Андалусия передает компании Microsoft данные о полумиллионе несовершеннолетних учащихся

По данным Совета по прозрачности и защите данных этого автономного сообщества, правительство Андалусии (ПП) в течение последних шести лет нарушало правила защиты данных 525 000 несовершеннолетних учащихся, 74 000 учителей и тысячи учебных заведений, передавая их данные технологическому гиганту Microsoft в обмен на использование виртуальной платформы. Этот орган только что наложил на правительство автономного сообщества шесть санкций — две очень серьёзные, три серьёзные и одну незначительную — однако без денежного штрафа. Это еще одна проблема на фоне уже существующих, поскольку Андалусия также нарушила защиту данных еще 738 502 несовершеннолетних учащихся, 43 202 учителей и 2 676 учебных заведений в рамках аналогичного соглашения, заключенного с Google в 2020 году и осужденного Управлением по защите данных полтора года назад. Обе транснациональные компании контролируют виртуальные платформы, которыми пользуются 1,2 миллиона учащихся — две трети крупнейшего образовательного сообщества страны, насчитывающего 1,8 миллиона учащихся начальной и средней школы. Огромная утечка данных, допущенная Андалусией — которая действует и по сей день в ожидании заключения нового соглашения — нарушила право на конфиденциальность и неприкосновенность частной жизни тысяч учащихся, а также привела к несоблюдению ряда статей Общего регламента по защите данных (GDPR). Две очень серьезные санкции касаются «передачи персональных данных в третьи страны или международные организации» без надлежащих гарантий в такие страны, как Объединенные Арабские Эмираты, Южная Африка или Индия, а также неинформирования студентов и преподавателей об использовании их персональных данных. «Европейская комиссия считает, что во многих из этих стран отсутствует надлежащий уровень защиты данных», — подчеркивает Совет. Три санкции «серьезной степени» налагаются за то, что правительство не приняло «мер по минимизации риска» утечки данных особых категорий — особо конфиденциальных и защищенных, таких как данные о здоровье, — а также «неуместных» изображений и видео в облачном хранилище Microsoft, и не провело обязательную оценку воздействия, предусмотренную законом. Наконец, легкое взыскание налагается за то, что правительство не регистрировало международную передачу данных несовершеннолетних жителей Андалусии. Правительство передало данные своих учащихся и преподавателей без их предварительного согласия в обмен на бесплатное использование ими виртуальной платформы компании Билла Гейтса. По мнению Совета, правительство не приняло «технических и организационных мер» для ограничения «высокого риска», которому подвергаются учителя и учащиеся при загрузке в облако своих данных особых категорий, таких как данные о здоровье, религии, идеологии, убеждениях, сексуальной жизни или расовом происхождении. Преподавательница, которая обнародовала это соглашение, приводит наглядный пример: «Сочинение по предмету „История“, в котором требуется высказать мнение о политических идеологиях, или очень распространенный общий документ, предназначенный для предоставления информации классным руководителям перед аттестацией, или создание общей папки с психопедагогическими отчетами об одной из учениц в „Диве“; — все это представляет собой передачу данных особой категории без ведома и без согласия учащихся и их семей. Фактически, такие процедуры уже стали рутиной». Данные о здоровье находятся под особой защитой в соответствии с европейским регламентом, поскольку относятся к особой категории конфиденциальных данных, неправомерное использование которых может нарушить право на неприкосновенность частной жизни и основные права человека. Совету по прозрачности потребовалось три года, чтобы вынести предупреждение Департаменту образования и профессионального обучения Андалусии с того момента, как одна учительница сообщила о нарушениях в соглашении с Microsoft, связанных с передачей миллионов конфиденциальных данных. При этом штраф не был наложен, поскольку Совет считает, что в этом сложном вопросе приоритетным является право несовершеннолетних на образование, и работа облачных сервисов американской компании не должна прерываться. К ним относятся все приложения Microsoft Office, такие как текстовые процессоры и электронные таблицы, а также облачное хранилище OneDrive и система коммуникации Teams. Правительство Андалусии преуменьшает масштаб решения Управления по защите данных и утверждает, что у него уже есть план действий, «копирующий план Google, который уже был одобрен и утвержден [Советом по прозрачности]». У правительства есть месяц — до 31 июля — на то, чтобы представить надзорному органу новый план действий, согласованный с Microsoft, который устранит все недостатки, приведшие к массовой утечке данных андалузских школьников. Соглашение между правительством Андалусии и Microsoft было подписано в 2020 году и продлено в 2022 и 2024 годах. По словам упомянутого пресс-секретаря, до истечения срока последнего продления 20 ноября обе стороны подпишут новое соглашение. Технологический гигант, который не был подвергнут санкциям со стороны Андалузского совета, отказался разъяснить, почему он нарушил несколько статей европейского регламента и сделал ли он это сознательно. «Microsoft не комментирует конкретные процедуры или договорные отношения с клиентами. В целом Microsoft обязуется соблюдать применимые нормативные акты в области защиты данных», — ограничилась таким письменным ответом компания. Рафаэль Родригес, профессор философии права Университета Пабло де Олавиде в Севилье, критикует: «Права, связанные с неприкосновенностью частной жизни детей, нарушаются. Существует некоторое доверие к этим технологическим компаниям, которые доказали, что их главная цель — прибыль акционеров, и это очень трудно совместить с общественным благом». Усилия государственного сектора в итоге приносят выгоду лишь очень узкому кругу. Я не понимаю этой одержимости правительства Андалусии иностранными компаниями с огромными прибылями и почему оно стремится приучить студентов и преподавателей к столь закрытой экосистеме, к тому, что их жизнь в интернете должна быть привязана к таким компаниям, как Microsoft». Андалузский совет поясняет в своём решении, что он воздерживается от наложения финансового штрафа и лишь выносит предупреждение правительству автономной области, поскольку его целью является защита права несовершеннолетних на образование и стремление «свести к минимуму возможные сбои» в системе образования. Орган указывает, что в случае прерывания предоставления услуг Microsoft это «может негативно повлиять» на право на образование и принцип приоритета интересов несовершеннолетних, и признает удовлетворительной оценку рисков в области защиты данных (EIPD), проводимую министерством образования. Этим летом министерство представит надзорному органу план действий по устранению выявленных нарушений и, таким образом, «ограничит высокий риск», который несет использование облачного сервиса Microsoft для детей, подростков и учителей. Первый учитель из Андалусии, который обжаловал соглашение Департамента образования с Google, потребовал на основании закона о прозрачности предоставить ему план действий, чтобы узнать, как планируется защищать конфиденциальность образовательного сообщества, но правительство автономной области отказало ему в этом. А когда он обратился в Совет по вопросам прозрачности, тот уклонился от вынесения решения и попросил у него отсрочку на три месяца «из-за нехватки кадров». «Совет тянул время, пока не предоставил мне отсрочку на три месяца перед выборами; наверное, не хотел, чтобы я получил ответ до голосования», — критикует он. «Создается ощущение безнаказанности, ведь Совет мог бы остановить всё это, сославшись на статью 69 Закона о защите данных. Microsoft заявляет, что не использует эти данные, но кто нам гарантирует, что они не используют их для искусственного интеллекта, если у них есть положение, позволяющее им это делать?», — задаётся вопросом она.