Cloud de încredere, actul II: de la Microsoft 365 la SecNumCloud, jurisprudența care rearanjează cărțile

Suveranitatea digitală se joacă rareori în marile discursuri; se joacă în litigii. Două dosare au reamintit-o în această primăvară. În Austria, autoritatea de protecție a datelor a decis că utilizarea Microsoft 365 Education încălca GDPR, în special din cauza imposibilității operatorilor de date de a controla cu adevărat fluxurile de date și lanțul de subcontractare. În Franța, cazul alegerii Microsoft de către Polytechnique a revenit în prim-plan la începutul lui iunie, presa de specialitate văzând în el un precedent capabil să rearanjeze cărțile pentru întregul sector public. În același timp — și aici este tot paradoxul — acordul-cadru care leagă Ministerul Educației de editorul american era prelungit.

Ce spun cu adevărat aceste decizii

Punctul comun al acestor cazuri nu este antiamericanismul care li se atribuie uneori. Este o chestiune de control efectiv: cine poate accesa datele, sub ce drept, cu ce garanții opozabile? De la invalidarea Privacy Framework în stil Schrems, fiecare aranjament de transfer se bazează pe analize de impact pe care autoritățile le examinează de acum rând cu rând. Dreptul american — FISA 702, CLOUD Act — rămâne aplicabil furnizorilor americani oriunde ar fi găzduite datele. Nicio clauză contractuală nu neutralizează o lege de aplicare imediată străină: este constatarea, pur juridică, pe care autoritățile de reglementare încep să o ducă până la capăt.

SecNumCloud, de la doctrină la criteriu de achiziție

Pe partea franceză, calificarea SecNumCloud a ANSSI se impune treptat ca linie de demarcație: dincolo de cerințele tehnice, ea impune un criteriu de imunitate față de legislațiile extrateritoriale prin condiții de capital și de guvernanță. Doctrina „cloud în centru” rezervă în principiu datele sensibile ale statului ofertelor calificate. Ce se schimbă în 2026 este contagiunea dincolo de stat: operatori reglementați, sănătate, educație, autorități locale — și, prin ricoșeu, furnizorii lor. Pentru un editor de software, a putea fi implementat la un furnizor de găzduire calificat, sau on-premise, devine un argument comercial de prim rang, nu o căsuță de conformitate.

Ce pot face CIO-ii fără să aștepte

În primul rând, să cartografieze după criticitate mai degrabă decât după confort: ce date, ce prelucrări necesită cu adevărat o imunitate extrateritorială? Răspunsul onest este rareori „totul”, dar nu este niciodată „nimic”. În al doilea rând, să ceară reversibilitatea încă din contract: formate deschise, export documentat, costuri de ieșire plafonate. În al treilea rând, să cripteze cu chei deținute în proprietate atunci când workload-ul rămâne la un hyperscaler — ținând cont că criptarea nu protejează datele în curs de prelucrare. În al patrulea rând, să construiască „buzunare suverane”: mai degrabă decât o migrare totală iluzorie, să izoleze cazurile de utilizare critice pe oferte calificate sau on-premise și să își asume hibridul pentru rest.

Actul II al cloudului de încredere nu va fi o mare revoluție. Va fi o acumulare de decizii, de licitații și de reînnoiri de contracte în care, dosar după dosar, chestiunea controlului efectiv va cântări puțin mai greu. Organizațiile care își vor fi pregătit buzunarele suverane vor arbitra senin. Celelalte vor suporta calendarul autorităților de reglementare.