Varnost naših podatkov v oblaku

Nemški nadzorni organ za varstvo osebnih podatkov v pred kratkim objavljenem poročilu ugotavlja, da ameriški tehnološki velikan Microsoft kljub predhodnim opozorilom pri oblačnih storitvah – najbolj znan je Microsoft 365, ki omogoča rabo programov za urejanje besedil, obdelavo razpredelnic in druga orodja, pa tudi hrambo podatkov v oblaku s storitvijo OneDrive – še vedno ne upošteva splošne uredbe o varstvu podatkov (GDPR).

Omenjeni organ je poskušal ugotoviti, v katerih primerih Microsoft deluje tudi kot upravljavec podatkov – pri čemer nosi večjo odgovornost v skladu z zakonodajo EU na področju varstva podatkov – in v katerih jih zgolj obdeluje. Vendar mu tega na podlagi dostopne dokumentacije ni uspelo ugotoviti. Prav tako dvomi o dodatnih tehničnih in organizacijskih ukrepih, ki jih je v zadnjih letih Microsoft že podal kot odgovor na pomisleke glede varnosti izvoženih podatkov – še vedno ni mogoče zagotoviti, da se podatki, ki jih izvaža Microsoft, ne bi obdelovali v Združenih državah Amerike –, in opozarja, da podatki v Microsoftovih oblačnih storitvah kdaj niso dovolj šifrirani, uporabnikom pa ni zagotovljena dovoljšna stopnja obveščenosti.

Ker Microsoft po mnenju organa – na evropski ravni je na to v preteklosti že opozoril evropski odbor za varstvo podatkov – ne deluje v skladu z GDPR, bi bila lahko še posebej vprašljiva raba njegovih oblačnih storitev znotraj javnega sektorja, med drugim tudi v šolah. Francoske oblasti so že lani vladnim agencijam svetovale, naj se izogibajo oblačnim storitvam, ki niso v skladu z GDPR, podobno so svetovale visokošolskim ustanovam. Nemški organi za varstvo podatkov so do podobnega sklepa prišli že leta 2019, ko so storitve Office 365 prepovedali v učilnicah zvezne dežele Hessen. Pri tem velja omeniti, da so oblačne storitve, katerih ponudnik je Microsoft, prek javnega zavoda Arnes, ki zagotavlja omrežne storitve organizacijam s področja raziskovanja in izobraževanja, na voljo tudi slovenskim učencem, dijakom in študentom. Marsikdo jih tudi uporablja.

Microsoft se je na očitke že odzval. Kot so zapisali v podjetju, se z mnenjem nemškega nadzornega organa ne strinjajo in zagotavljajo, da njihovi izdelki »ne le izpolnjujejo, ampak pogosto celo presegajo stroge zakone o zasebnosti podatkov v Evropski uniji«. Poročilo naj domnevno ne bi upoštevalo sprememb, ki so jih v podjetju že zagotovili, in naj bi temeljilo predvsem na nesporazumih glede delovanja storitev, poleg tega še ne upošteva novega čezatlantskega dogovora o prenosu podatkov iz EU v ZDA, ki formalno sicer še ne velja.

Zato pri Microsoftu podpirajo nov okvir zasebnosti podatkov, ki bi zagotovil dodatno varnost uporabnikov, katerih podatki se obdelujejo zunaj EU. Prav zaradi sporazuma med EU in ZDA pa se tudi nadejajo, da bi lahko že prihodnje leto kljub vsemu prejeli pozitivno odločitev evropske komisije o skladnostih njihovih oblačnih storitev s splošno uredbo o varstvu podatkov.