← España

E-12482-2021

1/14  Expediente Nº: E/12482/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 2 de abril de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra CONSEJERÍA DE EDUCACIÓN DEL GOBIERNO DEL PRINCIPADO DE ASTURIAS, con NIF S3333001J (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que de la aplicación TEAMS usada en el ámbito educativo, de MICROSOFT, no tiene suscrito contrato de encargo de tratamiento. Relata la respuesta a su petición de información pública que obtuvo el 3/03/2021 de la que deduce los hechos. Aporta copia de: -Resolución de 31/03/2016, en la que se aprueba el “proyecto técnico para implantación del correo electrónico institucional en la nube para el alumnado y profesorado de centros docentes sostenidos con fondos públicos del Principado de Asturias, a través de la adquisición de licencias gratuitas mediante un contrato de suscripción on line de Servicios en línea con Microsoft Corporation del producto OFFICE 365, según las condiciones que se disponen en documentos anexos”. ( no se envían). En antecedentes de hecho figura que se quiere implantar el correo electrónico institucional en la nube para el alumnado y profesorado de centros docentes sostenidos con fondos públicos del Principado de Asturias, a través de la adquisición de licencias gratuitas mediante un contrato de suscripción on-line de servicios en línea con MICROSOFT CORPORATION del producto OFFICE 365. En antecedentes de hecho cuarto, indica que a la vista “del informe de 2/07/2014, considera que la mejor opción es la ofertada por MICROSOFT, con su producto OFFICE 365 por ser el que más confianza ofrece desde el punto de vista de la protección de datos personales, al estar en posesión de una certificación de la AEPD que garantiza el adecuado tratamiento de las transferencias internacionales de datos con motivo de la prestación de los servicios Office 365”. El fundamento de derecho segundo hace referencia al portal EDUCASTUR en modo internet y en versión corporativa en modo intranet, así como al fomento y al apoyo de los correspondientes servicios educativos en línea que se menciona en el Decreto 6/ 2015 de 13/08. -Resolución de 2/03/2021 de la reclamada, de respuesta de acceso a información publica. Contiene dos links, Urls. El primero conteniendo información de la web de MICROSOFT sobre “SERVICIOS PRESTADOS DE LA PLATAFORMA OFFICE 365”, haciendo clic lleva a pantalla de información de fecha posterior , 19/10/2021. Informa sobre los referentes al ámbito educativo. En características de plataforma hay unas tablas que explica las características según Office A 1, A 3 y A 5 incluyendo en cualquiera de ellas la aplicación TEAMS. El segundo link, titulado “OTROS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 ASPECTOS RELATIVOS AL RGPD”, lleva también a la pagina web de MICROSOFT actualizada referida a ¿Donde se almacenan los datos de los clientes de MICROSOFT 365? En las tablas de países figuran “dónde se almacenan los datos en reposo de los clientes de los servicios de Microsoft 365 en todas las ubicaciones de nuble globales. En España, los datos de TEAMS figuran que se almacenan en la Unión europea. s puede obtener mas información como la que figura en la misma pagina, “Ubicación de datos en la unión europea” también se alude a la transferencia de datos y al apartado “clausula modelo de la unión europea”, para la transferencia de datos personales de los clientes de la UE a países ajenos al Espacio Económico Europeo (EEE). “Microsoft ofrece a los clientes las cláusulas contractuales estándar de la UE (SCC) (también conocidas como cláusulas modelo de la UE) que proporcionan garantías específicas en torno a las transferencias de datos personales para servicios dentro del ámbito. Las cláusulas modelo de la UE se usan en contratos entre proveedores de servicios (como Microsoft) y sus clientes para garantizar que los datos personales que salen del EEE se transfieran cumpliendo con la RGPD.”” En julio de 2020, el Tribunal de Justicia de la Unión Europea (TJUE) invalidó el marco del Escudo de privacidad UE-EE. UU. para las transferencias de datos personales de la UE a los Estados Unidos. Sin embargo, las cláusulas modelo de la UE siguen proporcionando un mecanismo válido para la transferencia de datos personales desde la UE y la EEA, así como desde Suiza y el Reino Unido. Microsoft pone las cláusulas modelo de la UE a disposición de los clientes, tal como se describe en el Anexo de protección de datos (DPA)de los Términos de servicios en línea de Microsoft (OST).” Clicando a Recursos, clausulas modelo de Eu, lleva a la página de la Comisión Europea titulada cláusulas contractuales estándar para la transferencia de datos entre La Unión