Wielki rozwód

Część 1 z 3 

Pewnego kwietniowego poranka 2024 roku urzędnicy państwowi w północnoniemieckim kraju związkowym Szlezwik-Holsztyn usiedli przy swoich biurkach i zastali coś niezwykłego: programy Word, Excel, Outlook i Teams zniknęły. W ich miejscu pojawiły się LibreOffice, Open-Xchange i Thunderbird. Władze landu podjęły świadomą i ponadpartyjną decyzję, stając się pierwszym rządem w Europie, który w pełni wycofał się z ekosystemu Microsoftu. Sześćdziesiąt tysięcy urzędników i trzydzieści tysięcy nauczycieli miało w kolejnych miesiącach uczyć się pracy bez narzędzi, które definiowały życie biurowe przez całe pokolenie.¹ 

Ten krok miał niezaprzeczalną wagę polityczną. Inne kraje w Europie uważnie go obserwowały. 

Kontynent dokonuje ponownej oceny 

Latem 2025 roku Ministerstwo Cyfryzacji Danii ogłosiło podobne przejście, zastępując pakiet Microsoft Office 365 programem LibreOffice dla wszystkich swoich pracowników. Duńska minister cyfryzacji, Caroline Stage Olsen, ujęła to wprost: „Nigdy nie wolno nam uzależniać się od tak nielicznych podmiotów, w stopniu uniemożliwiającym nam swobodne działanie”.²  

W Szwajcarii privatim – konferencja wszystkich szwajcarskich kantonalnych komisarzy ds. ochrony danych – wydała w listopadzie 2025 roku oficjalną uchwałę stwierdzającą, że powierzanie wrażliwych danych osobowych międzynarodowym dostawcom chmury jest w większości przypadków niezgodne z prawem dla organów publicznych. Komisarze wezwali do unikania amerykańskich usług chmurowych w odniesieniu do danych objętych tajemnicą zawodową, w tym dokumentacji medycznej, danych podatkowych, akt prawnych i informacji z zakresu opieki społecznej.³ Przedstawiciele konferencji doszli do wniosku, że suwerenności nad danymi nie da się osiągnąć poprzez samą lokalizację serwera: kluczowe znaczenie ma to, kto kontroluje infrastrukturę i posiada klucze szyfrujące. Szwajcarski rząd federalny poszedł jeszcze dalej, uruchamiając projekt Swiss Government Cloud – inicjatywę o wartości 319 mln CHF realizowaną w latach 2025–2032, mającą na celu budowę suwerennej infrastruktury na poziomie federalnym.⁴  

Francja działa etapami – od legislacji do planowania operacyjnego. Ustawa SREN nakłada już obowiązek przenoszenia wrażliwych danych rządowych do dostawców usług chmurowych certyfikowanych zgodnie z normą SecNumCloud, która strukturalnie wyklucza podmioty podlegające prawodawstwu eksterytorialnemu, takiemu jak ustawa CLOUD Act.⁵ 8 kwietnia 2026 roku francuska agencja cyfrowa DINUM zwołała międzyresortowe seminarium, na którym wyznaczono konkretne harmonogramy wymiany zagranicznych systemów IT we wszystkich ministerstwach. DINUM zapowiedziała, że na własnych stacjach roboczych zastąpi system Windows systemem Linux, podczas gdy krajowy ubezpieczyciel zdrowotny Caisse nationale d'Assurance maladie przenosi swoich około 80 000 pracowników na narzędzia zarządzane przez państwo: komunikator Tchap, Visio do wideokonferencji oraz FranceTransfert do udostępniania plików. Każde ministerstwo, w tym podległe mu agencje, musi do jesieni 2026 roku przedstawić własną mapę drogową migracji, obejmującą systemy operacyjne, narzędzia do współpracy, systemy AI i infrastrukturę sieciową. Minister ds. budżetu David Amiel jasno sformułował te ambicje: „Państwo nie może już poprzestawać na przyjmowaniu do wiadomości swojej zależności. Musi ją przezwyciężyć”.5 

W Berlinie sam Bundestag redefiniuje swoją architekturę cyfrową. Ponadpartyjna komisja pod przewodnictwem wiceprzewodniczącej niemieckiego Bundestagu Andrei Lindholz (CSU) analizuje konsekwencje faktu, że parlament korzysta z pakietu Microsoft 365 na ponad dziesięciu tysiącach stanowisk roboczych. Komisja ma przedstawić swoją pełną strategię cyfrową w maju 2026 roku. Jak ujęła to posłanka Zielonych (Grünen-Abgeordnete) Anna Lührmann: zdolność operacyjna niemieckiego parlamentu nie powinna zależeć całkowicie od infrastruktury garstki zagranicznych korporacji.⁶ 

