberían estar en Microsoft 365 y en la práctica están: partes de baja adjuntos a un correo a Recursos Humanos, expedientes disciplinarios en una carpeta compartida. No es un defecto del producto sino un problema de gobernanza documental.

2. El contrato de encargado del tratamiento (art. 28 RGPD)

Para los servicios en línea, Microsoft actúa como encargado del tratamiento. Las condiciones aplicables son el Microsoft Products and Services Data Protection Addendum, un documento publicado que se incorpora por referencia al acuerdo de licencia —Enterprise Agreement, Microsoft Customer Agreement o contrato a través de un partner CSP—. Es autoejecutivo: no hay que firmarlo aparte. Eso no le exime de dos tareas. Descargar la versión que rige su contrato y archivarla en PDF con la fecha, porque el documento se actualiza y en una inspección la pregunta será qué versión estaba vigente en el momento del tratamiento. Y comprobar qué entidad de Microsoft figura como parte: para clientes del EEE suele ser Microsoft Ireland Operations Ltd, pero los grupos con contratación centralizada fuera de Europa se llevan sorpresas.

El contenido cubre las exigencias del art. 28.3 RGPD: instrucciones documentadas, confidencialidad del personal, medidas de seguridad, asistencia en los derechos de los interesados y en las obligaciones de los arts. 32 a 36, supresión o devolución al término del servicio y derechos de auditoría. Como en todos los grandes proveedores de nube, la auditoría se sustancia mediante informes de terceros y cuestionarios, no mediante inspección presencial: es admisible, pero debe quedar documentado como decisión consciente. El desglose cláusula a cláusula está en nuestra guía del artículo 28 y las obligaciones del encargado. En materia de subencargados, Microsoft trabaja con autorización general previa y derecho de oposición; lea en el texto el plazo de preaviso y la consecuencia real de oponerse, que en este tipo de contratos no es un veto sino un derecho de resolución del servicio afectado.

3. Alojamiento y transferencias internacionales (a fecha de julio de 2026)

Microsoft opera regiones de centros de datos en la Unión Europea y ha anunciado públicamente el programa EU Data Boundary, cuyo objetivo declarado es almacenar y tratar los datos de clientes europeos dentro de la UE. Trátelo como lo que es: un compromiso publicado por el proveedor, no una constatación suya. Dos verificaciones son obligatorias. Primera, confirmar servicio por servicio qué categorías de datos entran en el ámbito para su tenant, porque la cobertura difiere entre servicios y entre planes. Segunda, asumir que determinados flujos —soporte prestado desde fuera de Europa, telemetría de diagnóstico, investigación de incidentes— pueden seguir saliendo del EEE.

Hay por tanto transferencia internacional y hay que documentarla. Las cláusulas contractuales tipo están incorporadas en el DPA como base de transferencia. Si además quiere apoyarse en una decisión de adecuación, verifíquelo usted mismo en la lista oficial del Data Privacy Framework para la entidad concreta que figura en su contrato y anote la fecha de consulta: una certificación puede decaer y un dato copiado sin comprobar no vale nada en un expediente. Deben constar en su documentación la región de alojamiento, la entidad contratante, la base de transferencia, las medidas complementarias, la fecha de verificación y una evaluación del riesgo de acceso desde terceros países; la metodología está en transferencias internacionales de datos.

4. Subencargados

Microsoft publica en línea la lista de subencargados de sus servicios, con un mecanismo de notificación al que hay que suscribirse. Suscribirse es un trámite de dos minutos; lo que casi nunca está resuelto es quién recibe el aviso y qué hace con él. Designe nominalmente a una persona —normalmente el delegado de protección de datos— y fije el criterio: cualquier alta de subencargado ubicado fuera del EEE obliga a revisar la evaluación de transferencias antes de que expire el plazo de oposición. Quien calla, consiente. Cuando la organización gestiona una decena de proveedores así, la bandeja de correo deja de ser un sistema de control y conviene centralizar contratos, listas de subencargados y entradas del registro en un software de cumplimiento del RGPD que mantenga las tres capas sincronizadas; Legiscope hace exactamente eso.

5. Seguridad y certificaciones

Microsoft publica un portal de confianza desde el que los clientes pueden solicitar informes de auditoría y certificaciones de terceros. Considérelo una afirmación del proveedor, no una constatación suya: solicite el informe vigente, compruebe el alcance —qué servicios cubre exactamente— y el periodo, e incorpórelo a su evaluación de proveedores. Un informe cuyo alcance no incluye el servicio que usted utiliza no acredita nada. Las medidas que dependen de usted siguen siendo suyas conforme al art. 32.1 RGPD: autenticación multifactor, acceso condicional, cifrado, segregación de privilegios administrativos y registro de accesos. Si su organización pertenece al sector público español, el uso de servicios en la nube debe encajar además en el Esquema Nacional de Seguridad; la certificación del proveedor no sustituye a la conformidad del sistema de información de la entidad.

6. Lista de configuración del tenant

Las opciones por defecto están calibradas para la productividad y la continuidad del servicio, no para la minimización de datos.

