Uitkomsten DPIA op Microsoft OneDrive, SharePoint en Teams

SURF heeft, in samenspraak met SLBdiensten en APS IT-diensten, samen met het ministerie van Justitie en Veiligheid (Strategisch Leveranciersmanagement voor de Rijksoverheid) opdracht gegeven aan de Privacy Company tot het uitvoeren van een Data Protection Impact Assessment (DPIA) op Microsoft OneDrive, SharePoint en Teams.

Uit het onderzoek komen de volgende zaken naar voren:

• 6 lage risico’s
• 1 hoog risico

De 6 lage risico’s zijn pas als zodanig te classificeren, nadat acties zijn uitgevoerd door de instellingen. Wij komen hiervoor met nadere informatie. Het hoge risico betreft het gebruik van Teams. Het gaat om de specifieke situatie waarin bijzondere persoonsgegevens worden gedeeld via vooraf ingeplande Teams-vergaderingen. Deze geplande sessies zijn niet end-to-end versleuteld. Op dit moment biedt Microsoft deze versleuteling (end-to-end encryption, E2EE) alleen aan voor spontane 1-op-1 uitwisselingen.

Maatregelen

Microsoft heeft toegezegd om E2EE te gaan ondersteunen voor alle geplande Teams-gesprekken, maar heeft hiervoor nog geen exacte datum gegeven. Wij blijven hierover met Microsoft in gesprek. Nadat Microsoft duidelijkheid biedt over een implementatiedatum, kan het risico dat nu hoog is, heroverwogen worden.

Als instellingen OneDrive en SharePoint willen gebruiken om gevoelige of bijzondere persoonsgegevens te verwerken, worden ze geadviseerd om gebruik te maken van de Microsoft-dienst Double Key Encryption of van versleutelingoplossingen van derde partijen. Zo kunnen bestanden versleuteld worden opgeslagen.

Opvragen van persoonsgegevens door opsporings- en inlichtingendiensten

Microsoft meldde in november 2021 dat het nog nooit persoonsgegevens van werknemers van publieke sectorinstellingen heeft verstrekt aan welke overheid dan ook. Microsoft kondigde eerder aan te werken aan een oplossing waarbij persoonsgegevens exclusief in de EU worden verwerkt (de zogeheten EU Data Boundary).

Nadere informatie

Wij komen op korte termijn met nadere informatie om deze DPIA verder te duiden en te beschrijven met welke maatregelen risico’s gemitigeerd kunnen worden. Die informatie wordt hier gepubliceerd zodra deze beschikbaar is.

Samen met SURF houden wij verder nauwgezet de ontwikkelingen in de gaten over het gebruik van cloud diensten buiten de EER en spannen wij ons in om ervoor te zorgen dat technische en contractuele afspraken met leveranciers compliant zijn en dat risico’s worden geminimaliseerd.