Microsoft 365 i Google Workspace w kancelarii: jak skonfigurować chmurę pod tajemnicę zawodową

Wyobraź sobie piątkowy wieczór. Partner czteroosobowej kancelarii wraca z rozprawy i odkrywa, że nie ma telefonu. Została na nim aplikacja, którą potwierdza logowanie do poczty i akt, a w poniedziałek ma termin. Kto przywróci mu dostęp? Administrator, który kilka lat temu zakładał konta, nie odbiera. Nikt nie pamięta, na kogo zarejestrowana jest domena. Wszystko działało bez zarzutu, dopóki nie trzeba było tego sprawdzić.

Pakiet Microsoft 365 albo Google Workspace kupuje się szybko. Daje narzędzia, ale nie mówi, kto nimi zarządza, kto widzi akta i co się stanie, gdy coś pójdzie nie tak. Na te pytania musi odpowiedzieć kancelaria.

Krótko, jeśli szukasz odpowiedzi na główne pytanie: kancelaria może korzystać z Microsoft 365 lub Google Workspace po ocenie tajemnicy zawodowej, umów i jurysdykcji dostawcy. Zacznij od kont, odzyskiwania danych i zasad udostępniania.

Jeśli dopiero wybierasz dostawcę, czytaj po kolei. Jeśli już korzystasz z któregoś z tych pakietów, możesz przejść od razu do kolejności działań albo do tego, co warto sprawdzić jeszcze dziś.

Czy akta mogą być w chmurze?

Żaden z dokumentów samorządowych, na które się tu powołujemy, nie wprowadza ogólnego zakazu chmury. Punkt wyjścia jest jednak wymagający. Art. 6 Prawa o adwokaturze i art. 3 ustawy o radcach prawnych obejmują tajemnicą wszystko, o czym prawnik dowiedział się w związku z pomocą prawną, i nie ograniczają tego obowiązku w czasie. Swoje dokłada RODO: art. 28 i rozdział V dotyczą umowy powierzenia, gwarancji dostawcy i warunków transferu danych poza EOG.

Adwokaci mają jeszcze § 19 i § 23e Kodeksu Etyki Adwokackiej (tekst jednolity z 23.06.2026). Pierwszy każe stosować środki zabezpieczające dane. Drugi kojarzy się z AI, ale obejmuje także narzędzia do przechowywania informacji i zakazuje wprowadzania tajemnicy do narzędzi bez należytej ochrony. Dotyczy więc również chmury. Radcom KIRP przypomina w rozdziale II.7 rekomendacji o AI, że informacje trzeba zabezpieczać adekwatnie do charakteru, rodzaju i skali działalności oraz ryzyka ujawnienia. Dokument dotyczy AI, ale ten obowiązek ma charakter ogólny.

Najwięcej praktycznych wskazówek znajdziesz w II wydaniu Dobrych praktyk cyberbezpieczeństwa NRA (uchwała nr 25/2025). NRA zaleca usługi w standardzie biznesowym z umową powierzenia (DPA), dostawcę z siedzibą i danymi w EOG, logowanie z drugim składnikiem (MFA), dodatkową lokalną kopię i plan ciągłości działania. To zalecenia, a nie obowiązek, choć NRA zaznacza, że ich zaniechanie może w pewnych przypadkach pośrednio prowadzić do odpowiedzialności dyscyplinarnej. Małe kancelarie mogą odetchnąć: zakres ma być proporcjonalny do skali, a NRA wskazuje, że wystarczające mogą być podstawowe środki ochrony, dobrane po analizie ryzyka.

Dwie kwestie wymagają jednak osobnej decyzji.

Dane w Europie to jeszcze nie koniec rozmowy

Microsoft i Google należą do grup amerykańskich. Ustawienie regionu w UE jest ważne, ale nie odpowiada na pytanie, czy można zażądać danych na podstawie prawa USA. Google wyjaśnia w dokumencie z lutego 2022 r., że CLOUD Act może obejmować dane pozostające pod kontrolą dostawcy podlegającego jurysdykcji USA niezależnie od miejsca ich przechowywania. Nie oznacza to automatycznego dostępu organów, ale region w UE tej kwestii nie rozstrzyga.