Zagrożenie staje się widoczne 

Obawy, które stoją za tymi wszystkimi decyzjami, mogą wydawać się abstrakcyjne – dopóki nie staną się rzeczywistością. Międzynarodowy Trybunał Karny (MTK) przekonał się, jak to wygląda w praktyce. W lutym 2025 roku administracja Trumpa nałożyła sankcje na urzędników MTK, uderzając w wysiłki Trybunału zmierzające do ścigania premiera Izraela Benjamina Netanjahu za domniemane zbrodnie wojenne w Strefie Gazy. Pojawiły się wówczas doniesienia, że w rezultacie Karim Khan, główny prokurator MTK, stracił dostęp do swojego konta Microsoft Outlook. Raporty te – i to, co z nich wynikało – wywołały międzynarodowe oburzenie: obawę, że amerykański dostawca technologii, na żądanie Waszyngtonu, odciął głównego prokuratora międzynarodowego trybunału od jego własnej infrastruktury instytucjonalnej.7 

Trzy miesiące później, w sierpniu 2025 roku, ta sama logika sięgnęła jeszcze dalej. Sędzia Nicolas Guillou, francuski sędzia zasiadający w Izbie Przygotowawczej MTK, został wpisany na amerykańską listę sankcyjną za udział w wydaniu nakazów aresztowania premiera Izraela Benjamina Netanjahu. W ciągu kilku dni jego karta Visa przestała działać. Zamknięto jego konta w serwisach Amazon, Airbnb i PayPal. Rezerwacja hotelu dokonana przez portal Expedia została anulowana e-mailem z powołaniem się na sankcje. Sędzia międzynarodowego trybunału, urzędujący w Hadze, wykonujący mandat powierzony mu przez 125 państw członkowskich, stał się cyfrowym pariasem – nie na mocy decyzji jakichkolwiek władz europejskich, lecz w wyniku decyzji podjętej w Waszyngtonie i przekazanej za pośrednictwem amerykańskich firm technologicznych i płatniczych. Guillou opisał swoją sytuację w rozmowie z dziennikiem „Le Monde” jako rodzaj „śmierci cywilnej”. Ostrzegł urzędników europejskich w Brukseli, że ten sam los może spotkać każdego z nich.8 MTK ogłosił następnie, że zastąpi pakiet Microsoft 365 pakietem openDesk – europejskim pakietem oprogramowania open-source stworzonym przez niemiecką spółkę państwową Zendis.9 

Fundament prawny 

Wszystkie te decyzje łączy jedno, niewygodne pytanie, którego instytucje europejskie z powodzeniem unikały od czasu wejścia w życie ustawy o legalnym zagranicznym wykorzystaniu danych (bardziej znanej jako CLOUD Act) w marcu 2018 roku: co w rzeczywistości oznacza przechowywanie, przesyłanie lub przetwarzanie danych za pośrednictwem infrastruktury amerykańskiej firmy? 

Zgodnie z ustawą CLOUD Act władze USA mogą pod pewnymi warunkami (które szczegółowo analizujemy w części 2 tej serii) zmusić każdą amerykańską firmę kontrolującą infrastrukturę chmurową do wydania posiadanych danych. Nie chodzi o dane przechowywane w ich amerykańskich biurach. Nie o dane generowane przez użytkowników z USA. Chodzi o Twoje dane – niezależnie od tego, czy znajdują się na serwerze we Frankfurcie, przechodzą przez centrum danych w Dublinie podczas wideorozmowy, czy też są przetwarzane w czasie rzeczywistym przez aplikację chmurową w Paryżu – ponieważ firma kontrolująca infrastrukturę ma swoją siedzibę w USA. Przechowywanie to tylko część problemu. Każdy dokument, który przepływa przez system kontrolowany przez USA, każde zapytanie wysłane do aplikacji chmurowej, przechodzi przez infrastrukturę podlegającą temu samemu przymusowi prawnemu. Nad tą kwestią warto się głębiej zastanowić: kiedy w końcowej części tej serii przejdziemy do narzędzi AI, będzie to kluczowy punkt argumentacji. 

