Microsoft va esborrar dades abans que vencés el termini, i no pot dir quines

El que no es pot recuperar és greu. El que no es pot ni enumerar és una altra cosa. El 28 de setembre del 2026, The Register va explicar que Microsoft havia esborrat dades de subscripcions caducades del seu programa per a entitats sense ànim de lucre abans que acabés el termini de retenció, que els intents de recuperació havien fallat i que de moment tampoc no podia dir a cada entitat quines dades van poder esborrar-se —ni tan sols si s'havia esborrat res seu.

El context és una retirada de catàleg ordinària. La subvenció de Microsoft 365 Business Premium per a entitats sense ànim de lucre —deu llicències gratuïtes— es va anunciar com a discontinuada en la següent renovació a partir de l'1 de juliol del 2025, amb la recomanació habitual: passa els usuaris a un altre pla abans de la cancel·lació, o exporta el que vulguis conservar. Res de polèmic. El que va fallar va ser el rellotge. En un correu a una entitat afectada, Microsoft va reconèixer que, «per un error», havia esborrat les dades restants abans que es tanqués la finestra de retenció i exportació. La compensació oferta és una sessió gratuïta amb un especialista per muntar l'entorn nou.

Aquest termini que va fallar és, per a moltíssimes pimes, l'única xarxa de seguretat que tenen quan una subscripció s'acaba. I fa anys que és més curt i més condicional del que la gent es pensa. Llegim-lo sencer.

El compte enrere oficial, i el seu asterisc

La pàgina de Microsoft Learn que descriu què passa quan una subscripció d'empresa s'acaba (revisió del 8 de juny del 2026) defineix quatre estats i els encadena així: Active > Expired > Disabled > Deleted. Per a la majoria d'ofertes i països, 30 dies a Expired i 90 dies a Disabled. A Expired tothom continua treballant amb normalitat. A Disabled, els usuaris deixen d'entrar i les dades passen a ser accessibles «to admins only»: l'administrador encara les pot treure. Després, Deleted, que la mateixa taula descriu com «Data is deleted and Microsoft Entra ID is removed, if not in use by other services».

Cent vint dies. És el número que gairebé tothom del sector porta al cap, i no va desencaminat. El que no se sol llegir és l'asterisc que la mateixa taula posa sobre Expired i Disabled: «For most offers, in most countries/regions». No és un compromís de servei amb una penalització al darrere. És una descripció del comportament habitual del producte, amb el marge declarat per escrit.

I la mateixa pàgina, al primer paràgraf, abans de cap taula, diu això: «If you're leaving Microsoft 365, we recommend that you back up your data before it gets deleted». Qui escriu la documentació del producte ja sap per a què serveix el comptador. El comptador és el temps que tens per treure les coses, no un magatzem.

El comptador ja s'havia escurçat, i la taula no se'n va assabentar

En aquesta mateixa pàgina hi ha una nota curta, d'aquelles que es llegeixen en deu segons i canvien una xifra que molta gent dona per fixa: «As of February 9, 2026, the Expired lifecycle state no longer applies to license-based subscriptions bought directly through a Microsoft Customer Agreement (MCA)».

Si compres per llicència i directe a Microsoft sota Acord de Client, aquest estat ja no existeix per a tu. La nota no diu quin encadenat queda ni quants dies: la taula de durades de la mateixa pàgina continua posant 30 més 90 per a «tots els terminis de subscripció», sense excepció escrita. Llegit literalment, desapareixen els 30 dies d'Expired i queden els 90 de Disabled — aquesta resta és lectura nostra, no una xifra que Microsoft publiqui. I els trenta que marxen són precisament aquells en què els usuaris continuaven entrant amb normalitat, és a dir, aquells en què algú de l'organització se n'hauria adonat que passava alguna cosa. El que queda és el tram en què només hi entra l'administrador. El mateix administrador que, en una entitat petita, moltes vegades és la persona que ja no hi és.

