D'ençà de principis del 2026, la sobirania ha passat de ser un document d'orientació a ser una clàusula de contractació. El 3 de juny del 2026, la Comissió Europea va confirmar el seu paquet de sobirania tecnològica a través de la Llei de Desenvolupament del Núvol i la IA (CADA), que proposa introduir restriccions per nivells a l'ús d'hiperescaladors nord-americans en les càrregues de treball públiques més sensibles. El problema no és que aquests proveïdors hagin fet res malament, sinó que la CLOUD Act dona a les autoritats dels Estats Units una via legal per accedir a les dades, independentment d'on es trobin.
A Catalunya, aquesta discussió ja té una traducció pressupostària concreta. El juliol del 2026 el Govern va licitar un núvol públic sobirà, dins de l'Estratègia d'Autonomia Tecnològica (ESTRATEC), amb un pressupost de licitació que arriba fins als 481 milions d'euros i la previsió que estigui operatiu durant el 2027. Si la teva administració licita serveis de vídeo, la sobirania no és una cosa que puguis deixar per més endavant: és una pregunta de contractació d'avui, encara que el marc legal europeu s'estigui acabant de perfilar. Si vols el concepte de fons, la nostra guia sobre què és realment un núvol sobirà en cobreix els fonaments. Aquest article és la continuació pràctica: els esquemes de certificació que has d'especificar, els casos d'ús que els activen i un checklist per redactar un plec que aguanti l'escrutini.
Taula de continguts
La direcció política ja és explícita. Les propostes de la Comissió, presentades a través de la CADA, no prohibirien de manera directa els proveïdors de núvol nord-americans en els contractes públics. Hi introduirien restriccions per nivells segons la sensibilitat de les dades, dirigides a sectors sensibles com la sanitat, les finances i la justícia, entre altres àmbits crítics com l'energia, la defensa o la seguretat nacional, on una avaluació de risc activa els nivells de sobirania més alts. Com qualsevol legislació europea d'aquest tipus, la CADA encara ha de passar pel Parlament Europeu i obtenir una majoria qualificada al Consell; no necessita un vot unànime dels 27 estats membres, però tampoc no és llei: cap de les seves disposicions està en vigor avui.
En paral·lel, el Marc de Sobirania del Núvol dona als equips de contractació una manera estructurada de puntuar proveïdors, amb una escala de cinc nivells (SEAL) que va des de SEAL-0, sense sobirania, fins a SEAL-4, sobirania digital plena. La mateixa Comissió ja l'ha posat a prova: l'abril del 2026 va aplicar criteris de sobirania explícits a la seva pròpia contractació de núvol, i va adjudicar un contracte de fins a 180 milions d'euros a quatre grups de proveïdors europeus. Tres d'ells van demostrar el nivell SEAL-3, sense dependències materials de cadena de subministrament fora de la UE; un quart es va quedar a SEAL-2, perquè el seu consorci es basa en una empresa conjunta entre un grup europeu i un hiperescalador nord-americà, justament el punt que l'associació CISPE va assenyalar. El seu secretari general va qualificar la decisió de reconèixer aquella empresa com a sobirana de «clarament un autogol» que amenaça d'institucionalitzar el «rentat de sobirania» al més alt nivell. La lliçó per a un equip de contractació val la pena retenir: un nom europeu al contracte no garanteix una cadena de subministrament europea al darrere, i aquesta escletxa és la que un marc de puntuació serveix per destapar.
Els estats veïns fa temps que es mouen en aquesta direcció. La doctrina francesa Cloud au Centre empeny les dades públiques sensibles cap a allotjament qualificat SecNumCloud, i França ja ha anat més enllà a la pràctica: ha desplegat Visio, la seva plataforma de vídeo estatal, amb l'objectiu de substituir les eines de conferència nord-americanes a les agències nacionals cap al 2027. Alemanya ha fet un camí semblant amb Gaia-X i un ministeri dedicat a la sobirania digital. Per als equips que compren videoconferència per al sector públic, la conseqüència pràctica és que qui pot ser obligat a lliurar les teves dades, i sota quina llei, s'ha convertit en un criteri puntuable i no en una nota al peu.
