November 2025 - nexa - server-nexa.polito.it

noyb win: Microsoft 365 Education may not track school children

by Alberto Cammozzo

<https://noyb.eu/en/noyb-win-microsoft-365-education-tracks-school-children> noyb win: Microsoft 365 Education may not track school children ------------------------------------------------------------------------ * Original Complaint from 2024 <https://noyb.eu/de/microsoft-violates-childrens-privacy-blames-your-local-s…> * Decision by the DSB (PDF) <https://noyb.eu/sites/default/files/2025-10/Microsoft_Education_365_Beschei…> *Three-way Responsibility Shifting.* During the COVID pandemic many schools quickly shifted to the "cloud" and Big Tech was quick to provide "educational" products. However, Microsoft shifted all responsibility to comply with privacy laws onto schools and national authorities - that have little to no actual control over the use of student data. Local schools are usually not powerful enough to push back against Microsoft - leading to a "take it leave it" situation. When faced with an student's access request to personal data processed by Microsoft 365 Education, this led to massive finger pointing: Microsoft simply referred the complainant to its local school. However, the school of the complainant could only provide minimal information - as it does not have any way to access information that rests with Microsoft. No one felt able to comply with GDPR rights. The complainant, represented by noyb, consequently lodged a complaint against all possible players (the local school, the local board of education, the Ministry of Education and Microsoft US) with the Austrian DSB. Felix Mikolasch, data protection lawyer at noyb: “/Microsoft tried to shift almost all responsibilities for Microsoft 365 Education to schools or other national institutions. The Austrian DPA now decided that this does not fly. We welcome this decision/.” *Unlawful tracking of kids and no access. *The Austrian DSB found several GDPR violations. First, it found Microsoft 365 Education used tracking cookies without consent, which was found to be illegal. Both the school and the Austrian Ministry of Education claimed during the procedure they were not aware of such tracking cookies before the complaint. The DSB now ordered the deletion of the relevant personal data. Second, Microsoft violated the right to access under Article 15 GDPR by not providing full access to the data of the complainant. Microsoft will now have to provide such access. Microsoft will also have to explain in clear terms what it means that it uses data for its business purposes such as “business modeling” or “energy efficiency” and if it sent personal data to LinkedIn, OpenAI or the tracking company Xandr. Felix Mikolasch, data protection lawyer at noyb: /“Microsoft usually argues that its educational products are privacy friendly. This procedure showed that this is not really the case.”/ *Microsoft leaves schools and authorities in the dark. *The decisions also holds that the complainant’s school and the Austrian Ministry of Education should provide further information, in particular which information of students was transmitted to Microsoft. However, the Austrian DSB also stressed that Microsoft did not provide the Ministry of Education with full information regarding the data processing in Microsoft 365 Education, which makes it basically impossible for local schools to comply with their obligations under Article 13 and 14 GDPR. Felix Mikolasch, data protection lawyer at noyb: “/The decision by the Austrian DPA really highlights the lack of transparency with Microsoft 365 Education. It is almost impossible for schools to inform students, parents and teachers about what is happening with their data/.” *Microsoft Ireland bypassed. *Microsoft also tried to argue that in fact their EU subsidiary in Ireland is in charge of Microsoft 365 products in Europe. The DSB rejected that argument and held that in fact Microsoft US is making the relevant decisions. Minor decisions in Ireland to adjust a product for the EU do not shift responsibility (and hence the jurisdiction for the case) to Ireland. US big tech companies regularly argue they fall under Irish jurisdiction, because the Irish Data Protection Commission is known to hardly enforce EU law. *Likely far-reaching consequences for Microsoft 365.* Microsoft 365 Education is used by millions of students and teachers across Europe. Millions of other people use the standard "Microsoft 365" at companies and authorities in Europe. Properly informing employees, students and other users about how their data is used is mandatory by law - but often factually impossible for commercial customers. If Microsoft does not provide clear information and more powers to its commercial customers, using Microsoft 365 is hardly compliant with EU law. The German data protection authorities <https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/DSKBeschluessePosition…> have already considered Microsoft 365 to fall short of the requirements of the GDPR. Max Schrems, data protection lawyer at noyb: “/We have 'big tech' providers trying to get all the power, but shifting all responsibilities to European commercial customers. If Microsoft does not fundamentally change the setup of their products, European commercial customers will not be able to comply with their obligations/."

