Microsoft har opdateret sin databehandleraftale med en klar forpligtelse til ikke at bruge kunders data til profilering, annoncering eller andre egne formål. Det kan reducere den juridiske usikkerhed for offentlige myndigheder, der anvender Microsoft 365, men ændrer ikke behovet for effektiv kontrol, dokumentation og uafhængig efterprøvelse.
Nye forpligtelser i Microsofts databehandleraftale
Den nye formulering lægger sig tæt op ad GDPR’s principper om formålsbegrænsning og dataminimering og understreger, at behandling kun må ske, når den er nødvendig for levering af tjenesten. Forpligtelsen adresserer centrale knaster fra Chromebook-sagen, hvor usikkerhed om mulig profilering og kommerciel brug af skoleelevers data udløste omfattende forbehold i den offentlige sektor.
Set i lyset af GDPR art. 5 og art. 28 er signalet, at leverandøren indskrænker egne formål og indretter driften som databehandler under kundens instruks. Det er et skridt mod bedre overensstemmelse med europæiske forventninger til cloud-leverandører.
Betydning for offentlige myndigheder
Kommuner og andre myndigheder bør vurdere, om kontrakter, behandlingsinstrukser og tekniske indstillinger i Microsoft 365 nu afspejler de nye begrænsninger. Det kan omfatte opdatering af databehandleraftaler, genbesøg af DPIA’er, logning og adgangsstyring samt tydeligere dokumentation i fortegnelser over behandlingsaktiviteter.
Ændringen mindsker risikoen for ulovlig sekundær brug, men løser ikke udfordringen med gennemsigtighed i lukkede cloudmiljøer. Auditret, adgang til relevante rapporter og sporbarhed forbliver afgørende.
Kontrol og dokumentation
Det centrale spørgsmål er verifikation: Kan kunden få tilstrækkelig indsigt til at efterprøve, at forbuddet mod profilering og kommercielle formål efterleves i praksis? Uden praktisk kontrol bliver kontraktklausuler alene en tillidserklæring.
Myndigheder bør derfor stille konkrete dokumentationskrav og sikre kontraktuel adgang til uafhængige audits, samtidig med at de monitorerer regulatorisk praksis.
Følgende udviklingspunkter bør følges tæt for at sikre reel efterlevelse:
- Hvordan Microsoft dokumenterer og gør behandlingsaktiviteterne efterprøvelige.
- Muligheder for uafhængig kontrol, audit og adgang til revisionsrapporter.
- Tilsyn og vejledning fra Datatilsynet og Kommunernes Landsforening.
