独の学校で「Microsoft 365」使用禁止、なぜ？【第3回】

「学校でのMicrosoft 365禁止」を回避しようとしたドイツ　なぜ駄目だった？

教育機関での「Microsoft 365」の使用を禁止したドイツ。だが禁止の決定までに、当局は使用に向けた検討を重ねてきたという。結果として決定が覆らなかったのはなぜなのか。

公開 2023年02月09日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　サブスクリプション形式でMicrosoftが提供するオフィススイート「Microsoft 365」（Office 365）の、教育機関での使用を禁止したドイツ。その指揮を執ったドイツデータ保護会議（DSK：ドイツ連邦と16州のデータ保護監督機関で構成される調整機関）が、Microsoft 365を問題視するようになったきっかけは何か。

発端は2018年　Microsoft 365はなぜ駄目だったのか？

併せて読みたいお薦め記事

連載：独の学校で「Microsoft 365」使用禁止、なぜ？

教育現場でのIT活用

　Microsoft 365を巡っては、Microsoftが2018年8月にドイツのデータセンターを利用したサービス提供を終了した。その後、ドイツの規制当局はMicrosoft 365でのデータ扱いに関連する問題を指摘し始めた。DSKはこの動きを受け、「どうすればMicrosoft 365を『一般データ保護規則』（GDPR）に準拠した形で使えるか」を積極的に検討したという。GDPRは、EU（欧州連合）の個人情報保護規則だ。

　2019年7月、ヘッセン州のデータ保護・情報自由委員会はMicrosoft 365の問題点を取り上げた。ドイツの組織が米国のクラウドサービス事業者を利用すれば、米国当局がそのデータにアクセスできるようになる問題を指摘した。同委員会は、Microsoftがユーザーに知らせず、テレメトリーデータ（ソフトウェアの改善を図るための利用状況データ）を収集することもプライバシーの懸念点だと判断した。

　上記を踏まえ、ヘッセン州のデータ保護・情報自由委員会はヘッセン州全域の教育機関でのMicrosoft 365の使用を禁止。その際に「Microsoftに当てはまることは、GoogleやAppleといった他のクラウドサービス事業者にも当てはまる」と指摘した。「これらの事業者は透明性に欠けたクラウドサービスを提供してきた。プライバシーを考えると、教育機関での使用は不可能だ」と同委員会は言う。

　Microsoftによれば、同社はEUが定めたデータ移転契約のひな型「SCC」（Standard Contractual Clauses：標準契約条項）を採用し、データ処理の透明性を高めることに注力している。しかしDSKは、Microsoftの取り組みは不十分だという。「データ管理者が、Microsoftが提供する『データ保護に関する補遺』に基づき、GDPRを順守してMicrosoft 365を運用していることを証明するのは不可能だ」（DSK）と述べる。

　第4回は、Microsoftの主張に焦点を当てる。