Samenvatting
Microsoft (en dus Teams) maakt gebruik van SCC ’s (Standard contract clauses; modelcontracten van de Europese Commissie) voor de transfer van persoonsgegevens naar de VS. Het Hof van Justitie oordeelde in arrest C‑311/18 (Schrems II) van 16 juli 2020 dat het gebruik van SCC ’s met bedrijven in de Verenigde staten zijn toegelaten op voorwaarde dat de verwerkingsverantwoordelijke (in casu het CGVS) aanvullende maatregelen neemt om de bescherming op het in de wetgeving van de Europese Unie vereiste niveau te brengen.In dit arrest spreekt de RvV zich wel uit over de aanvullende maatregelen genomen door het CGVS:
- End-to-end versleuteling (E2EE)
De end-to-end versleuteling zorgt ervoor dat de verzonden gegevens vertrouwelijk blijven. De gegevens zijn namelijk ook onleesbaar voor iedereen die de sleutel niet heeft, met inclusie van Microsoft zelf. Aangezien Microsoft bijgevolg niet over de mogelijkheid beschikt om toegang te krijgen tot de inhoud van de gevoerde gesprekken, kan het deze inhoud evenmin op leesbare wijze doorgeven aan de autoriteiten in de VS.
- Het gebruik van gedepersonaliseerde, anonieme teams accounts
Dit voorkomt dat de metadata kan worden achterhaald, met name de gegevens over het gesprek, zoals bijvoorbeeld het tijdstip en de duur van het gesprek en de locatie van de gebruikers. Op deze manier wordt het onmogelijk gemaakt om te achterhalen wie het gesprek voerde.
- Het gebruik van laptops die begrensd zijn tot enkel het gebruik van de Teams-applicatie in het kader van persoonlijke onderhouden
Deze maatregel zorgt ervoor dat er zich geen andere (meta-) data bevindt op de laptop via de welke de persoon zou geïdentificeerd zou kunnen worden en biedt zodoende bescherming tegen hacking, malware of virussen.
De RvV concludeert dat bovenstaande maatregelen de toegang tot de persoonsgegevens door de Amerikaanse autoriteiten onmogelijk maakt, waardoor het persoonlijk karakter van het persoonlijk onderhoud naar behoren is gewaarborgd.