Rakouský dozorný úřad pro ochranu osobních údajů (DSB) vydal rozhodnutí týkající se používání Microsoft
365 Education na školách. Podle zjištění DSB služba nasazovala sledovací cookies bez souhlasu a společnost
Microsoft neposkytla žadateli úplný přístup k osobním údajům podle článku 15 GDPR.
DSB proto nařídil výmaz dotčených údajů a požádal Microsoft o doplnění přístupu i jasnější vysvětlení, jak jsou
data využívána pro vlastní obchodní účely, včetně toho, zda jsou předávána dalším subjektům a službám.
Případ se rozvinul na pozadí sporů o rozdělení odpovědnosti mezi poskytovatele cloudové služby a veřejné
instituce. Celá situace úzce souvisela s tím, že během pandemie přecházela řada škol na vzdělávací systémy a
nástroje velkých technologických firem. V tomto konkrétním řízení podle DSB došlo k situaci, kdy byl žadatel
o informace odkazován mezi jednotlivými aktéry navzájem bez možnosti získat úplná data. Microsoft směřoval
žadatele na jeho školu, zatímco škola argumentovala, že k informacím u společnosti nemá přístup. DSB
konstatoval, že takový postup neumožňuje účinné uplatnění práv subjektů údajů.
DSB současně uložil povinnosti i dalším zúčastněným. Škola žadatele a rakouské ministerstvo školství mají
upřesnit, jaké údaje studentů jsou do systému předávány. Úřad přitom poznamenal, že ministerstvo
nedisponovalo úplnými informacemi o zpracování v rámci Microsoft 365 Education, což komplikuje plnění
informačních povinností podle článků 13 a 14 GDPR na úrovni škol.
Dopady rozhodnutí přesahují tento konkrétní spor. Microsoft 365 Education používají školy v celé Evropě a
obdobné produkty jsou rozšířené i ve veřejné správě a obchodním sektoru. Bez detailních informací od
poskytovatele může být pro zákazníky obtížné splnit zákonné požadavky na transparentnost a reagovat na
žádosti o přístup.
Německé dozorové orgány například v minulosti upozorňovaly na nesoulad některých aspektů Microsoft 365 s
GDPR.