Holenderscy śledczy postawili firmę Microsoft w stan gotowości w związku z działaniami regulacyjnymi po tym, jak uznali, że stosowane przez nią metody gromadzenia danych stanowią zagrożenie dla prywatności użytkowników.
Zobacz powiązane
10 problemów z systemem Windows 10 i sposoby ich rozwiązania
Jak wynika z 91-stronicowego raportu zleconego przez holenderski rząd i opracowanego przez firmę Privacy Company, pakiet Microsoft Office i system Windows 10 Enterprise korzystają z mechanizmu gromadzenia danych telemetrycznych, który narusza ogólne rozporządzenie UE o ochronie danych (RODO).
W ustaleniach wskazano osiem zagrożeń dla ochrony danych wysokiego ryzykaz subskrypcjami ProPlus Office 2016 i Office 365, a także internetowym Office 365.
Należą do nich niezgodne z prawem przechowywanie wrażliwych kategorii danych i metadanych oraz przechowywanie danych przez dłuższy czas. Śledczy ustalili również, że Microsoft błędnie określił siebie jako podmiot przetwarzający dane, a nie współadministratora.
CZYTAJ DALEJ: System Windows 10 dezaktywuje oryginalne instalacje użytkowników
„Microsoft nie tylko gromadzi dane dotyczące użytkowania za pośrednictwem wbudowanego klienta telemetrycznego, ale także rejestruje i przechowuje indywidualne korzystanie z usług połączonych” – powiedziała Sjoera Nas, starszy doradca ds. prywatności w firmie Privacy Company. „Na przykład, jeśli użytkownicy uzyskują dostęp do usługi połączonej, takiej jak usługa tłumaczenia, za pośrednictwem oprogramowania Office, Microsoft może przechowywać dane osobowe dotyczące tego użycia w tak zwanych dziennikach zdarzeń generowanych przez system”.
Z raportu wynika, że Microsoft systematycznie gromadził dane na temat korzystania przez poszczególne osoby z aplikacji pakietu Microsoft Office, takich jak Word, Excel i PowerPoint, bez informowania o tym innych osób i nie zapewniał użytkownikom możliwości wyłączenia tej funkcji.
Z ustaleń wynika, że podobnie jak w przypadku systemu Windows 10, firma Microsoft umieściła w pakiecie Office osobne oprogramowanie, które rutynowo wysyła zakodowane dane telemetryczne do Stanów Zjednoczonych, przy czym zakodowana funkcjonalność oznacza, że nie ma wglądu w to, jakie dane są gromadzone.
Brak kompleksowej dokumentacji dotyczącej tego, jakiego rodzaju dane osobowe przetwarza firma z Redmond i w jasno określonych celach, również wzbudził niepokój, podobnie jak fakt, że dane są rutynowo przesyłane do USA.
Dotyczyły one szczególnie holenderskich urzędników, ponieważ w ramach tego mechanizmu mogły zostać zebrane wrażliwe dane rządowe i umieszczone na serwerach w USA, które są przedmiotem zajęcia lub zapytania amerykańskich organów ścigania.
CZYTAJ DALEJ: Sprawa dotycząca prywatności twierdzi, że Facebook i Google „zmuszają użytkowników do podawania im danych”
Ponieważ RODO obowiązuje już od kilku miesięcy, organy nadzorujące dane w całej Europie zaczynają stawiać pierwsze kroki w nowym otoczeniu regulacyjnym. Microsoft to ostatnia firma z szeregu dużych firm oskarżonych o naruszenie RODO, przy czym Oracle i Equifax znalazły się wśród siedmiu firm zgłoszonych w zeszłym tygodniu pod kątem naruszeń przez grupę zajmującą się prawami danych.
„26 października 2018 r. osiągnięto porozumienie w sprawie planu ulepszeń, w którym Microsoft zobowiązał się dostosować swoje produkty do użytku przez rząd holenderski zgodnie z RODO i innymi obowiązującymi przepisami” – stwierdził holenderski rząd w oświadczeniu. „Microsoft zgodził się regularnie informować o swoich postępach. Jeżeli postęp zostanie uznany za niewystarczający lub jeśli oferowane ulepszenia będą niezadowalające, SLM Microsoft Rijk ponownie rozważy swoje stanowisko i może zwrócić się do Organu Ochrony Danych o przeprowadzenie wcześniejszych konsultacji i nałożenie środków egzekwowania prawa.”
Sjoera Nas z firmy Privacy Company przedstawiła również kilka środków, które administratorzy IT mogą podjąć, aby zmniejszyć ryzyko naruszeń prywatności, takich jak centralne blokowanie korzystania z usług połączonych, niekorzystanie z OneDrive i niekorzystanie z internetowej wersji pakietu Office 365.
Firma Microsoft zgodziła się wdrożyć szereg zmian w swoich produktach, aby odzwierciedlić ustalenia, i ma czas do kwietnia 2019 r. na dostosowanie się do wymagań rządu holenderskiego, w miarę możliwości blokując w międzyczasie przepływ danych do firmy Microsoft.
CZYTAJ DALEJ: Największe naruszenia bezpieczeństwa danych w 2018 roku
Jeśli firma nie spełni żądań organu regulacyjnego, może zostać ukarana grzywną, która zgodnie z RODO może wzrosnąć nawet do 20 milionów euro lub 4% światowego rocznego obrotu, w zależności od tego, która wartość jest wyższa.
„Dbamy o prywatność naszych klientów, oddając im kontrolę nad ich danymi i upewniając się, że Office ProPlus oraz inne produkty i usługi Microsoft są zgodne z RODO i innymi obowiązującymi przepisami” – powiedział rzecznik MicrosoftAlfa. „Doceniamy możliwość omówienia naszych praktyk obsługi danych diagnostycznych w pakiecie Office ProPlus z holenderskim Ministerstwem Sprawiedliwości i nie możemy się doczekać pomyślnego rozwiązania wszelkich wątpliwości”.
