因向未成年学生设备植入Cookie，微软被奥地利监管机构裁定违法

IT之家 1 月 28 日消息，据《The Register》报道，奥地利数据保护机构（DSB）日前裁定，微软公司在未经同意的情况下，向一名在校学生的设备非法安装了 Cookie。

在第二项裁决中，总部位于奥地利的活动组织“不关你的事”（noyb）胜诉。DSB 认定，微软在使用 Microsoft 365 教育版的过程中，向未成年用户的设备植入追踪 Cookie，此举已构成违法。

根据微软官方文档，这些 Cookie 用于分析用户行为、收集浏览器数据，并服务于广告投放。DSB 同时责令这家美国软件公司在四周内停止对投诉人（身份未予披露）的追踪行为。值得注意的是，涉事学校及奥地利教育部均表示，在 noyb 提出投诉之前，他们并不知晓这些追踪 Cookie 的存在。

微软目前需在四周内履行裁决，停止在该未成年人设备上使用追踪 Cookie。

noyb 数据保护律师费利克斯 · 米科拉施在声明中表示：“对未成年人进行追踪显然不符合隐私保护原则。微软似乎并不真正关心隐私，除非是为了营销和公关宣传。”

2024 年，noyb 曾要求奥地利数据保护机构对 Microsoft 365 教育版展开调查，以确认其是否违反《通用数据保护条例》（GDPR）的透明度条款。该组织指出，这家科技巨头将数据保护义务转嫁给使用其系统的学校，且未能履行数据主体查阅自身数据的权利。无论是微软的隐私文档、查阅请求，还是 noyb 的研究，均无法完全厘清 Microsoft 365 教育版究竟在处理哪些儿童数据。

据IT之家了解，这项投诉可追溯至新冠疫情期间，当时学校紧急转向线上教学，大量采用 Microsoft 365 教育版、Google Workspace 教育版等工具。

去年 10 月，这家奥地利数字隐私组织在该案中取得首次胜利。DSB 当时裁定，微软通过 365 教育平台“非法”追踪学生，并试图将数据查阅请求的责任推卸给当地学校。该机构责令这家软件巨头提供完整的数据传输信息，并对“内部报告”“业务建模”“核心功能改进”等术语作出清晰解释。

微软发言人对此表示：“Microsoft 365 教育版符合所有必要的数据保护标准，教育机构可继续依据 GDPR 合规使用。我们正在研究奥地利数据保护机构的最新裁决，并将适时决定后续措施。”