Citlivá část dat je na mém účtu s administrátorskými právy

pokud to potřebuje, může mít brigádník přístup jen pro čtení, jinak vůbec ne.
nastaví se práva pro skupinu "users" - článek asi předpokládá normální "pro" verzi. u "home" se dá ke kartě zabezpečení dostat v nouzovém režimu.

pod omezeným účtem normálně dělám, případný vir by tak dědil moje omezená práva. když se potřebuju dostat jinam nebo spustit instalačku (z prověřených zdrojů nebo aspoň zkontrolovanou na virustotal), spustím zástupce samostatného správce souborů jako admin a pod ním se dostanu všude:

C:\WINDOWS\system32\runas.exe /profile /user:%computername%\administrator "C:\Program Files\Altap Salamander\salamand.exe"

ale jako admin z něj zásadně nespouštím viry, to není dobrý zvyk.

když nechceš nasku, viděl bych to asi tak: potřeboval bys nějaký mmc = mediacenter pc u telky pro přehrávání filmů, se spuštěným kodi for win, s pasívním chlazením. pojede samozřejmě přihlášen s omezeným účtem a může obsluhovat třeba 2tb disk pro filmy a zálohy. (na tomto disku nebude systém).
půjde o 100% bezvirový pc - pokud na něm bude internetový prohlížeč, nebude to chrome. antivir to nutně nepotřebuje.
mmc se může na kliknutí nebo podle plánovače připojovat k tvému pc nebo notebooku a zálohovat z něj uživatelská data - viz tvá původní idea s robocopy, jen bych volil něco co funguje. taky se mi zamlouvá nepřepisovat staré verze souborů v zálohách nově zavirovanými od tebe, ale změněné soubory ukládat vedle s názvem modifikovaným o datum.

když se takové řešení osvědčí, můžeš ho zavést i pro větší kancelář ≥1pc.