CCBE, europejska organizacja adwokatur, radzi w wytycznych z 27 lutego 2025 r. sprawdzić, czy zasady zawodowe pozwalają przechowywać dane poza kancelarią i czy dostawca nie podlega przepisom o zasięgu eksterytorialnym nakazującym wydanie danych. Sama siedziba dostawcy w EOG też tego nie rozstrzyga. Podejmij tę decyzję świadomie i zapisz, dlaczego wybierasz tego dostawcę. Sama ocena ryzyka nie oznacza jeszcze, że spełniasz zalecenie CCBE.

W samej UE od 18 sierpnia 2026 r. stosuje się rozporządzenie o europejskich nakazach wydania dowodów. Art. 5 ust. 9 ogranicza nakazy dotyczące treści i określonych danych o ruchu, gdy dane chronione tajemnicą według prawa państwa wydającego są przechowywane w infrastrukturze udostępnianej zawodom objętym tajemnicą. Dopuszcza je w wymienionych przypadkach, na przykład gdy zwrócenie się do prawnika mogłoby zaszkodzić postępowaniu.

Tajemnica obrończa wymaga więcej

NRA nie zaleca przetwarzania w usługach online danych objętych tajemnicą obrończą bez dodatkowego szyfrowania uniemożliwiającego dostawcy zapoznanie się z nimi. Nie zaleca też przesyłania takich informacji e-mailem, komunikatorami ani usługami przekazywania dużych plików. To zalecenia, ale przed migracją ustal, które materiały obejmuje tajemnica obrończa i jakie zabezpieczenia przyjęto.

Standardowe szyfrowanie usługi nie wystarcza do takiej deklaracji. Szyfrowanie po stronie klienta w Google wymaga m.in. Enterprise Plus, więc w planach Business trzeba by użyć osobnego programu z kluczem poza dostawcą. Ma to swoją cenę: ogranicza wyszukiwanie, współedycję, AI i skanowanie treści, a utrata klucza oznacza utratę dostępu do plików. Bezpieczeństwo i wygoda ciągną tu w przeciwne strony, dlatego to decyzja dla partnera, a nie dla informatyka.

Co daje który pakiet i ile kosztuje?

Zacznijmy od prostej rzeczy: konta prywatne i darmowe skrzynki nie są dobrym wyborem, bo dobre praktyki NRA zalecają standard biznesowy z DPA.

W wyższych pakietach dopłacasz w dużej mierze za kontrolę nad urządzeniami i danymi. Dostęp warunkowy to reguły określające, kto i z jakiego urządzenia może się zalogować. Jeśli nie potrzebujesz go w pakiecie, często wystarczy Microsoft 365 Business Standard lub Google Workspace Business Standard. Ceny poniżej są za użytkownika miesięcznie, przed podatkami, według stanu na 30 października 2026 r.

Oba zestawy pakietów Business mają limit 300 użytkowników. Źródłem funkcji Microsoft jest tabela porównawcza planów. Ceny w złotych mogą się różnić, a DLP Dysku i dostęp kontekstowy w Google wymagają wyższych edycji Enterprise.

Polski adres klienta nie przesądza, gdzie są dane. Dla Microsoft sprawdź zakres EU Data Boundary i jego wyjątki. W Google Business Standard i Plus możesz ustawić region Europa dla objętych danych w spoczynku, co nie obejmuje logów, pamięci podręcznej ani przetwarzania w użyciu. Umowy znajdziesz w DPA Microsoft i CDPA Google. Sama umowa powierzenia nie dowodzi należytej ochrony.

A który dostawca? Microsoft 365 zwykle lepiej pasuje do pracy w Wordzie i Outlooku, a Google Workspace do Gmaila i Dokumentów Google. Sprawdź to na własnych dokumentach. Do licencji doliczysz wdrożenie, ewentualny backup i bieżące utrzymanie.

W jakiej kolejności to zrobić?

Kolejność wynika z celu, a nie z ceny: najpierw to, bez czego kancelaria traci dostęp do własnych dokumentów. Partner zatwierdza, administrator wykonuje. Może nim być zewnętrzny specjalista, co NRA zaleca, gdy kancelarii brakuje wiedzy. Na początek poproś go o nazwę obecnego pakietu, listę użytkowników i opis działającego backupu.

