Microsoft Francia ammette di non poter proteggere i dati del governo francese dalle richieste statunitensi

Il direttore degli affari pubblici e giuridici di Microsoft Francia ha dichiarato, di fronte a una commissione del Senato francese, che l'azienda non può garantire che i dati dei cittadini francesi custoditi sui server in Europa non verranno trasmessi al governo statunitense. Si tratta di una dichiarazione estremamente importante, in particolare nell'ambito del dibattito attuale legato alla sovranità digitale europea.

Microsoft non può proteggere i dati francesi dal governo USA

Era il 10 giugno scorso quando Anton Carniaux, direttore degli affari pubblici e giuridici per Microsoft Francia, ha testimoniato di fronte al Senato francese per parlare degli ordini che l'azienda riceve tramite l'Union des groupements d'achats publics (UGAP), ovvero un ente che si occupa di centralizzare l'acquisto di beni e servizi per scuole e comuni.

Carniaux ha affermato, durante la sua testimonianza, che Microsoft non può garantire che i dati dei cittadini francesi non vengano trasferiti verso gli USA a seguito di una richiesta del governo statunitense, ma altresì che una tale richiesta di trasferimento non è mai avvenuta. Il CLOUD Act, diventato legge nel 2018, fa infatti sì che il governo statunitense possa richiedere accesso ai dati contenuti nei data center delle aziende americane, anche quando tali dati sono fisicamente localizzati in altri Paesi. Le richieste devono essere altamente specifiche e possono essere negate da una corte quando vanno a ledere la privacy del Paese in cui i dati sono localizzati. Per questo motivo sempre più aziende, tra cui anche Microsoft, hanno iniziato a promuovere i cosiddetti "cloud sovrani", gestiti e operati da cittadini europei e strutturati tecnicamente in modo tale che tutti i dati siano cifrati e sotto il controllo dei clienti.

Com'è possibile leggere dalla trascrizione ufficiale, durante l'udienza, Dany Wattelbled, senatore e membro della commissione d'inchiesta, ha chiesto: "Signor Carniaux, in qualità di direttore degli affari pubblici e giuridici, rappresenta Microsoft Francia di fronte ai decisori pubblici. Può garantire davanti alla nostra commissione, sotto giuramento, che i dati dei cittadini francesi affidati a Microsoft tramite l'UGAP non saranno mai trasmessi, in seguito a un'ingiunzione del governo americano, senza l'autorizzazione esplicita delle autorità francesi?"

Carniaux ha risposto che "no, non posso garantirlo, ma, ancora una volta, [una tale ingiunzione] non è ancora mai stata prodotta", e ha continuato dicendo che Microsoft si impegna contrattualmente a negare tali richieste quando non sono formalmente corrette. Quando ciò non è possibile, Carniaux ha dichiarato che "rispondiamo in casi estremamente specifici e limitati" e che "se dobbiamo comunicare [dei dati], chiediamo di poter notificare il cliente coinvolto." Negli ultimi tre anni, Microsoft non ha ricevuto nessuna richiesta riguardante aziende europee.

Pierre Lagarde, direttore tecnico per il settore pubblico di Microsoft Francia, ha affermato durante l'udienza che "da gennaio 2025, sotto una garanzia contrattuale, i dati dei nostri clienti europei non escono dall'UE, che siano a riposo, in transito o in elaborazione, o che si tratti di dati generati dai log delle applicazioni, inclusi quelli per la parte di supporto." Lagarde fa infatti riferimento al fatto che Microsoft ha reso tutte le sue regioni di Azure "sovrane" (e, dunque, senza che i dati europei escano dai confini dell'UE) da gennaio.

Rimane da chiarire se l'ammissione di Carniaux sia poi applicabile al di fuori del contesto dei servizi gestiti dall'UGAP e ai dati di qualunque azienda o ente europeo. Nondimeno, l'ammissione che i dati dei cittadini francesi siano potenzialmente accessibili dal governo statunitense senza che quello francese possa avere voce in capitolo è politicamente rilevante perché conferma in maniera chiara e netta che il CLOUD Act è una realtà con cui l'Europa deve fare i conti (anche al di là della sola Microsoft, e guardando a tutte le realtà americane), ed è una realtà che, come affermato dal Supervisore Europeo per la Protezione dei Dati, va in netto contrasto con la legislazione e i valori dell'Unione Europea. A maggior ragione ora che è stato messo nero su bianco.