Nov. 6, 2025

Re: [nexa] [Possible phishing attempt] e-vote, i-vote

by ml

On Thu, 2025-11-06 at 07:51 +0000, B. J. wrote: > Dalla tua mail non riesco a evincere se si tratta di elezioni che in > un mondo analogico sarebbero state svolte palesemente (i.e. ad alzata > di mano) oppure segrete con urne. storicamente con urna (una scatola di cartone), scheda bianca distribuita ai presenti, da imbucare personalmente piegata in quattro. (credo si faccia ancora così per il rappresentante dei genitori nei Consigli di classe in tutte le Scuole pubbliche). Quindi direi la seconda. > Nel primo caso non ci sono problematiche evidenti nell'uso di un > sistema elettronico, nel secondo invece sì. E' matematicamente > provato in senso letterale, o colloquiale? Il problema principale avevo visto sia verificare la personalità del voto. > che non si possono tenere elezioni con voto segreto in modalità > online e garantire tutte le prerogative del voto. L'unica via di > mezzo, dibattuta, è quella del voto elettronico con dispositivi > totalmente offline che provvedono a stampare immediatamente la > versione cartacea della scheda, che va poi imbucata. ok, interessante. grazie mario > > > martedì 4 novembre 2025 11:48 PM, > ml(a)mariochiari.net <ml(a)mariochiari.net> ha scritto: > > > This email failed anti-phishing checks when it was received by > > SimpleLogin, be careful with its content. > > More info on > > https://simplelogin.io/docs/getting-started/anti-phishing/ > > .....

Nov. 6, 2025

Re: [nexa] e-vote, i-vote

by Andrea Trentini

On 05/11/2025 22:25, Marco Fioretti wrote: > ... > Il voto elettronico va evitato punto, quello online evitato E pure sfottuto: io sarei un epsilon meno drastico, nel senso: si può anche usare un qualche tipo di voto non analogico (che ha i suoi difetti e costi), basta sapere a quali caratteristiche (di quelle enunciate poco fa) si sta rinunciando, nel caso digitale che io sappia non esiste un sistema che le garantisca tutte, anzi, se ne perdono TANTE per cui mi viene da dire che si può usare solo in casi meno "importanti" (es. una delibera nell'ambito di una associazione) parafrasando un famoso detto in ambito militare: il voto è una cosa troppo importante per lasciarla fare ai sistemi digitali -- Andrea Trentini ⠠⠵ - http://atrent.it - public key ID: 0xA7A91E3B - Dip.to di Informatica - Università degli Studi di Milano Cittadinanza Digitale e Tecnocivismo - https://www.ledizioni.it/prodotto/cittadinanza-digitale-tecnocivismo - https://edizionithemis.it/catalogo/digitale-e-societa/dal-tecnocivismo-alla… Sistemi Embedded - https://www.ledizioni.it/prodotto/a-carraturo-a-trentini-sistemi-embedded-t… [se vedete un allegato OpenPGP_0x72C15962A7A91E3B.asc e non riuscite ad aprirlo NON preoccupatevi, è la mia firma digitale, alcuni programmi di posta elettronica (outlook, gmail, ...) non sanno gestirla]