A Catalunya, aquest mateix debat també passa per marcs de seguretat propis: la Directiva NIS-2, que amplia les obligacions de ciberseguretat dels operadors essencials i de les administracions, i el paper del CESICAT com a centre de referència en seguretat de la informació. Tots dos reforcen la mateixa idea: la plataforma de vídeo que tria una administració ja no és una decisió merament funcional.
El mateix Visio mostra què pot voler dir «sobirà» a la pràctica: no és un producte de catàleg comprat tal qual, sinó una plataforma autoallotjada, construïda sobre programari de codi obert i executada sobre infraestructura amb qualificació SecNumCloud (atorgada per l'ANSSI) i operada per l'agència digital de l'Estat (DINUM). Autoallotjar una pila oberta madura, com ara Jitsi Meet o BigBlueButton, és una via de sobirania legítima per si mateixa, no un premi de consolació. Et dona control total de la infraestructura, i és una opció que el núvol públic sobirà de la Generalitat podria acabar sostenint. Ara bé, té contrapartides reals: la càrrega d'operar i mantenir la plataforma recau sobre tu, i cal experiència interna de debò per fer-ho bé. La major part d'aquesta guia se centra a certificar i contractar un proveïdor gestionat, però decideix aviat quina via s'adapta als recursos de la teva organització, perquè canvia què hauria de demanar la resta del plec.
Els esquemes de certificació varien en abast, pes legal i valor probatori. Cap d'ells no garanteix per si sol una videoconferència conforme al RGPD per a ús governamental, però junts permeten a un equip de contractació construir una base d'evidència defensable. Per a una administració catalana, el punt de partida no és francès ni alemany: és l'Esquema Nacional de Seguretat (ENS).
| Esquema | Qui l'administra | Què demostra | Rellevància per a la videoconferència |
|---|---|---|---|
| ENS (Esquema Nacional de Seguretat) | Govern d'Espanya, regulat pel Reial Decret 311/2022 | Mesures de seguretat obligatòries per als sistemes del sector públic, en categories bàsica, mitjana i alta segons l'impacte d'un incident | És l'esquema que s'aplica directament a qualsevol sistema d'informació d'una administració espanyola o catalana, i també a l'eina de vídeo que hi tracta dades. Les categories mitjana i alta exigeixen una auditoria externa de certificació; la bàsica admet una autoavaluació. És el primer que un plec català hauria de demanar. |
| SecNumCloud | ANSSI (França) | Seguretat tècnica (més de 360 requisits) més sobirania legal: domicili legal a la UE, dades emmagatzemades només a la UE i immunitat davant de lleis extraterritorials com la CLOUD Act | L'esquema més estricte d'Europa i la referència dels plecs de vídeo del sector públic francès. Encara que no és obligatori a Espanya, serveix de patró de referència: demostra que les dades, l'emmagatzematge i el processament d'una plataforma queden realment fora de l'abast de la CLOUD Act, no només que els servidors siguin a la UE. |
| C5 (Cloud Computing Compliance Criteria Catalogue) | BSI (Alemanya) | Controls de seguretat implementats en governança, criptografia i operacions | Base requerida per a la contractació pública federal alemanya. Acredita els controls de seguretat d'un proveïdor, però no la independència jurisdiccional: un proveïdor amb atestació C5 i matriu fora de la UE encara pot tenir exposició a la CLOUD Act. |
| EUCS (esquema europeu de certificació de serveis al núvol) | ENISA, sota la Llei de Ciberseguretat de la UE | Controls de ciberseguretat de nivell bàsic, substancial i alt per a serveis al núvol | Encara en esborrany, i el nivell específic de sobirania que hi afegia requisits d'immunitat davant de lleis no europees s'ha retirat de les darreres versions. Una qualificació EUCS, fins i tot la més alta, no et diu si les gravacions o transcripcions d'una plataforma de vídeo poden ser requerides sota una llei no europea. |
| Segell Gaia-X / Marc de confiança | Associació Europea Gaia-X | Compliment verificable amb principis de sobirania, transparència i interoperabilitat | Per a una plataforma de vídeo, un segell Gaia-X indica transparència sobre els fluxos de dades i els subencarregats, cosa útil al costat d'un esquema com SecNumCloud o l'ENS. Tot sol demostra molt menys. |
| Base de RGPD | Autoritats de control (APDCAT a Catalunya, AEPD a l'Estat) | Tractament lícit, drets de les persones interessades, garanties per a transferències internacionals | La base legal mínima que tota eina de vídeo del sector públic ha de complir per a gravacions, transcripcions i resums generats per IA. Però el compliment per si sol no estableix la sobirania: un tractament adequat al RGPD pot conviure amb exposició a la CLOUD Act. |
La conclusió pràctica per a un plec català: el RGPD és el mínim inexcusable, l'ENS és l'esquema obligatori de referència, i SecNumCloud (o una qualificació nacional comparable) és la prova més forta de sobirania real per a una plataforma de vídeo. Per fixar la categoria ENS, es valoren cinc dimensions de seguretat (confidencialitat, integritat, disponibilitat, autenticitat i traçabilitat); la majoria d'usos de vídeo municipals se solen situar en categoria mitjana, no alta. La conformitat es pot comprovar al Registre de Conformitat del CCN, auditada per entitats acreditades per l'ENAC, de manera que «demana l'estat de conformitat amb l'ENS» es converteix en una comprovació concreta i no en una declaració de confiança.
