有关 Microsoft Outlook 新更新的数据保护担忧

fabiha01

微软因未按照数据保护法规处理用户数据而屡遭批评。因此，微软电子邮件程序 Outlook 的新更新也因违反现行数据保护法规而受到批评，这并不是什么新鲜事。具体来说，此更新现在使微软可以全面访问通过 Outlook 收集的用户数据。因此，北莱茵-威斯特法伦州数据保护专员 (LDI) 建议“在使用前仔细审查新版本。如果问题仍然存在，则尽可能不要实施更新。”联邦数据保护和信息安全专员在2023年12月的建议中也指出，目前还不可能实现符合数据保护规定的使用。

这篇博文旨在从数据保护的角度简要概述 Outlook 更新的关键点。

Outlook 更新的新功能概述：
该更新已在 Microsoft Store 中提供，并将与 Windows 11 功能更新 23H2 一起预装。微软宣称，此次更新将确保该程序特别用户友好。微软表示，总体而言，新版 Outlook 应该会让工作变得更加轻松。特别是，将来通过自动对电子邮件进行优先排序，可以改善和简化用户的电子邮件收件箱管理。

事实上，Outlook 的新功能可以使日常工作变得更加轻松。尽管如此，加拿大商业传真列表 相关的数据保护风险也不容忽视。因为每个新功能都有其（数据保护）价格。

微软向用户提供的数据保护信息不足
尽管新的更新会分析所有用户帐户（包括相关密码）、电子邮件及其附件并将其存储在 Microsoft Cloud 中，但用户并未完全了解 Microsoft 对其数据的处理。这违反了《条例》规定的透明度原则。 GDPR 第 5（1）（a）条。这要求以数据主体能够理解的方式全面地告知数据主体有关其个人数据的处理情况。不过，在安装新更新时，微软只是简单地告知用户，将来电子邮件将与微软云同步：

将您的帐户与 Microsoft 云同步意味着您的电子邮件、日历和联系人副本将在您的电子邮件提供商和 Microsoft 数据中心之间同步。当您的邮箱数据在 Microsoft 云中时，您可以像使用 Microsoft 帐户一样，通过非 Microsoft 帐户使用 Outlook 客户端（Windows 版新 Outlook、iOS 版 Outlook、Android 版 Outlook、Outlook.com 或 Mac 版 Outlook）的新功能。您在原生帐户以及该提供商所有应用中的体验将保持不变。

微软并未透露个人数据如何以及出于何种具体目的传输到云端。此外，用户并不知道其他数据（例如他的访问数据）也存储在 Microsoft 云中。正是数据处理缺乏透明度，从数据保护的角度来看构成了一个重大问题。这是因为必须相应地告知用户每个数据处理操作（参见 GDPR 第 5（1）（a）条、第 13 条、第 14 条）。

微软对于用户数据处理及其处理目的的信息非常谨慎，这并不是什么新鲜事。联邦和州政府独立数据保护监督机构会议已经就微软和数据保护合规性问题发表了评论——特别是微软数据处理缺乏透明度的问题。因此，即使在新的 Outlook 更新中，微软提供的有关用户数据处理的信息也不足且始终不透明，这并不奇怪。

微软为何进行如此广泛的数据处理并未得到解释。 LDI NRW 也在其 2023 年 12 月 20 日的声明中对此提出了批评。对此，其发表了以下声明：“目前尚不清楚处理这些数据的具体目的。”

缺乏数据处理的法律依据
按照数据保护法规处理用户数据始终需要 GDPR 或特别法律的法律依据。然而，微软利用新的 Outlook 更新进行大量数据处理并没有法律依据。

在本案中，对用户数据的全面处理既不基于微软根据《1989 年个人数据保护法》所享有的合法利益，也不基于微软根据《1989 年个人数据保护法》所享有的合法利益。 6（1）（f） GDPR，也不以根据第 6（1）（f） 条履行合同为目的。 GDPR 第 6（1）（b）条。因此，只有用户明确同意根据第 14 条进行相应的数据处理（用户帐户、密码等）。 GDPR 第 6（1）（a）条可视为法律依据。不过，微软尚未获得这样的许可。微软向用户提供的信息并不充分——联邦数据保护专员也这么认为。