Zoom i Microsoft Teams no estan prohibits a Europa: milions d'empreses i de persones els obren cada dia. Però el 2026 es planteja una pregunta més exigent, i els governs europeus la responen cada cop més en públic: es poden fer servir les plataformes de videoconferència de propietat nord-americana d'una manera que compleixi del tot la legislació europea de protecció de dades, sobretot per a dades regulades o del sector públic?
La resposta honesta té matisos. Aquestes eines no són il·legals per a l'ús general, però el terreny legal i polític que trepitgen es mou de pressa. Aquesta guia explica on és realment la línia (què està restringit i què no), per què França i Alemanya estan traient els funcionaris de les plataformes nord-americanes, les normes que alimenten el debat i què hauria d'avaluar una organització que necessita sobirania de dades de debò abans de comprometre-s'hi.
Taula de continguts
No. Zoom i Microsoft Teams no són il·legals a la Unió Europea i continuen disponibles per a empreses privades i particulars. El que ha canviat és el nivell d'escrutini. Cada cop més organismes del sector públic europeu restringeixen o deixen d'usar les eines de videoconferència nord-americanes per motius de protecció de dades, de sobirania digital i, en el cas de Microsoft, de competència.
A la pràctica, hi ha dues capes:
Dit d'una altra manera, la pregunta rarament és «aquest programari és legal?». És «l'estructura legal d'aquest proveïdor pot mantenir les meves dades fora de l'abast d'autoritats de fora de la UE?». Per a moltes organitzacions el 2026, aquesta pregunta s'està tornant decisiva.
El senyal més clar que això ja no és un debat teòric és la contractació pública. Al llarg del 2026, diversos governs europeus han començat a substituir activament les eines de videoconferència i de productivitat nord-americanes per alternatives sobiranes.
França. El gener del 2026 el govern francès va anunciar que trauria els funcionaris de les eines de vídeo nord-americanes (Zoom, Microsoft Teams, Webex i GoTo) i els passaria a Visio, una plataforma construïda per l'Estat i desenvolupada per l'agència digital DINUM sobre infraestructura francesa. L'objectiu és que tota l'administració (centenars de milers de funcionaris) hi passi, amb la transició completa prevista per al 2027 i el govern al·legant sobirania de dades, seguretat i cost.
Alemanya. L'estat del nord de Slesvig-Holstein ha anat migrant la seva administració de Microsoft Windows, Office i Teams cap a alternatives de codi obert com Linux i LibreOffice, un moviment llegit àmpliament com una declaració de sobirania de dades tant com de cost. Les autoritats alemanyes de protecció de dades també han estat de les més explícites d'Europa sobre els riscos dels serveis de núvol nord-americans al govern.
I més enllà. Organismes regionals i públics d'Àustria i Dinamarca han fet passos similars per allunyar-se de les suites de productivitat nord-americanes habituals. Res d'això no equival a una prohibició a escala de la UE, però la direcció del moviment al sector públic és coherent, i els equips de contractació privats hi estan molt atents.
I a Catalunya? El mateix impuls té forma pròpia, encara que de moment a la capa d'allotjament i no a la de les eines. El juliol del 2026 el Govern va licitar un núvol públic sobirà, dins de l'Estratègia d'Autonomia Tecnològica, per allotjar dades de la ciutadania en infraestructura pròpia. És una licitació en fase inicial, infraestructura i no un servei de videoconferència que es pugui fer servir avui, però la lògica és la mateixa que la de Visio: recuperar el control sobre on viuen les dades i sota quina llei. Si vols el detall sobre com es tradueix això en un plec, ho desenvolupem a la nostra guia de videoconferència sobirana per al sector públic.
Més enllà dels titulars, hi ha un conflicte de lleis real. Segons el RGPD, les dades personals que es transfereixen fora de l'Espai Econòmic Europeu (EEE) han d'estar protegides per garanties que assegurin un nivell de protecció «essencialment equivalent».