Un advertiment que val per a tota la taula: l'ENS prova controls de seguretat, no immunitat jurisdiccional. Un proveïdor de propietat no europea pot tenir l'ENS nivell alt i, tot i així, quedar exposat a la CLOUD Act. De tot el que hi ha a la taula, SecNumCloud és l'únic esquema que aborda de cara la jurisdicció legal; els altres s'aturen en els controls tècnics. Les administracions catalanes responen davant de l'APDCAT, l'autoritat catalana de protecció de dades, pel que fa al tractament de dades personals.
Diferents parts de l'administració activen els requisits de sobirania per motius diferents. Un plec hauria de tractar cada cas d'ús en els seus propis termes.
Les reunions de govern, la coordinació interdepartamental i les sessions restringides són el cas més clar de videoconferència que manté dades i metadades dins d'una jurisdicció definida: la sensibilitat del contingut és el detonant, al marge de qualsevol regulació concreta. És també el cas on el xifratge d'extrem a extrem té més sentit, perquè es tracta de deliberacions no públiques.
Els plens d'ajuntament a distància són una de les demandes més buscades del sector públic català, però abans de la part tecnològica hi ha una condició legal. La celebració telemàtica de sessions dels òrgans col·legiats locals està regulada per l'article 46.3 de la Llei de bases de règim local i, a Catalunya, pel text refós de la Llei municipal i de règim local, i només s'admet en situacions excepcionals de força major o de greu risc col·lectiu, no com a comoditat ordinària. La normativa també exigeix que els membres siguin en territori de l'Estat i que la secretaria acrediti la identitat de cadascun. Convé confirmar aquests supòsits amb els serveis jurídics abans de plantejar el plec.
Fet aquest pas, cal distingir dos escenaris amb requisits oposats. El ple és una sessió pública: ha de ser accessible a la ciutadania, de manera que el requisit real és la retransmissió accessible, no el secret. En canvi, les sessions executives o restringides sí que demanen confidencialitat i xifratge d'extrem a extrem. A tots dos escenaris, una votació oficial necessita acreditació d'identitat i la generació d'una acta o gravació tan sensible com la sessió mateixa. Per a la identitat, la via que fan servir les administracions catalanes és VÀLid, la passarel·la del Consorci AOC que agrupa l'idCAT Mòbil, els certificats com la T-CAT, el sistema estatal Cl@ve i la identitat transfronterera eIDAS. Per a una votació vinculant, el nivell de garantia importa: l'idCAT Mòbil és una identificació de nivell més baix, mentre que la T-CAT és un certificat qualificat d'alt nivell.
Les actuacions judicials, les vistes a distància i les consultes relacionades amb casos cauen de ple dins dels sectors sensibles que les restriccions proposades per la UE situen en primera línia. Les gravacions, transcripcions i metadades d'una vista tenen la mateixa sensibilitat que l'expedient mateix, de manera que el requisit de sobirania s'estén a l'emmagatzematge i el processament de les gravacions de sessió, no només a la trucada en directe.
