最新情報: Microsoft は、データ プライバシーに関する約束に違反して、Office 365 顧客のビジネス データを Facebook アプリ開発者、パートナー、下請け業者と共有したとして訴えられています。
この訴訟は、いずれも Office 365 の顧客である原告の Frank Russo、Koonan Litigation Consulting、および Sumner Davenport & Associates を代表して、サンフランシスコの米国地方裁判所に提起されました。
訴状[PDF]によれば、マイクロソフトは企業顧客に対し、購入したサービスを提供するためにのみデータを使用すること、下請け業者とデータを共有するのは必要な場合のみであること、そして決して第三者とデータを共有することはないと繰り返し約束してきたが、これらの主張は虚偽である。
EUの裁判所が大西洋横断データ保護協定を「不十分」と判断、プライバシーシールドは廃止
続きを読む
「実際、マイクロソフトは自社の主張に反して、企業顧客のデータをFacebookやその他の第三者と定期的に共有しており、現在も共有し続けている」と訴状には記されている。「顧客やその連絡先がFacebookユーザーでない場合であっても、データは共有されている。」
訴状によると、マイクロソフトは、購入したサービスに必要のないデータについても数百社の下請け業者と共有しており、これらの下請け業者の一部がデータ漏洩の被害に遭っている。また、マイクロソフトは、新製品の開発、ビジネスインテリジェンスの収集、その他の商業的利益の獲得のために、法人顧客の電子メール、文書、カレンダー、位置情報、メディアファイルを日常的に利用していると主張している。
3 人は、これはマイクロソフトが米国盗聴法、米国通信保存法、およびワシントン州の消費者保護法に違反したことを意味すると述べている。
それでも、開発者が信頼できる限り...
特に原告らは、顧客またはその連絡先が Facebook ユーザーであるかどうかに関わらず、マイクロソフトが同意なしに顧客のビジネス連絡先を Facebook と自動的に共有していると主張している。
「たとえ顧客がOffice 365やExchange Onlineのサービスを有効にした後にこのFacebook共有『機能』を発見し無効にしたとしても、損害はすでに発生している」と訴状は述べ、潜在的な損害の例としてケンブリッジ・アナリティカのスキャンダルを指摘している。
その時点で、法人顧客の連絡先はFacebookと共有されています。マイクロソフトが分かりにくい技術説明書で説明しているように、「一度Facebookに転送された連絡先は、Facebook以外からFacebookのシステムから削除することはできません。」
その結果、企業顧客のデータはFacebookだけでなく、「Facebookがデータを共有する相手、そしてそれらの組織がデータを共有することを決定した相手も、無期限にアクセスできる」ことになる。
データコマンドチェーン
さらに、サードパーティ開発者の問題もあります。訴状には、「たとえ法人顧客がサードパーティ製アプリケーションをダウンロードしておらず（したがって、サードパーティとのデータ共有に同意していなかったとしても）、別のOffice 365ユーザーがそのアプリケーションの使用に同意した場合、マイクロソフトは同意していない法人顧客のデータをサードパーティ開発者に送信する」と記載されています。
この訴訟では、Microsoft がシステムおよび組織統制 (SOC 1 および SOC 2) 標準を遵守しているという同社の主張は誤りであると主張し、Microsoft Graph が SOC 1 や SOC 2 に準拠していないと述べている同社独自の文書を指摘している。
「マイクロソフトのGraphは、すべてのビジネス顧客のOffice 365とExchange Onlineのデータを自動的に収集しますが、GraphはSOC標準に準拠していないため、マイクロソフトによるビジネス顧客のOffice 365とExchange Onlineのデータの取り扱いと使用もSOC標準に準拠していません」と訴状には記されている。
この訴訟は、マイクロソフトの非政府系企業顧客を代表して集団訴訟の認定を求めており、損害賠償額は今後決定される。
マイクロソフトは、本記事の公開時点ではコメント要請にすぐには応じなかった。®
追加更新
「当社は訴訟を認識しており、慎重に検討します」とマイクロソフトの広報担当者はこの記事が提出された後、The Registerに語った。
「しかしながら、申し立て自体はそれほど具体的ではありませんが、私たちの理解する限りでは、根拠はないと考えています。当社はこれまで、強固なプライバシー保護と透明性の両面で確固たる実績を有しており、顧客データの利用はお客様の指示と契約上の義務に沿っていると確信しています。」
