Gegevens die Windows 10 Enterprise en Microsoft Office van en over gebruikers verzamelen en in een database in de Verenigde Staten opslaan vormen een risico voor de privacy van gebruikers, zo blijkt uit onderzoek van het ministerie van Justitie en Veiligheid. Microsoft heeft aanpassingen aangekondigd.

Binnen de Rijksoverheid hebben grote ict-leveranciers zoals Microsoft, Oracle en SAP één aanspreekpunt. Het aanspreekpunt voor Microsoft is Strategisch Leveranciers Management Microsoft Rijk (SLM Microsoft), gevestigd binnen het ministerie van Justitie en Veiligheid. SLM Microsoft heeft de PrivacyCompany een Data Protection Impact Assessment (DPIA) laten uitvoeren op de producten en diensten van Microsoft.

"Er is met dit eigen onderzoek van het ministerie van Justitie en Veiligheid vastgesteld dat er via de producten 'Windows 10 Enterprise' en 'Microsoft Office' informatie van en over de gebruiker verzameld en opgeslagen wordt in een database in de VS op een manier die hoge risico's meebrengt voor de privacy van de gebruiker", zo staat in een update over de onderhandelingen tussen het Rijk en Microsoft over AVG compliance (pdf).

In de presentatie over het onderzoek wordt gesteld dat Microsoft Office "heimelijk" de gedragsgegevens verzamelt van 300.000 rijkswerkplekken, van ministeries en politie tot rechtspraak en toezichthouders (pdf). Ook is het volgens de onderzoekers onduidelijk welke gegevens Microsoft bewaart en verzamelt over het gedrag van gebruikers. Wel is duidelijk dat het om grootschalige verwerking van persoonsgegevens van gevoelige aard gaat, aldus de onderzoekers.

Naar aanleiding van het onderzoek is SLM Microsoft met Microsoft in gesprek gegaan over een verbeterplan. De softwaregigant gaat haar producten dusdanig aanpassen dat het gebruik daarvan voor de Nederlandse overheid binnen de context van de AVG en andere wet- en regelgeving mogelijk is. Deze wijzigingen zal Microsoft in 2019 aanbieden. In de tussentijd zal het Rijk maatregelen moeten nemen om de datastromen naar Microsoft zo veel mogelijk te beperken, zodat Microsoft-diensten binnen de regels van de AVG kunnen worden gebruikt.