Com contractar videoconferència sobirana al sector públic

D'ençà de principis del 2026, la sobirania ha passat de ser un document d'orientació a ser una clàusula de contractació. El 3 de juny del 2026, la Comissió Europea va confirmar el seu paquet de sobirania tecnològica a través de la Llei de Desenvolupament del Núvol i la IA (CADA), que proposa introduir restriccions per nivells a l'ús d'hiperescaladors nord-americans en les càrregues de treball públiques més sensibles. El problema no és que aquests proveïdors hagin fet res malament, sinó que la CLOUD Act dona a les autoritats dels Estats Units una via legal per accedir a les dades, independentment d'on es trobin.

A Catalunya, aquesta discussió ja té una traducció pressupostària concreta. El juliol del 2026 el Govern va licitar un núvol públic sobirà, dins de l'Estratègia d'Autonomia Tecnològica (ESTRATEC), amb un pressupost de licitació que arriba fins als 481 milions d'euros i la previsió que estigui operatiu durant el 2027. Si la teva administració licita serveis de vídeo, la sobirania no és una cosa que puguis deixar per més endavant: és una pregunta de contractació d'avui, encara que el marc legal europeu s'estigui acabant de perfilar. Si vols el concepte de fons, la nostra guia sobre què és realment un núvol sobirà en cobreix els fonaments. Aquest article és la continuació pràctica: els esquemes de certificació que has d'especificar, els casos d'ús que els activen i un checklist per redactar un plec que aguanti l'escrutini.

Taula de continguts

1. Per què la sobirania ja és un requisit de contractació pública
2. Les certificacions que una administració ha d'exigir
3. La videoconferència sobirana a la pràctica: casos d'ús
4. Què ha d'incloure un plec de videoconferència sobirana (checklist)
5. Com Digital Samba dona suport a la sobirania del sector públic
6. Preguntes freqüents

Per què la sobirania ja és un requisit de contractació pública

La direcció política ja és explícita. Les propostes de la Comissió, presentades a través de la CADA, no prohibirien de manera directa els proveïdors de núvol nord-americans en els contractes públics. Hi introduirien restriccions per nivells segons la sensibilitat de les dades, dirigides a sectors sensibles com la sanitat, les finances i la justícia, entre altres àmbits crítics com l'energia, la defensa o la seguretat nacional, on una avaluació de risc activa els nivells de sobirania més alts. Com qualsevol legislació europea d'aquest tipus, la CADA encara ha de passar pel Parlament Europeu i obtenir una majoria qualificada al Consell; no necessita un vot unànime dels 27 estats membres, però tampoc no és llei: cap de les seves disposicions està en vigor avui.

En paral·lel, el Marc de Sobirania del Núvol dona als equips de contractació una manera estructurada de puntuar proveïdors, amb una escala de cinc nivells (SEAL) que va des de SEAL-0, sense sobirania, fins a SEAL-4, sobirania digital plena. La mateixa Comissió ja l'ha posat a prova: l'abril del 2026 va aplicar criteris de sobirania explícits a la seva pròpia contractació de núvol, i va adjudicar un contracte de fins a 180 milions d'euros a quatre grups de proveïdors europeus. Tres d'ells van demostrar el nivell SEAL-3, sense dependències materials de cadena de subministrament fora de la UE; un quart es va quedar a SEAL-2, perquè el seu consorci es basa en una empresa conjunta entre un grup europeu i un hiperescalador nord-americà, justament el punt que l'associació CISPE va assenyalar. El seu secretari general va qualificar la decisió de reconèixer aquella empresa com a sobirana de «clarament un autogol» que amenaça d'institucionalitzar el «rentat de sobirania» al més alt nivell. La lliçó per a un equip de contractació val la pena retenir: un nom europeu al contracte no garanteix una cadena de subministrament europea al darrere, i aquesta escletxa és la que un marc de puntuació serveix per destapar.

