Investigație AEPD asupra Microsoft. Îngrijorări cu privire la datele europenilor

Universuljuridic.ro PREMIUM

Aici găsiți informaţiile necesare desfăşurării activităţii dvs. profesionale.

Universuljuridic.ro PREMIUM pune la dispoziția profesioniștilor lumii juridice un prețios instrument de pregătire profesională. Oferim un volum vast de conținut: articole, editoriale, opinii, jurisprudență și legislație comentată, acoperind toate domeniile și materiile de drept. Clar, concis, abordăm eficient problematicile actuale, răspunzând scenariilor de activitate din lumea reală, în care practicienii activează.

Testează ACUM beneficiile Universuljuridic.ro PREMIUM prin intermediul abonamentului GRATUIT pentru 7 zile!

Autoritatea Europeană pentru Protecția Datelor (AEPD) a desfășurat o investigație independentă cu privire la utilizarea produselor și serviciilor Microsoft de către instituțiile UE.

Concluziile investigației au fost făcute publice luna aceasta prin intermediul unui raport publicat pe site-ul AEPD. Potrivit AEPD, concluziile anchetei sunt de interes atât pentru instituțiile UE, cât și pentru restul autorităților publice din statele membre UE.

Considerăm oportun a reaminti faptul că AEPD este o autoritate independentă de supraveghere a prelucrării datelor cu caracter personal având cel puțin următoarele atribuții:

– Supervizează modul în care administrația UE prelucrează datele cu caracter personal, pentru a garanta respectarea normelor privind protecția vieții private.

– Consiliază instituțiile și organismele UE cu privire la toate aspectele legate de prelucrarea datelor cu caracter personal și de legislația și politicile conexe.

– Gestionează plângeri și organizează investigații.

– Colaborează cu autoritățile naționale din țările UE pentru a asigura consistența în materie de protecție a datelor.

– Monitorizează noile tehnologii care pot avea impact asupra protecțieidatelor^[1].

Prin intermediul prezentului articol, vom rezuma concluziile și recomandările AEPD cu privire la utilizarea produselor și serviciilor Microsoft de către instituțiile UE.

1. Microsoft acționează ca operator în modalități netransparente

În opinia AEPD, clauzele ILA („Inter-Institutional Licence Agreement”)^[2] îi permit lui Microsoft să acționeze ca operator^[3] în modalități care nu sunt pe deplin transparente.

Această concluzie reiese din trei aspecte:

A. Dreptul unilateral al lui Microsoft de a modifica ILA;

Potrivit raportului AEPD, mecanismul contractual furnizat de Microsoft îi permite acestuia să modifice oricând și în mod unilateral dispozițiile în materie de protecție a datelor^[4].

Mai mult decât atât, AEPD constată că documentele subsecvente ILA și care nu au fost negociate cu Instituțiile UE prevalează asupra contractului negociat (ILA) conform mecanismului contractual introdus de Microsoft^[5].

AEPD a considerat ca există un risc ridicat ca Microsoft să schimbe în mod unilateral scopurile pentru care prelucrează datele, locația prelucrării datelor și regulile privind dezvăluirea și transferul datelor fără ca instituțiile UE să aibă un cuvânt de spus^[6].

B. Limitarea obligațiilor Microsoft de a proteja datele personale^[7] prin ILA;

AEPD a constat că există o categorie de date personale colectate de Microsoft asupra cărora Microsoft nu are stabilite obligații de a le proteja prin intermediul ILA și documentelor subsecvente. În concret, este vorba de datele colectate de Microsoft atunci când instituțiile UE folosesc servicii Microsoft care nu sunt considerate a fi „servicii online”. Potrivit AEPD, prelucrarea acestor categorii de date ies din sfera oricărui mecanism contractual de control din partea instituțiilor publice. În această categorie sunt incluse datele colectate prin utilizarea oricăror versiuni de Windows și din utilizarea locală a suitei Office 365 (Word, Excel, Powerpoint etc) inclusiv suita Office 2016^[8].