Europea y países que no son de la Unión Europea: “De acuerdo con el Reglamento general de protección de datos (GDPR), las cláusulas contractuales que aseguren adecuadas salvaguardas pueden utilizarse como base para las transferencias de datos desde la UE a terceros países. Esto incluye cláusulas contractuales modelo, las denominadas cláusulas contractuales estándar (SCC), que han sido "preaprobadas" por la Comisión Europea. El 4 de junio de 2021, la Comisión emitió cláusulas contractuales estándar actualizadas bajo el GDPR para transferencias de datos de responsables o encargados en la UE / EEE (o de otra manera sujetos al GDPR) a responsables o encargados establecidos fuera de la UE / EEE (y no sujetos a el RGPD): Estas SCC actualizadas sustituyen a los tres conjuntos de SCC que se adoptaron en virtud de la anterior Directiva de protección de datos 95/46. Desde el 27 de septiembre de 2021, ya no es posible celebrar contratos que incorporen estos conjuntos anteriores de SCC. Hasta el 27 de diciembre de 2022, los responsables y encargados pueden seguir confiando en esas SCCs anteriores para los contratos que se celebraron antes del 27 de septiembre de 2021, siempre que las operaciones de procesamiento que son objeto del contrato permanezcan sin cambios.” -email de 8/03/2021 dirigido al DPD indicando que “desde la reclamada se ofrecen productos de Microsoft a docentes y alumnos. Microsoft actúa como encargado del tratamiento para la Consejería, que es la responsable del tratamiento. Los términos RGPD de ese uso de datos deben estar reflejados en contrato, convenio, acuerdo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 que debe ser público y sin que baste información genérica no contractual.” Le aporta los dos enlaces que obtuvo en su derecho de acceso a la información pública. Manifiesta que en otras CCAA los convenios de colaboración con MIRCOSOFT se publican en los boletines oficiales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada el 30 de abril del 2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 17 de mayo del 2021 se recibe en esta Agencia escrito de respuesta que contiene numerosa documentación en un CD adjunto. 1) Adjuntan copia de la petición del reclamante de acceso “copia electrónica o enlace a los contratos, convenios, actos jurídicos firmado por la Comunidad con Microsoft para ofrecer sus productos a docentes y estudiantes, que deben incluir todos los aspectos relativos a RGPS, ya que Microsoft pasa a ser responsable de tratamiento y puede ser usado por menores”. Añade que no ha localizado “convenio asociado en el portal de transparencia”. El acceso se le envió, entregándole la copia de la Resolución de 31/03/2016, así como el “anexo de condiciones suplementarias en materia de tratamiento de datos”, indicándole que la información se encuentra publicada en las dos direcciones Url. que se había facilitado al reclamante. Reproducen el escrito que reclamante dirigió el 8/03 al DPD. 2) Al reclamante se le facilitó “el anexo relativo a la política de Protección de Datos personales que figura en el expediente relativo a la suscripción de las licencias de Microsoft suscripción realizada el 17 de diciembre del 2015 por la que se adquieren 220.000 licencias a coste cero. Esta documentación forma parte del contrato suscrito y firmado por ambas partes. “ Alude a documentación integrante de este expediente:

  1. a)Documento elaborado por la consultora Indra el 7 de marzo del 2014 sobre el modelo de arquitectura tecnológica, elaborando una comparativa de las distintas soluciones disponibles en el mercado de servicios de correo corporativo.
  2. b)Documento de estudio de alternativas de 2 de julio del 2014 en el que para dar respuesta a las necesidades planteadas se considera la más adecuada la solución de Microsoft. En documentación adjunta, 9 páginas mas una portada, con el nombre de archivo 14/024/DEA/1.4, y un segundo archivo: 14/024DEA/2
  3. c)Estudio de impacto sobre la privacidad y seguridad realizado por una Consultoría externa, de 18 de agosto del 2014, donde se analizan los servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 del producto Office 365 especialmente en el cumplimiento de la normativa de Protección de Datos, transferencia internacional y funcionamiento en cuanto a la privacidad de usuarios y medidas de seguridad implementadas por Microsoft. Se aporta el archivo en el que figura la copia, incluida en los anexos (folio 48/68) del archivo denominado “condiciones suplementaria”
  4. d)Resolución de 9/05/2014 del Director de la AEPD sobre declaración de adecuación de garantías para las transferencias internacionales de datos a Estados Unidos con motivo de prestación de servicios de computación en nube.