Przy każdym zadaniu piszemy, po czym poznasz, że jest zrobione, bo „mamy to ustawione” to jeszcze nie dowód. Jeśli nie zaznaczamy inaczej, wykonasz je w każdym planie bez dopłaty do licencji, ale czas administratora i tak trzeba policzyć.

Etap 1: żeby nikt nie został bez dostępu

Decyzja o dostawcy. Partner rozstrzyga sprawy z poprzedniego rozdziału: dane, DPA, jurysdykcję i tajemnicę obrończą, a potem zapisuje decyzję. Jeśli wymaga ona dodatkowego szyfrowania, uruchom je przed przesłaniem pierwszego pliku.

Domena i administratorzy. Domena i konta główne powinny pozostać pod kontrolą kancelarii, także gdy administruje nimi ktoś z zewnątrz. Konto administracyjne jest oddzielone od konta codziennej pracy. Sprawdzisz to prosto: kancelaria wie, kto jest abonentem domeny, i ma aktualną listę ról.

Logowanie. Każda osoba pracuje na własnym koncie, z MFA i drugą metodą logowania. Ustal z administratorem awaryjny sposób odzyskania dostępu do kont administracyjnych. Potem przetestuj to na koncie próbnym, udając utratę telefonu. To dokładnie ta próba, której zabrakło przed tamtym piątkowym wieczorem.

Odtwarzanie danych. Backup jest zwykle płatny osobno, ale prawdziwym testem są przywrócony plik i skrzynka, a nie zapewnienie, że kopia istnieje.

Etap 2: żeby dokumenty nie zależały od jednej osoby

Wspólne akta i granice dostępu do spraw. Sprawdź na dwóch kontach, czy do wspólnych akt mają dostęp tylko osoby uprawnione do danej sprawy. Test opisujemy niżej.

Udostępnianie klientowi. Ustal zasady wysyłania plików klientom i sprawdź, czy otwierają je tylko właściwi odbiorcy. Ten test też opisujemy niżej.

Poczta: SPF, DKIM i DMARC. To ustawienia, które utrudniają podszywanie się pod Twoją domenę. Nie wymagają dopłaty do licencji, a ich działanie zobaczysz w nagłówku wiadomości.

Odejście pracownika i retencja. Koszt zależy od wybranego mechanizmu. Zadanie jest zrobione, gdy następca otwiera pliki i pocztę.

Wyjście od dostawcy. Najłatwiej o nim myśleć, zanim będzie potrzebne. CCBE zaleca ustalić przed podpisaniem umowy procedurę odzyskania i przeniesienia danych po jej zakończeniu oraz czytelny format eksportu. Eksport lub migracja to zwykle osobny koszt, więc zrób eksport próbny i sprawdź, czy da się go otworzyć. Plan zakończenia współpracy opisujemy w poradniku o ocenie nowego narzędzia.

Etap 3: gdy podstawy już działają

Urządzenia i dostęp warunkowy. W Microsoft 365 to pakiet Premium, w Google zależy od funkcji. Sprawdź, czy blokada naprawdę działa.

Etykiety, DLP i dodatkowe szyfrowanie. Sprawdź w tabelach, czy Twój pakiet je obejmuje, czy potrzebujesz osobnego narzędzia. Potem przetestuj te funkcje na fikcyjnym pliku.

Ogólne zabezpieczenia opisujemy w tekście o bezpieczeństwie IT kancelarii. Całość możesz odhaczać na karcie przeglądu chmury: zapiszesz w niej ustawienie, wykonawcę, datę, wynik testu i wyjątki, bez akt klientów.

Co sprawdzić jeszcze dziś?

Na to nie trzeba czekać do wdrożenia. Jeśli nie zaglądasz do paneli sam, poproś administratora o trzy odpowiedzi.

