Неправителствената организация за защита на неприкосновеността на личния живот подаде две жалби до австрийския надзорен орган
Неправителствената организация за защита на неприкосновеността на личния живот (NOYB) иска от австрийския орган за защита на данните (DSB) да разследва и фактически да анализира какви данни се обработват от Microsoft 365 Education. Нито документацията за поверителност на Microsoft, нито исканията за достъп, нито собственото проучване на NOYB могат да изяснят напълно това, което нарушава разпоредбите за прозрачност на GDPR. Освен това компанията не е спазила правото на достъп. Тъй като общите условия и документацията за поверителност на Microsoft 365 Education са единни за ЕС/ЕИП, всички деца, живеещи в тези държави, са изложени на едни и същи нарушения на техните права по GDPR. Поради това NOYB предлага също надзорният орган да наложи глоба на Microsoft.
NOYB написа в сайта си, че доставчици на софтуер като Microsoft имат огромна пазарна мощ, което им позволява да диктуват условията на договорите с всеки, който иска да използва техните продукти. В същото време тези доставчици на софтуер се опитват да избегнат отговорността, като настояват, че почти цялата отговорност се носи от местните власти или училища. В действителност нито един от тях няма властта да повлияе на това как Microsoft действително обработва потребителските данни. Вместо това те са изправени пред ситуация take-it-or-leave-it, при която цялата власт за вземане на решения и печалби са на Microsoft, докато училищата се очаква да поемат повечето от рисковете. Училищата нямат реална възможност да преговарят или да променят условията.
На практика това води до ситуация, в която Microsoft се опитва договорно да прехвърли повечето от правните си отговорности съгласно GDPR върху училищата, които предоставят услуги на Microsoft 365 Education на своите ученици или студенти. Това означава например, че исканията за достъп до Microsoft остават без отговор – докато училищата нямат реален начин да се съобразят с такива искания, защото не притежават необходимите данни.
Маартие де Грааф, адвокат по защита на данните в NOYB, казва: „Този подход „take-it-or-leave-it “ от доставчици на софтуер като Microsoft прехвърля всички отговорности по GDPR към училищата. Microsoft държи цялата ключова информация за обработката на данни в своя софтуер, но сочи с пръст училищата, когато става въпрос за упражняване на права. Училищата нямат възможност да изпълнят задълженията за прозрачност и информация.“
В Австрия, където NOYB е подал двете си жалби, местните директори на училища уж са натоварени със задачата да определят „целите и средствата“ съгласно член 4, параграф 7 от GDPR и да гарантират спазването на изискванията спрямо международни доставчици на софтуер като Microsoft. Това води до режим на съответствие, който е напълно откъснат от реалността на обработката на данни.
Според Маартье де Грааф при сегашната система, която Microsoft налага на училищата, вашето училище ще трябва да одитира Microsoft или да им даде указания как да обработват данните на учениците. Всеки знае, че подобни договорни споразумения нямат връзка с реалността. Това не е нищо друго освен опит да се прехвърли отговорността за данните на децата възможно най-далеч от Microsoft.
В сайта си NOYB пише, че има сериозна липса на прозрачност, което принуждава потребителите и училищата да се ориентират в лабиринт от политики за поверителност, документи, условия и договори, които изглежда са приложими. Информацията, предоставена в тези документи, винаги е малко по-различна, но постоянно неясна за това какво всъщност се случва с данните на децата, когато използват услугите на Microsoft 365 Education.
Маартье де Грааф е цитирана да казва, че Microsoft предоставя толкова неясна информация, че дори квалифициран юрист не може да разбере напълно как компанията обработва лични данни в Microsoft 365 Education. За децата или техните родители е почти невъзможно да разкрият мащаба на събиране на данни от Microsoft.
NOYB смята, че това не е единственият проблем. Въпреки че жалбоподателят не се е съгласил с проследяване, Microsoft 365 Education все пак инсталира бисквитки, които според собствената документация на Microsoft анализират поведението на потребителите, събират данни за браузъра и се използват за реклама. Подобно проследяване, което обикновено се използва за силно инвазивно профилиране, очевидно се извършва, без дори училището на жалбоподателя да знае. Тъй като Microsoft 365 Education се използва широко, компанията вероятно ще проследява всички непълнолетни, използващи техните образователни продукти. Компанията няма валидно правно основание за тази обработка.
Феликс Миколаш, адвокат по защита на данните в NOYB, е цитиран да казва: „Нашият анализ на потоците от данни е много тревожен. Изглежда, че Microsoft 365 Education проследява потребителите независимо от тяхната възраст. Тази практика вероятно ще засегне стотици хиляди ученици и студенти в ЕС и ЕИП. Властите най-накрая трябва да се активизират и ефективно да прилагат правата на непълнолетните“.
NOYB е акроним за „none of your business“.