In una recente risposta a un'interrogazione di un deputato, il Ministro dell'Istruzione francese ha chiarito che le scuole francesi non dovrebbero utilizzare Microsoft 365 e Google Workspace.
Le ragioni alla base della posizione del Ministero sono due. In primo luogo, il Ministero è preoccupato per la riservatezza e la legittimità dei trasferimenti di dati. In secondo luogo, la scelta di affidarsi a fornitori europei è coerente con la ** politica** governativa del "cloud al centro". Vediamo di capire meglio tutto questo.
Nota: alcuni dei link sottostanti sono in francese, poiché la notizia non ha avuto grande risonanza sui media internazionali.
I problemi di privacy
I problemi di privacy sollevati dall'uso di Google Workspace non sono una novità. Come abbiamo spiegato qui, i dati personali dei cittadini stranieri possono essere soggetti a una sorveglianza statale invasiva quando vengono trasferiti negli Stati Uniti. Questi problemi di privacy hanno portato la Corte di giustizia dell'UE a invalidare due quadri per il trasferimento di dati tra UE e USA nelle storiche decisioni Schrems I e II. Vale la pena notare che il Ministro ha citato esplicitamente Schrems II nella sua risposta.
La sentenza Schrems II ha implicazioni di vasta portata per le aziende europee. In linea di principio, i dati possono ancora essere trasferiti negli Stati Uniti senza un quadro di riferimento per il trasferimento dei dati. Tuttavia, la CGUE ha chiarito che le aziende europee devono garantire la riservatezza dei trasferimenti di dati implementando adeguate garanzie contro la sorveglianza statale. In termini pratici, questo è difficile da fare e del tutto impossibile per alcuni servizi basati sul cloud (ne abbiamo scritto qui).
All'indomani di Schrems II, quattro autorità di protezione dei dati europee (il DSB austriaco, il CNIL francese, il GPDP italiano e, più recentemente, il Garante per la protezione dei dati finlandese) si sono pronunciate contro l'uso di Google Analytics. Lo strumento richiede il trasferimento dei dati tra Google Ireland Ltd. e Google LLC. In linea con la sentenza Schrems II, le autorità di protezione dei dati hanno giudicato illegali questi trasferimenti di dati perché privi di garanzie efficaci contro la sorveglianza degli Stati Uniti. Le autorità di protezione dei dati hanno coordinato il loro approccio ai reclami sui trasferimenti di dati a livello europeo, quindi è probabile che altre autorità di protezione dei dati seguano il loro esempio. Ma il problema è più ampio di Google Analytics: altri servizi statunitensi potrebbero finire sotto tiro.
La CNIL è una delle DPA che si è pronunciata contro Google Analytics. Prendendo una posizione forte sull'uso di Microsoft 365 e Google Workspace, il governo francese ha abbracciato la posizione della CNIL sul trasferimento dei dati. Ma non si tratta solo di privacy.
Sovranità digitale
Dallo scorso anno, il governo francese sta spingendo la ** dottrina del "cloud al centro"**: un piano a lungo termine per lo sviluppo dell'infrastruttura digitale alla ricerca della sovranità digitale.
L'anno scorso, una circolare della Direzione interdipartimentale degli affari digitali (DINUM) ha esortato la pubblica amministrazione ad abbandonare Microsoft 365 e a utilizzare invece la suite Office on-premise. Le preoccupazioni per la privacy hanno avuto un ruolo importante, ma il governo mira anche a limitare la dipendenza della Francia dai fornitori statunitensi nel lungo periodo. La posizione del Ministero su Microsoft 365 e Google Workspace rientra perfettamente in questa strategia digitale.
Va notato che Microsoft 365 non richiede alcun trasferimento di dati al di fuori dell'UE, poiché Microsoft elabora tutti i dati europei in centri dati europei. Secondo la Direzione, questo non è sufficiente a mantenere la riservatezza dei dati. Infatti, la Direzione ha esortato le amministrazioni ad affidarsi solo a fornitori di cloud certificati e basati nell'UE, che siano garantiti dall'applicazione di leggi extra-UE (come il controverso Cloud Act degli Stati Uniti).
La Francia non è la sola a spingere verso la sovranità digitale: la strategia digitale dell'UE riconosce la sovranità digitale come un obiettivo chiave. Per ridurre la dipendenza dai fornitori di servizi con sede negli Stati Uniti, la Commissione europea ha avviato Gaia-X. Questo progetto riunisce fornitori di software e di infrastrutture fisiche per creare un ambiente sicuro di condivisione dei dati secondo standard tecnici interoperabili. Gaia-X mira a promuovere la crescita dell'economia digitale nell'Unione, a facilitare la condivisione dei dati e a promuovere l'obiettivo della sovranità digitale.
Le potenziali implicazioni di una politica di sovranità dei dati non dovrebbero essere trascurate. Fornire alle aziende alternative competitive basate nell'UE ai fornitori statunitensi può aiutare a mantenere più dati all'interno dell'Unione, dove i diritti di protezione dei dati possono essere applicati più facilmente. Inoltre, ridurre la dipendenza dai servizi statunitensi consentirebbe all'UE di esercitare una maggiore influenza nei negoziati sui quadri internazionali per il trasferimento dei dati.
Riflessioni finali
La strategia digitale dell'UE e Gaia-X sono un passo nella giusta direzione, ma l'Unione ha ancora molta strada da fare. Al momento, alcuni fornitori statunitensi sono praticamente insostituibili.
Fortunatamente, Google Analytics è sostituibile. A differenza di Google, Simple Analytics crede nella creazione di un web indipendente e amichevole per i visitatori del sito. Se questo concetto vi convince, non esitate a visitarci.