C. Lipsa indicării unor scopuri clare pentru prelucrările datelor personale în raport cu utilizarea serviciilor și produselor Microsoft

Potrivit AEPD, Microsoft nu a indicat, așa cum cer standardele în materie de protecție a datelor, scopuri clare și explicite ale prelucrării datelor personale. De exemplu, Microsoft utilizează următoarele formulări ambigue și care lasă loc de interpretări:

– Pentru „a furniza Produsul sau Servicii Profesionale”^[9];

– Pentru „a furniza utilizatorului experiențe personalizate”^[10];

– Pentru „a furniza un serviciu online^[11]”;

– Pentru „reclamă sau orice alte scopuri comerciale similare”^[12].

AEPD concluzionează faptul că dacă o parte contractuală este instruită de operator să prelucreze datele pentru scopuri vagi și nedefinite, există un risc ca partea contractuală (în speță Microsoft) să își definească singur scopurile.

În opinia noastră, aceste formulări ambigue denotă o lipsă de transparență față de utilizatorul final și oferă libertate Microsoft să utilizeze datele în scopuri ulterioare și care nu au fost comunicate.

2. Acordul dintre operator și persoana împuternicită nu respectă standardele solicitate de legislație

În opinia AEPD, acordul de prelucrare a datelor personale dintre operator (instituția publică) și persoana împuternicită (Microsoft) are cel puțin următoarele probleme:

– Elementele obligatorii ale conținutului acordului de prelucrare sunt în mare parte absente sau insuficient implementate^[13];

– Dreptul Microsoft de a denunța unilateral contractul nu este în conformitate cu standardele legale ale relației operator-împuternicit^[14];

– Drepturile și obligațiile părților contractuale nu sunt clar definite^[15];

– Insuficienta definire a scopului și naturii prelucrării^[16];

– Absența controlului instituțiilor UE și lipsa unor drepturi concrete de auditare a Microsoft^[17];

– Instituțiile UE nu au un cuvânt de spus asupra subcontractanților Microsoft așa cum cer normele în materie de protecție a datelor^[18], având doar posibilitatea de a se retrage din contract pe mecanismul „take it or leave it”^[19]. În opinia AEPD, instituțiile UE ar trebui deține puterea de a nu fi de acord cu un subcontractant Microsoft în situația în care există temeiuri rezonabile că ar exista un risc vis-a-vis de protecția datelor^[20].

3. Îngrijorări cu privire la locația datelor, transferurile internaționale și dezvăluirile neautorizate

Potrivit AEPD, Instituțiile UE se află în imposibilitate de a avea control asupra teritoriului unde se prelucrează o parte din datele cu caracter personal^[21]. Potrivit Acordului de prelucrare, cu excepția situațiilor în care este precizat altfel, datele utilizatorilor finali provenite de la Client (în speță, instituția publică UE) ar putea fi transferate, stocate sau prelucrate în SUA sau în orice alte state unde Microsoft sau subcontractanții acestuia operează^[22]. În concluzie, cu privire la majoritatea datelor personal, instituțiile UE nu au niciun cuvânt de spus cu privire la transferurile internaționale de date^[23] efectuate de către Microsoft^[24]. În opinia AEPD, operatorii (în speță instituțiile UE) au dreptul de a decide incidența unui transfer internațional de date^[25].

Totodată AEPD remarcă faptul că majoritatea operațiunilor de prelucrare se realizează de către Microsoft Corporation în SUA, iar nu de către Microsoft Ireland în Europa^[26].

În opinia AEPD, clauzele contractuale standard care permit lui Microsoft să transfere date din UE către SUA nu sunt suficient de clare, specifice și nu respectă toate standardele în materie de protecție a datelor^[27]; CJUE, în Cauza C-311/18^[28] prin care a invalidat Scutul de Confidențialitate UE-SUA (Privacy Shield) a statuat faptul că persoanele ale căror date cu caracter personal sunt transferate către o țară terță în temeiul unor clauze standard de protecție a datelor  trebuie să beneficieze de un nivel de protecție în esență echivalent cu cel garantat în cadrul Uniunii^[29].