Els estats veïns fa temps que es mouen en aquesta direcció. La doctrina francesa Cloud au Centre empeny les dades públiques sensibles cap a allotjament qualificat SecNumCloud, i França ja ha anat més enllà a la pràctica: ha desplegat Visio, la seva plataforma de vídeo estatal, amb l'objectiu de substituir les eines de conferència nord-americanes a les agències nacionals cap al 2027. Alemanya ha fet un camí semblant amb Gaia-X i un ministeri dedicat a la sobirania digital. Per als equips que compren videoconferència per al sector públic, la conseqüència pràctica és que qui pot ser obligat a lliurar les teves dades, i sota quina llei, s'ha convertit en un criteri puntuable i no en una nota al peu.

A Catalunya, aquest mateix debat també passa per marcs de seguretat propis: la Directiva NIS-2, que amplia les obligacions de ciberseguretat dels operadors essencials i de les administracions, i el paper del CESICAT com a centre de referència en seguretat de la informació. Tots dos reforcen la mateixa idea: la plataforma de vídeo que tria una administració ja no és una decisió merament funcional.

El mateix Visio mostra què pot voler dir «sobirà» a la pràctica: no és un producte de catàleg comprat tal qual, sinó una plataforma autoallotjada, construïda sobre programari de codi obert i executada sobre infraestructura amb qualificació SecNumCloud (atorgada per l'ANSSI) i operada per l'agència digital de l'Estat (DINUM). Autoallotjar una pila oberta madura, com ara Jitsi Meet o BigBlueButton, és una via de sobirania legítima per si mateixa, no un premi de consolació. Et dona control total de la infraestructura, i és una opció que el núvol públic sobirà de la Generalitat podria acabar sostenint. Ara bé, té contrapartides reals: la càrrega d'operar i mantenir la plataforma recau sobre tu, i cal experiència interna de debò per fer-ho bé. La major part d'aquesta guia se centra a certificar i contractar un proveïdor gestionat, però decideix aviat quina via s'adapta als recursos de la teva organització, perquè canvia què hauria de demanar la resta del plec.

Les certificacions que una administració ha d'exigir

Els esquemes de certificació varien en abast, pes legal i valor probatori. Cap d'ells no garanteix per si sol una videoconferència conforme al RGPD per a ús governamental, però junts permeten a un equip de contractació construir una base d'evidència defensable. Per a una administració catalana, el punt de partida no és francès ni alemany: és l'Esquema Nacional de Seguretat (ENS).

La conclusió pràctica per a un plec català: el RGPD és el mínim inexcusable, l'ENS és l'esquema obligatori de referència, i SecNumCloud (o una qualificació nacional comparable) és la prova més forta de sobirania real per a una plataforma de vídeo. Per fixar la categoria ENS, es valoren cinc dimensions de seguretat (confidencialitat, integritat, disponibilitat, autenticitat i traçabilitat); la majoria d'usos de vídeo municipals se solen situar en categoria mitjana, no alta. La conformitat es pot comprovar al Registre de Conformitat del CCN, auditada per entitats acreditades per l'ENAC, de manera que «demana l'estat de conformitat amb l'ENS» es converteix en una comprovació concreta i no en una declaració de confiança.

Un advertiment que val per a tota la taula: l'ENS prova controls de seguretat, no immunitat jurisdiccional. Un proveïdor de propietat no europea pot tenir l'ENS nivell alt i, tot i així, quedar exposat a la CLOUD Act. De tot el que hi ha a la taula, SecNumCloud és l'únic esquema que aborda de cara la jurisdicció legal; els altres s'aturen en els controls tècnics. Les administracions catalanes responen davant de l'APDCAT, l'autoritat catalana de protecció de dades, pel que fa al tractament de dades personals.

La videoconferència sobirana a la pràctica: casos d'ús

Diferents parts de l'administració activen els requisits de sobirania per motius diferents. Un plec hauria de tractar cada cas d'ús en els seus propis termes.

Reunions internes de govern

Les reunions de govern, la coordinació interdepartamental i les sessions restringides són el cas més clar de videoconferència que manté dades i metadades dins d'una jurisdicció definida: la sensibilitat del contingut és el detonant, al marge de qualsevol regulació concreta. És també el cas on el xifratge d'extrem a extrem té més sentit, perquè es tracta de deliberacions no públiques.

