Evropska komisija je z uporabo Microsoft 365 kršila uredbo o osebnih podatkih

Evropski nadzornik za varstvo podatkov (EDPS) je sklenil preiskavo, ki jo je začel maja 2021. V njej je ugotovil, da je Evropska komisija z uporabo rešitve v oblaku Microsoft 365 kršila evropsko zakonodajo o varstvu podatkov. Evropska komisija je kršila uredbo 2018/1725 (o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov), zlasti vzpostavitev ustreznih mehanizmov za zaščito pri prenosu izven EU. Prav tako Komisija v pogodbi z Microsoftom ni ustrezno določila, katere osebne podatke bo zbirala in s katerim namenom. Komisija je nezakonito prenašala in obdelovala osebne podatke.

Evropski nadzornik Wojciech Wiewiórowski je dejal, "da imajo vse evropske inštitucije, pisarne, agencije in druga telesa odgovornost, da zagotovijo varno obdelovanje osebnih podatkov na območju Unije in v tujini, za kar morajo vzpostaviti ustrezne varovalke in uvesti ukrepe. To je ključno za zagotavljanje zaščite osebni podatkov posameznikov, kar zahteva tudi omenjena uredba." Komisiji so zato odredili, da 9. decembra 2024 prekine uporabo platforme Microsoft 365 in pretok podatkov do Microsofta in podružnic, ki jih ne pokrivajo sklepi o priznanju ustreznosti stopnje varovanja (adequacy decision). Takisto mora Komisija zagotoviti skladnost vseh obdelav podatkov, ki so povezane s storitvijo Microsoft 365, če želi nadaljevati njeno uporabo. To pomeni prenovo vseh pogodb.

EDPS je preiskavo začel po sodni razveljavitvi dogovora o varovanju osebnih podatkov med EU in ZDA julija 2020. Tri leta pozneje je bil podpisan novi sporazum, v vmesnem času pa takšnih varovalk ni bilo, Komisija pa je še vedno uporabljala Microsoft 365. Evropska komisija je potrdila prejem odločbe in dejala, da jo bo pred nadaljnjimi koraki temeljito analizirala. Ob tem je dejala, da spoštujejo vse predpise s področja varovanja osebnih podatkov. Že med preiskavo so številne pogodbe popravili in izboljšali, so še dejali, saj so z EDPS ves čas sodelovali.