Això es va fer molt més difícil de demostrar després de la sentència Schrems II del Tribunal de Justícia de la Unió Europea, que va anul·lar l'Escut de Privadesa UE-EUA. El Tribunal va considerar que la legislació de vigilància nord-americana podia passar per sobre de les proteccions d'instruments de transferència com les clàusules contractuals tipus, i va dir a les organitzacions que havien d'avaluar, cas per cas, si una llei estrangera soscava els drets europeus de protecció de dades abans de confiar en aquelles clàusules.
L'instrument més comentat d'aquest debat és la CLOUD Act dels Estats Units. Permet que les autoritats nord-americanes obliguin les empreses amb seu als EUA a lliurar les dades que controlen, fins i tot quan aquestes dades són en servidors situats físicament a Europa. Guardar les dades en un centre de dades europeu no n'hi ha prou: el que compta és qui les controla finalment i a quines lleis respon.
Els proveïdors nord-americans responen a aquesta preocupació amb opcions de residència de dades a la UE: Microsoft amb la seva «frontera de dades de la UE» (EU Data Boundary), completada a principis del 2025, i Zoom amb l'allotjament de dades a la UE. Emmagatzemar i processar les dades dins de la UE resol la pregunta de la ubicació, però no la del control: mentre la matriu sigui nord-americana, la CLOUD Act hi continua arribant. Per això la localització de l'emmagatzematge, tota sola, no tanca l'exposició jurisdiccional.
El marc successor, el Marc de Privadesa de Dades UE-EUA (DPF), vol restaurar una via legal per a les transferències a empreses nord-americanes certificades, i continua en vigor. Si el proveïdor hi està certificat, avui una transferència s'hi pot emparar sense necessitat de clàusules contractuals tipus ni d'una avaluació d'impacte completa. Però no és dret consolidat: hi ha un recurs davant del Tribunal de Justícia (presentat l'octubre del 2025) i, el 2026, una decisió del Tribunal Suprem dels EUA sobre la independència de la Comissió Federal de Comerç va portar el Comitè Europeu de Protecció de Dades a demanar a la Comissió Europea que reavaluï si la decisió d'adequació encara es manté. Per a qui planifica amb anys de vista, construir sobre el DPF és menys durador que triar una via que no en depengui.
El debat sobre el compliment no és només acadèmic: els reguladors europeus han actuat. El precedent més contundent és recent i afecta la mateixa Comissió Europea. El març del 2024, el Supervisor Europeu de Protecció de Dades va concloure que l'ús que la Comissió feia de Microsoft 365 infringia les normes de protecció de dades de les institucions de la UE, per garanties insuficients en les transferències fora de l'EEE i per manca de claredat sobre quines dades es recollien, i va ordenar suspendre els fluxos de dades no adequats abans del desembre del 2024.
No és un cas aïllat. Ja l'agost del 2021, el Comissionat de Protecció de Dades d'Hamburg havia emès una advertència formal a la Cancelleria del Senat de la ciutat contra l'ús de la versió al núvol de Zoom, perquè implicava transferències de dades personals als EUA sense una base jurídica vàlida segons l'estàndard de Schrems II. Era l'advertència d'un regulador i no una sentència judicial, i s'aplicava a una configuració concreta del sector públic, però va marcar aviat com veuen les autoritats europees les eines de vídeo nord-americanes al govern.
Microsoft ha afrontat una línia de pressió separada per motius de competència. Després d'una denúncia i d'una investigació de la Comissió Europea sobre l'empaquetament de Teams amb les seves suites Microsoft 365 i Office 365, Microsoft va començar a vendre aquestes suites sense Teams a l'EEE i a Suïssa. El setembre del 2025 la Comissió va acceptar un conjunt de compromisos vinculants de Microsoft (suites sense Teams amb una diferència de preu més àmplia, interoperabilitat per a eines competidores i portabilitat de dades) que duren set anys, amb les obligacions d'interoperabilitat i portabilitat durant deu. La competència és una qüestió diferent de la protecció de dades, però reforça el mateix fons: les institucions europees estan cada cop més disposades a condicionar com operen les plataformes nord-americanes al mercat únic.
