Microsoft wijzigt de privacybepaling voor commerciële cloudklanten waarbij een eerder gemaakte overeenkomst met het Nederlandse ministerie van Justitie en Veiligheid als uitgangspunt dient. Aanleiding voor de aanpassing is een onderzoek van de Europese privacytoezichthouder EDPS.

De EDPS startte in april een onderzoek naar de contracten tussen Microsoft en de EU en of die aan de privacywetgeving voldoen. Het onderzoek is nog niet afgerond, maar de voorlopige resultaten zijn zorgwekkend, zo liet de privacytoezichthouder afgelopen oktober weten. Zo zijn er ernstige zorgen of de contractuele overeenkomsten wel aan de databeschermingswetgeving voldoen en de rol van Microsoft als verwerker voor EU-instellingen die de producten van het Amerikaanse softwarebedrijf gebruiken.

Om de zorgen van de EDPS weg te nemen wijzigt Microsoft nu de privacybepaling voor alle cloudklanten, zo heeft het bedrijf zelf aangekondigd. Daarin staat dat Microsoft de verwerkingsverantwoordelijke is wanneer het voor bepaalde administratieve en operationele zaken data verwerkt om clouddiensten, zoals Azure, Office 365, Dynamics en Intune, aan te kunnen bieden. Het gaat dan bijvoorbeeld om accountbeheer, financiële rapportages en het tegengaan van cyberaanvallen op Microsofts diensten.

Verder stelt Microsoft dat het klanten meer duidelijkheid zal geven over hoe het de data gebruikt en hoe het onder de AVG verantwoordelijk is voor het op de juiste manier verwerken van de data. De basis voor de aangepaste voorwaarden is een overeenkomst die eerder tussen Microsoft en het Nederlandse ministerie van Justitie en Veiligheid werd gesloten. Microsoft verwacht dat het de nieuwe voorwaarden begin 2020 aan alle cloudklanten wereldwijd zal aanbieden.