I siguem justos amb el matís, que és a la mateixa pàgina i al qual remet la mateixa nota: per a les subscripcions comprades sota un compte de facturació MCA existeix l'Extended Service Term, que dona temps addicional al final del termini «without any service disruption» fins a cancel·lar o convertir. Dit d'una altra manera: el matalàs no desapareix, deixa de ser automàtic. El que abans hi era per defecte ara s'ha de demanar, i qui no ho demani es queda amb l'encadenat curt.

El comptador, a més, no és un, en són uns quants. Qui compra per programa de llicències per volum amb contracte plurianual té 90 dies d'Expired més 90 d'Inactive, no 30 més 90. Qui compra a través d'un CSP es regeix pels estats del cicle de vida de Partner Center, que són uns altres. La mateixa documentació avisa que les durades «might differ» i que cal confirmar-les amb el partner o amb l'equip de compte. És a dir: la pregunta «quants dies tinc?» no té una resposta general. Té una resposta per contracte, i convé saber-la abans de necessitar-la.

Hi ha un botó que el posa a zero

El compte enrere és fràgil per una raó anterior a l'error del setembre: el mateix producte ofereix dreceres documentades per saltar-se'l, i totes s'activen des del panell d'administració amb la mateixa facilitat amb què es canvia un pla:

Cap d'aquests quatre punts no és un defecte. Estan escrits, són coherents i segurament són el que la majoria de clients vol la majoria de vegades. El problema és d'un altre ordre: quatre camins diferents porten a «les dades ja no hi són», i els quatre es recorren sense que ningú signi res. Del que passa quan el rellotge depèn que una llicència concreta continuï viva al tenant ja en vam escriure parlant de la retirada de Project Online, que tenia el seu propi comptador d'esborrat; aquest post va d'una altra cosa, del comptador genèric que hi ha sota de tota subscripció.

El dany que ningú no comptabilitza: no hi ha llista

Tornem al cas. El que de debò hauria de treure la son, més enllà que les dades no es puguin recuperar, és que Microsoft va dir que de moment no pot lliurar un llistat de quines dades van poder esborrar-se, ni confirmar a una entitat concreta si va perdre res o no. Les paraules importen: no és una negativa, és un «ara mateix no podem», i a hores d'ara continua sent el que hi ha.

Si en aquelles bústies i en aquells OneDrive hi havia dades personals —i en una entitat amb socis, donants o usuaris atesos, n'hi havia—, som davant del que l'article 4.12 del RGPD defineix com a violació de seguretat (citem la versió oficial espanyola, que no en té de catalana): «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma […]». Destrucció accidental. És literalment a la definició. No cal que hi hagi un atacant: perdre les dades és una bretxa igual que filtrar-les.

I llavors arriben dues obligacions que van en direccions incòmodes. L'article 33.1 obliga a notificar-ho a l'autoritat de control sense dilació indeguda i, si és possible, en 72 hores des que se'n té constància, llevat que sigui improbable que la violació suposi un risc per als drets i llibertats de les persones. I aquí hi ha la gràcia: per decidir si és improbable cal saber què s'ha perdut. El 33.5 és el que aquí fa mal: «El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas». Els fets i els seus efectes. És a dir: què s'ha perdut, de qui i quant. Aquesta és la frase que converteix «no tinc còpia» en un problema legal i no només operatiu, perquè sense una font pròpia no hi ha manera de reconstruir l'abast. El responsable del tractament ets tu; l'encarregat és el proveïdor. I l'encarregat acaba de dir que no té la llista.

D'aquí surt la idea que repetim sempre que lliurem un tenant i que aquest cas ensenya millor que qualsevol argumentari: una còpia externa no és només capacitat de restaurar; és l'únic inventari del que tenies. El catàleg de la còpia d'ahir a la nit —bústies, llocs, nombre d'elements, dates— és el document amb què es respon a l'article 33.5. Sense ell, la resposta a l'autoritat de control comença per «no ho sabem», i aquesta frase no millora amb el temps.