AEPD a remarcat și faptul că politica de utilizare a datelor permite Microsoft să dezvăluie datele cu caracter personal către terți, inclusiv către agențiile guvernamentale^[30]. Potrivit aceleiași politici de utilizare a datelor, informarea persoanelor cu privire la dezvăluirea datelor nu este obligatorie^[31]. Legislația nu poate proteja instituțiile UE împotriva cererilor de divulgare din partea guvernelor țărilor terțe și a persoanelor împuternicite care intră sub jurisdicția lor. În funcție de legislația țării terțe respective și de acoperirea lor extrateritorială, astfel de persoane împuternicite (inclusiv Microsoft) se pot confrunta cu un conflict de legi și pot considera că este prioritar să se conformeze legislației țării terțe, chiar dacă acest lucru încalcă dreptul Uniunii^[32]. Acestă problemă a fost sesizată recent și de CJUE în cauza C-311/18^[33] care, atunci când a concluzionat că Decizia privind Scutul de confidențialitate este nevalidă, a luat în calcul faptul că persoanele fizice din Europa nu dispun de o cale de atac eficientă împotriva autorităților americane^[34].

4. Recomandările AEPD către instituțiile publice

Cu titlu preliminar, învederăm faptul că AEPD precizează faptul că recomandările pot fi utilizate și de către instituțiile publice ale statelor membre. Adăugăm și faptul că recomandările de mai jos ar putea fi utilizate și în raport cu alți furnizori de servicii online din afara Uniunii.

 A. Setul 1 de recomandări: Instituția UE ar trebuie să fie unicul operator^[35]

– Fiecare instituție UE ar trebuisăacționeze ca operatorunic în ceea ce privește utilizarea produselor și serviciilor Microsof tatunci când îndeplinește sarcini de interes public sau în exercitarea autorității publice;

– Mecanismul contractual trebuie să prevadă o ordine lipsită de ambiguitate a precedenței documentelor;

– Modificările la contracte trebuie să se realizeze prin acord comun și nu prin modificarea unilaterală de către Microsoft;

– Instituțiile UE ar trebui să negocieze un set specific, explicit și exhaustiv de scopuri pentru a acoperi toate tipurile de date cu caracter personal implicate în utilizarea produselor și serviciilor Microsoft. Scopurile ar trebui să se limiteze la cele care erau necesare pentru ca instituțiile UE să utilizeze aceste produse și servicii. Alte scopuri ar trebui interzise în mod expres.

 B. Setul 2 de recomandări: Un acord de prelucrare cuprinzător^[36]

 – Ar trebui elaborat un acord cuprinzător operator (în speță, instituția UE) – persoană împuternicită (în speță Microsoft) care să includă rolurile și responsabilitățile persoanei împuternicite de operator și ale operatorului, obiectul, durata și natura prelucrării, tipurile de date cu caracter personal în cauză, categoriile de persoane vizate în cauză, obligațiile și drepturile fiecărei părți;

– Instrucțiunile instituțiilor UE trebuie să prevadă ce tipuri de date pot fi prelucrate, cine poate accesa datele, unde sunt stocate, ce măsuri de securitate sunt în vigoare, dacă transferurile către țări terțe sunt permise și, dacă da, în ce condiții. Instrucțiunile ar trebui incluse în contract și, în ceea ce privește instrucțiunile suplimentare, procedurile necesare ar trebui să fie convenite și anexate la contract.

