Microsoft lanzó una nueva versión de sus Términos de servicios en línea en respuesta a las quejas planteadas por el Ministerio de Justicia holandés sobre los datos de telemetría que Microsoft recopiló de los usuarios de Office 365 Plus y Office 365.
El Ministerio de Justicia holandés acusó a Microsoft de violar el Reglamento General de Protección de Datos (GDPR) de la UE, lo que provocó una investigación por parte del Supervisor Europeo de Protección de Datos (EDPS), que dijo que tenía «serias preocupaciones» con los contratos de Microsoft.
Microsoft anunció en noviembre que actualizaría sus contratos de nube a nivel mundial para empresas y clientes de empresas más pequeñas para dar cuenta de los cambios exigidos por EDPS y el Ministerio de Justicia holandés.
VER: 30 cosas que nunca debes hacer en Microsoft Office (PDF gratuito)
Los clientes ahora pueden leer dos documentos de términos de Microsoft: los Términos de productos de licencias por volumen de Microsoft de 159 páginas; y los Términos de Microsoft Online Services (OST) de 40 páginas. Microsoft proporciona un enlace a los documentos en una nueva entrada de blog.
El nuevo OST incorpora cambios contractuales desarrollados por Microsoft con el Ministerio de Justicia holandés, dijo Julie Brill, directora de privacidad y vicepresidenta corporativa de privacidad global y asuntos regulatorios de Microsoft, en noviembre.
Microsoft describe varios cambios en el OST en sus «aclaraciones y resumen de cambios» en el nuevo documento. No hay cambios significativos enumerados en el documento de Términos del producto.
Según Microsoft, los términos de protección de datos, las cláusulas contractuales estándar y los detalles del RGPD de la UE se han eliminado del documento OST. Estos ahora se encuentran en un documento separado llamado Anexo de protección de datos de servicios en línea (DPA), que está disponible en línea.
«La actualización de OST/DPA reemplaza el lenguaje OST anterior que autoriza a Microsoft a procesar los Datos del cliente ‘solo para proporcionar al Cliente los Servicios en línea, incluidos los propósitos compatibles con la prestación de esos servicios’ con instrucciones y limitaciones más específicas», dice Microsoft en el nuevo OST.
Uno de los cambios clave en la actualización de OST es que no autoriza a Microsoft a procesar datos personales o de clientes con fines de «creación de perfiles, publicidad o fines comerciales similares, o investigación de mercado» a menos que el cliente lo permita explícitamente.
Los cuatro cambios de «alto nivel» que señala Microsoft son que el documento:
- Permite que Microsoft procese los Datos del Cliente y los Datos Personales como procesador para tres propósitos autorizados: brindar los servicios, solucionar problemas y mejorar continuamente.
- Se excluye el procesamiento de los Datos del Cliente y los Datos Personales con fines de creación de perfiles, publicidad o fines comerciales similares, o estudios de mercado, a menos que se realice de acuerdo con las instrucciones documentadas del cliente.
- Aclara que Microsoft tiene las responsabilidades de un controlador de datos si procesa Datos de clientes y Datos personales para ciertas «operaciones comerciales legítimas» adicionales enumeradas, con limitaciones específicas.
- Agrega claridad y detalles adicionales basados en los comentarios de los clientes (p. ej., sobre cómo los Clientes pueden interactuar con Microsoft para auditar el procesamiento de datos de Microsoft de conformidad con el RGPD).
En el momento de anunciar los cambios de OST, Brill dijo que Microsoft «aumentará nuestras responsabilidades de protección de datos para un subconjunto de procesamiento en el que Microsoft se involucra cuando brindamos servicios empresariales».
La actualización de OST «aclararía que Microsoft asume el rol de controlador de datos cuando procesamos datos para fines administrativos y operativos específicos relacionados con la prestación de los servicios en la nube cubiertos por este marco contractual, como Azure, Office 365, Dynamics e Intune».
«Este subconjunto de procesamiento de datos tiene fines administrativos u operativos, como la gestión de cuentas, la elaboración de informes financieros, la lucha contra los ataques cibernéticos en cualquier producto o servicio de Microsoft y el cumplimiento de nuestras obligaciones legales», agregó.
VER: Tenga cuidado con los posibles costos ocultos de licencias de Microsoft 365
Los términos de los servicios en línea DPA cubren los problemas de propiedad relacionados con los datos procesados, el procesamiento de datos personales bajo las reglas de GDPR, las notificaciones de incumplimiento, los problemas legales relacionados con la transferencia de datos entre países, la retención de datos, la divulgación y el cumplimiento de las solicitudes de datos de las fuerzas del orden público, las regulaciones de HIPAA y el nueva Ley de Privacidad del Consumidor de California (CCPA). Microsoft está aplicando las reglas de la CCPA a todos los usuarios de EE. UU.
Para solicitudes de aplicación de la ley a datos almacenados en servidores de Microsoft, la empresa se compromete a no divulgar datos procesados a menos que lo exija la ley.
«Si las fuerzas del orden se ponen en contacto con Microsoft con una demanda de Datos Procesados, Microsoft intentará redirigir a la agencia de aplicación de la ley para solicitar esos datos directamente al Cliente. Si se ve obligado a divulgar los Datos Procesados a las fuerzas del orden, Microsoft notificará de inmediato al Cliente y proporcionará una copia de la demanda a menos que esté legalmente prohibido hacerlo», afirma Microsoft.
