La autoridad austriaca de protección de datos determina que Microsoft 365 Education vigiló ilegalmente a alumnos

Tras dos denuncias presentadas en 2024 por la organización austriaca de defensa de la privacidad noyb, en nombre de un alumno de una escuela pública, la Autoridad de Protección de Datos de Austria (Datenschutzbehörde, DSB) emitió dos resoluciones que concluyen que Microsoft 365 Education —utilizado por millones de alumnos y docentes en todo el Espacio Económico Europeo— procesó de forma ilegal datos personales de menores.

En su primera resolución (octubre de 2025, expediente GZ D135.027), la DSB determinó que Microsoft, la escuela del alumno y el Ministerio Federal de Educación de Austria actuaron como corresponsables del tratamiento y habían infringido los artículos 13, 15 y 26 del RGPD al no proporcionar al alumno información completa sobre los datos compartidos con terceros —incluidos OpenAI, LinkedIn y Xandr— ni acceso a dichos datos, y por utilizar cookies de rastreo sin consentimiento.

En una segunda resolución (enero de 2026, expediente GZ D135.026), la DSB volvió a determinar que Microsoft había instalado cookies de rastreo ilegales en el dispositivo de un menor y ordenó a la empresa que dejara de rastrear al denunciante en un plazo de cuatro semanas. El abogado de noyb, Felix Mikolasch, declaró que "vigilar a menores claramente no respeta la privacidad", mientras que el presidente de noyb, Max Schrems, afirmó que "las empresas y autoridades de la UE deberían usar software que cumpla la ley". Ambas resoluciones han sido recurridas por Microsoft ante el Tribunal Administrativo Federal austriaco y aún no son firmes.