La Dirección General de Innovación y Formación del Profesorado de la Consejería de Desarrollo Educativo y Formación Profesional suscribió en 2020 un convenio con Microsoft Ireland Operations Limited para la puesta a disposición de servicios educativos en la nube en los centros docentes públicos andaluces. Una reclamación puso de manifiesto diversas deficiencias en el cumplimiento de la normativa de protección de datos derivadas de dicho convenio. Se declaran las siguientes infracciones: del artículo 25 RGPD, en dos vertientes, por la falta de medidas técnicas y organizativas para minimizar el riesgo de que los usuarios introduzcan en la plataforma categorías especiales de datos, y por la ausencia de instrucciones y protocolos sobre el uso adecuado de fotografías y contenido audiovisual; del artículo 13 RGPD, por no haber informado al alumnado, sus familias ni al profesorado sobre el tratamiento de sus datos personales; de los artículos 44 a 49 RGPD, por la realización de transferencias internacionales de datos a terceros países sin acreditar el cumplimiento de las garantías exigidas; del artículo 30 RGPD, por no reflejar en el registro de actividades de tratamiento las transferencias internacionales efectuadas; y del artículo 35 RGPD, por no haber realizado evaluación de impacto previa al inicio del tratamiento. Se ordena a la entidad la adopción de un conjunto de medidas correctivas, entre las que destaca la suspensión de los flujos de datos hacia terceros países sin decisión de adecuación con efecto a partir del 31 de julio de 2026, salvo acreditación previa de garantías suficientes, así como la subsanación del resto de incumplimientos antes de esa misma fecha.