A revista norte-americana Slate publicou em agosto de 2026 uma reportagem sobre organizações sem fins lucrativos (ONG) que afirmam ter perdido o acesso a dados armazenados na Microsoft na sequência da descontinuação de determinadas licenças gratuitas. O caso ganhou rapidamente repercussão internacional, com referências a cerca de 170 mil organizações potencialmente afectadas.

A CpC confrontou as afirmações da reportagem com várias outras fontes. E concluiu que o caso deve ser encarado com alguma cautela: a descontinuação das licenças está confirmada; existem relatos de perda de acesso ou de dados; mas o número de 171 mil organizações e a explicação técnica exata para a eliminação dos dados e licenças não foram ainda confirmados formalmente pela Microsoft.

O que conseguimos confirmar:

1. A Microsoft anunciou em 14 de maio de 2025 que iria descontinuar, para ONGs, as ofertas gratuitas de Microsoft 365 Business Premium e Office 365 E1 distribuídas através dos canais CSP e Web Direct. A alteração aplicar-se-ia à renovação seguinte de cada organização ocorrida em ou depois de 1 de julho de 2025.

2. O Microsoft 365 Business Premium disponibilizava até 10 licenças gratuitas para organizações elegíveis. A alteração não significou o fim das ofertas Microsoft para o setor social: a Microsoft manteve até 300 licenças gratuitas de Microsoft 365 Business Basic e passou a disponibilizar descontos de até 75% em várias ofertas, incluindo Business Premium e Office 365 E1.

3. Esta diferença é relevante neste contexto. O Business Basic permite utilizar as versões Web e móveis das aplicações Microsoft 365 e inclui serviços como OneDrive, SharePoint, Exchange Online e Teams, mas não oferece as aplicações de ambiente de trabalho do Office que estavam incluídas no Business Premium. O Business Premium acrescentava também funcionalidades de segurança e gestão de dispositivos.

4. A Microsoft não deixou, portanto, de oferecer tecnologia gratuitamente às ONG. O que terminou foi uma parte específica do modelo de licenciamento gratuito.

Quantas organizações foram afectadas?

1. A Microsoft referiu publicamente números próximos de 400 mil ONGs sem fins lucrativos abrangidas por este modelo de licenciamento. A própria Microsoft continua a referir que trabalha com mais de 400 mil organizações sem fins lucrativos a nível mundial (incluindo um número desconhecido em Portugal). Este número não significa, contudo, que 400 mil organizações tenham perdido os seus dados.

2. O número de aproximadamente 171 mil organizações que aparece nas notícias tem uma origem diferente. Segundo a reportagem da Slate, Ronald Khosla, responsável pela organização ambiental Canopy, contactou o suporte depois de descobrir que os seus dados tinham desaparecido. Um representante terá dito telefonicamente que aproximadamente 171 mil organizações sem fins lucrativos tinham perdido dados do OneDrive. Essa informação foi posteriormente reproduzida por outras publicações.

3. Não foi encontrada uma declaração pública da Microsoft que confirme os 171 mil como número de organizações que efetivamente perderam dados ou acessos. Também não é claro se se tratou de uma anomalia ou erro ou se o resultado de uma alteração ao nível do licenciamento Microsoft 365 alocado a estas ONGs.

Assim sendo, a formulação correta não deve ser “a Microsoft apagou os dados de 171 mil ONGs”. A formulação correcta deverá antes ser que “existem relatos de perda de dados e uma estimativa de aproximadamente 171 mil organizações afetadas, transmitida por um representante da Microsoft a uma das organizações que experimentaram a situação, mas este número não foi confirmado publicamente pela empresa”: o que é muito diferente…

Existem casos reais de perda de dados:

1. O facto de o número exacto de ONGs afetadas estar por confirmar não significa que o problema não aconteceu. Pelo contrário: há relatos credíveis de que existe um problema com o licenciamento Microsoft 365 para ONGs. Entre estas destaca-se o caso da reportagem da Slate que listou várias que afirmam ter perdido dados armazenados no OneDrive. Entre os casos está a Canopy, cujo responsável afirma ter encontrado os ficheiros eliminados em junho de 2026, apesar de uma comunicação anterior da Microsoft indicar que a subscrição estaria válida até 4 de outubro de 2026. Outro caso envolve uma organização dedicada à saúde infantil, cujo responsável afirmou ter perdido cerca de 500 GB de dados. Existem também relatos semelhantes em fóruns da própria Microsoft e em comunidades de administradores de sistemas.

O que aconteceu?

A documentação actual da Microsoft ajuda a perceber porque é que a hipótese de “apagamento imediato” de dados não deve ser generalizada a todas as ONGs.

1. Para a maioria das subscrições empresariais, quando uma subscrição termina, existe uma sequência de estados: ativa, expirada, desativada e, por fim, eliminada. Na configuração documentada pela Microsoft, o estado “Expirado” prolonga-se normalmente por 30 dias e o estado seguinte, o “Desativado” por outros 90 dias. Durante este último período, os utilizadores deixam de ter acesso normal, mas os administradores ainda podem aceder aos dados e realizarem cópias de segurança. Isto significa que, em circunstâncias normais, a simples não renovação de uma subscrição não corresponde necessariamente à eliminação imediata e sem recuperação dos dados.