Tots dos es poden configurar per donar suport al compliment del RGPD en molts contextos, però cap dels dos no pot eliminar del tot l'exposició jurisdiccional que comporta una matriu nord-americana. Zoom i Microsoft ofereixen contractes d'encarregat del tractament, opcions de residència de dades a la UE i xifratge, i les grans organitzacions amb recursos jurídics poden construir una posició de compliment defensable per a l'ús corporatiu habitual.
La dificultat apareix als marges que més importen:
A Catalunya i a l'Estat, aquesta lectura la fan dues autoritats amb àmbits diferents: l'APDCAT supervisa les administracions públiques catalanes i els ens locals, mentre que l'AEPD cobreix el sector privat i l'Administració de l'Estat. L'AEPD participa en l'acció europea coordinada per analitzar l'ús del núvol al sector públic, que examina també les transferències internacionals.
A més, els sistemes del sector públic espanyol i català estan subjectes a l'Esquema Nacional de Seguretat, regulat pel Reial Decret 311/2022. És obligatori, classifica cada sistema en categoria bàsica, mitjana o alta segons l'impacte que tindria un incident, i els serveis de núvol que hi tracten dades han d'acreditar la conformitat amb l'ENS, amb restriccions més estrictes d'operació i de subcontractació a les categories altes. Per a un sistema sensible, un proveïdor controlat des de fora de la UE ho té difícil de satisfer. A l'educació, on universitats i centres ja treballen majoritàriament amb Teams o Google, s'hi suma la protecció reforçada de les dades de menors (a l'Estat, el consentiment propi arriba als 14 anys), cosa que apuja encara més el llistó.
El compliment, aquí, depèn del control legal i no de la ubicació del centre de dades, i és justament aquest control el que està sota pressió.
A l'hora d'avaluar un proveïdor de videoconferència o de col·laboració per al compliment europeu, les preguntes que més importen són estructurals:
Un proveïdor amb seu a la UE, operat sota jurisdicció europea, allotjat en infraestructura de propietat europea i sense exposició a l'accés extraterritorial elimina la majoria d'aquestes preguntes d'arrel, en comptes de mitigar-les després.
Canviar de proveïdor no sempre és immediat, i mentrestant una organització pot reduir l'exposició amb uns quants passos concrets: fer una avaluació d'impacte de les transferències, seguint les recomanacions 01/2020 del Comitè Europeu de Protecció de Dades; revisar i tornar a signar el contracte d'encarregat del tractament; auditar la llista de subencarregats de l'article 28 i excloure o desactivar els de fora de la UE sempre que es pugui; activar les opcions de residència de dades a la UE; i actualitzar el registre d'activitats de tractament (article 30) i l'avaluació d'impacte (article 35) per als usos d'alt risc.
Aquest és el model sobre el qual es construeix Digital Samba. Digital Samba és una empresa amb seu a Barcelona que opera sota jurisdicció de la Unió Europea, cosa que vol dir que no està subjecta a lleis d'accés extraterritorial nord-americanes com la CLOUD Act.
Per als productes que més trien les organitzacions amb requisits estrictes (l'API i l'SDK de vídeo incrustable de Digital Samba i el seu pla gratuït) totes les dades personals s'emmagatzemen i es processen en infraestructura europea. La infraestructura de producció funciona als Països Baixos, amb infraestructura de reserva a Alemanya i capacitat addicional en proveïdors europeus, sense cap hiperescalador nord-americà en el trànsit de les trucades. Digital Samba treballa amb un conjunt deliberadament reduït de subencarregats, i l'únic amb seu als EUA, que s'usa per als tiquets de suport, és opcional i es pot excloure del tot per als clients B2B europeus, de manera que tot el tractament de dades personals queda dins d'Europa.