1. Fije la retención del registro unificado de auditoría de forma expresa: por omisión conserva más de lo que su finalidad justifica, o menos de lo que necesitaría para investigar un incidente.
2. Aplique etiquetas y políticas de retención en Exchange, SharePoint, OneDrive y Teams. Sin ellas nada se borra nunca; el criterio está en la limitación del plazo de conservación.
3. Configure la grabación y transcripción de reuniones de Teams: quién puede grabar, aviso a los participantes, caducidad automática. Las transcripciones convierten cada reunión en un documento buscable durante años.
4. Restrinja el rol de eDiscovery a personas nominadas y exija autorización documentada para cada búsqueda sobre buzones de empleados. Un administrador con búsqueda global es una capacidad de vigilancia sin control.
5. Decida expresamente sobre la analítica de productividad: desactive los informes individuales o limítelos a datos agregados.
6. Cierre el uso compartido externo por defecto en SharePoint y OneDrive: nada de enlaces anónimos, caducidad obligatoria en los enlaces de invitado y restricción de dominios cuando sea viable.
7. Controle el consentimiento a aplicaciones de terceros en el directorio de identidad. Sin esa restricción, cualquier usuario puede conceder a una aplicación externa acceso permanente a su correo.
8. Ajuste los datos de diagnóstico y las experiencias conectadas al nivel mínimo que su plan permita, y documente el nivel elegido.
9. Revise las delegaciones de buzón y los buzones compartidos: los accesos heredados de bajas y cambios de puesto son el hallazgo más frecuente en auditoría.
10. Someta cualquier despliegue de IA generativa a autorización previa, analizando qué contenidos del tenant quedan al alcance del asistente y qué usuarios lo tienen habilitado.
11. Depure las cuentas de invitado con revisión periódica de accesos y caducidad automática.
12. Publique la política de uso de medios digitales e infórmela a la plantilla antes de activar cualquiera de las capacidades anteriores.

7. Qué inscribir en el registro de actividades de tratamiento

Cree entradas separadas, como mínimo, para correo y colaboración; gestión de identidades y control de accesos; registros de seguridad y auditoría; investigaciones internas y eDiscovery; y, si la activa, analítica de uso. Cada entrada necesita finalidad, base jurídica —ejecución del contrato de trabajo para la provisión de herramientas, obligación legal para determinadas conservaciones, interés legítimo debidamente ponderado para la seguridad de los sistemas—, categorías de datos e interesados, destinatarios incluyendo a Microsoft como encargado, transferencias con su base, plazo de conservación y referencia a las medidas técnicas. La estructura está en nuestra guía del registro de actividades de tratamiento. Compárelas con las que redacte para otras plataformas: la lógica es distinta en un espacio de trabajo abierto como Notion y en una suite competidora como Google Workspace.

8. Cuándo hace falta una EIPD

El uso ofimático ordinario no obliga por sí solo a una evaluación de impacto. El umbral del art. 35.3 RGPD se cruza en tres escenarios. Primero, cuando se activa una capacidad de observación sistemática del comportamiento de los trabajadores: indicadores individuales de actividad, alertas de riesgo interno o cruce de registros de acceso con horarios. Segundo, cuando se implantan búsquedas periódicas sobre buzones o dispositivos, que en España deben superar el juicio de proporcionalidad y respetar el art. 87 LOPDGDD; si el despliegue incorpora geolocalización de dispositivos corporativos, entra en juego el art. 90 LOPDGDD. Tercero, cuando se generaliza un asistente de IA con acceso transversal al contenido del tenant. En los tres casos hay una obligación previa específicamente española que se olvida con frecuencia: informar a los trabajadores y a sus representantes antes de activar la funcionalidad, no después. El marco laboral completo está en RGPD en Recursos Humanos.

FAQ

¿Microsoft 365 cumple el RGPD?

La pregunta no admite un sí. Un producto no cumple: cumple un tratamiento concreto. Microsoft aporta las piezas contractuales y técnicas —DPA publicado, cláusulas contractuales tipo incorporadas, lista de subencargados, controles de retención y acceso—, pero el resultado depende de su configuración del tenant, de la base jurídica documentada de cada finalidad y de la información dada a los interesados. Cualquier mensaje comercial que afirme lo contrario es engañoso.

¿Hay que firmar un contrato de encargado con Microsoft?

El contrato es obligatorio, pero normalmente no se firma aparte: se incorpora por referencia al acuerdo de licencia. Su tarea es descargar la versión vigente, archivarla con la fecha y volver a comprobarla cuando cambie su contrato o su plan.

¿El EU Data Boundary elimina las transferencias internacionales?

No con esa rotundidad. Es un compromiso publicado por el proveedor cuyo alcance varía por servicio, y hay flujos de soporte y telemetría que pueden seguir saliendo del EEE. Mantenga la base de transferencia documentada y verifique la cobertura para los servicios que realmente utiliza.

¿Puedo revisar el correo de un empleado con las herramientas de Microsoft 365?

Técnicamente sí; jurídicamente solo con una política de uso previa y conocida, un motivo proporcionado, el alcance mínimo imprescindible y respeto del art. 87 LOPDGDD. La capacidad técnica no es la base jurídica, y un acceso indiscriminado convierte la prueba en ilícita además de exponer a la empresa ante la AEPD.

Conclusión

En el plano contractual Microsoft está bien posicionada: DPA publicado, cláusulas contractuales tipo incorporadas, lista de subencargados accesible e informes de auditoría disponibles bajo petición. Precisamente por eso el riesgo no está en el proveedor, sino en su tenant: uso compartido externo abierto por defecto, buzones que nadie ha borrado desde 2019, analítica activada sin decisión y un registro que resume toda la suite en una línea. Recorra la lista de configuración, documente región, entidad contratante y base de transferencia con fecha, informe a la plantilla antes de activar cualquier capacidad de control y repita la revisión cada año. El texto de referencia está en EUR-Lex, la doctrina europea en el CEPD y los criterios nacionales en la AEPD.