Czy wszyscy logują się z MFA? W Microsoft 365 znajdziesz to w Entra admin center: Entra ID, Overview, Properties, Manage security defaults. Te ustawienia są bezpłatne i domyślnie włączone w nowych środowiskach. Wymagają rejestracji MFA przez wszystkich, a moment wymuszenia logowania zależy od polityki. W Google zajrzyj do konsoli administratora: Security, Authentication, 2-step verification.

Co może wyjść poza kancelarię? W Microsoft 365 to SharePoint admin center: Policies, Sharing. Domyślny poziom organizacji dopuszcza linki Anyone. W Google to konsola administratora: Apps, Google Workspace, Drive and Docs, Sharing settings, Sharing options. Domyślny dostęp ogólny nowych elementów w Moim dysku to Restricted, co nie zastępuje przeglądu udostępniania zewnętrznego.

Kto jest administratorem? W Microsoft 365 sprawdzisz to w Microsoft 365 admin center: Role assignments. Microsoft zaleca jak najmniej administratorów globalnych. W Google to konsola administratora: Account, Admin roles. Jeśli na liście jest ktoś, kto dawno przestał pracować z kancelarią, masz pierwsze zadanie.

Nazwy menu podajemy po angielsku, bo tak opisuje je dokumentacja dostawców. Układ paneli może się zmienić.

Jak ułożyć dokumenty i dostęp do spraw?

Akta powinny należeć do kancelarii, a nie do czyjegoś konta. W Microsoft 365 ich miejscem jest SharePoint, z osobnymi witrynami lub bibliotekami, a OneDrive zostaje do pracy osobistej. W Google są to dyski współdzielone, a „Mój dysk” nie powinien być głównym miejscem na akta. Dzięki temu dokumenty nie znikają razem z kontem jednej osoby.

Uprawnienia nadawaj przez grupy i ustal, które sprawy wymagają węższego dostępu niż cały zespół, na przykład rodzinne, karne lub pracownicze. Sprawdzisz to na dwóch kontach: osoba przypisana do sprawy otwiera folder, a nieprzypisana nie otwiera folderu ani pliku przez bezpośredni adres i nie znajduje ich w wyszukiwarce. Przed włączeniem Copilota lub Gemini powtórz test na wybranych przypadkach. Nie dowodzi on szczelności wszystkich uprawnień, ale szybko pokazuje oczywiste błędy.

Pamiętaj też o rozmowach, bo one również zawierają tajemnicę. Ustal, kto może zapraszać gości do Teams lub Meet, gdzie trafiają nagrania i transkrypcje oraz co dzieje się z kanałem po zakończeniu sprawy.

Jak udostępnić plik klientowi?

Klient prosi o umowę, a najszybciej jest wysłać link i wrócić do pracy. Tyle że w SharePoint link Anyone nie wymaga logowania, a dostępu nim nie da się audytować. To trochę jak zostawienie teczki na recepcji: otworzy ją każdy, kto do niej dotrze, a Ty nie dowiesz się, kto to był.

Lepszy jest link dla wskazanych osób, działający przez uzasadniony czas:

1. Potwierdź adres klienta i wybierz pojedynczy plik zamiast całego folderu.
2. Nadaj dostęp wskazanemu odbiorcy z minimalnymi uprawnieniami.
3. Zapisz termin cofnięcia dostępu i osobę, która to zrobi.
4. Na fikcyjnym dokumencie sprawdź: odbiorca otwiera plik, inne konto go nie otwiera, a cofnięcie działa.

Cofnięcie dostępu nie usuwa kopii, które odbiorca już pobrał. NRA nie zaleca przekazywania danych darmowymi narzędziami bez standardów biznesowych. Zaszyfrowany plik i hasło przekazuj różnymi kanałami.

Co z kopią zapasową?

„Mamy wszystko w chmurze” nie znaczy „mamy kopię”. Backup umożliwia odtworzenie danych do wybranego stanu po awarii lub usunięciu, a retencja, wersjonowanie i synchronizacja mają inne cele i ograniczenia. Microsoft 365 Backup obejmuje OneDrive, SharePoint i Exchange Online, a jego cena katalogowa to 0,15 USD za GB miesięcznie. Google wyjaśnia, że Vault nie jest narzędziem backupu.