Nov. 6, 2025

Re: [nexa] e-vote, i-vote

by Andrea Trentini

On 05/11/2025 21:38, Diego Giorio wrote: > Aggiungerei anche la libertà di espressione: se voto dal salotto di casa mentre il coniuge, i figli, > i genitori mi controllano e mi condizionano in qualche modo, dalla violenza al semplice biasimo, è > un problema. quello è il meno, si può sempre votare dal cesso, forse (semicit. "L'Avvelenata", Guccini) il problema (per noi) sorge se vuoi fare voto di scambio: a casa puoi dimostrare palesemente per chi stai votando, basta far assistere ad un testimone "interessato" (diretto o un emissario) al proprio voto, mentre nella cabina elettorale è più complicato (non impossibile eh) -- Andrea Trentini ⠠⠵ - http://atrent.it - public key ID: 0xA7A91E3B - Dip.to di Informatica - Università degli Studi di Milano Cittadinanza Digitale e Tecnocivismo - https://www.ledizioni.it/prodotto/cittadinanza-digitale-tecnocivismo - https://edizionithemis.it/catalogo/digitale-e-societa/dal-tecnocivismo-alla… Sistemi Embedded - https://www.ledizioni.it/prodotto/a-carraturo-a-trentini-sistemi-embedded-t… [se vedete un allegato OpenPGP_0x72C15962A7A91E3B.asc e non riuscite ad aprirlo NON preoccupatevi, è la mia firma digitale, alcuni programmi di posta elettronica (outlook, gmail, ...) non sanno gestirla]

Nov. 6, 2025

Re: [nexa] [Possible phishing attempt] Re: Gli accordi tra le Università e l’industria militare

by B. J.

Ciao Stefano, hai ragione. Mi sono fatto traviare da questo paper: https://www.tandfonline.com/doi/full/10.1080/08956308.2016.1209068 B. mercoledì 5 novembre 2025 8:00 AM, Stefano Borroni Barale <s.barale(a)erentil.net> ha scritto: > This email failed anti-phishing checks when it was received by SimpleLogin, be careful with its content. > More info on https://simplelogin.io/docs/getting-started/anti-phishing/ > > ------------------------------ > Buongiorno B., > e grazie per gli articoli. Solo una mini-osservazione: > > > Diventiamo ciò che contempliamo. Noi modelliamo i nostri strumenti, e in seguito sono i nostri strumenti a modellare noi. (Marshall McLuhan) > > ^^^^^^^^^^^^^^^^^^ > > Premetto da me che fissarsi sulle citazioni è una cosa terribilmente pedante. Lo faccio solo perché nutro, per questa particolare citazione, un culto speciale: trovo che spieghi in maniera meravigliosa la necessità di studiare la cibernetica fin da piccini. > > Di solito la uso per spiegare a grandi (colleghi delle superiori) e piccini (miei allievi di 16-19 anni) la differenza tra agenti cibernetici autonomi e automatici, e la relazione che li lega. > > Solo che l'autore è John M. Culkin, accademico canadese e amico di McLuhan, che prova nel suo articolo del 1967 "A schoolman's guide to Marshall McLuhan" a spiegare cosa intendesse McLuhan con "the medium is the message", e per farlo conia questa frase. > > Secondo me, Culkin meriterebbe d'essere ricordato anche solo per questo articolo, così come troppo spesso ci dimentichiamo che quelli che consideriamo "grandi" non sono "big bang di genialità" saltati fuori dal vuoto cosmico, ma più facilmente particelle, tra molte altre, animate dallo stesso campo di forza. McLuhan, per dire, aveva letto Wiener a fondo, e ne ripresenta molte delle idee, solo senza citarlo in maniera adeguata... bricconcello! > > Stefano > > Fonti: > https://norbertwiener.org/creating-the-norbert-wiener-media-project/ > https://www.ams.org/notices/200605/rev-marcus.pdf

Nov. 6, 2025

Re: [nexa] [Possible phishing attempt] e-vote, i-vote

by B. J.