2. Existe, contudo, uma excepção importante. A Microsoft afirma expressamente que, se uma subscrição for eliminada explicitamente, em vez de simplesmente expirar, o processo pode ignorar os estados “Expirado” e “Desativado”. Neste caso, os dados e conteúdos do SharePoint Online, incluindo o OneDrive, são eliminados imediatamente. É precisamente esta distinção que torna o caso Canopy particularmente relevante.

Segundo os relatos, a organização tinha uma confirmação de renovação que indicava validade até outubro de 2026, mas os seus dados foram eliminados em junho. Isto não é explicado pelo ciclo normal de expiração documentado pela Microsoft. A confiar no relato: algo de diferente se passou.

É possível que tenha ocorrido um erro no processo administrativo específico associado à migração das licenças. Mas, sem documentação técnica da Microsoft ou uma análise independente dos tenants afectados, não é possível saber o que aconteceu, se aconteceu a mais organizações e, sobretudo, se vai acontecer a mais.

A Microsoft tinha avisado as organizações?

1. A Microsoft afirma que começou a notificar as organizações afetadas durante a primavera de 2025 e que forneceu apoio durante o período de transição.

Existem, contudo, relatos de organizações que afirmam não ter recebido ou não ter identificado esses avisos.

2. Há também relatos de mensagens dirigidas a contas administrativas que não eram acompanhadas regularmente, que não tinham licenciamento Exchange e de notificações que terão caído em pastas de spam. Isto é um problema operacional, mas não permite concluir que a Microsoft não tenha enviado as notificações previstas.

E na Europa?

1. Não foi possível identificar, nas fontes públicas consultadas, um caso europeu documentado com o mesmo nível de detalhe do caso da Canopy e que permita confirmar uma perda total de dados resultante desta alteração.

Isso não significa que não existam…

2. A alteração do programa teve alcance internacional e a Microsoft disponibilizou materiais de transição em várias línguas europeias, incluindo francês, alemão, espanhol e holandês. A TechSoup também confirmou que as ofertas Business Premium e Office 365 E1 deixaram de ser doações a partir de julho de 2025, embora continuassem disponíveis a preços descontados para organizações sem fins lucrativos.

3. A CpC conhece pelo menos um caso de utilização deste licenciamento a quem a Microsoft enviou o alerta:

“Your Microsoft 365 Business Premium grant is being discontinued

Your Microsoft 365 Business Premium grant will expire in approximately three months on July 14, 2026.
If you’ve already taken action to transition your users from the legacy Microsoft 365 Business Premium grant to another Microsoft 365 offer for nonprofits, you can disregard this reminder. 
The Microsoft 365 Business Premium grant has been discontinued. Your licenses will expire on your next renewal  July 14, 2026. We will continue to provide up to 300 granted licenses of Microsoft 365 Business Basic and discounts of up to 75% on many Microsoft 365 offers to nonprofits, including Microsoft 365 Business Premium and Microsoft 365 Business Standard.
We strongly advise transitioning your users to a different Microsoft 365 offer for nonprofits before the subscription is canceled to avoid disruption and data loss. Learn more about what happens to your data and access when your subscription ends.”
Mas, neste caso, não havendo uso de licenças Premium (apenas Basic) não houve impacto.

4. A ausência de casos públicos portugueses ou europeus identificados pela CpC com perda de dados ou acesso não significa que não tenham acontecido ou que o risco seja igual a zero.

O que significa isto para uma ONG portuguesa?

Uma organização portuguesa que trate dados pessoais é, em regra, responsável pelo tratamento desses dados. Quando usa a Microsoft para efetuar determinados tratamentos por sua conta, a Microsoft poderá actuar como subcontratante, nos termos do artigo 28.º do RGPD, dependendo da operação concreta e da configuração contratual.

A utilização de um serviço cloud não transfere automaticamente para o fornecedor toda a responsabilidade jurídica do responsável pelo tratamento.

O artigo 32.º do RGPD exige que o responsável pelo tratamento e o subcontratante implementem medidas técnicas e organizativas adequadas ao risco. Entre essas medidas está a capacidade de assegurar a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico.

Isto não significa que o RGPD imponha literalmente uma determinada arquitetura de backup ou que uma cópia tenha obrigatoriamente de estar fora da Microsoft.

Significa, isso sim, que uma organização que dependa exclusivamente de uma única conta ou subscrição cloud deve conseguir demonstrar que possui mecanismos adequados para recuperar os dados de que necessita.

Se ocorrer uma perda de dados pessoais, poderá existir também uma obrigação de notificação à autoridade de controlo e, em determinadas circunstâncias, aos titulares dos dados. Essa obrigação depende da existência de uma violação de dados pessoais e da avaliação do risco resultante do incidente. Não existe uma obrigação automática de notificação por cada perda de ficheiros.

