Microsoft anklagas för att "olagligt" spåra studenter genom 365 Education: Vad domen innebär för datasekretessen

Microsoft står inför en stor integritetsfråga i Europa efter att Österrikes dataskyddsmyndighet beslutat att företaget "olagligen" spårat studenter på sin 365 Education-plattform. Beslutet följer på ett klagomål som lämnats in av den österrikiska gruppen för integritetsskydd, noyb. Gruppen hävdade att Microsoft hade underlåtit att ge eleverna tillgång till sina personuppgifter och flyttat GDPR-ansvaret till skolorna.

Enligt noyb går frågan tillbaka till covid-19-pandemin, då skolorna bytte till Microsoft 365 för fjärrundervisning. Med den nya studieplattformen följde en ny integritetsrisk, eftersom elevernas uppgifter passerade genom ett företags molntjänst.

När en elev framförde ett klagomål och begärde tillgång till sina uppgifter hänvisade Microsoft dem till den lokala skolan. Detta arrangemang var en utmaning eftersom skolan endast kunde erbjuda begränsad information.

Tillsynsmyndigheten slog fast att detta tillvägagångssätt stred mot artikel 15 i GDPR, som anger att Microsoft, i egenskap av personuppgiftsansvarig, måste tillhandahålla fullständig information om hur användardata behandlas och om de delas med tredje part.

Den österrikiska myndigheten uppmanade också Microsoft att förtydliga tekniska termer som "intern rapportering", "affärsmodellering" och "förbättring av kärnfunktionalitet". Samtidigt beordrades de nationella och federala utbildningsmyndigheter som var inblandade att tillhandahålla liknande transparens inom tio veckor.

Microsoft vidhöll sin efterlevnad och sade att "Microsoft 365 for Education uppfyller alla nödvändiga dataskyddsstandarder" och noterade att man skulle se över domen. Dataskyddsadvokaten Max Schrems från noyb hävdade dock att fallet belyser en bredare fråga. "Big Tech-leverantörer försöker få all makt, men skjuter över allt ansvar på europeiska kunder", säger Schrems.

Mjukvaruleverantören för företag hade också hävdat att dess irländska dotterbolag var ansvarigt för 365 Education och att jurisdiktionen låg där. Den österrikiska myndigheten avvisade dock detta och menade att Microsoft USA fattade de viktigaste besluten.

Fallet belyser en växande global oro för hur stora teknikföretag hanterar data som samlas in från minderåriga i utbildningsmiljöer, särskilt efter pandemin när fler studenter är beroende av verktyg som Microsoft 365 och Google Classroom för distansundervisning. Om domen står sig kan den komma att omforma hur teknikföretag hanterar dataansvar inom Europas utbildningssektor.