L'autorité autrichienne de protection des données juge que Microsoft 365 Education a illégalement surveillé des élèves

À la suite de deux plaintes déposées en 2024 par l'organisation autrichienne de défense de la vie privée noyb, au nom d'un élève d'une école publique, l'autorité autrichienne de protection des données (Datenschutzbehörde, DSB) a rendu deux décisions concluant que Microsoft 365 Education — utilisé par des millions d'élèves et d'enseignants dans l'Espace économique européen — a traité illégalement des données personnelles d'enfants.

Dans sa première décision (octobre 2025, dossier GZ D135.027), la DSB a estimé que Microsoft, l'école de l'élève et le ministère fédéral autrichien de l'Éducation agissaient en tant que responsables conjoints du traitement et avaient violé les articles 13, 15 et 26 du RGPD en ne fournissant pas à l'élève une information complète sur le partage de ses données avec des tiers — dont OpenAI, LinkedIn et Xandr — ni un accès à ces données, et en utilisant des cookies de suivi sans consentement.

Dans une seconde décision (janvier 2026, dossier GZ D135.026), la DSB a de nouveau conclu que Microsoft avait placé des cookies de suivi illégaux sur l'appareil d'un mineur et a ordonné à l'entreprise de cesser de suivre le plaignant dans un délai de quatre semaines. L'avocat de noyb, Felix Mikolasch, a déclaré que « surveiller des mineurs n'est clairement pas respectueux de la vie privée », tandis que le président de noyb, Max Schrems, a affirmé que « les entreprises et les autorités de l'UE devraient utiliser des logiciels conformes à la loi ». Les deux décisions ont été contestées par Microsoft devant le tribunal administratif fédéral autrichien et ne sont pas encore définitives.