Dobre praktyki NRA zalecają regularną dodatkową lokalną kopię danych z usług online oraz plan ciągłości działania. Zewnętrzny backup to kolejny dostawca, więc wymaga tej samej oceny. Osobno ustal, jak długo zachowujesz akta i pocztę po zakończeniu sprawy, bo przechowywanie wszystkiego bez końca kłóci się z minimalizacją danych. Sprawdzenie krok po kroku opisujemy w tekście OneDrive a backup dokumentów.

Co się dzieje po odejściu pracownika?

Tu chmura ma zegar, o którym łatwo nie wiedzieć. Ogólną procedurę opisujemy w poradniku o odejściu pracownika, a poniżej terminy, które warto mieć pod ręką:

• OneDrive. Po usunięciu konta domyślnie masz 30 dni na dostęp. Blokada logowania i odebranie licencji nie uruchamiają tego czyszczenia, ale OneDrive bez licencji jest archiwizowany w 93. dniu.
• Skrzynka Exchange. Standardowy okres odzyskania usuniętej skrzynki to 30 dni. Nie traktuj go jako archiwum i przed usunięciem sprawdź retencję. Konwersja na skrzynkę współdzieloną zachowuje pocztę, ale stare hasło nadal działa, więc je zresetuj. Bez licencji limit to 50 GB.
• Google. Konto można przywrócić do 20 dni od usunięcia. Wcześniej przenieś własność plików albo zarchiwizuj konto, jeśli dane mają zostać.

Zanim usuniesz konto, sprawdź to po stronie następcy: czy otwiera pliki i pocztę. Blokada logowania w Microsoft może działać dopiero po 24 godzinach, więc wyloguj też aktywne sesje.

Wracamy do zgubionego telefonu

Załóżmy, że po tamtym weekendzie partner siada wreszcie do porządków. Cztery osoby pracują w Wordzie i Outlooku na Microsoft 365 Business Standard, a dwie otwierają akta także na prywatnych laptopach. Partner przechodzi przez etap 1 i zapisuje decyzję:

Zostajemy przy Microsoft 365 i zapisujemy ocenę jurysdykcji. Sprawy karne pozostają poza usługą do czasu decyzji o szyfrowaniu. Przechodzimy na Business Premium, bo potrzebujemy dostępu warunkowego i kontroli urządzeń. Dokupujemy backup i robimy lokalną kopię. Zmiany wprowadzimy, gdy sprawdzimy odzyskanie konta, udostępnienie i odtworzenie pliku. Ja za to odpowiadam. Za rok sprawdzimy wszystko ponownie.

Policzmy to. Standard to 4 × 14 × 12 = 672 USD rocznie, Premium 4 × 22 × 12 = 1056 USD, czyli 384 USD więcej. Przy przyjętych 200 GB Microsoft 365 Backup kosztowałby 360 USD rocznie. Do tego dochodzi praca przy wdrożeniu. Standard może wystarczyć, jeśli kancelaria zapewnia potrzebne zabezpieczenia urządzeń innymi środkami i nie potrzebuje funkcji Premium.

Czego nie musisz kupować od razu

Tabele pakietów potrafią onieśmielić, bo każdy wyższy plan obiecuje więcej. Tymczasem gdy zespół jest mały, zabezpiecza urządzenia innymi środkami i ma uporządkowane konta, MFA, linki oraz sprawdzone odtwarzanie, droższy pakiet nie jest pierwszym krokiem.

Etykiety poufności mają sens, gdy zespół będzie je rzeczywiście nadawał. Zacznij od kilku poziomów poufności. Rodzaj danych, na przykład dane o zdrowiu, oznacz osobno. DLP może ostrzegać przed ryzykowną wysyłką, ale daje też fałszywe alarmy i wymaga obsługi. eDiscovery i legal hold rozważ, gdy masz takie obowiązki w konkretnych sprawach, a virtual data room przy wybranych transakcjach, zwłaszcza due diligence.

Czasem rozwiązaniem nie jest wyższy pakiet, tylko inne środowisko dla części spraw. Warto je rozważyć, gdy po ocenie ryzyko jurysdykcji albo tajemnicy obrończej jest dla kancelarii nie do przyjęcia. Przed włączeniem AI sprawdź zasady Copilota lub Gemini i zasady opisane w tekście ChatGPT a tajemnica zawodowa.