Dalla tua mail non riesco a evincere se si tratta di elezioni che in un mondo analogico sarebbero state svolte palesemente (i.e. ad alzata di mano) oppure segrete con urne. Nel primo caso non ci sono problematiche evidenti nell'uso di un sistema elettronico, nel secondo invece sì. E' matematicamente provato che non si possono tenere elezioni con voto segreto in modalità online e garantire tutte le prerogative del voto. L'unica via di mezzo, dibattuta, è quella del voto elettronico con dispositivi totalmente offline che provvedono a stampare immediatamente la versione cartacea della scheda, che va poi imbucata. martedì 4 novembre 2025 11:48 PM, ml(a)mariochiari.net <ml(a)mariochiari.net> ha scritto: > This email failed anti-phishing checks when it was received by SimpleLogin, be careful with its content. > More info on https://simplelogin.io/docs/getting-started/anti-phishing/ > > ------------------------------ > Salve a tutti, > > mio primo post in questa lista. > > Ho una urgente curiosità. Insegno in una Accademia Statale di Belle > Arti. > > Sono coinvolto in una elezione di rappresentanti di organi collegiali > interni, elettorato di alcune decine di persone. In genere, sempre un > solo candidata/o per ogni carica (colei o colui che si prende la > briga). Di fatto un pro forma. > > Per comodità, è adottato da alcuni anni un tool di i-vote, > https://www.votafacile.it/. > > A me la scelta non piace, e ho contestato la cosa in tornate elettorali > procedenti, ma senza poter entrare in una disamina tecnica delle > problematiche, per cui non ho mai avuto tempo. > > > Osservo che: > -- le credenziali per entrare nel server ed esprimere il proprio voto, > sono inviate per email in chiaro; > -- il contratto tra l'Istituzione e votaFacile, non prevede nessuna > clausola specifica relativa all'aspetto elettorale del servizio; > -- il codice dell'applicativo elettorale non è pubblico; > -- prima di esprimere il voto, è richiesta da votaFacile all'elettore > di sottoscrivere - via click- una liberatoria privacy; > -- ovviamente non vi è nessun controllo che ciascuno voto sia espresso > personalmente; > -- capisco che i commissari di seggio elettorale possono - circa i > risultati - solo prendere atto della comunicazione proveniente dal > server (ma non hanno nessun accesso fisico al server); > -- credo venga assicurato che non si può risalire dal voto all'IP del > votante (ma senza alcuna spiegazione di come non sia possibile); > > Chiaramente, capisco che modalità di voto telematico sono ormai > presenti in molte situazioni, e ripeto, nel caso in questione è un pro > forma. > > Però a me sembra che il tool sia veramente troppo semplicistico, e che > ad adottarlo in una Istituzione pubblica di istruzione superiore si dia > veramente un cattivo esempio, o un buon esempio di cattiva > digitalizzazione. > > Ci sono criteri/standard minimi per il voto a distanza in modo da > poterlo considerare una cosa seria? Quali? > > Grato di pareri e/o suggerimenti al riguardo. > > saluti > mario (chiari) > > > > > > >

Nov. 6, 2025

Re: [nexa] e-vote, i-vote

by Alfredo Bregni

15 anni fa c'era questo video TED sul tema...: https://www.ted.com/talks/david_bismark_e_voting_without_fraud ----- Original Message ----- From: Marco Fioretti To: nexa(a)server-nexa.polito.it Sent: Wednesday, November 05, 2025 10:25 PM Subject: Re: [nexa] e-vote, i-vote November 5, 2025 at 9:38 PM, "Diego Giorio" <dgiorio(a)hotmail.com> wrote: a mio modestissimo parere il voto elettronico è ancora lontano. Il voto elettronico va evitato punto, quello online evitato E pure sfottuto: https://stop.zona-m.net/2017/10/once-more-online-or-e-voting-no.-just-no/ https://stop.zona-m.net/2020/04/in-a-sane-world-i-would-not-need-to-repeat-… https://stop.zona-m.net/2020/02/never-ask-why-we-cant-develop-working-votin… e via dicendo... Marco

