L’EDPS ha stabilito che la Commissione Europea ha violato diverse norme chiave sulla protezione dei dati utilizzando Microsoft 365. In particolare, la Commissione non ha fornito adeguate garanzie per la protezione dei dati personali trasferiti fuori dall’UE/SEE, e non ha specificato adeguatamente quali dati personali sarebbero stati raccolti e per quali scopi espliciti utilizzando Microsoft 365. Di conseguenza, l’EDPS ha imposto misure correttive alla Commissione, che dovrà sospendere tutti i flussi di dati verso Microsoft e i suoi affiliati e sub-processori situati fuori dall’UE/SEE non coperti da una decisione di adeguatezza entro il 9 dicembre 2024, e dovrà conformare le operazioni di trattamento dati a quanto previsto dal Regolamento (UE) 2018/1725.
Infrangere la Legge sulla Protezione dei Dati
La violazione da parte della Commissione riguarda sia le disposizioni sul trasferimento dei dati personali fuori dall’UE/SEE sia l’adeguatezza delle misure di protezione dei dati. Queste azioni hanno impatti significativi su numerose operazioni di trattamento e su un ampio numero di individui, sottolineando la gravità delle violazioni.
Misure Correttive EDPS
L’EDPS ha deciso che le misure imposte (vedi allegato per i dettagli) sono appropriate, necessarie e proporzionate alla gravità e alla durata delle violazioni riscontrate. Queste includono la sospensione dei flussi di dati verso Microsoft e l’allineamento delle operazioni di trattamento al Regolamento (UE) 2018/1725.
Contesto e implicazioni
Le regole sulla protezione dei dati nelle istituzioni dell’UE, così come i compiti dell’EDPS, sono stabiliti nel Regolamento (UE) 2018/1725. Questa decisione dell’EDPS non preclude ulteriori azioni che l’EDPS potrebbe intraprendere in futuro. L’indagine dell’EDPS sulla Commissione Europea e l’utilizzo di Microsoft 365 è stata avviata seguendo la sentenza Schrems II, con l’obiettivo di verificare la conformità della Commissione con le raccomandazioni dell’EDPS sull’uso dei prodotti e servizi di Microsoft da parte delle istituzioni dell’UE.