  5. e)Informe de la AEPD de 17/12/2015, dando respuesta a consulta planteada “sobre si la contratación de OFFICE 365 cumple la normativa de protección de datos”. Tratándose el informe del Gabinete Jurídico 471/2015 , de 17/12/2015. remitida por la Dirección General de Ordenación Económica e Innovación Educativa del Principado de Asturias: “La consulta plantea si resulta conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal y su Reglamento de desarrollo aprobado por el Real Decreto 1726/2007, de 21/12, la transferencia internacional de datos derivada de la contratación del paquete “Office 365” de Microsoft, teniendo en cuenta la doctrina derivada de la sentencia del Tribunal de Justicia de la Unión Europea de 6/10/2015, recaída en el asunto C-362/14, en que se declara inválida la Decisión de la Comisión 2000/520/CE de 26 de julio de 2000, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América.” La consecuencia de la sentencia mencionada es que como consecuencia de la anulación que la misma lleva a cabo, no cabe considerar que los Estados Unidos de América ofrecen un nivel adecuado de protección a los efectos previstos en la normativa de protección de datos, nivel que sí se apreciaba, hasta ese momento, respecto de las empresas adheridas a los mencionados principios de puerto seguro. Sin embargo, ello no supone que necesariamente queden vedadas las transferencias internacionales de datos a los Estados Unidos. A tal efecto, cabe recordar que el artículo 70.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999 dispone que “ccuando la transferencia tenga por destino un Estado respecto del que no se haya declarado por la Comisión Europea o no se haya considerado por el Director de la Agencia Española de Protección de Datos que existe un nivel adecuado de protección, será necesario recabar la autorización del Director de la Agencia Española de Protección de Datos”. El artículo 70.2 del citado Reglamento añade que “la autorización podrá ser otorgada en caso de que el responsable del fichero o tratamiento aporte un contrato escrito, celebrado entre el exportador y el importador, en el que consten las necesarias garantías de respeto a la protección de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos”. Pues bien, teniendo en cuenta estas previsiones y los servicios en nube a los que concretamente se refiere la consulta, por medio de resolución de esta Agencia de 9 de mayo de 2014, recaída en el expediente de autorización de transferencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 internacionales de datos con referencia TI/32/2014 se acordaba expresamente lo siguiente: “Primero.- Considerar adecuadas las garantías establecidas en los modelos de contratos aportados por MICROSOFT CORPORATION para la transferencia internacional de datos con destino a dicha entidad, establecida en los Estados Unidos, con motivo de la prestación de los servicios OFFICE 365, MICROSOFT DYNAMICS CRM ONLINE y WINDOWS AZURE (MOS) y actuando como encargado del tratamiento. Segundo.- Considerar autorizadas las transferencias internacionales de datos con destino a los Estados Unidos que se realicen al amparo de las cláusulas contractuales mencionadas, siempre que se cumplan las siguientes condiciones: 1. La finalidad de la transferencia será la prestación de los servicios OFFICE 365, MICROSOFT DYNAMICS CRM ONLINE y WINDOWS AZURE (MOS) por parte de MICROSOFT CORPORATION, actuando como encargado del tratamiento. Los datos se transfieren en las condiciones y con todas las garantías reseñadas en los Fundamentos de Derecho anteriores. 2. La autorización sólo podrá entenderse concedida en caso de que el contrato firmado entre los responsables exportadores de los datos y MICROSOFT CORPORATION incorpore la totalidad de los documentos que se han aportado para la adopción de la presente resolución para cada uno de los servicios a los que la misma se refiere. 3. El exportador de datos deberá notificar al RGPD los ficheros cuyos datos vayan a ser objeto de transferencia internacional con carácter previo, con indicación de su denominación y código de inscripción en el RGPD, indicando que se producirá la transferencia internacional de los datos al amparo de la presente resolución. 4. El alcance de la transferencia internacional de datos que se lleve a cabo deberá resultar ajustado a la estructura del fichero, categorías de datos y finalidades del tratamiento establecidas en la inscripción del correspondiente fichero. 5. El exportador de datos deberá poner a disposición de la AEPD, cuando le fueran requeridos, los contratos de prestación de servicios que haya suscrito con MICROSOFT IRELAND OPERATIONS LIMITED (MIOL) y MICROSOFT CORPORATION (…).” Quiere ello decir que, con independencia de la doctrina sentada en la sentencia de 6 de octubre de 2015, esta Agencia ya ha considerado que las transferencias internacionales de datos que pudieran llevarse a cabo mediante la contratación de los servicios mencionados en la resolución reúnen garantías suficientes que permiten su autorización, sin que sea preciso para el responsable, en este caso la consultante, obtener una autorización específica para llevar a cabo dichas transferencias, siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 y cuando se notifiquen al registro las transferencias realizadas en el apartado correspondiente del formulario de notificación del fichero para su inscripción. En consecuencia, la transferencia, siempre que se cumplan los requisitos señalados en el apartado segundo de la resolución que acaba de reproducirse serán conformes a la Ley Orgánica, no viéndose afectadas por la sentencia.”