Sobre la jurisdicció i l'allotjament europeus, Digital Samba ofereix un contracte d'encarregat del tractament preparat per al RGPD amb rols clars de responsable i encarregat, xifratge en trànsit i en repòs, xifratge d'extrem a extrem opcional a la capa d'aplicació i es compromet a notificar els clients de qualsevol violació de la seguretat de les dades en un termini de 24 hores des que en té coneixement, més estricte que les 72 hores que el RGPD fixa per a la notificació a l'autoritat de control. Per als equips que incrusten vídeo en el seu propi producte, la mateixa posició de compliment està disponible a través de l'API i l'SDK de marca blanca, i si vols el context de fons sobre la dependència europea de les grans tecnològiques, el tractem a l'estratègia de codi obert de la UE i la sobirania del vídeo.
Val a dir què és i què no és Digital Samba: no és el reemplaçament d'una suite completa de col·laboració com Microsoft 365, sinó vídeo sobirà que pots incrustar al teu propi servei o fer servir ja fet, amb la capa de compliment resolta d'arrel. Per a les organitzacions on la sobirania de dades i la certesa reguladora no són negociables, triar un proveïdor amb una estructura legal dins de la UE és més senzill i durador que muntar garanties al voltant d'un que no ho és. Si vols comparar opcions, pots consultar els plans de Digital Samba o parlar amb l'equip comercial.
Zoom ofereix un contracte d'encarregat del tractament, opcions de residència de dades a la UE i xifratge, i es pot configurar per donar suport al compliment del RGPD en molts usos corporatius habituals. La qüestió no resolta és jurisdiccional: com a empresa de propietat nord-americana, Zoom pot quedar sota lleis dels EUA com la CLOUD Act fins i tot quan les dades s'allotgen a Europa, i per això els reguladors europeus n'han qüestionat l'ús en entorns sensibles i del sector públic.
Teams es pot orientar cap al compliment del RGPD a través del contracte d'encarregat de Microsoft, la seva frontera de dades de la UE i les garanties contractuals, però arrossega la mateixa exposició jurisdiccional que Zoom. El 2024 el Supervisor Europeu de Protecció de Dades va considerar que l'ús de Microsoft 365 per part de la mateixa Comissió Europea infringia les normes de transferències, i Teams ha afrontat, a més, una actuació de competència de la UE pel seu empaquetament amb Microsoft 365 i Office 365.
Sí. Diversos proveïdors europeus ofereixen videoconferència allotjada del tot dins de la UE i operada sota jurisdicció europea, cosa que elimina l'exposició a la llei extraterritorial nord-americana. Digital Samba n'és un exemple: un proveïdor amb seu a Barcelona, amb allotjament només a la UE per als seus productes incrustable i gratuït i un contracte d'encarregat del tractament preparat per al RGPD.
Mentre valora el canvi, pot reduir el risc amb passos concrets: una avaluació d'impacte de les transferències segons les recomanacions 01/2020 del Comitè Europeu de Protecció de Dades, la revisió del contracte d'encarregat i de la llista de subencarregats de l'article 28 per excloure els de fora de la UE, l'activació de la residència de dades a la UE i l'actualització del registre de tractament i de l'avaluació d'impacte per als usos d'alt risc. Per al sector públic, cal comprovar a més la categoria de l'ENS que correspon al sistema.
No del tot, ni de cop. Les empreses privades continuen fent-los servir àmpliament. Però al sector públic la tendència és clara: governs de França, Alemanya i altres llocs estan migrant els usuaris oficials cap a alternatives sobiranes o de codi obert per motius de sobirania de dades i de cost, i això també reconfigura les expectatives de les indústries regulades.
Per als funcionaris, sí. El gener del 2026 el govern francès va anunciar que trauria la seva administració de les eines de vídeo nord-americanes, inclosos Zoom i Teams, i la passaria a una plataforma construïda per l'Estat, Visio, amb la transició prevista per al 2027. Afecta centenars de milers de funcionaris i s'aplica a l'ús governamental, no a les empreses privades ni a la ciutadania.