Les dades de salut són un dels sectors sensibles que les propostes de la Comissió situen en primer pla, al costat de les finances i la justícia. Un servei com el CatSalut que faci consultes de telemedicina necessita una videoconferència on les dades del pacient, inclosos els resums de consulta generats per IA, es mantinguin dins de la jurisdicció de la UE i es tractin d'acord amb el RGPD. Convé comprovar on s'allotja de debò la part sanitària: una part de la infraestructura europea de vídeo s'assenta sobre proveïdors amb certificació HDS (Hébergeur de Données de Santé), el referent francès per a l'allotjament de dades de salut.
Escoles i universitats, de la UOC a la UB o la UPC, imparteixen classes, supervisen exàmens i fan reunions de protecció del menor per vídeo. Les propostes de restricció actuals no anomenen l'educació. Tot i així, diverses autoritats de protecció de dades ja esperen allotjament a la UE per a les dades de l'alumnat, cosa que converteix l'allotjament sobirà en un requisit pràctic fins i tot allà on cap norma no l'imposa estrictament.
Els ens locals que incorporen consultes per vídeo dins de tràmits de prestacions, al·legacions d'urbanisme o portals d'atenció necessiten una videoconferència que es pugui incrustar en un servei digital existent i amb marca blanca, i que compleixi els mateixos requisits d'allotjament i jurisdicció que l'ús intern. Les dades de la ciutadania tenen la mateixa sensibilitat tant si arriben per un formulari públic com per una trucada interna, i si el tràmit ja s'identifica amb VÀLid, l'eina de vídeo ha de poder encaixar-hi amb una API.
A Catalunya, el plec es tramita sota la Llei de contractes del sector públic (Llei 9/2017) i es publica a la Plataforma de Serveis de Contractació Pública de la Generalitat; molts ens petits no redacten un plec propi, sinó que compren a través d'acords marc o de catàlegs centralitzats, una via igualment vàlida. Tant si redactes el plec com si tries un acord marc, la sobirania no es pot imposar excloent per nacionalitat. Sota les normes europees de contractació (Directiva 2014/24/UE) i l'Acord sobre Contractació Pública de l'OMC, els poders adjudicadors han de tractar els licitadors per igual al marge de la nacionalitat, amb excepcions molt estretes com la seguretat nacional. El camí correcte és incorporar la sobirania com a criteri tècnic puntuable dins de l'oferta econòmicament més avantatjosa, amb un pes clar enfront del preu, i convertir els punts següents en criteris de divulgació i avaluació que un licitador ha de respondre. Revisa qualsevol clàusula d'exclusió amb els teus serveis jurídics abans de publicar el plec. Com a mínim, hauria de cobrir:
Digital Samba està registrada a Espanya i la seva autoritat de control competent és l'AEPD. No hi ha cap matriu de fora de la UE en la seva estructura de propietat, cosa que respon al primer punt del checklist: no hi ha cap cadena de propietat que torni a una entitat exposada a la CLOUD Act dels Estats Units.
La infraestructura de producció de Digital Samba funciona als Països Baixos, amb infraestructura de reserva a Alemanya, i la capacitat addicional en moments de pic recau en proveïdors europeus. Tota aquesta infraestructura és europea i cap hiperescalador nord-americà no intervé en el trànsit de les trucades. El nostre document de seguretat anomena cada proveïdor d'infraestructura, on opera i quines certificacions té; per a càrregues sanitàries, part d'aquesta infraestructura s'assenta sobre proveïdors amb certificació HDS per a dades de salut. Si un projecte necessita residència dins de l'Estat o control total de l'entorn, mentre el núvol públic sobirà de la Generalitat no sigui una opció disponible, la via és el desplegament a les pròpies instal·lacions.
Hem designat un delegat de protecció de dades segons l'article 37 del RGPD, mantenim un registre d'activitats de tractament segons l'article 30 i fem avaluacions d'impacte per al tractament d'alt risc. Pel que fa als esquemes de certificació, convé ser transparent: Digital Samba no disposa avui d'una certificació ENS ni SecNumCloud pròpia. Com passa amb l'ISO 27001:2022, que fem servir com a marc de referència del nostre sistema de gestió de la seguretat de la informació, els controls estan documentats més que certificats, i estem treballant cap a la certificació formal. L'ENS, a més, s'acredita sobre el sistema concret i la categoria que l'administració defineix, de manera que l'equip de seguretat pot aportar la documentació que necessitis per avaluar la conformitat del teu desplegament. Pots escriure'ns a security@digitalsamba.com.