  6. f)Memoria de implantación de EDUCASTUR 365.
  7. g)Resolución de 31/03/2016, “por la que se resuelve aprobar el proyecto técnico para la implantación del correo electrónico institucional en la nube para el alumnado y profesorado de centros docentes sostenidos con fondos públicos del Principado de Asturias, a través de la adquisición de licencias gratuitas mediante un contrato de suscripción online de servicios en línea con Microsoft Corporation del producto Office 365 según las condiciones que se disponen los documentos anexos” 3) En 2015, la Consejería inicia un proceso de actualización de sus servicios educativos en línea, portal público EDUCASTUR, INTRANET EDUCASTUR, CAMPUS, según la memoria de implantación de EDUCASTUR 365. “En 2016 se sustituyó el antiguo correo electrónico corporativo por el correo del entorno Office 365 Microsoft y sus aplicaciones asociadas de gran interés educativo”. “Se realizó el 17/12/2014 una suscripción online a los servicios de Microsoft denominado MICROSOFT ONLINE SUBSCRIPTION AGREEMENT (MOSA)” A esta suscripción se anexó una enmienda que se facilitó al solicitante que incluye en las condiciones suplementarias en materia de Protección de Datos, haciendo referencia a la resolución del 9/05/2014 de la AEPD, constituido por 3 anexos que se incorporan al contrato. En el expediente, la copia de estos anexos se halla identificada con el nombre “ “Condiciones suplementaria”, y abierto, titula: “condiciones suplementarias a los efectos de la resolución TI 00032/ 2014 de la AEPD”, con el logo de MICROSOFOT, 68 paginas, y se ordena;
  8. a)Acuerdos sobre tratamiento de datos en los servicios OFFICE 365 y los servicios Dynamics CRM online. ANEXO 1, que se recogen en el presente Adendum…”. En el punto 1 se contiene “Privacidad”, datos del cliente, devolución o eliminación de datos, transferencia de datos del cliente, responsabilidad del cliente , condiciones adicionales para Europa, indicándose que “en lo que concierne a los servicios online, el cliente es el responsable de los datos y Microsoft es un encargado de tratamiento que actúa por cuenta del cliente” ”de acuerdo con las instrucciones del cliente”, Seguridad desglosado en diferentes aspectos, En ANEXO 2 (clausulas contractuales tipo de la Unión Europea) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
  9. b)Acuerdo sobre el tratamiento de datos en los servicios WINDOWS AZURE ANEXO B1 y clausulas tipo, ANEXO B2.
