Skargi na cyfrowego giganta złożono do organu ochrony danych osobowych w Austrii, ale ich autorzy uważają, że problem dotyczy szkół i uczniów w całej Unii Europejskiej.

Kto jest administratorem

Pakiet 365 Education obejmuje m.in. programy Word, Excel, PowerPoint i OneNote. Uczniowie, studenci i pedagodzy szkolni mogą z niego korzystać bezpłatnie, rejestrując się z ważnego adresu szkolnego.

Pierwsza skarga NOYB – organizacja pozarządowa założona przez austriackiego prawnika i aktywistę Maxa Schremsa – dotyczy kwestii odpowiedzialności za administrowanie danymi uczniów. NOYB podnosi, że Microsoft, wykorzystując swoją pozycję rynkową, w umowach na korzystanie z pakietu edukacyjnego przerzuca na szkoły rolę administratora danych i całą związaną z tym odpowiedzialność. Szkoły nie mają jednak kontroli nad systemami Microsoftu, przez co praktycznie nie mogą wypełniać obowiązków administratora danych, wynikających z europejskich przepisów RODO.

Odsyłanie z Microsoftu do szkoły

W rezultacie, gdy reprezentowany przez NOYB ojciec uczennicy austriackiej szkoły w imieniu córki chciał uzyskać – przysługujące mu na mocy RODO - informacje na temat przetwarzania danych osobowych jego córki, to niczego nie wskórał.

Najpierw zwrócił się do Microsoftu. Firma odpowiedziała jednak, że to szkoła jest administratorem danych w odniesieniu do pakietu 365 Education. Ale gdy ojciec uczennicy napisał do szkoły, dowiedział się tylko, że jest ona jedynie administratorem danych, które sama przetwarza – i w tym przypadku jest to wyłącznie adres e-mail użyty do rejestracji w Microsoft 365 Education.

- Microsoft przechowuje w swoim oprogramowaniu wszystkie kluczowe informacje dotyczące przetwarzania danych, ale w kwestii korzystania z praw wskazuje palcem na szkoły – stwierdza Maartje de Graaf, prawniczka ds. ochrony danych w NOYB. Szkoły zaś nie mają możliwości wywiązania się z wynikających RODO obowiązków w zakresie przejrzystości i informacji.

- Microsoft udostępnia tak niejasne informacje, że nawet wykwalifikowany prawnik nie jest w stanie w pełni zrozumieć, w jaki sposób firma przetwarza dane osobowe w Microsoft 365 Education. Odkrycie zakresu gromadzenia danych przez dzieci i ich rodziców jest prawie niemożliwe – dodaje Maartje de Graaf.

Skarga na ciasteczka

Organizacja złożyła też na Microsoft drugą skargę, zarzucając big techowi, że potajemnie tropi dzieci tzw. ciasteczkami – czyli plikami umieszczanymi na urządzeniach używanych przez uczniów do korzystania z pakietu edukacyjnego.

- Nasza analiza przepływów danych jest bardzo niepokojąca. Wygląda na to, że Microsoft 365 Education śledzi użytkowników niezależnie od ich wieku – informuje Felix Mikolasch, inny prawnik NOYB ds. ochrony danych.

Organizacja podkreśla, że Microsoft 365 Education instalowała ciasteczka, mimo że osoba składająca skargę nie wyraziła zgody na śledzenie. W ten sposób cyfrowy gigant analizuje zachowania uczniów i może to wykorzystywać do celów reklamowych.

Sprawa nie dotyczy tylko Austrii, bo pakiet Microsoftu jest stosowany przez szkoły w całej Unii Europejskiej, także w Polsce.

- Praktyka ta prawdopodobnie dotyka setek tysięcy uczniów i studentów – uważa Felix Mikolasch. - Władze powinny w końcu zintensyfikować działania i skutecznie egzekwować prawa nieletnich – podkreśla.

Wniosek o karę

Zdaniem NOYB śledzenie i profilowanie użytkowników odbywa się bez ważnej podstawy prawnej. A ponieważ warunki i dokumentacja platformy Microsoft 365 Education są jednolite w całej UE, to wszystkie dzieci w krajach Wspólnoty są narażone na takie same naruszenia swoich praw wynikających z RODO. Dlatego NOYB wnioskuje o ukaranie Microsoftu.

Firma ze swej strony zapewnia, że jej pakiet programów udostępnianych szkołom jest zgodny z RODO i innymi obowiązującymi przepisami i chroni prywatność użytkowników. Jak cytuje agencja Reuters, Microsoft oświadczył też, że chętnie odpowie na wszelkie pytania organu ochrony danych dotyczące skarg NOYB.