Nov. 5, 2025

Re: [nexa] e-vote, i-vote

by Marco Fioretti

November 5, 2025 at 9:38 PM, "Diego Giorio" <dgiorio(a)hotmail.com mailto:dgiorio@hotmail.com?to=%22Diego%20Giorio%22%20%3Cdgiorio%40hotmail.com%3E > wrote: > > a mio modestissimo parere il voto elettronico è ancora lontano. > Il voto elettronico va evitato punto, quello online evitato E pure sfottuto: https://stop.zona-m.net/2017/10/once-more-online-or-e-voting-no.-just-no/ https://stop.zona-m.net/2020/04/in-a-sane-world-i-would-not-need-to-repeat-… https://stop.zona-m.net/2020/02/never-ask-why-we-cant-develop-working-votin… e via dicendo... Marco

Nov. 5, 2025

Re: [nexa] e-vote, i-vote

by ml

Salve grazie risposta. Trovo Dal Tecnocivismo alla Cittadinanza Digitale a https://edizionithemis.it/catalogo/libri-open-access (mi sembra sopratutto la sezione 7.1) Passo la url per il download ai colleghi. Grazie Saluti mario On Wed, 2025-11-05 at 20:29 +0100, Andrea Trentini wrote: > On 04/11/2025 23:47, ml(a)mariochiari.net wrote: > > ... > > Ci sono criteri/standard minimi per il voto a distanza in modo da > > poterlo considerare una cosa seria? Quali? > > (autocito dal libro scritto insieme a Fiorella De Cindio) > > ``` > le proprietà classiche che un sistema di voto (digitale o analogico > che sia) dovrebbe garantire sono: > > 1) segretezza: nessuno deve poter risalire dal voto a chi lo ha > espresso; > > 2) libertà (incoercibilità): nessuno deve poter forzare l’espressione > del voto di un elettore; > > 3) ammissibilità: possono votare solo gli aventi diritto, che devono > quindi essere identificati; > > 4) unicità: ciascun votante può esprimere un solo voto, o meglio, può > esprimere una sola volta i > voti che competono a ciascun votante secondo il meccanismo elettorale > previsto; > > 5) immodificabilità: il voto espresso non deve poter essere > modificato; > > 6) completezza: tutti i voti validi sono conteggiati correttamente > (cioè nessun voto espresso viene > perso); i voti invalidi non sono conteggiati nello scrutinio; i > criteri di validità del voto devono > essere definiti in modo non ambiguo prima dell’inizio del conteggio; > > 7) lealtà: nessuno conosce alcun risultato intermedio prima della > fine delle votazioni. > > ``` > > nel caso che citi vedrei grossi problemi con: > 1) chi gestisce il sistema sa tutto di tutti > 3) hai detto che mandano le credenziali in chiaro per cui chi vede > passare la mail... (tutti gli MTA > che trasportano quella mail) > 4) non so come venga attivata l'iscrizione, se fosse autogestita > forse una stessa persona potrebbe > iscriversi più volte? > 5) il singolo votante probabilmente non può modificare il proprio > voto, ma chi gestisce il sistema > può fare ciò che vuole (scrive direttamente nel db) > 6) chi gestisce il sistema può fare ciò che vuole (scrive > direttamente nel db) > 7) vedi 1) > > >

Nov. 5, 2025

Re: [nexa] e-vote, i-vote

by Diego Giorio

Aggiungerei anche la libertà di espressione: se voto dal salotto di casa mentre il coniuge, i figli, i genitori mi controllano e mi condizionano in qualche modo, dalla violenza al semplice biasimo, è un problema. Se invece per esercitare il voto elettronico dovessi andare ai seggi, trovandomi un tablet al posto della scheda di carta, emergerebbero alcune problematiche: 1. Chi mi assicura che l'hardware sia effettivamente quello ministeriale? 2. Chi mi assicura che l'hardware sia sicuro e inviolabile? 3. Chi mi assicura che il software sia quello ministeriale? 4. Chi mi assicura che il software sia sicuro e inviolabile? 5. Chi mi assicura che non sia in corso un attacco "man in the middle" tra il dispositivo e il centro di raccolta? 6. Chi mi assicura che non ci sia un touchlogger sul dispositivo? Insomma, a mio modestissimo parere il voto elettronico è ancora lontano. Buona serata a tutti D.

Nov. 5, 2025