Assurance report profiling restrictions M365 ProPlus

Op verzoek van SLM heeft EY een audit uitgevoerd naar de mate van dataprotectie van persoonsgegevens bij Microsoft, specifiek gericht op het voorkomen van profilering. Dit assurance report beschrijft de conclusies en belangrijkste constateringen van de uitgevoerde auditwerkzaamheden. Het rapport is in het Engels.

Cybersecurity en gegevensbeveiligingToeleveringsketen, uitbesteding en derdenVeranderende wet- en regelgeving

Waarom deze indeling: De assurance-rapportage toetst de opzet en werking van de maatregelen waarmee Microsoft persoonsgegevens in Office 365 ProPlus beschermt tegen ongeoorloofde profilering: toegangsbeperking via privileged access en Just In Time, versleuteling van gegevens in transit, PII-scrubbing en lekdetectie, en bewaartermijnen per datacategorie uit de Data Handling Standard. Het onderwerp is de beheersing van een externe verwerker en zijn subverwerkers, met een geconstateerde afwijking dat een toevoeging aan de subverwerkerslijst niet veertien dagen vooraf is gecommuniceerd. De criteria zijn ontleend aan de AVG en het contract (MBSA en amendement), inclusief verwerkersinstructies, rechten van betrokkenen en meldplicht bij datalekken binnen 72 uur.

Toegekend met een AI-model (Opus 5) op basis van de zestien thema's van Risk in Focus; niet door mensen gevalideerd. Om de labels beter te onderbouwen gaan we ze gefaseerd herbeoordelen met een tweede, onafhankelijk model van een andere aanbieder (OpenAI naast Anthropic); vanwege tokenlimieten gebeurt dat stapsgewijs. Ziet u een fout? Laat het weten.

Ministerie

Ministerie van Justitie en Veiligheid

Onderdeel volgens het rapport

SLM Rijk (Strategisch Leveranciersmanagement Microsoft)

Bron

Onderzoeken en evaluaties: EY

Toegepaste standaard

Extern onderzoek

Datum

2021-03-17

Het rapport zelf

originele publicatie

Omschrijving

officiële omschrijving, overgenomen van de publicatiepagina

Risicolabels

toegekend met een AI-model (Opus 5) volgens de zestien thema's van Risk in Focus (ECIIA), niet door mensen gevalideerd

Bijgewerkt

augustus 2026