O mais importante: Microsoft 365 não é um sistema de backup

Esta é provavelmente a conclusão mais importante deste caso:

1. Uma organização não deve confundir armazenamento cloud, histórico de versões, reciclagem ou mecanismos de retenção com uma estratégia completa de cópias de segurança. Se a totalidade da informação de uma organização estiver dependente de uma única subscrição, uma alteração de licenciamento, erro administrativo, comprometimento da conta ou outro incidente pode transformar um problema operacional num problema grave de continuidade.

2. Uma cópia independente, para fora do ecosistema Microsoft 365 reduz esse risco: A regra 3-2-1 continua a ser uma referência útil: várias cópias dos dados, em diferentes suportes ou localizações, mantendo pelo menos uma cópia suficientemente independente do sistema principal para continuar disponível perante um incidente que afete esse sistema. O Centro Nacional de Cibersegurança identifica igualmente a inexistência de cópias de segurança como uma vulnerabilidade relevante no seu Guia para Gestão dos Riscos em matérias de Segurança da Informação e Cibersegurança.

O que devem fazer as organizações sem fins lucrativos portuguesas que usam este licenciamento Microsoft 365?

1. Identificar exactamente que licenças a organização possui e qual é a sua data de renovação. Não basta saber que a organização “tem Microsoft 365”. É necessário saber se existem licenças doadas, licenças descontadas e que serviços e utilizadores estão associados exatamente a cada uma.

2. Manter uma cópia de segurança independente dos dados críticos. Contactos de beneficiários, informação financeira, documentação jurídica, atas, candidaturas, contratos e outros documentos essenciais não devem depender exclusivamente da continuidade de uma única subscrição.

3. Testar periodicamente a recuperação. Uma cópia que nunca foi restaurada é uma expectativa, não uma garantia.

4. Garantir que as contas administrativas do Microsoft 365 são efectivamente monitorizadas. Os avisos relativos a licenciamento, segurança e alterações de serviço podem ser enviados para contas administrativas que raramente são consultadas.

5. Manter um inventário simples dos activos digitais críticos: onde estão os dados, quem administra cada sistema, que fornecedor é usado, que contas têm privilégios administrativos (“global admin”) e como os dados podem ser recuperados se o serviço principal deixar de estar disponível.

6. Nunca assumir que uma oferta gratuita é permanente! Uma empresa, como a Microsoft, pode alterar as condições comerciais de um programa de doação. O facto de uma organização ter construído processos internos em torno de uma oferta gratuita não transforma essa oferta num direito adquirido.

7. Considerar a diversificação quando a informação for particularmente crítica. Isto não significa necessariamente abandonar o Microsoft 365. Pode significar utilizar uma solução de backup independente, manter cópias offline ou estudar alternativas tecnológicas para determinadas categorias de informação.

E em Portugal?

Até ao momento, a CpC não identificou nenhuma ONG portuguesa que tenha confirmado ter perdido todos os seus dados devido a este problema.

As notícias publicadas em Portugal e no espaço lusófono que foram analisadas reproduzem essencialmente a informação da Slate e os relatos internacionais. A TugaTech, por exemplo, relata os casos internacionais e a estimativa de 171 mil organizações, mas não identifica uma organização portuguesa afectada.

A situação merece, contudo, ser investigada e seguida de perto.

A CpC convida organizações portuguesas que tenham utilizado estas licenças e que tenham passado por uma desactivação, perda de acesso, perda de dados ou simplesmente uma alteração inesperada de licenciamento a comunicar o caso.

Mesmo que não tenha ocorrido perda de dados, esses testemunhos podem ajudar a perceber como funcionou efectivamente a transição em Portugal.

Conclusão:

Até ao momento não podemos afirmar, com segurança, que “a Microsoft apagou os dados de 171 mil ONGs”.

Mas há preocupações legítimas e cuidados reforçados a ter:

1. A Microsoft terminou uma importante modalidade de licenciamento gratuito (“Premium”) para organizações sem fins lucrativos. A alteração foi anunciada em 2025 e afetou organizações em todo o mundo. Existem vários relatos de perda de acesso a dados e pelo menos alguns casos em que organizações afirmam ter perdido ficheiros de forma permanente. A estimativa de aproximadamente 171 mil organizações afetadas por perda de dados foi atribuída a um representante da Microsoft, mas não foi publicamente confirmada pela empresa.

2. A documentação da Microsoft demonstra igualmente que o simples fim de uma subscrição não implica normalmente eliminação imediata dos dados. Por isso, os casos em que dados foram efetivamente eliminados antes da data de validade comunicada merecem esclarecimento adicional.

3. Os dados críticos de uma ONG não devem depender exclusivamente de uma conta cloud gratuita, nem de um único fornecedor. A tecnologia pode ser oferecida gratuitamente pela Microsoft ou outra organização. A responsabilidade pela continuidade da organização não…

A CpC continuará a acompanhar este caso e convida organizações portuguesas que tenham sido afectadas a partilhar informação documentada, de modo a permitir determinar se os problemas identificados nos EUA tiveram também expressão em Portugal.