Plens municipals i sessions telemàtiques

Els plens d'ajuntament a distància són una de les demandes més buscades del sector públic català, però abans de la part tecnològica hi ha una condició legal. La celebració telemàtica de sessions dels òrgans col·legiats locals està regulada per l'article 46.3 de la Llei de bases de règim local i, a Catalunya, pel text refós de la Llei municipal i de règim local, i només s'admet en situacions excepcionals de força major o de greu risc col·lectiu, no com a comoditat ordinària. La normativa també exigeix que els membres siguin en territori de l'Estat i que la secretaria acrediti la identitat de cadascun. Convé confirmar aquests supòsits amb els serveis jurídics abans de plantejar el plec.

Fet aquest pas, cal distingir dos escenaris amb requisits oposats. El ple és una sessió pública: ha de ser accessible a la ciutadania, de manera que el requisit real és la retransmissió accessible, no el secret. En canvi, les sessions executives o restringides sí que demanen confidencialitat i xifratge d'extrem a extrem. A tots dos escenaris, una votació oficial necessita acreditació d'identitat i la generació d'una acta o gravació tan sensible com la sessió mateixa. Per a la identitat, la via que fan servir les administracions catalanes és VÀLid, la passarel·la del Consorci AOC que agrupa l'idCAT Mòbil, els certificats com la T-CAT, el sistema estatal Cl@ve i la identitat transfronterera eIDAS. Per a una votació vinculant, el nivell de garantia importa: l'idCAT Mòbil és una identificació de nivell més baix, mentre que la T-CAT és un certificat qualificat d'alt nivell.

Justícia i administració de justícia

Les actuacions judicials, les vistes a distància i les consultes relacionades amb casos cauen de ple dins dels sectors sensibles que les restriccions proposades per la UE situen en primera línia. Les gravacions, transcripcions i metadades d'una vista tenen la mateixa sensibilitat que l'expedient mateix, de manera que el requisit de sobirania s'estén a l'emmagatzematge i el processament de les gravacions de sessió, no només a la trucada en directe.

Salut pública i telemedicina

Les dades de salut són un dels sectors sensibles que les propostes de la Comissió situen en primer pla, al costat de les finances i la justícia. Un servei com el CatSalut que faci consultes de telemedicina necessita una videoconferència on les dades del pacient, inclosos els resums de consulta generats per IA, es mantinguin dins de la jurisdicció de la UE i es tractin d'acord amb el RGPD. Convé comprovar on s'allotja de debò la part sanitària: una part de la infraestructura europea de vídeo s'assenta sobre proveïdors amb certificació HDS (Hébergeur de Données de Santé), el referent francès per a l'allotjament de dades de salut.

Educació

Escoles i universitats, de la UOC a la UB o la UPC, imparteixen classes, supervisen exàmens i fan reunions de protecció del menor per vídeo. Les propostes de restricció actuals no anomenen l'educació. Tot i així, diverses autoritats de protecció de dades ja esperen allotjament a la UE per a les dades de l'alumnat, cosa que converteix l'allotjament sobirà en un requisit pràctic fins i tot allà on cap norma no l'imposa estrictament.

Atenció a la ciutadania (incrustat i marca blanca)

Els ens locals que incorporen consultes per vídeo dins de tràmits de prestacions, al·legacions d'urbanisme o portals d'atenció necessiten una videoconferència que es pugui incrustar en un servei digital existent i amb marca blanca, i que compleixi els mateixos requisits d'allotjament i jurisdicció que l'ús intern. Les dades de la ciutadania tenen la mateixa sensibilitat tant si arriben per un formulari públic com per una trucada interna, i si el tràmit ja s'identifica amb VÀLid, l'eina de vídeo ha de poder encaixar-hi amb una API.

