Sovranità digitale francese e hosting sicuro dei file

I requisiti di sovranità digitale francese per l'hosting dei file si concentrano su tre elementi: dove risiedono fisicamente i dati, chi può accedervi legalmente e se il provider può essere costretto da una legge straniera a consegnarli. Nel 2026, gli acquirenti del settore pubblico e regolamentato richiedono sempre più spesso la qualificazione SecNumCloud da parte di ANSSI, l'archiviazione su suolo francese o europeo presso provider soggetti al diritto francese e l'immunità da leggi extraterritoriali come il CLOUD Act statunitense. La dottrina "Cloud au centre" formalizzata dalla circolare del Primo Ministro del maggio 2021 e rafforzata da allora rende questo un requisito di procurement, non una semplice preferenza.

Perché la sovranità conta per il trasferimento file

Un ospedale francese che invia immagini diagnostiche tramite un servizio di trasferimento file con sede negli USA crea tre problemi. Primo, il CLOUD Act statunitense (2018) consente alle forze dell'ordine americane di obbligare il provider a produrre i dati dei clienti indipendentemente da dove siano archiviati. Secondo, la Sezione 702 del FISA copre le comunicazioni di persone non statunitensi in modi che hanno ripetutamente innescato sentenze Schrems della CGUE. Terzo, l'Articolo 3 della Legge di Programmazione Militare francese e la recente Legge sulla Cybersicurezza si aspettano che i settori sensibili utilizzino provider immuni da tale compulsione. I dati di trasferimento file non sono generalmente "secret defense", ma le cartelle cliniche, le strategie legali e i documenti R&D rientrano spesso in protezioni settoriali specifiche che si allineano ai requisiti di sovranità.

SecNumCloud: cosa significa la qualificazione

SecNumCloud è la qualificazione cloud di ANSSI. Testa sia la sicurezza tecnica sia l'indipendenza giuridica. Il referenziale 2022 v3.2, aggiornato alla v3.2bis con chiarimenti nel 2023-2024, ha aggiunto criteri espliciti di immunità: il capitale del provider, i suoi contratti e il suo processo decisionale devono essere strutturati in modo che il diritto non europeo non possa obbligarlo a divulgare i dati. In pratica: proprietà maggioritaria europea, entità contrattuali di diritto europeo e controllo operativo europeo. I provider qualificati nel 2026 includono OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (la joint venture Microsoft-Orange-Capgemini per Azure sovrano) e S3NS (Thales-Google Cloud). L'elenco è breve perché la barra è alta.

Hosting dei dati sanitari francesi: certificazione HDS

Separato da SecNumCloud, l'hosting dei dati sanitari in Francia richiede la certificazione HDS (Hébergeur de Données de Santé) ai sensi dell'Articolo L1111-8 del Codice della Salute Pubblica. HDS ha due ambiti — hosting infrastrutturale e hosting esternalizzato — ed è verificato rispetto a un framework di riferimento allineato a ISO 27001 e controlli settoriali specifici. Qualsiasi servizio di trasferimento file usato da ospedali, cliniche o laboratori medici francesi che gestiscono PHI deve essere certificato HDS o risiedere su una piattaforma certificata HDS. L'elenco degli host certificati è pubblico sul sito ESanté. L'hosting di dati sanitari francesi su infrastruttura non HDS è una violazione contrattuale e normativa anche se i dati sono cifrati.

Legge francese su conservazione dei dati e accesso delle forze dell'ordine

Le forze dell'ordine francesi possono accedere ai file archiviati ai sensi degli articoli sull'indagine digitale del Codice di Procedura Penale, richiedendo un ordine giudiziario nella maggior parte dei casi e una base procedurale légittime. Per i servizi di intelligence, la Loi du 24 juillet 2015 sul renseignement consente intercettazioni specifiche con autorizzazione preventiva. Nessuno dei due regimi somiglia alla National Security Letter statunitense o al processo segreto FISA 702. L'hosting con focus sulla sovranità francese significa che i tuoi dati possono comunque essere accessibili dalle autorità francesi ai sensi della legge francese con revisione giudiziaria francese — cosa che molti acquirenti regolamentati francesi preferiscono ai regimi di divulgazione stranieri su cui non hanno controllo.

