Microsoft accusé de tracer "illégalement" les étudiants via 365 Education : Ce que l'arrêt signifie pour la confidentialité des données

Microsoft est confronté à un problème majeur de protection de la vie privée en Europe après que l'autorité autrichienne de protection des données a jugé que l'entreprise suivait "illégalement" les étudiants sur sa plateforme 365 Education. Cette décision fait suite à une plainte déposée par le groupe autrichien de défense de la vie privée, noyb. Le groupe a fait valoir que Microsoft n'avait pas permis aux étudiants d'accéder à leurs données personnelles et avait transféré les responsabilités du GDPR aux écoles.

Selon noyb, le problème remonte à la pandémie de COVID-19, lorsque les écoles ont adopté Microsoft 365 pour l'apprentissage à distance. Cette nouvelle plateforme d'étude s'est accompagnée d'un nouveau risque en matière de protection de la vie privée, les données des élèves transitant par un service en nuage de l'entreprise.

Lorsqu'un élève dépose une plainte et demande l'accès à ses données, Microsoft le renvoie à son école locale. Cet arrangement était difficile à mettre en œuvre car l'école ne pouvait fournir que des informations limitées.

L'autorité de régulation a estimé que cette approche était contraire à l'article 15 du GDPR, qui stipule que Microsoft, en tant que responsable du traitement des données, doit fournir tous les détails sur la manière dont les données des utilisateurs sont traitées et si elles sont partagées avec des tiers.

L'autorité autrichienne a également demandé à Microsoft de clarifier des termes techniques tels que "rapports internes", "modélisation commerciale" et "amélioration des fonctionnalités de base". Dans le même temps, les autorités nationales et fédérales chargées de l'éducation ont été invitées à faire preuve de la même transparence dans un délai de dix semaines.

Microsoft a maintenu sa conformité, déclarant que "Microsoft 365 pour l'éducation répond à toutes les normes requises en matière de protection des données", et a indiqué qu'elle réexaminerait la décision. Cependant, Max Schrems, avocat spécialisé dans la protection des données et membre du cabinet noyb, a fait valoir que cette affaire mettait en lumière un problème plus large. "Les fournisseurs de Big Tech essaient d'obtenir tout le pouvoir, mais transfèrent toutes les responsabilités aux clients européens", a déclaré M. Schrems.

Le leader des logiciels d'entreprise a également fait valoir que sa filiale irlandaise était responsable de 365 Education et que c'était là que se situait la juridiction. L'autorité autrichienne a toutefois rejeté cet argument, déclarant que Microsoft US prenait les décisions clés.

Cette affaire met en lumière une préoccupation mondiale croissante concernant la manière dont les grandes entreprises technologiques traitent les données collectées auprès de mineurs dans le cadre de l'enseignement, en particulier après la pandémie, alors que de plus en plus d'étudiants dépendent d'outils tels que Microsoft 365 et Google Classroom pour l'apprentissage à distance. S'il est confirmé, cet arrêt pourrait modifier la manière dont les entreprises technologiques assument leurs responsabilités en matière de données dans le secteur de l'éducation en Europe.