Noyb, un gruppo di legali con sede a Vienna specializzato in tema privacy e trattamento dati, ha chiesto all'autorità austriaca per la protezione dei dati di indagare su Microsoft 365 Education per chiarire se violi o meno le disposizioni di trasparenza previste dal GDPR.
Noyb ha accusato Microsoft di aver scaricato gli obblighi di protezione dei dati sulle scuole che utilizzano il sistema, non rispettando il diritto alla privacy degli studenti. Né la documentazione sulla privacy di Microsoft, né le richieste di accesso, né le ricerche condotte da Noyb sono riuscite a chiarire completamente quali dati sui bambini vengano trattati da Microsoft 365 Education.
Max Schrems, presidente onorario di Noyb, è stato protagonista di una serie di cause legali che hanno portato alla fine di un accordo transatlantico sullo scambio di dati, ora sostituito dall'accordo EU-US Data Bridge.
Nella sua nuova denuncia, Noyb ha affermato che Microsoft sta cercando di evitare le responsabilità previste dal GDPR insistendo sul fatto che quasi tutti gli obblighi di protezione dei dati spettano alle autorità locali o alle scuole. Secondo quanto dichiarato da Nyob:
"In realtà, nessuna delle due parti ha il potere di influenzare come Microsoft gestisce effettivamente i dati degli utenti. Invece, si trovano di fronte a una situazione in cui tutte le decisioni e i profitti spettano a Microsoft, mentre le scuole devono assumersi la maggior parte dei rischi. Le scuole non hanno alcuna possibilità reale di negoziare o modificare i termini"
In seconda istanza, Noyb ha accusato Microsoft 365 Education di installare cookie senza consenso, utilizzandoli per analizzare il comportamento degli utenti, raccogliere dati di navigazione e preparare pubblicità. Il gruppo di campagna ha affermato che l'azienda non ha una base legale valida per questo trattamento.
"La nostra analisi dei flussi di dati è molto preoccupante," ha affermato Felix Mikolasch, avvocato per la protezione dei dati presso noyb. "Microsoft 365 Education sembra tracciare gli utenti indipendentemente dalla loro età. Questa pratica potrebbe interessare centinaia di migliaia di alunni e studenti nell'UE e nel SEE. Le autorità dovrebbero finalmente prendere provvedimenti per far rispettare efficacemente i diritti dei minori."
Noyb ha chiesto al DSB (autorità austriaca per la protezione dei dati) di determinare quali dati personali sui bambini vengono trattati da Microsoft 365 Education. Se l'autorità dovesse riscontrare una violazione del GDPR, scatterebbe automaticamente una multa e di certo non sarebbe una bella pubblicità per Microsoft.