Kto trzyma klucze?

Cennik się zmieni, a panele dostaną nowe nazwy. Pytania zostaną te same: kto trzyma klucze do kancelarii, kto widzi akta i czy dokumenty da się odzyskać.

Żeby spokojnie przejść przez tamten piątkowy wieczór, partner nie potrzebował droższego pakietu. Potrzebował drugiej metody logowania i kogoś, kto wie, kto ma dostęp do domeny. Jedno i drugie da się ustawić w każdym z opisanych pakietów.

Źródła i dalsza lektura

Materiały sprawdzone 30 października 2026 r. Ceny i funkcje pakietów często się zmieniają. To poradnik technologiczny i organizacyjny o charakterze ogólnym, a nie opinia prawna. Dopuszczalność przechowywania konkretnych akt ocenia prawnik kancelarii. Dobre praktyki NRA, rekomendacje KIRP i wytyczne CCBE nie są aktami prawa powszechnie obowiązującego.

• NRA: Dobre praktyki cyberbezpieczeństwa, II wydanie, uchwała nr 25/2025.
• Kodeks Etyki Adwokackiej, tekst jednolity z 23.06.2026.
• KIRP: rekomendacje „AI w pracy radcy prawnego”, 2025.
• CCBE: Guidelines on the use of cloud computing by Bars and lawyers, 27.02.2025.
• Prawo o adwokaturze, art. 6 i ustawa o radcach prawnych, art. 3.
• RODO i rozporządzenie (UE) 2023/1543.
• Microsoft: plany i ceny, porównanie planów, DPA.
• Google: cennik, porównanie edycji, CDPA.

FAQ: chmura dla kancelarii

Czy kancelaria może korzystać z Microsoft 365 albo Google Workspace?

Może to rozważyć po ocenie tajemnicy zawodowej, umowy z dostawcą, lokalizacji danych i jurysdykcji. Dobre praktyki NRA zalecają usługi w standardzie biznesowym z umową powierzenia. Oceny dla konkretnej kancelarii nie zastąpi sam zakup pakietu.

Który pakiet wybrać dla małej kancelarii?

Jeśli nie potrzebujesz w pakiecie dostępu warunkowego ani zarządzania urządzeniami, często wystarczy Microsoft 365 Business Standard lub Google Workspace Business Standard. Microsoft 365 Business Premium rozważ dla dostępu warunkowego i zarządzania urządzeniami. Google Workspace Business Plus daje zaawansowane zarządzanie urządzeniami i Vault, ale nie obejmuje dostępu kontekstowego. Wybór zależy od sposobu pracy i ryzyka.

Czy dane w UE wykluczają dostęp organów z innych państw?

Nie. Lokalizacja w UE jest ważnym elementem oceny, ale nie rozstrzyga kwestii jurysdykcji dostawcy. Microsoft i Google należą do grup amerykańskich, więc tę możliwość trzeba ocenić i zapisać decyzję.

Czy Microsoft 365 albo Google Workspace robią backup danych kancelarii?

Oba mają mechanizmy retencji i odzyskiwania, ale ich zakres trzeba sprawdzić. Microsoft 365 Backup jest osobną, płatną usługą, a Google wyjaśnia, że Vault nie jest narzędziem backupu. Dobre praktyki NRA zalecają dodatkową lokalną kopię danych z usług online.

Czy kancelaria powinna blokować linki publiczne?

Publiczne linki nie powinny być domyślnym sposobem udostępniania poufnych dokumentów. Link dostępny dla każdego w SharePoint nie wymaga logowania, a dostępu przez taki link nie da się audytować. Dostęp kieruj do wskazanych odbiorców i odbieraj go po ustaniu potrzeby.

Czy przed włączeniem Copilota albo Gemini trzeba uporządkować chmurę?

Tak, jeśli narzędzie ma korzystać z dokumentów kancelarii. Copilot w Microsoft 365 korzysta z danych dostępnych dla użytkownika, więc zbyt szerokie uprawnienia mogą pokazać mu treści, których nie powinien widzieć.