מסמכי Word יכולים להישמר בענן, אבל לא כל מסמך חדש עולה אוטומטית ל־Microsoft 365. המיקום שבו נשמר הקובץ, הגדרות הארגון והחשבון שבו משתמשים קובעים אם המסמך נשאר במחשב, מסתנכרן ל־OneDrive או נשמר ב־SharePoint. לכן הדיון בפרטיות צריך להתחיל בעובדות ובהגדרות, לא בהנחה שכל קובץ נשלח לענן.
מתי AutoSave שומר לענן
לפי Microsoft, AutoSave פעיל כאשר קובץ נשמר ב־OneDrive, OneDrive for Business או SharePoint Online. במקרה כזה השינויים נשמרים לענן מדי כמה שניות. בקובץ מקומי — למשל קובץ שנשמר בכונן C — AutoSave אינו פעיל, ו־Word משתמש במנגנון AutoRecover כדי לצמצם אובדן עבודה במקרה של קריסה.
מי שמעדיף שמירה מקומית יכול לבחור Save As, להגדיר ב־Word את האפשרות Save to Computer by default ולבחור תיקיית ברירת מחדל מקומית. בארגון, מנהלי IT יכולים לקבוע מדיניות שמירה, סנכרון ו־AutoSave — ולכן כדאי לבדוק מה הוגדר בפועל ולא להסתמך על ברירת מחדל כללית.
האם Microsoft יכולה לקרוא כל מסמך?
קבצים ב־Microsoft 365 מעובדים ומאוחסנים בשירות ענן, ולכן זו אינה הצפנה מקצה לקצה במובן שבו רק המשתמש מחזיק במפתח. עם זאת, מכאן לא נובע שעובדי Microsoft או כל מנהל מערכת יכולים לפתוח כל מסמך כרצונם. הגישה כפופה להרשאות, לתפקידי ניהול, לתיעוד פעילות, למדיניות שמירה ולתנאים החוזיים של השירות.
בארגון, הסיכון המעשי הנפוץ הוא דווקא הרשאות רחבות מדי: קישור שיתוף פתוח, קבוצת SharePoint גדולה, חשבון שנפרץ או סיווג מידע חסר. לכן ניהול זהויות והרשאות חשוב לפחות כמו הבחירה בין קובץ מקומי לענן.
מה קורה כשמשתמשים ב־Microsoft 365 Copilot
Microsoft מצהירה שהנחיות, תשובות ונתונים שאליהם Copilot ניגש דרך Microsoft Graph אינם משמשים לאימון מודלי הבסיס. Copilot גם אמור להציג למשתמש רק מידע שכבר יש לו הרשאת צפייה בו. עם זאת, הנחיות ותשובות נשמרות כחלק מהיסטוריית הפעילות ויכולות להיות כפופות למדיניות שמירה, eDiscovery ובקרות Microsoft Purview של הארגון.
כאשר מחברים סוכנים, מחברים או שירותי צד שלישי, יש לבדוק בנפרד את ההרשאות, תנאי השימוש ומדיניות הפרטיות שלהם. שירות חיצוני עשוי לעבד מידע מחוץ לגבולות הרגילים של Microsoft 365, ולכן אין להניח שכל הרחבה נהנית מאותן התחייבויות כמו השירות המרכזי.
ומה לגבי תיקון 13 לחוק הגנת הפרטיות?
תיקון 13 הוא תיקון לחוק הגנת הפרטיות בישראל — לא “חוק סייבר”. הוא הרחיב והבהיר הגדרות כגון מידע אישי, מידע בעל רגישות מיוחדת, בעל שליטה ומחזיק; שינה חלק מחובות הרישום וההודעה; והרחיב את כלי האכיפה והעיצומים. עצם קבלת הסכמה ממשתמש אינה מעבירה אליו את כל האחריות ואינה מבטלת את חובות הארגון.
החובות המדויקות תלויות בסוג המידע, מטרת העיבוד, היקף המאגר, זהות בעל השליטה והמחזיקים והדין החל. לכן ארגון שמעבד מידע אישי בהיקף מהותי צריך לקבל ייעוץ משפטי ופרטיות המתאים לפעילותו, ולא להסתפק בהגדרה טכנית של OneDrive.
בדיקה מעשית לארגונים
- מיקום הקובץ: בדקו אם המסמך נשמר מקומית, ב־OneDrive או באתר SharePoint.
- הרשאות: עברו על קישורי שיתוף, קבוצות וגישה של אורחים.
- סיווג: השתמשו בתוויות רגישות וב־DLP כאשר השירות והתכנית תומכים בכך.
- שמירה ומחיקה: הגדירו retention בהתאם לצורך העסקי והמשפטי.
- Copilot וסוכנים: בדקו אילו מקורות מידע וכלי צד שלישי זמינים לכל משתמש.
- גיבוי והתאוששות: סנכרון אינו תחליף מלא למדיניות גיבוי ושחזור.
השורה התחתונה
שמירה בענן אינה פרטית או מסוכנת מעצם היותה בענן; היא מודל אחר של אחסון, הרשאות ובקרה. כדי לצמצם סיכון, צריך לדעת היכן הקבצים נשמרים, מי יכול לגשת אליהם, אילו כלי AI מחוברים ומהי מדיניות השמירה. החלטה טובה משלבת הגדרות טכניות, מדיניות ארגונית ובדיקה משפטית לפי הצורך.
המידע כללי ואינו ייעוץ משפטי.
מקורות: Microsoft Support על AutoSave, הגדרת חוויית השמירה ב־Office, הגנת נתונים ופרטיות ב־Microsoft 365 Copilot, ו־שאלות ותשובות של הרשות להגנת הפרטיות על תיקון 13.
קרדיט תמונה: Danial Igdery / Unsplash. מקור.