  10. c)Acuerdo suplementario a las cláusulas contractuales tipo a los efectos de la autorización de la AEPD aplicable a los servicios OFFICE 365, DYNAMICS CRM ONLINE Y WINDOWS AZURE. ANEXO C. Se indica que con el fin de acordar las condiciones conforme a las que serán tratados los datos del cliente como el cliente ha celebrado un acuerdo sobre tratamiento de datos con Microsoft Irlanda el acuerdo de tratamiento de datos puntos Asimismo el cliente ha optado por celebrar las cláusulas contractuales tipo con Microsoft Corporation con el fin de articular jurídicamente la exportación de datos personales desde el cliente como exportador a Microsoft Corporation como importador y según se menciona en la cláusula 11 de las mencionadas cláusulas contractuales tipo desde Microsoft Corporation a su a su encargados. Reproduce parcialmente la resolución de 9 de mayo del 2014 del director de la AEPD en la que se indica que “estos servicios (MICROSOFT ON LINIE SERVICES, MOS) se prestan se prestan a través de Microsoft Ireland operations Limited (MIOL) establecida en Irlanda, que ofrece a los clientes junto con el correspondiente contrato comercial, de un acuerdo de tratamiento de datos.” “Los servicios MOS son prestados por si mismo o a través de subcontratistas, siendo Microsoft Corporation, sociedad matriz del grupo Microsoft establecida en Estados Unidos, el subcontratista principal, que a su vez, presta los servicios por sí misma o a través de subcontratistas que pueden estar situados fuera del Espacio Económico Europeo. Que, con la finalidad de adoptar las garantías suficientes para las transferencias de datos a Microsoft Corporation y a sus contratistas, ofrece a sus clientes posibilidad de firmar las cláusulas contractuales tipo adoptadas por la Comisión Europea en su decisión 2010/ 87 UE y un acuerdo suplementario a dichas cláusulas para adecuar las características de los servicios de computación en nube, la realización de las auditorías de las actividades de tratamiento y la subcontratación de operaciones de tratamiento con subencargados ulteriores del tratamiento” Esta resolución, manifiesta la reclamada, considera adecuadas las garantías establecidas en los modelos de contratos aportados por Microsoft Corporation para la transferencia internacional de datos con destino a dicha entidad establecida en los Estados Unidos con motivo de la prestación de esos servicios y actuando como encargado de tratamiento. “Por tanto las enmiendas o adendas a la suscripción de servicios online recogen las cláusulas relativas al acuerdo de tratamiento de datos en servicios online” 4) Los términos de suscripción online a los servicios MOS firmado electrónicamente el 17 de diciembre de 2014 recoge en cuanto a la renovación, los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 “Al renovar la suscripción, este contrato terminará y la suscripción se regirá en lo sucesivo por los términos y condiciones establecidos en el portal en la fecha de renovación de la suscripción”. “La renovación se produce de forma automática por periodos anuales” En los términos de servicios en línea aplicables a la suscripción actual se recoge: “términos y actualizaciones aplicables de los servicios online: cuando el cliente renueve o adquiera una nueva suscripción a un servicio online, se aplicarán los términos de los servicios online que estén vigentes en ese momento, los cuales no cambiarán durante la mencionada suscripción del cliente a dicho servicio online. Cuando Microsoft introduzca nuevas funciones como complementos o software relacionado- es decir nuevas en el sentido de que no estaban incluidas anteriormente en la suscripción- Microsoft pueden proporcionar términos -o realizar actualizaciones de los términos de los servicios online- que se apliquen al uso que el cliente efectúe de esas nuevas funciones, complementos o software relacionado. Los términos aplicables se pueden descargar en el siguiente enlace: Microsoft volumen licensing product licensing search”. 5) La sentencia de 16 de julio de 2020, del Tribunal de Justicia de la Unión Europea anula la decisión 2016/1250 de la Comisión que declaraba el nivel adecuado de protección del esquema del Escudo de Privacidad para las transferencias internacionales de datos a Estados Unidos. Esta decisión sustituirá a su vez a la de Puerto Seguro que fue declarada inválida en octubre del 2015, La sentencia establece a su vez la validez de las cláusulas contractuales estándar adoptadas por la Comisión Europea para realizar transferencias internacionales de datos entre un responsable establecido en la Unión Europea y un encargado de tratamiento fuera de la Unión Europea. 