La nostra API REST, l'SDK incrustable i els esdeveniments de sessió i gravació per webhooks permeten a un integrador posar vídeo dins d'un servei ciutadà, lligar-hi l'acreditació d'identitat amb VÀLid i veure exactament què passa amb les dades de trucada a cada pas. Per a sanitat i justícia, on els resums generats per IA han de quedar dins de la mateixa frontera jurisdiccional que la trucada, el detall concret és a la nostra arquitectura de seguretat i xifratge i a les nostres capacitats de transcripció i resums de reunions allotjades a la UE. Si vols comparar opcions, pots consultar els plans de Digital Samba.
Redacta el plec de manera que un licitador no pugui ensenyar un certificat i donar-ho per fet. Demana evidència en comptes d'assegurances, i ajusta el que demanes al que el cas d'ús necessita de debò. Les normes encara s'estan acabant de perfilar a escala europea, així que aquesta àrea seguirà movent-se. Si construeixes un plec que faci les preguntes correctes ara, no l'hauràs de tornar a escriure cada cop que arribi una regulació nova.
Com a mínim: tractament conforme al RGPD com a base, l'ENS amb la categoria que correspongui a la sensibilitat de les dades, i evidència davant d'un esquema de sobirania reconegut com SecNumCloud a França o C5 a Alemanya, més una declaració sobre l'estat d'EUCS i el segell Gaia-X. Quina importa més depèn del sector: justícia i sanitat demanen l'evidència més estricta, mentre que una eina interna d'agenda per a un ajuntament raonablement en pot demanar menys.
SEAL és l'escala de cinc nivells del Marc de Sobirania del Núvol de la Comissió Europea per puntuar com de sobirà és un proveïdor, des de SEAL-0 (sense sobirania) fins a SEAL-4 (sobirania digital plena). La Comissió la va fer servir en la seva pròpia contractació de núvol del 2026, de manera que un plec pot demanar on se situa un licitador a l'escala i amb quina evidència. No és una certificació com l'ENS, sinó un marc de valoració.
Avui, en la majoria de casos, sí. Les restriccions proposades per la UE apunten a sectors sensibles concrets (sanitat, finances i justícia, entre altres àmbits crítics) i no hi ha cap prohibició general. La CADA encara ha de passar pel Parlament Europeu i obtenir una majoria qualificada al Consell abans d'entrar en vigor. Ara bé, per a sistemes del sector públic subjectes a l'ENS, la categoria de seguretat i la sensibilitat de les dades poden fer que l'allotjament sobirà sigui la tria defensable molt abans que cap norma europea ho imposi.
Només en els supòsits que preveu la normativa de règim local: situacions excepcionals de força major o de greu risc col·lectiu, no com a alternativa ordinària a la sessió presencial. A més, la llei exigeix que els membres siguin en territori de l'Estat i que la secretaria acrediti la identitat de cadascun, i el ple continua sent públic. Abans de triar una eina, confirma els supòsits aplicables amb els serveis jurídics.
No de manera explícita. El RGPD permet que les dades surtin de la UE sota mecanismes legals concrets, com una decisió d'adequació, les clàusules contractuals tipus o les normes corporatives vinculants. A la pràctica, un ens públic que tracta dades sensibles de la ciutadania sol triar igualment l'allotjament a la UE, perquè dependre d'un mecanisme de transferència afegeix una càrrega legal i administrativa que un proveïdor amb seu a la UE estalvia. El nostre article sobre si el RGPD exigeix allotjar les dades a la UE cobreix els mecanismes i els seus límits amb detall.
Sí, en la mesura que l'eina tracta informació d'un sistema del sector públic. L'ENS, regulat pel Reial Decret 311/2022, s'aplica als sistemes d'informació de les administracions públiques espanyoles i catalanes, i la categoria (bàsica, mitjana o alta) es fixa segons l'impacte que tindria un incident. Una plataforma de vídeo que processa dades d'aquests sistemes entra dins l'abast, i les categories mitjana i alta exigeixen una auditoria externa de certificació, no una autoavaluació.