Data Protection Impact Assessment ziet risico met Microsoft Teams
SURF heeft samen met het ministerie van Justitie en Veiligheid (Strategisch Leveranciersmanagement voor de Rijksoverheid) opdracht gegeven aan de Privacy Company tot het uitvoeren van een Data Protection Impact Assessment (DPIA) op Microsoft OneDrive, SharePoint en Teams. Het hoge risico betreft het gebruik van Microsoft Teams.
Deze Data Protection Impact Assessment (DPIA) beoordeelt de gegevensbeschermingsrisico's van het (professionele) gebruik van Microsoft Teams in combinatie met OneDrive, SharePoint Online en de Azure Active Directory.
Teams is een online tool voor videoconferenties, bellen en bestanden delen. Als onderdeel van Office 365 biedt Microsoft twee cloudopslagtools voor eindgebruikers: OneDrive en SharePoint Online. Deze applicaties worden vaak gebruikt om bestanden te openen en op te slaan die via Teams worden gedeeld. Als voorwaarde voor het gebruik van de online services van Microsoft moeten eindgebruikers en beheerders, inclusief gastgebruikers, worden geverifieerd via de online cloudservice Azure Active Directory.
Uit het onderzoek komen de volgende zaken naar voren:
6 lage risico’s
1 hoog risico
De 6 lage risico’s zijn pas als zodanig te classificeren, nadat acties zijn uitgevoerd door de instellingen. SURF komt hiervoor met nadere informatie. Het hoge risico betreft het gebruik van Teams. Het gaat om de specifieke situatie waarin bijzondere persoonsgegevens worden gedeeld via vooraf ingeplande Teams-vergaderingen. Deze geplande sessies zijn niet end-to-end versleuteld. Op dit moment biedt Microsoft deze versleuteling (end-to-end encryption, E2EE) alleen aan voor spontane 1-op-1 uitwisselingen.
Maatregelen
Microsoft heeft toegezegd om E2EE te gaan ondersteunen voor alle geplande Teams-gesprekken, maar heeft hiervoor nog geen exacte datum gegeven. SURF en het ministerie van Justitie en Veiligheid blijven hierover met Microsoft in gesprek. Nadat Microsoft duidelijkheid biedt over een implementatiedatum, kan het risico dat nu hoog is, heroverwogen worden.
Als instellingen OneDrive en SharePoint willen gebruiken om gevoelige of bijzondere persoonsgegevens te verwerken, worden ze geadviseerd om gebruik te maken van de Microsoft-dienst Double Key Encryption of van versleutelingoplossingen van derde partijen. Zo kunnen bestanden versleuteld worden opgeslagen.
Opvragen van persoonsgegevens door opsporings- en inlichtingendiensten
Microsoft meldde in november 2021 dat het nog nooit persoonsgegevens van werknemers van publieke sectorinstellingen heeft verstrekt aan welke overheid dan ook. Microsoft kondigde eerder aan te werken aan een oplossing waarbij persoonsgegevens exclusief in de EU worden verwerkt (de zogeheten EU Data Boundary).
Nadere informatie
SURF komt op korte termijn met nadere informatie om deze DPIA verder te duiden en te beschrijven met welke maatregelen risico’s gemitigeerd kunnen worden. Die informatie wordt op deze pagina gepubliceerd zodra deze beschikbaar is.
SURF houdt verder nauwgezet de ontwikkelingen in de gaten over het gebruik van cloud diensten buiten de EER en spant zich in om ervoor te zorgen dat technische en contractuele afspraken met leveranciers compliant zijn en dat risico’s worden geminimaliseerd.