Què ha d'incloure un plec de videoconferència sobirana (checklist)

A Catalunya, el plec es tramita sota la Llei de contractes del sector públic (Llei 9/2017) i es publica a la Plataforma de Serveis de Contractació Pública de la Generalitat; molts ens petits no redacten un plec propi, sinó que compren a través d'acords marc o de catàlegs centralitzats, una via igualment vàlida. Tant si redactes el plec com si tries un acord marc, la sobirania no es pot imposar excloent per nacionalitat. Sota les normes europees de contractació (Directiva 2014/24/UE) i l'Acord sobre Contractació Pública de l'OMC, els poders adjudicadors han de tractar els licitadors per igual al marge de la nacionalitat, amb excepcions molt estretes com la seguretat nacional. El camí correcte és incorporar la sobirania com a criteri tècnic puntuable dins de l'oferta econòmicament més avantatjosa, amb un pes clar enfront del preu, i convertir els punts següents en criteris de divulgació i avaluació que un licitador ha de respondre. Revisa qualsevol clàusula d'exclusió amb els teus serveis jurídics abans de publicar el plec. Com a mínim, hauria de cobrir:

• Estructura legal i corporativa. Exigeix que es declari la jurisdicció de la matriu, l'estructura de propietat i qualsevol exposició a legislació extraterritorial com la CLOUD Act. Un proveïdor amb seu fora de la UE, encara que tingui centres de dades a la UE, pot ser obligat sota la llei del seu país d'origen.
• Residència i lloc de processament de les dades. Especifica on s'emmagatzemen i es processen totes les dades de trucada, gravacions, transcripcions, registres de xat i resums generats per IA, i exigeix que cap trànsit no s'encamini per defecte a través d'infraestructura de fora de la UE per a equilibratge de càrrega, transcripció o suport. Decideix de manera explícita quin estàndard fixes, perquè n'hi ha diversos en joc: el RGPD permet transferències a països amb decisió d'adequació, la sobirania demana tota la cadena operativa dins de la UE o l'EEE, i algunes administracions fins i tot voldran residència dins de l'Estat. Posa'l per escrit i demana al licitador que l'evidenciï.
• Evidència de certificació. Demana l'estat actual davant de l'ENS (amb la categoria aplicable i la seva comprovació al Registre de Conformitat del CCN), i davant de SecNumCloud, C5 o un esquema nacional equivalent, més una declaració sobre l'alineament amb EUCS i el segell Gaia-X, amb documentació d'auditoria que puguis comprovar de debò. Pregunta on se situa el licitador a l'escala SEAL i sobre quina base. Una afirmació de màrqueting de «sobirania» tota sola no demostra res.
• Arquitectura de xifratge. Exigeix detalls sobre el xifratge en trànsit (DTLS-SRTP és l'estàndard de WebRTC) i decideix per endavant quines sessions necessiten xifratge d'extrem a extrem complet i quines necessiten gravació o transcripció al servidor. El xifratge d'extrem a extrem real vol dir que cap servidor, ni el del mateix proveïdor, no pot llegir el contingut, de manera que descarta la gravació i la transcripció al servidor d'aquella mateixa sessió. Demana una descripció tècnica clara de la gestió de claus.
• Accessibilitat. Els serveis digitals del sector públic han de complir el Reial Decret 1112/2018 i la norma UNE-EN 301549 (equivalent a WCAG 2.1 AA), reforçats per la Llei europea d'accessibilitat. Per a vídeo, això vol dir subtítols, interfície operable amb teclat i lector de pantalla, controls de subtítols per a l'usuari i subtitulació de les sessions gravades. Ometre aquesta clàusula converteix el plec en jurídicament defectuós.
• Llengua. Per a les eines d'atenció a la ciutadania, exigeix una interfície en català i, segons la Llei de política lingüística, que la transcripció i els resums per IA tractin el català (i l'aranès a l'Aran), no només l'anglès o el castellà.
• Integració amb la identitat digital. Per a votacions oficials, plens telemàtics i tràmits ciutadans, exigeix compatibilitat amb VÀLid de l'AOC a través d'una API, de manera que l'acreditació de la identitat quedi lligada a la sessió de vídeo, i especifica el nivell de garantia que cada tràmit requereix.
• Transparència dels subencarregats i contracte d'encarregat. Demana la llista completa de subencarregats, inclosa qualsevol dependència de proveïdors d'infraestructura de núvol de fora de la UE, CDN o serveis de retransmissió TURN/STUN, i exigeix el contracte d'encarregat del tractament que preveu l'article 28 del RGPD. Una afirmació de sobirania és tan forta com el seu subencarregat més feble.
• Compromisos de RGPD i resposta a incidents. Especifica, escrits al mateix contracte, els terminis de resposta a les sol·licituds de drets de les persones interessades i a la notificació de bretxes que compleixin les obligacions del RGPD.
• Interoperabilitat i incrustació. Per als casos d'atenció a la ciutadania, exigeix accés a API i SDK que permeti incrustar l'experiència de vídeo dins dels serveis digitals existents, amb esdeveniments de sessió i gravació basats en webhooks ben documentats.
• Sortida i portabilitat de dades. Exigeix un procés documentat per extreure gravacions, transcripcions i dades d'ús en finalitzar el contracte, en un format obert i sense dependre de la cooperació continuada del proveïdor sortint. Recorda que una gravació d'un ple o d'una vista és un document públic subjecte a la Llei d'arxius i documents de Catalunya, amb terminis de conservació propis i no una simple dada a esborrar.
• Drets d'auditoria. Reserva't el dret d'encarregar o revisar auditories de seguretat independents durant la vigència del contracte. Una certificació puntual no et dirà com opera de debò un proveïdor al tercer any.

