Penawaran cloud Microsoft yang berfokus pada pendidikan, Microsoft 365 Education, menghadapi penyelidikan di Uni Eropa karena para noyb mengenai hak privasi nirlaba mengajukan dua keluhan ke badan perlindungan data Austria.
Keluhan tersebut berfokus pada penggunaan perangkat lunak cloud Microsoft oleh sekolah. Yang pertama berfokus pada isu transparansi dan hukum. noyb mengatakan dia khawatir data anak-anak diproses secara ilegal – dan artikelnya menyoroti apa yang dia katakan sebagai “ambiguitas” dari pakar teknologi tentang bagaimana informasi anak-anak digunakan.
Peraturan Perlindungan Data Umum (GDPR) dari blok tersebut memberikan harapan yang tinggi terhadap perlindungan data anak-anak, dan menekankan transparansi dan akuntabilitas harus selalu menjadi landasan ketika informasi anak-anak diproses. Dasar hukum juga diperlukan. Pelanggaran terhadap aturan jaminan dapat dikenakan denda hingga 4% dari aset keuangan dunia – yang dapat meningkatkan kerugian Microsoft hingga miliaran dolar.
Keluhan kelompok hak privasi tersebut menuduh Microsoft berusaha menghindari tanggung jawab hukumnya sebagai pengontrol informasi anak-anak dengan menggunakan perjanjian yang mengharuskan sekolah menandatanganinya untuk mengakses perangkat lunaknya guna mencoba membuat perubahan untuk mematuhinya. noyb mengatakan sekolah tidak mampu mematuhi undang-undang privasi atau perlindungan data UE karena mereka tidak tahu apa yang dilakukan Microsoft dengan data anak-anak.
Harga untuk Microsoft 365 Education bervariasi namun perangkat lunaknya dapat ditawarkan secara gratis ke sekolah yang memenuhi persyaratan tertentu.
“Microsoft memberikan informasi yang tidak jelas sehingga bahkan pengacara berpengalaman pun tidak dapat memahami cara perusahaan menangani pekerjaan Anda di Microsoft 365 Education. Tidak mungkin anak-anak atau orang tua mereka mengetahui berapa banyak data yang dimiliki Microsoft,” kata Maartje de Graaf, pengacara perlindungan data di noyb, m ‘kata-katanya.
“Ambil atau tinggalkan vendor perangkat lunak seperti Microsoft yang mengalihkan semua tanggung jawab GDPR ke sekolah. Microsoft memiliki semua informasi pemrosesan data yang diperlukan dalam perangkat lunaknya, namun mereka menuding sekolah dalam hal melaksanakan haknya. Sekolah tidak memiliki cara untuk melacak transparansi dan informasi,” tambahnya.
“Menurut sistem yang diterapkan Microsoft di sekolah, sekolah Anda harus menyelidiki Microsoft atau memberi mereka instruksi tentang cara memilih data anak-anak. Semua orang tahu bahwa perjanjian seperti itu tidak realistis. Ini tidak lebih dari upaya untuk mengalihkan tanggung jawab atas data anak-anak sejauh mungkin dari Microsoft. “
Keluhan kedua yang diajukan oleh noyb pada hari Selasa juga menuduh Microsoft secara diam-diam melacak anak-anak, dengan mengatakan bahwa mereka menemukan cookie pelacakan ditempatkan oleh Microsoft 365 Education meskipun penggugat tidak menyetujui pelacakan tersebut. Menurut dokumentasi Microsoft, cookie ini menganalisis perilaku pengguna, mengumpulkan informasi browser dan digunakan untuk iklan, tambahnya.
“Penggeledahan seperti itu, yang banyak digunakan untuk pencatatan, tampaknya dilakukan tanpa sepengetahuan sekolah pelapor,” tulis noyb. “Karena Microsoft 365 Education digunakan secara luas, perusahaan dapat melacak semua anak yang menggunakan pendidikan mereka. Perusahaan tidak memiliki alasan yang sah untuk menjalankan proses ini.”
Sekali lagi, GDPR menetapkan batasan yang tinggi terhadap penggunaan data anak-anak yang sah untuk tujuan komersial – yang mewajibkan pengontrol data untuk memberikan perhatian khusus dalam melindungi informasi anak-anak dan memastikan bahwa informasi apa pun tentang anak-anak adalah tepat, sah, dan transparan.
noyb berpendapat bahwa kontrak, S&K, dan aliran data Microsoft tidak memenuhi standar ini.
“Analisis data kami sangat kompleks,” kata Felix Mikolasch, pengacara perlindungan data di noyb, dalam sebuah pernyataan.. “Microsoft 365 Education tampaknya menargetkan pengguna tanpa memandang usia mereka. Praktik ini akan berdampak pada ratusan ribu pelajar dan mahasiswa di UE dan EEA (Wilayah Ekonomi Eropa). Pihak berwenang harus mengambil tindakan dan menegakkan hak-hak anak dengan tepat.”
noyb meminta DPA Austria untuk menyelidiki keluhan tersebut dan mencari tahu apa yang dilakukan Microsoft 365 Education. Hal ini juga mendorong regulator untuk mengenakan denda jika mereka membuktikan GDPR telah dilanggar.
Microsoft dihubungi untuk mengomentari keluhan noyb tetapi tidak menanggapi hingga berita ini dimuat.
Meskipun raksasa teknologi ini memiliki anak perusahaan di Irlandia, yang berarti bahwa keluhan lintas batas GDPR akan diajukan ke Komisi Perlindungan Data Irlandia untuk ditinjau, seorang juru bicara noyb menekankan sifat “kritis” dari kedua Microsoft. 365 Keluhan akademis – menyatakan bahwa DPA Austria layak untuk diselidiki.
“Keluhan tersebut mungkin masih menunggu keputusan di Austria,” kata juru bicara tersebut kepada TechCrunch. “Kasus ini sangat penting secara lokal karena berdampak pada sekolah-sekolah Austria dan anak-anak Austria, jadi kami berharap (DPA Austria) akan mengambil tindakan sendiri. Selain itu, kami telah mengajukan keluhan ke Microsoft di AS, bukan ke cabang UE. .”
Hal ini penting karena dapat mempercepat pengambilan keputusan – dan penegakan hukum – terhadap keluhan terhadap Microsoft.
Keluhan GDPR tentang informasi anak-anak telah menyebabkan hukuman terbesar hingga saat ini, seperti denda €405 juta yang dikenakan Irlandia pada Meta, pada musim gugur tahun 2022, untuk kegagalan kecil terkait keamanan Instagram. Tahun lalu jejaring sosial TikTok juga ditemukan melanggar undang-undang perlindungan anak dan menerima denda sebesar €345 juta.
Sementara itu, rangkaian produktivitas Cloud Microsoft tetap berada di bawah legal cloud UE. Pada bulan Maret lalu, blok yang menggunakan 365 ditemukan melanggar GDPR oleh Pengawas Perlindungan Data Eropa – yang menetapkan langkah-langkah pengendalian, memberikan waktu kepada lembaga-lembaga UE hingga awal Desember untuk memperbaiki masalah yang teridentifikasi.
Investigasi jangka panjang terhadap Microsoft 365 oleh otoritas perlindungan data Jerman juga menemukan banyak masalah pada tahun 2022 – kelompok kerja pada saat itu menyimpulkan bahwa tidak ada cara untuk menggunakan perangkat lunak sesuai dengan GDPR.
