Microsoft está implementando nuevos términos de privacidad para todos los clientes comerciales en sus contratos de Términos de servicio en línea (OST) después de que los reguladores de privacidad europeos comenzaron a investigar posibles infracciones del Reglamento general de protección de datos (GDPR) de la Unión Europea.
El organismo de control europeo de protección de datos (EDPS) dijo el mes pasado que tenía «serias preocupaciones» sobre los contratos de Microsoft con las agencias europeas y el cumplimiento de las reglas de GDPR.
Inició una investigación en abril después de que el Ministerio de Justicia holandés descubriera que los datos de telemetría recopilados por Microsoft de los usuarios de Office 365 ProPlus y Office 365 violaban el RGPD.
Mirar: Guía de cumplimiento de GDPR para profesionales de TI (PDF gratuito)
Sin embargo, el EDPS de octubre también señaló que el nuevo acuerdo de Microsoft con el Ministerio de Justicia holandés (MoJ) sobre garantías contractuales y técnicas, así como medidas para mitigar el riesgo personal, es un «paso positivo».
Julie Brill, directora de privacidad de Microsoft y vicepresidenta de privacidad global y asuntos regulatorios, dijo que el nuevo OST refleja un cambio en el contrato de Microsoft con el Ministerio de Justicia holandés.
El paso puede apaciguar al SEPD, cuya investigación sobre el contrato de nube de Microsoft aún está en curso.
El nuevo OST debería brindar a los clientes más transparencia sobre el procesamiento de datos en la nube de Microsoft. Los cambios parecen estar destinados a describir más específicamente cómo Microsoft usa el subconjunto de datos que recopila.
Además de garantizar que Microsoft cumpla con las leyes de privacidad de la UE, el SEPD y el Ministerio de Justicia holandés lanzaron el Foro de La Haya en agosto para «discutir cómo recuperar el control de los servicios y productos de TI proporcionados por los grandes proveedores de servicios de TI y crear conjuntamente contratos estándar». «.
Los nuevos términos contractuales de Microsoft están disponibles no solo para las instituciones de la UE, sino también para todos los clientes comerciales de los sectores público y privado de todo el mundo, independientemente del tamaño de la organización. Según Brill, Microsoft planea ofrecer los nuevos términos del contrato a todos los clientes comerciales a partir de principios de 2020.
Según el RGPD, Microsoft es un procesador de datos de sus clientes y recopila y utiliza datos personales de sus servicios en línea.
Brill dijo que los nuevos términos contractuales aumentarían las responsabilidades de protección de datos de Microsoft «para el subconjunto de procesamiento en el que Microsoft se involucra cuando brindamos servicios empresariales».
«[W]Aclararemos que Microsoft asumirá el rol de controlador de datos cuando procesemos datos para fines administrativos y operativos específicos relacionados con la provisión de servicios en la nube cubiertos por este marco contractual, como Azure, Office 365, Dynamics e Intune”, escribió.
«Este subconjunto de datos se procesa con fines administrativos u operativos, como la gestión de cuentas, la elaboración de informes financieros, la lucha contra los ataques cibernéticos en cualquier producto o servicio de Microsoft y para cumplir con nuestras obligaciones legales».
Mirar: Salesforce juega un juego de múltiples nubes con Microsoft Azure, Google Cloud ya que el contrato de AWS puede renovarse
Los detalles adicionales sobre Microsoft como controlador de datos están destinados a brindar a los clientes una comprensión más clara de cómo usa los datos. También respalda el compromiso de Microsoft con la responsabilidad en virtud del RGPD.
Brill agregó: «Microsoft continuará actuando como procesador de datos para proporcionar los Servicios, mejorar y resolver errores u otros problemas relacionados con los Servicios, asegurar los Servicios y mantenerlos actualizados».