Com Digital Samba dona suport a la sobirania del sector públic

Digital Samba està registrada a Espanya i la seva autoritat de control competent és l'AEPD. No hi ha cap matriu de fora de la UE en la seva estructura de propietat, cosa que respon al primer punt del checklist: no hi ha cap cadena de propietat que torni a una entitat exposada a la CLOUD Act dels Estats Units.

La infraestructura de producció de Digital Samba funciona als Països Baixos, amb infraestructura de reserva a Alemanya, i la capacitat addicional en moments de pic recau en proveïdors europeus. Tota aquesta infraestructura és europea i cap hiperescalador nord-americà no intervé en el trànsit de les trucades. El nostre document de seguretat anomena cada proveïdor d'infraestructura, on opera i quines certificacions té; per a càrregues sanitàries, part d'aquesta infraestructura s'assenta sobre proveïdors amb certificació HDS per a dades de salut. Si un projecte necessita residència dins de l'Estat o control total de l'entorn, mentre el núvol públic sobirà de la Generalitat no sigui una opció disponible, la via és el desplegament a les pròpies instal·lacions.

Hem designat un delegat de protecció de dades segons l'article 37 del RGPD, mantenim un registre d'activitats de tractament segons l'article 30 i fem avaluacions d'impacte per al tractament d'alt risc. Pel que fa als esquemes de certificació, convé ser transparent: Digital Samba no disposa avui d'una certificació ENS ni SecNumCloud pròpia. Com passa amb l'ISO 27001:2022, que fem servir com a marc de referència del nostre sistema de gestió de la seguretat de la informació, els controls estan documentats més que certificats, i estem treballant cap a la certificació formal. L'ENS, a més, s'acredita sobre el sistema concret i la categoria que l'administració defineix, de manera que l'equip de seguretat pot aportar la documentació que necessitis per avaluar la conformitat del teu desplegament. Pots escriure'ns a security@digitalsamba.com.

La nostra API REST, l'SDK incrustable i els esdeveniments de sessió i gravació per webhooks permeten a un integrador posar vídeo dins d'un servei ciutadà, lligar-hi l'acreditació d'identitat amb VÀLid i veure exactament què passa amb les dades de trucada a cada pas. Per a sanitat i justícia, on els resums generats per IA han de quedar dins de la mateixa frontera jurisdiccional que la trucada, el detall concret és a la nostra arquitectura de seguretat i xifratge i a les nostres capacitats de transcripció i resums de reunions allotjades a la UE. Si vols comparar opcions, pots consultar els plans de Digital Samba.