6) Con fecha 9 de diciembre del 2020, MICROSOFT actualiza la enmienda o adenda en materia de Protección de Datos de sus servicios en línea. A través de esta adenda, asume los compromisos dispuestos en este DPA para todos los clientes con contratos de licencia por volumen. Estos compromisos son vinculantes para Microsoft con respecto al cliente, sin importar los derechos de uso aplicables a una concreta suscripción a servicios online. “Microsoft promueve la actualización y revisión de los tratamientos de datos a las exigencias legales vigentes en cada momento”. Facilitan enlace url en relación a Microsoft Office 365, donde se pueden comprobar todos los certificados de cumplimiento que tiene 7) En el momento actual se está estudiando la posibilidad de suscribir un convenio de colaboración con Microsoft que recoja las condiciones de uso de los servicios online y las cláusulas relativas al tratamiento de datos de carácter personal. Acompaña también nota de prensa de MICROSOFT OFFICE de 6/06/2014, figura con el nombre en expediente de “ 20140606_LOPD_NotaPrensaM”, “ Microsoft ha recibido el respaldo de la Agencia Española de Protección de Datos (AEPD), que reconoce la solvencia y las garantías de los servicios corporativos de Microsoft en la nube en lo relativo a transferencias internacionales de datos.”, en el marco de los servicios corporativos de Office 365, Dynamics CRM Online y Microsoft Azure C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 La AEPD ha analizado, a solicitud de Microsoft, los modelos de contratos de la compañía para servicios de cloud corporativa y declara que los mismos ofrecen a los clientes garantías adecuadas para exportar datos personales a Microsoft Corp. al amparo de la Ley Orgánica de Protección de Datos (LOPD). De este modo, confirma la Agencia, los clientes de estos servicios que firmen los contratos de Microsoft contarán con su autorización para proceder a la mencionada exportación de datos, que es inherente al uso de los servicios en la Nube de Microsoft. De este modo, gracias a la autorización concedida por la AEPD, los clientes de Microsoft únicamente tendrán que notificar a la Agencia la transferencia internacional utilizando el código de autorización otorgado a Microsoft, sin necesidad de solicitar autorización alguna. Esta resolución es pionera en nuestro país, ya que la AEPD considera adecuadas las garantías de Microsoft como importador de datos, de lo que se beneficiarán todos los clientes usuarios de los servicios de cloud corporativa. Se trata de los servicios de Office 365, Microsoft Dynamics CRM Online y Microsoft Azure para los que Microsoft ya venía ofreciendo la formalización de las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en febrero de 2010. “ El marco contractual de Microsoft para la exportación de datos se fundamenta desde hace años en las citadas Cláusulas Contractuales Tipo con el objeto de regular la exportación de datos desde clientes europeos a proveedores de servicios establecidos fuera de la Unión Europea. Sin embargo, a diferencia de otros países, la legislación española no considera autorizadas las transferencias de datos con la mera firma de estas cláusulas, sino que requiere que la AEPD autorice específicamente la transferencia. Por este motivo, la resolución hecha pública viene a colmar satisfactoriamente este requerimiento, al expresar la AEPD que el marco contractual de Microsoft —incluyendo un acuerdo suplementario específico para España que se comenzará a ofrecer a los clientes— presenta las garantías adecuadas conforme a la LOPD. Refiere el informe TI/00032/2014 de 9/05/014 -Aporta copia de la ADENDA a los servicios online de Microsoft, de última actualización 9/12/2020, descargable en archivo Word, bajo el nombre en el expediente de “MicrosoftOnlineServicesDP”. Se establecen las obligaciones con el tratamiento y la seguridad de los datos del cliente y los datos personales en relación con los servicios online. Existe un apartado concreto en el que figura naturaleza del tratamiento de datos, titularidad, y que Microsoft utilizará y tratará los datos del cliente y los datos personales únicamente de acuerdo con las instrucciones documentadas del cliente y según se describe a continuación incluyendo las limitaciones indicadas a para prestar servicios online al cliente. Existe un apartado de tratamiento de datos con respecto al deber de confidencialidad, otro apartado relativo a el tratamiento de los servicios online, indicando expresamente que Microsoft es el encargado de tratamiento. Se expresa el objeto la duración la naturaleza y finalidad en la categoría de datos, información sobre ejercicio de derechos, seguridad de los datos, auditoría del cumplimiento. Incluye un apartado anexo 2 de “clausulas contractuales tipo encargado de tratamiento”. - En el archivo llamado “MicrosoftOnlineServicesTe” constan los términos de los servicios en línea , febrero 21. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 - En el archivo “ServiciosPrestados.url”, figura el catálogo de servicios de Office 365 Educación. -En el archivo “Servidores.url2” figura información sobre :¿Dónde se almacenan los datos de los clientes de Microsoft 365? -En el archivo “ServidoresInfo.txt”, figura al abrirse; ”Los servicios de Office 365 se ofrecen desde los datacenters de Microsoft” https://products.office.com/en-us/where-is-your-data-located?geo=Europe#Europe. Microsoft, como proveedor, ofrece la posibilidad a los clientes de seleccionar donde residen sus datos, siendo la recomendación para España del datacenter de Ámsterdam, en Holanda.” - En el archivo: “suscripción Microsoft.pdf” enmienda al contrato de Microsoft online suscripción. C considerando que las partes firmantes de esta enmienda han celebrado un contrato Microsoft online suscripción por el cual el cliente puede contratar a Microsoft ciertos servicios online, se “Considera que MICROSOFT ESTA DISPUESTO A OFRECER AL CLIENTE PRECIOS INTORUDCTORIOS PARA LOS SERVICIOS ONLINE DURANTE UN PERIODO DE TIEMPO LIMITADO. Se refiere al contrato de Microsoft Online suscripción como el contrato de licencia celebrado entre las partes con fecha entrada en vigor 17/12/2014, formalizado a través del portal de clientes de servicios online de Microsoft para la contratación de servicios online. Las condiciones de precios y servicio, rige para los 36 meses siguientes a la fecha entrada en vigor. - En el archivo”SuscripcionGratuitaO365.u” figura información sobre Obtener Office 365 de forma gratuita para todo tu centro educativo en la versión A1, que incluye aplicaciones web como las ofimáticas, servicios como ONE DRIVE, SAHAREPOINT y TEAMS. -En el apartado de la web de MICROSOFT, “ implementación de Microsoft Teams con aplicaciones de Microsoft 365”, contiene un apartado ¿Qué ocurre con las instalaciones existentes de Aplicaciones de Microsoft 365? Que refiere: TEAMS también se va a agregar a las instalaciones existentes de Aplicaciones de Microsoft 365 en los dispositivos que ejecuten Windows como parte del proceso de actualización normal. Que Teams se agregue o no a una instalación existente de Aplicaciones de Microsoft 365 depende de la versión instalada, la versión que se actualiza y otros factores. “ En cuanto al apartado de canales de actualización de las aplicaciones de MICROSFOT 365 , pueden ser: -canal actual: “proporciona a los usuarios de las características más recientes de Office en cuanto están listas. -canal empresarial mensual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 -canal empresarial semestral Figurando una tabla con el uso recomendado y las utilidades que proporciona Señala que la agregación a instalaciones existentes de las aplicaciones de Microsoft 365 de TEAMS, se produce en él a través del canal de actualización: “canal actual a partir del 9 de julio del 2019, canal empresarial mensual 12 de mayo del 2020 canal empresarial semestral-vista previa 10 de septiembre 2019.” TERCERO: En cuanto a los Convenios de Colaboración que aportó como ejemplo el reclamante, el de la Junta de Andalucía: https://www.juntadeandalucia.es/export/drupaljda/convenio/21/01/Convenio_31.pdf -Contiene 88 paginas, suscrito a 27/11/2020 entre el consejero de educación y deporte de la Junta de Andalucía y el representante de Microsoft Ireland operations Limited (empresa colaboradora). - En la primera parte en las manifestaciones se indica la apuesta por la transformación digital de la educación, la competencia del desarrollo de tecnologías de la información y la comunicación en centros docentes públicos -Los servicios educativos en la nube que se desean utilizar incluyendo Microsoft Office TEAMS, herramienta de colaboración comunicación y productividad -Indica que el acceso y uso de los servicios educativos en la nube puestos a disposición por la empresa colaboradora se encuentra regido por los términos y condiciones de dichos servicios educativos en la nube, términos y condiciones que figuran como anexo 1. También manifiesta existe una Adenda de Protección de Datos que figura como anexo dos al convenio. -Se incluyen asesorías de formación en los centros del profesorado y promoción y comunicación del proyecto en centros docentes públicos. -El apartado 5 dos, indica que la Consejería competente en materia de educación de la Junta ostenta la titularidad de los ficheros de los datos personales del profesorado y del alumnado de los centros docentes públicos de titularidad de la misma, así como de los centros del profesorado andaluces. -El apartado séptimo: Protección de Datos y califica la empresa colaboradora Microsoft como encargada del tratamiento de los mencionados datos personales. -Apartado 7 las obligaciones del encargado del tratamiento. -Anexo 1,contiene los términos de los servicios en línea septiembre 2020 con los términos y actualizaciones aplicables de los servicios online. -Figura un ANEXO denominado cláusulas contractuales tipo encargados del tratamiento. -En el ámbito de la CCAA de Madrid, se publica en el BOCM de 30/03/2021 el CONVENIO de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y