Kolejna porażka Microsoftu w Europie. Nielegalnie śledzą uczniów

Austriacki urząd ochrony danych osobowych wydał kolejne orzeczenie, które stawia Microsoft w wyjątkowo niekorzystnym świetle. Sprawa dotyczy korzystania z platformy Microsoft 365 Education w szkołach i nielegalnego instalowania plików cookie śledzących na urządzeniach uczniów. Decyzja regulatora ujawnia przy tym zaskakujący fakt: ani szkoły, ani samo Ministerstwo Edukacji w Austrii nie miały wiedzy o istnieniu tego mechanizmu, dopóki sprawą nie zajęli się działacze na rzecz prywatności.

Postępowanie zakończyło się zwycięstwem organizacji None of Your Business, znanej szerzej jako noyb, która od lat kwestionuje praktyki największych firm technologicznych na gruncie europejskiego prawa o ochronie danych.

Felix Mikolasch, prawnik ds. ochrony danych w firmie noyb, powiedział: „Śledzenie nieletnich ewidentnie nie sprzyja prywatności. Wygląda na to, że Microsoft nie dba zbytnio o prywatność, chyba że chodzi o działania marketingowe i PR”.

Śledzenie uczniów bez zgody

Zgodnie z ustaleniami austriackiego organu ochrony danych Microsoft instalował pliki cookie na urządzeniach nieletnich użytkowników platformy Microsoft 365 Education bez wymaganej zgody. W dokumentacji samego koncernu zapisano, że te mechanizmy służą do analizy zachowań użytkowników, zbierania danych z przeglądarek oraz realizacji celów reklamowych.

Regulator nakazał firmie zaprzestanie śledzenia konkretnego ucznia, którego dane stały się podstawą skargi, w ciągu czterech tygodni. Tożsamość dziecka nie została ujawniona, jednak decyzja ma znaczenie znacznie szersze, ponieważ dotyczy modelu działania całej platformy edukacyjnej.

Ministerstwo i szkoły zaskoczone

W trakcie postępowania zarówno szkoła, jak i austriackie Ministerstwo Edukacji przyznały, że nie miały świadomości, iż oprogramowanie wykorzystywane do nauki zdalnej instaluje pliki cookie śledzące. Sprawa wyszła na jaw dopiero po interwencji noyb, która złożyła formalną skargę do urzędu.

Spór o zgodność z RODO

Noyb już w 2024 roku zwróciła się do austriackiego regulatora o sprawdzenie, czy Microsoft 365 Education spełnia wymogi unijnego rozporządzenia o ochronie danych osobowych. Aktywiści wskazywali na brak jasnych informacji o tym, jakie dane dzieci są przetwarzane oraz na utrudniony dostęp do danych gromadzonych na temat uczniów.

Według organizacji ani polityka prywatności Microsoftu, ani odpowiedzi na wnioski o dostęp do danych nie dawały pełnego obrazu skali przetwarzania informacji. Wątpliwości dotyczyły również pojęć używanych przez firmę, takich jak raportowanie wewnętrzne, modelowanie biznesowe czy poprawa funkcjonalności platformy.

Korzenie problemu w pandemii

Spór ma swoje źródło w okresie pandemii COVID-19, kiedy szkoły w całej Europie w pośpiechu przechodziły na naukę zdalną. Microsoft 365 Education, podobnie jak Google Workspace for Education, stał się jednym z podstawowych narzędzi wykorzystywanych do prowadzenia zajęć online.

W październiku ubiegłego roku austriacki urząd ochrony danych wydał pierwsze korzystne dla noyb orzeczenie, uznając, że Microsoft nielegalnie śledził uczniów i próbował przerzucić odpowiedzialność za realizację praw wynikających z RODO na szkoły. Obecna decyzja jest kolejnym etapem tej samej batalii.

Ostre słowa aktywistów

Felix Mikolasch, prawnik noyb zajmujący się ochroną danych, wprost skrytykował działania amerykańskiego koncernu. Jego zdaniem śledzenie nieletnich stoi w sprzeczności z podstawowymi zasadami prywatności, a troska o dane osobowe pojawia się u firm technologicznych głównie w kontekście marketingu i wizerunku.

Microsoft ma cztery tygodnie na dostosowanie się do decyzji austriackiego organu ochrony danych. W odpowiedzi na pytania mediów rzecznik firmy zapewnił, że Microsoft 365 for Education spełnia wymagane standardy ochrony danych i może być wykorzystywany przez instytucje edukacyjne zgodnie z RODO.

Koncern zapowiedział analizę najnowszego orzeczenia i podjęcie decyzji dotyczących dalszych kroków. Niewykluczone, że sprawa zakończy się kolejnym odwołaniem lub stanie się impulsem do zmian w sposobie działania platformy edukacyjnej w Europie.