Escriure un plec que aguanti

Redacta el plec de manera que un licitador no pugui ensenyar un certificat i donar-ho per fet. Demana evidència en comptes d'assegurances, i ajusta el que demanes al que el cas d'ús necessita de debò. Les normes encara s'estan acabant de perfilar a escala europea, així que aquesta àrea seguirà movent-se. Si construeixes un plec que faci les preguntes correctes ara, no l'hauràs de tornar a escriure cada cop que arribi una regulació nova.

Preguntes freqüents

Quines certificacions ha d'exigir una administració per a la videoconferència sobirana?

Com a mínim: tractament conforme al RGPD com a base, l'ENS amb la categoria que correspongui a la sensibilitat de les dades, i evidència davant d'un esquema de sobirania reconegut com SecNumCloud a França o C5 a Alemanya, més una declaració sobre l'estat d'EUCS i el segell Gaia-X. Quina importa més depèn del sector: justícia i sanitat demanen l'evidència més estricta, mentre que una eina interna d'agenda per a un ajuntament raonablement en pot demanar menys.

Què és l'escala SEAL?

SEAL és l'escala de cinc nivells del Marc de Sobirania del Núvol de la Comissió Europea per puntuar com de sobirà és un proveïdor, des de SEAL-0 (sense sobirania) fins a SEAL-4 (sobirania digital plena). La Comissió la va fer servir en la seva pròpia contractació de núvol del 2026, de manera que un plec pot demanar on se situa un licitador a l'escala i amb quina evidència. No és una certificació com l'ENS, sinó un marc de valoració.

Poden els organismes públics catalans fer servir eines de videoconferència de propietat nord-americana?

Avui, en la majoria de casos, sí. Les restriccions proposades per la UE apunten a sectors sensibles concrets (sanitat, finances i justícia, entre altres àmbits crítics) i no hi ha cap prohibició general. La CADA encara ha de passar pel Parlament Europeu i obtenir una majoria qualificada al Consell abans d'entrar en vigor. Ara bé, per a sistemes del sector públic subjectes a l'ENS, la categoria de seguretat i la sensibilitat de les dades poden fer que l'allotjament sobirà sigui la tria defensable molt abans que cap norma europea ho imposi.

Es poden fer plens municipals telemàtics?

Només en els supòsits que preveu la normativa de règim local: situacions excepcionals de força major o de greu risc col·lectiu, no com a alternativa ordinària a la sessió presencial. A més, la llei exigeix que els membres siguin en territori de l'Estat i que la secretaria acrediti la identitat de cadascun, i el ple continua sent públic. Abans de triar una eina, confirma els supòsits aplicables amb els serveis jurídics.

El RGPD obliga a allotjar a la UE les trucades del sector públic?

No de manera explícita. El RGPD permet que les dades surtin de la UE sota mecanismes legals concrets, com una decisió d'adequació, les clàusules contractuals tipus o les normes corporatives vinculants. A la pràctica, un ens públic que tracta dades sensibles de la ciutadania sol triar igualment l'allotjament a la UE, perquè dependre d'un mecanisme de transferència afegeix una càrrega legal i administrativa que un proveïdor amb seu a la UE estalvia. El nostre article sobre si el RGPD exigeix allotjar les dades a la UE cobreix els mecanismes i els seus límits amb detall.

L'ENS és obligatori per a la videoconferència del sector públic?

Sí, en la mesura que l'eina tracta informació d'un sistema del sector públic. L'ENS, regulat pel Reial Decret 311/2022, s'aplica als sistemes d'informació de les administracions públiques espanyoles i catalanes, i la categoria (bàsica, mitjana o alta) es fixa segons l'impacte que tindria un incident. Una plataforma de vídeo que processa dades d'aquests sistemes entra dins l'abast, i les categories mitjana i alta exigeixen una auditoria externa de certificació, no una autoavaluació.