Microsoft Ibérica, S. R. L., para mejorar la competencia digital en el ámbito educativo con el entorno Office 365. En el mismo se contempla como complemento de las herramientas corporativas de la Consejería a través de la implantación del servicio online OFFICE 365 Educación, plataforma en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 nube, plan OFFICE 365 A 1. Se indica que los términos del acuerdo de suscripción a los servicios on line con el grupo MICROSOFT especificados en el anexo 1, se regulan: -Por los términos del acuerdo de suscripción a los servicios online con el grupo -En lo que se refiere a protección de DATOS, por el Adendum de protección de datos, versión actualizada a momento de la firma en anexo 3. TERCERO: Con fecha 14 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Como definiciones, establece el RGPD en el artículo 4: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros deter mina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; El articulo 28.1 del RGPD indica: “Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.”, y el párrafo 3: “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable…” Las directrices 7/2020 del Comité Europeo de protección de datos ( art 68 del RGPD, organismo europeo independiente cuyos objetivos son garantizar la aplicación coherente del Reglamento General de Protección de Datos en la Unión Europea y promover la cooperación entre las autoridades de protección de datos de los estados de la UE.) sobre los conceptos de responsables del tratamiento y encargados del tratamiento del RGPD, adoptado el 2 de septiembre del 2020 añade: “Todo tratamiento de datos personales por parte de un encargado del tratamiento debe regirse por un contrato u otro acto jurídico que sea por escrito, incluso en forma electrónica, y que sea vinculante. El responsable del tratamiento y el encargado del tratamiento podrán decidir negociar su propio contrato, incluidos todos los elementos obligatorios, o basarse, total o parcialmente, en cláusulas contractuales estándar.” Los acuerdos no escritos (independientemente de cuán exhaustivos o efectivos sean) no pueden considerarse suficientes para cumplir los requisitos establecidos en el artículo 28 del RGPD. No obstante, estamos ante una multinacional que implementa cláusulas y contratos estándares, por lo que se prevé que su uso efectivo iría precedido de una u otra forma de la firma y aceptacion de los términos de uso de la licencia, y la in formación sobre el uso de los datos, incluida la necesidad de Identificacion de la parte responsable del tratamiento previo al funcionamiento de las aplicaciones. Además, el contrato u otro acto jurídico en virtud del Derecho de la Unión o de la ley de los Estados miembros debe ser vinculante para el encargado con respecto al responsable del tratamiento, es decir, debe establecer obligaciones vinculantes para el encargado en virtud del Derecho de la UE o de la ley los Estados miembros. También debe establecer las obligaciones del responsable del tratamiento. En la mayoría de los casos, habrá un contrato, pero el Reglamento también se refiere a «otro acto jurídico», como una «ley nacional » derecho nacional (primario o secundario) u otro instrumento jurídico. Si el acto jurídico no incluye todo el contenido mínimo requerido, deberá complementarse con un contrato u otro acto jurídico que incluya los elementos que faltan. En tal sentido, sea un contrato on line, sea convenio de colaboración, que remite e incluye los términos generales de la contratación, que puede ser on line, lo fundamental es el vínculo entre las partes. Su incorporación como convenio de colaboración puede supone ademas compromiso entre las partes en otras cuestiones que puede coincidir con la contratación, o ser porsterior, para potenciar la formación de profesores o el conocimiento de las herramientas. La mera concertación del convenio de colaboración no es por tanto constitutivo del contrato de encargo de tratamiento sino se complementa con los elementos que forman el contenido y términos de la contratación. En este procedimiento la reclamada manifestó que la sustitución del correo electrónico por el del entorno OFFICE 365. La suscripción a los servicios MOS se produjo electrónicamente el 17/12/2014, documento al que acompaña una enmienda con condiciones suplementarias del tratamiento de datos y de claúsulas tipo como garantías para transferencias internacionales de datos se completó en el primer trimestre del curso 17-18, con renovación automática anual. Se acredita que existe contrato de tratamiento de datos de OFFICE 365 Educación con MICROSOFT razón por lo que procede el archivo de la reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a CONSEJERÍA DE EDUCACIÓN DEL GOBIERNO DEL PRINCIPADO DE ASTURIAS De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-051121 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.