El Supervisor Europeo de Protección de Datos (EDPS) se encuentra en pleno proceso de evaluación del cumplimiento de la Comisión Europea con las directrices establecidas en su decisión del 8 de marzo de 2024 respecto al uso de Microsoft 365. La fecha límite para la presentación de una demostración de conformidad era el 9 de diciembre de 2024, y apenas tres días antes, la Comisión entregó un informe acompañado de documentación para su análisis exhaustivo por parte del EDPS.
La investigación inicial del EDPS comenzó en mayo de 2021, a raíz del fallo Schrems II del Tribunal de Justicia de la UE, que limitaba la transferencia de datos personales a países sin protecciones adecuadas comparables a las de la Unión Europea. Según la entidad supervisora, la implementación de Microsoft 365 infringía múltiples disposiciones del Reglamento (UE) 2018/1725, especialmente en cuanto a la transferencia de datos personales fuera del Espacio Económico Europeo (EEE).
En su dictamen de marzo de 2024, el EDPS había impuesto a la Comisión la suspensión de las transferencias de datos personales a Microsoft y sus subcontratistas situados en territorios no cubiertos por una decisión de adecuación de la UE. Además, demandó el ajuste de las operaciones de tratamiento de datos a las normativas comunitarias mediante medidas correctivas específicas.
La dependencia de la Comisión Europea hacia tecnologías de Microsoft ha sido objeto de debate en los últimos tiempos. Documentos internos iluminaron las preocupaciones sobre la falta de alternativas viables dentro del continente, el riesgo de incrementos en los precios y las limitaciones para preservar la soberanía tecnológica de la región. Un portavoz de la Comisión admitió que, actualmente, no cuentan con opciones equivalentes a Microsoft 365 en términos de funcionalidad, aunque se están considerando algunas estrategias de software abierto a pequeña escala.
La utilización de Microsoft 365 también ha suscitado interrogantes en torno a la privacidad y la seguridad de los datos, puesto que la plataforma no está autorizada para manejar documentos clasificados. Esta situación ha instigado, según fuentes anónimas de distintas instituciones, a clasificar de manera menos rigurosa datos que podrían ser más sensibles.
A pesar de esto, la Comisión ha retado la decisión del EDPS ante el Tribunal General de la UE, alegando una interpretación incorrecta de la normativa. Por su parte, el EDPS mantiene firme que su decisión es plenamente vigente, avanzando con una revisión detallada de los documentos presentados.
El futuro del control de los datos personales en la UE enfrenta cierta incertidumbre, particularmente cuando Wojciech Wiewiórowski, actual supervisor del EDPS, aspira a la reelección enfrentándose a una competencia considerable. Algunos analistas expresan que un EDPS más favorable hacia la Comisión podría comprometer la independencia del organismo principalmente en temas como la privacidad en la inteligencia artificial y el uso de datos personales.
Con las audiencias y selecciones del nuevo supervisor previstas para enero de 2025, el debate sobre el uso de Microsoft 365 y la soberanía digital probablemente cobrará mayor relevancia. Este caso refleja la frágil balanza entre resguardar la privacidad de los datos y asegurar la operatividad eficiente de las instituciones dentro de la UE.
