De Europese Commissie heeft haar gebruik van Microsoft 365 aangepast en voldoet daarmee voortaan aan de privacywetgeving voor EU-instellingen. Dat heeft de Europese toezichthouder voor gegevensbescherming, de European Data Protection Supervisor (EDPS), vandaag bekendgemaakt. Eerder had de EDPS vastgesteld dat het gebruik van Microsoft 365 binnen de Commissie in strijd was met de geldende regels.
Privacywetgeving
De EDPS stelde vorig jaar vast dat er sprake was van onrechtmatige doorgifte van persoonsgegevens naar Microsoft en diens partners buiten de Europese Unie, zonder dat deze partijen vielen onder een adequaatheidsbesluit van de EU. De Commissie kreeg daarom de opdracht om uiterlijk 9 december 2023 te stoppen met het doorsturen van dergelijke gegevens en haar gebruik van Microsoft 365 in overeenstemming te brengen met de wet.
Compliancerapport
In december diende de Commissie een zogenoemd compliancerapport in. De EDPS vroeg daarop om aanvullende verduidelijkingen. Begin juli meldde de Commissie dat het extra maatregelen had genomen om de tekortkomingen te verhelpen. Zo is het doel waarvoor persoonsgegevens worden verwerkt nu strikter omschreven en is transparanter geworden welke gegevens precies worden verzameld en met welk doel.
Regels voor gegevensbescherming
Ook garandeert de Commissie dat gegevensverwerking uitsluitend binnen de Europese Economische Ruimte plaatsvindt. Er zijn technische en organisatorische maatregelen getroffen om te voorkomen dat data alsnog terechtkomt in landen zonder adequaat beschermingsniveau. Verder zijn aanvullende contractuele afspraken gemaakt over het openbaar maken van informatie.
De EDPS concludeert op basis van deze maatregelen dat de eerdere overtredingen zijn beëindigd. Daarmee voldoet het Microsoft 365-gebruik van de Commissie nu aan de regels voor gegevensbescherming die specifiek gelden voor EU-instellingen.
De toezichthouder roept andere Europese instellingen op om soortgelijk onderzoek te doen naar hun gebruik van Microsoft 365 en – indien nodig – vergelijkbare maatregelen te treffen om in lijn te komen met de wet.