Datos sensibles: ¿pronto una regulación para imponer empresas conjuntas en las nubes estadounidenses?

Casualidad del calendario, pero dos datos chocan en un mismo tema: el uso de la nube para procesar datos sensibles con el papel que juegan los actores extranjeros y estadounidenses en particular. Por un lado, Enisa, la agencia de ciberseguridad de la Unión Europea, está en proceso de desarrollar un sistema de etiquetado (equivalente a SecNumCloud) destinado a proteger mejor los datos de gobiernos y empresas de los Estados miembros, según Reuters.

Un requisito para una empresa conjunta con un actor europeo

Dentro de este texto en preparación y consultado por Reuters, Enisa quiere obligar a los proveedores de nube no europeos a formar una empresa conjunta con un actor con sede en la Unión Europea si quieren obtener esta etiqueta. Por supuesto, los hiperescaladores extranjeros solo podrán tener una participación minoritaria en la empresa conjunta. Además, cualquier empleado con acceso a datos de la UE tendrá que residir en uno de los 27 países miembros y estar sujeto a controles específicos para poder tratar estos datos.

Por último, la empresa mayoritaria de la empresa conjunta deberá operarse y administrarse desde la UE, y todos los datos de los clientes se almacenarán y procesarán allí. Como era de esperar, las leyes europeas tendrán prioridad sobre las regulaciones de otros países, según el borrador de la propuesta.

La presión sobre los hombros de AWS incluso en Francia

En Francia, esta propuesta se hace eco de recientes anuncios de fusión, por ejemplo entre Orange, Microsoft y Capgemini para crear Bleu o entre Thales y Google para dar a luz a S3NS en octubre de 2021. Sin embargo, otro jugador, y no menos importante, tendrá que quizás evolucionar sobre el tema: AWS. De hecho, el proveedor estadounidense decidió asociarse con Atos, presentado en la feria Re: Invent a fines de 2022, pero sin crear una estructura común, pero mencionada por un tiempo. La presión recae, por tanto, sobre los hombros de AWS para remediar esto si el marco regulatorio evoluciona en la dirección deseada por Enisa.

Un marco regulatorio que podría cambiar, incluso en Francia. El diputado moderno Philippe Latombe junto con otros cargos electos acaba de presentar una enmienda como parte del estudio de la ley de programación militar (LPM) en la misma línea que Enisa. El texto indica que el tratamiento sensible “debe ser realizado exclusivamente por una o varias entidades cuyo domicilio social, administración central o establecimiento principal estén establecidos en un Estado miembro de la Unión Europea”. La modificación especifica incluso que este tratamiento no debe encomendarse a "una sociedad cuyo capital social y derechos de voto estén, directa o indirectamente, en manos de terceros que tengan su domicilio social, directa o indirectamente, en más del 24% y colectivamente en más del 39%". administración central o establecimiento principal en un Estado no miembro de la Unión Europea.” Reglas muy precisas para tratar de reducir la dependencia de los europeos de los hiperescaladores estadounidenses (AWS, Google y Microsoft) que, según un estudio, captan el 72% de la nube gasto en Europa durante 2022. No hay duda de que el lobby de estas empresas aumentará su poder para contrarrestar estos dos textos, como dijo el diputado Latombe deaños un comunicado de prensa.