Alternative centrate sull'UE e Gaia-X

Al di là dei provider puramente francesi, il più ampio ecosistema cloud europeo offre sovranità attraverso il framework Gaia-X, che definisce criteri federati di dati e servizi — inclusa la localizzazione del provider e le condizioni contrattuali. I label Gaia-X a diversi livelli indicano la profondità della conformità. Provider come OVHcloud, Scaleway, IONOS, Hetzner e T-Systems partecipano. Per il trasferimento file, la domanda pratica è se l'infrastruttura del vendor — dallo storage backend al CDN all'osservabilità — risiede presso provider soggetti al diritto europeo o se parti dello stack sfuggono nella sfera statunitense. Un servizio di trasferimento su AWS Paris con gestione da parte di una società madre americana non soddisfa i criteri di sovranità SecNumCloud.

Extraterritorialità e CLOUD Act nella pratica

Il CLOUD Act statunitense autorizza il governo USA a richiedere dati archiviati a provider di servizi statunitensi indipendentemente da dove risiedano i dati. Nel 2023 e nel 2024, diverse decisioni di procurement francesi di alto profilo hanno escluso esplicitamente i cloud con parent company statunitensi anche quando questi offrivano region solo-UE. Il ragionamento giuridico: la crittografia a riposo non blocca la divulgazione se il provider controlla le chiavi. Un servizio di trasferimento file di grado sovrano detiene le chiavi esclusivamente sotto entità europee, o meglio, usa la crittografia end-to-end in modo che il provider non abbia testo in chiaro da divulgare anche sotto compulsione.

Linguaggio contrattuale che rafforza la sovranità

Gli acquirenti pubblici francesi inseriscono sempre più spesso la sovranità nei capitolati di gara con clausole specifiche. Formulazione tipica: il provider deve essere qualificato SecNumCloud, i dati devono rimanere nel territorio francese o UE, l'operatore e i suoi sub-processor devono essere regolati dal diritto UE e non può avvenire nessun accesso da autorità non-UE ai sensi del diritto straniero. Sanzioni esecutive sono previste per le violazioni. Le aziende private nei settori regolamentati (banche, assicurazioni, difesa) stanno adottando template simili. Anche al di fuori dei settori regolamentati, la Legge sull'intelligence francese del 2023 e gli annunci sulla strategia industriale del 2024 hanno reso la sovranità un tema di livello consiliare.

Implicazioni per la scelta del trasferimento file

Per le entità francesi che gestiscono dati sensibili, l'albero decisionale nel 2026 è: i dati sono soggetti a regole settoriali specifiche (sanità, difesa, pubblica amministrazione)? Scegli un provider qualificato SecNumCloud o certificato HDS. I dati sono sensibili ma non regolamentati? Scegli un provider di diritto UE, ospitato in UE, con impegni contrattuali solidi. I dati sono a bassa sensibilità? Gli strumenti ospitati in UE conformi al GDPR standard funzionano. In tutti i casi, la postura crittografica conta: la crittografia end-to-end lato client neutralizza molti rischi di divulgazione perché il provider letteralmente non può leggere il file. Gli strumenti che si affidano alla crittografia lato server offrono meno sovranità anche se girano su infrastruttura francese.

HexaTransfer cifra i file nel browser con AES-256-GCM prima dell'upload, quindi il ciphertext sull'infrastruttura UE non è leggibile dal servizio né da alcuna parte priva del frammento del link. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.

La sovranità digitale francese non è isolazionismo. È un insieme di controlli legali e tecnici concreti che rendono la divulgazione dei dati governabile ai sensi del diritto francese o europeo. Per l'hosting dei file, lo stack giusto combina un provider qualificato per i carichi di lavoro regolamentati, la crittografia lato client per tutto il resto e contratti che nominano la giurisdizione francese o UE. Qualsiasi cosa al di sotto di questo lascia una lacuna attraverso cui un'autorità straniera determinata può passare.