EDPS реши да наложи коригиращи мерки
След своето разследване Европейския надзорен орган по защита на данните (EDPS/ЕНОЗД) установи, че Европейската комисия е нарушила няколко ключови правила за защита на данните при използване на Microsoft 365. В решението си ЕНОЗД налага коригиращи мерки на Комисията.
ЕНОЗД установи, че Комисията е нарушила няколко разпоредби на Регламент (ЕС) 2018/1725, законодателството на ЕС за защита на данните за институциите, органите, службите и агенциите на ЕС (EUI), включително тези относно предаването на лични данни извън ЕС/Европейски Икономическа зона (ЕИП). По-специално, Комисията не е успяла да осигури подходящи предпазни мерки, за да гарантира, че на личните данни, прехвърлени извън ЕС/ЕИП, се предоставя по същество еквивалентно ниво на защита, както се гарантира в ЕС/ЕИП.
Освен това в договора си с Microsoft Комисията не уточнява в достатъчна степен какви типове лични данни трябва да се събират и за кои изрични и конкретни цели при използване на Microsoft 365. Нарушенията на Комисията като администратор на данни също се отнасят до обработката на данни, включително трансфери на лични данни, извършвани от нейно име.
Ръководителят на EDPS Войчех Вевюровски казва, че „Отговорност на институциите, органите, службите и агенциите на ЕС (EUI) е да гарантират, че всяко обработване на лични данни извън и вътре в ЕС/ЕИП, включително в контекста на услуги, базирани на облак , е придружено от стабилни предпазни мерки и мерки за защита на данните. Това е наложително, за да се гарантира, че информацията на физическите лица е защитена, както се изисква от Регламент (ЕС) 2018/1725, когато техните данни се обработват от или от името на EUI.“
Поради това ЕНОЗД реши да нареди на Комисията, считано от 9 декември 2024 г., да спре всички потоци от данни, произтичащи от използването на Microsoft 365 към Microsoft и към нейните филиали и подобработващи, разположени в държави извън ЕС/ЕИП, които не са обхванати от решение за адекватност. ЕНОЗД също така реши да нареди на Комисията да приведе операциите по обработка, произтичащи от използването на Microsoft 365, в съответствие с Регламент (ЕС) 2018/1725. Комисията трябва да докаже спазването на двете заповеди до 9 декември 2024 г.
ЕНОЗД счита, че коригиращите мерки, които налага (вж. снимки на приложението), са подходящи, необходими и пропорционални в светлината на сериозността и продължителността на установените нарушения.
Много от установените нарушения засягат всички операции по обработка, извършвани от Комисията или от нейно име, когато се използва Microsoft 365, и засягат голям брой лица.
ЕНОЗД също така взема предвид необходимостта да не се компрометира способността на Комисията да изпълнява задачите си в обществен интерес или да упражнява официални правомощия, предоставени на Комисията, както и необходимостта да се предостави подходящо време на Комисията да изпълни предвиденото спиране на съответните потоци от данни и да приведе обработката на данни в съответствие с Регламент (ЕС) 2018/1725.
Мерките, наложени от ЕНОЗД в решението му от 8 март 2024 г., не засягат други или по-нататъшни действия, които ЕНОЗД може да предприеме.
Констатациите за нарушения и коригиращите мерки, наложени от ЕНОЗД в неговото решение, могат да бъдат намерени в приложението – в снимки.