Esborrar al final del servei és la clàusula

Convé dir-ho sense giragonses, perquè el titular convida al contrari. Que un proveïdor esborri les teves dades quan s'acaba la prestació no és una negligència: és exactament el que l'article 28.3.g del RGPD exigeix a l'encarregat del tractament, que «a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación […]». Un proveïdor que conservés indefinidament les dades de clients que han marxat estaria incomplint.

El que va fallar al setembre va ser el quan, no el què. I aquesta distinció importa per decidir què fas dilluns. Si el problema fos «Microsoft és descurat», la resposta seria canviar de proveïdor, i no ho és: qualsevol encarregat seriós té la mateixa clàusula i el mateix botó. Si el problema és «la meva única còpia viu dins del sistema que té l'obligació contractual d'esborrar-la», la resposta és treure una còpia a fora. És una conclusió molt menys èpica i bastant més útil.

Cinc preguntes que fem en entrar en un tenant

Això és el que revisem en un tenant quan hi entrem, i el que deixem escrit al lliurament. Cinc preguntes amb resposta concreta o sense resposta, i les que no en tenen s'anoten com a tals.

Els límits del que acabem de dir

No sabem quantes entitats es van veure afectades: no s'ha publicat cap xifra; el que la cobertura sí que recull és que Microsoft no pot determinar quina informació concreta es va veure afectada. A 4 d'octubre del 2026 no coneixem cap informe públic d'incident del mateix fabricant sobre aquest cas; el que se sap ve de la correspondència amb entitats afectades recollida per la premsa, i ho tractem com a tal. Això afecta un programa concret de subvenció per a entitats sense ànim de lucre, no és una fallada general de Microsoft 365, i seria deshonest vendre-ho així. Els números de dies que hem citat surten de la documentació en la seva revisió del 8 de juny del 2026 i poden canviar: la pàgina que mana és la del teu contracte, no aquest post.

I el conflicte d'interès, al davant: everyWAN ven còpies gestionades de Microsoft 365. Un post que acaba dient «contracta una còpia externa» escrit per qui les ven s'ha de llegir amb aquesta cautela. La part comprovable és la que hem citat entre cometes; la resta és criteri nostre, i el pots aplicar amb nosaltres o sense nosaltres.

Fonts (verificades el 4 d'octubre del 2026): l'esborrat anticipat de dades de subscripcions caducades del programa per a entitats sense ànim de lucre, el reconeixement de Microsoft que va passar «due to an error», la impossibilitat de recuperar les dades i la declaració que de moment no pot lliurar un llistat de quines dades van poder esborrar-se, i la sessió gratuïta de «concierge» oferta — informació original de The Register (28 de setembre del 2026), recollida per TechRadar Pro (1 d'octubre del 2026) i ITdaily (29 de setembre del 2026). Els estats del cicle de vida (Active > Expired > Disabled > Deleted), les durades de 30 i 90 dies amb la seva nota «For most offers, in most countries/regions», la nota del 9 de febrer del 2026 sobre l'estat Expired i els Acords de Client, l'Extended Service Term per a comptes de facturació MCA, les durades de llicències per volum, l'esborrat immediat de SharePoint i OneDrive en eliminar explícitament una subscripció, el termini de 90/180 dies després de cancel·lar, l'esborrat permanent en acabar una prova i la frase «we recommend that you back up your data before it gets deleted» — «What happens to my data and access when my Microsoft 365 for business subscription ends?», Microsoft Learn, revisió del 8 de juny del 2026. Els articles 4.12, 28.3.g, 33.1 i 33.5 — Reglament (UE) 2016/679 (RGPD). Fotografia de portada: «LTO-6 tape drive & IBM TS3500 slots», de vaxomatic, Wikimedia Commons, llicència CC BY 2.0.