C. Setul 3 de recomandări. Utilizarea subcontractanților^[37]

 – Trebuie evaluate riscurile aferente utilizării subcontractanților Microsoft;

– Instituțiile UE trebuie să se asigure că utilizarea subcontractanților a făcut obiectul unei autorizații scrise prealabile;

– Introducerea în contract a obligației Microsoft de a furniza mai întâi informații complete cu privire la subcontractanții care sunt utilizați pentru fiecare produs sau serviciu furnizat instituțiilor UE și pentru fiecare activitate de prelucrare și categorie de date cu caracter personal; și, în al doilea rând, cu privire la garanțiile privind protecția datelor și măsurile de securitate (și anume, măsurile tehnice și organizatorice) instituite pentru fiecare subcontractant. Aceasta ar trebui să includă obligația Microsoft de a furniza către instituția UE, la cerere, părțile relevante ale contractului său cu un anumit subcontractor.

– Instituțiile UE ar trebui să poată refuza autorizarea unui anumit subcontractant fără a trebui să renunțe la serviciu.

 D. Setul 4 de recomandări. Drepturi eficace de auditare^[38]

 – Contractul ar trebui modificat pentru a furniza drepturi de audit eficace Instituțiilor UE;

– În calitate de operatori, instituțiile UE ar trebui să instituie un program de audit care să constea în audituri periodice efectuate de echipa lor de audit intern sau extern. Domeniul de aplicare și frecvența auditurilor ar trebui să reflecte amploarea prelucrării și riscurile pentru persoanele vizate.

– Auditurile efectuate ar trebui să colecteze dovezi concrete privind respectarea de către Microsoft a obligațiilor sale.

– Ar trebui comunicate rezultate semnificative ale auditului nivelurilor adecvate de gestionare din cadrul instituțiilor UE. Rezultatele ar trebui să permită instituțiilor UE să identifice și să acționeze în orice probleme de conformitate. De asemenea, acestea ar trebui furnizate AEPD la cererea acesteia.

 E. Setul 5 de recomandări. Locația datelor, transferurile internaționale și dezvăluirile neautorizate^[39]

 – Contractul ar trebui să includă dispoziții care detaliază, pentru fiecare produs și serviciu Microsoft furnizat, localizarea datelor prelucrate;

– Contractul ar trebui să solicite în mod explicit Microsoft să pună în aplicare garanții contractuale, organizaționale și de securitate adecvate în cazul transferurilor internaționale de date. În special, Contractul ar trebui să solicite Microsoft să instituie măsuri de securitate solide pentru a acoperi datele aflate în tranzit.

– Orice utilizare a Clauzelor Contractuale Standard pentru transferuri ar trebui să respecte legislația Uniunii.

– Contractul ar trebui să interzică Microsoft (și sub-procesatorilor acestuia) să divulge date cu caracter personal autorităților statelor membre, autorităților țărilor terțe, organizațiilor internaționale sau altor părți terțe, cu excepția cazului în care acest lucru a fost autorizat în mod expres de legislația UE sau de legislația statelor membre și în măsura în care au fost îndeplinite condițiile prevăzute de legislația UE pentru o astfel de divulgare.

– Contractul ar trebui să solicite Microsoft să informeze instituțiile UE afectate cu privire la orice solicitare primită de Microsoft sau de sub-procesatori pentru accesul la date imediat după primirea cererii. De regulă, Microsoft ar trebui să redirecționeze cererile către instituția UE și să solicite instrucțiunile acesteia. În orice caz, Microsoft ar trebui să conteste solicitările de acces, epuizând toate căile de atac legale disponibile. Nu ar trebui să se permită divulgarea datelor de către Microsoft sau sub-procesatori fără notificarea prealabilă și acordul instituției UE și fără a exista garanții adecvate. În cazul în care o instituție a UE alege să nu divulge date, aceste date ar trebui divulgate numai la ordinul Curții Europene de Justiție.

– Instituțiile UE ar trebui să solicite informații de la Microsoft o dată pe an dacă au avut loc cereri de acces asupra datelor.

– Contractul ar trebui să oblige ca, de regulă, prelucrarea datelor să aibă loc în cadrul UE/SEE. Această cerință ar trebui să includă prelucrarea în scopul creării copiilor de rezervă a datelor, al continuității activității și al efectuării operațiunilor la distanță.