Artikel i forbindelse med udsendelse af nyhedsmail den 7. marts 2024.

På baggrund af en konkret forespørgsel fra Region Syddanmark i en aktuel sag har Datatilsynet forholdt sig til, i hvilket omfang den såkaldte Chromebook-sag har relevans for anskaffelse og brug af andre cloudservices. For Region Syddanmarks vedkommende drejer det sig konkret om regionens påtænkte migrering til Microsoft 365.

Region Syddanmark skal derfor – som også anført i Datatilsynets e-mail af 12. januar 2024 – kortlægge, afklare og vurdere:

• Hvilke kategorier af personer vil regionen behandle personoplysninger om, herunder f.eks. medarbejdere, patienter mv., som led i brugen af M365?
• Hvilke personoplysninger vil regionen behandle om disse kategorier af personer, og i hvilket omfang vil der blive indsamlet og behandlet metadata om disse personer?
• Hvilket retsgrundlag vil danne baggrund for regionens behandling af de pågældende personoplysninger?
• Hvilke specifikke formål vil Microsoft konkret behandle oplysninger til som led i at holde ”produkter opdateret og ydende samt forbedre brugernes produktivitet, pålidelighed, effektivitet, kvalitet og sikkerhed”, og i hvilken rolle?
• Hvordan genereres den ovennævnte aggregerede statistik konkret, herunder navnlig om aggregeringen eller anonymiseringen sker, inden oplysninger videregives til Microsoft?
• Vil det pågældende retsgrundlag kunne danne baggrund for videregivelse af de pågældende personoplysninger til Microsoft til brug for de formål, der er beskrevet ovenfor?

Hos Gapsolutions ser vi dette som generelle spørgsmål, som der skal tages stilling til ved brugen af Microsoft – ikke bare for offentlige organisationer som Region Syddanmark, men ved alles brug af Microsoft 365.

De første 3 punkter svares der som udgangspunkt på ved almindelig brug af kortlægning i portalen.

Hvis I ønsker hjælp til en klarlæggelse af hvilken aggregerede statistik Microsoft anvender for at lave opdateringer af deres produkter (de sidste 3 punkter) er du velkommen til at kontakte en af vores konsulenter.

Læs mere hos Datatilsynet