3' di lettura
3' di lettura
Marzo 2024, Parigi. Il ministero della Salute francese scopre che i dati sanitari di milioni di cittadini, ospitati sulla piattaforma europea Health Data Hub, sono tecnicamente accessibili alle autorità americane. Il provider è Microsoft Azure, soggetto al Cloud Act, la legge statunitense che consente ai giudici Usa di ordinare l’accesso ai dati conservati da aziende americane, ovunque si trovino i server. Il grimaldello è il famigerato Fisa (Foreign Intelligence Security Act) che consente a Governo e agenzie federali di poter entrare nei database degli operatori Usa, senza limiti.
Il caso esplode sui giornali. Il Consiglio di Stato viene investito della questione, le associazioni per la privacy insorgono, il governo promette una migrazione verso fornitori europei «nel più breve tempo possibile». Due anni dopo, quella promessa ha ridisegnato l’intera strategia cloud dell’Unione. E Francia, Germania e Italia hanno imboccato tre strade diverse per evitare che lo scenario si ripeta.
Parigi ha imparato a proprie spese. Dopo il caso Health Data Hub, l’Eliseo ha varato la dottrina del “cloud de confiance”: i dati sensibili dello Stato devono risiedere su infrastrutture immuni da qualsiasi giurisdizione extraeuropea.
La chiave è la certificazione SecNumCloud, rilasciata dall’agenzia Anssi. Non basta la conformità tecnica: il fornitore deve dimostrare di non essere soggetto a leggi straniere che consentano accessi non autorizzati. Per gli hyperscaler americani, l’unica porta d’ingresso sono joint venture a maggioranza francese.
Così sono nate Bleu — l’alleanza tra Orange, Capgemini e Microsoft — e S3ns, il matrimonio tra Thales e Google: tecnologia americana, ma chiavi di cifratura e governance in mani francesi. Il prezzo? Complessità e costi elevati, come ha sottolineato la Corte dei Conti in un recente report. Ma per Parigi la sovranità non è negoziabile.