Siedem lat odwracania wzroku 

Ustawa CLOUD Act ma osiem lat. Wyrok w sprawie Schrems II, który unieważnił Tarczę Prywatności UE-USA ze względu na niezgodność amerykańskiego prawa inwigilacyjnego z europejskimi standardami ochrony danych, ma pięć lat. Jednak o ile ryzyko prawne się nie zmieniło, o tyle polityczna tolerancja na jego ignorowanie uległa załamaniu. Skutki te nie były tajemnicą: od lat poruszano je w pracach naukowych i na konferencjach poświęconych ochronie danych. Brakowało nie analiz, lecz poczucia pilności. 

Głównym katalizatorem był powrót Donalda Trumpa do Białego Domu w styczniu 2025 roku. Nastąpiła po tym tak gwałtowna zmiana klimatu geopolitycznego, że ryzyka, które wcześniej wydawały się teoretyczne, nagle stały się bardzo realne. Sprawa MTK była tego wczesnym przykładem. W Niemczech Federalne Ministerstwo Spraw Wewnętrznych zleciło naukowcom z Uniwersytetu w Kolonii oficjalne sformułowanie opinii prawnej w tej kwestii. Ich jednoznaczna opinia, opublikowana w grudniu 2025 roku na wniosek o dostęp do informacji publicznej, wskazuje, że władze USA mogą uzyskiwać dostęp do danych w chmurze przechowywanych w Europie.10 Niemieckie Ministerstwo Spraw Wewnętrznych, bezpośrednio po otrzymaniu opinii z Kolonii, dostosowało swoje przepisy dotyczące ochrony informacji niejawnych, przyznając w ten sposób, że materiały niejawne nie mogą być przetwarzane w infrastrukturze kontrolowanej przez USA. 11 

„Nie, nie mogę tego zagwarantować”.

W czerwcu 2025 roku, przed komisją śledczą francuskiego Senatu ds. zamówień publicznych i suwerenności cyfrowej, Anton Carniaux, ówczesny Associate General Counsel (zastępca dyrektora ds. prawnych) w Microsoft France, został zapytany pod przysięgą, czy może zagwarantować, że dane obywateli Francji przechowywane na europejskich serwerach Microsoftu nigdy nie zostaną przekazane władzom USA bez zgody rządu francuskiego. Jego odpowiedź była precyzyjna i dla wielu druzgocąca: „Nie, nie mogę tego zagwarantować”.12 

Zdanie, o którego prawdziwości europejscy decydenci zawsze wiedzieli, zostało teraz oficjalnie zaprotokołowane. Wypowiedziane pod przysięgą, przez samą firmę. 

Rozwód bywa trudny – a ten dopiero się zaczyna 

Zaproponowano kilka dróg wyjścia: suwerennych europejskich dostawców chmury, spółki joint venture pomiędzy amerykańskimi gigantami technologicznymi a partnerami europejskimi, szyfrowanie kontrolowane przez klienta oraz alternatywy z certyfikatem SecNumCloud. Pytanie, czy którekolwiek z tych rozwiązań rzeczywiście eliminuje leżące u podstaw ryzyko prawne, czy jedynie nadaje mu nową formę, to moment, od którego zaczyna się część 2 tej serii. 

Rozwód trwa. To, czy uda się go sfinalizować, to zupełnie inna kwestia. 

Pewne jest to, że Waszyngton to zauważył. 18 lutego 2026 roku w depeszy Departamentu Stanu podpisanej przez sekretarza stanu Marco Rubio poinstruowano amerykańskich dyplomatów na całym świecie, aby aktywnie lobbowali przeciwko przepisom o suwerenności danych, przedstawiając je jako zagrożenie dla usług AI, globalnego przepływu danych i wolności obywatelskich. Dyplomatom nakazano śledzenie projektów, które mogłyby ograniczać transgraniczny przepływ danych, oraz przeciwdziałanie regulacjom uznanym za nadmierne. RODO zostało wymienione z nazwy jako przykład „niepotrzebnie uciążliwego” przepisu. 13 

Okazuje się, że rządy europejskie odchodzące od amerykańskiej infrastruktury chmurowej nie podejmują zwykłej decyzji o zamówieniach IT. Bez względu na swoje intencje stają się uczestnikami konfrontacji geopolitycznej. Najbliższe miesiące pokażą, jak daleko każda ze stron jest gotowa się posunąć. Ta saga dopiero się rozpoczęła. 

Część 2 tej serii analizuje mechanizmy prawne ustawy CLOUD Act oraz sekcji 702 ustawy FISA, fikcję marketingu spod znaku „suwerennej chmury” oraz wnioski z opinii prawnej niemieckiego rządu na temat ograniczeń rozwiązań technicznych. 

Przypisy 

1. Szlezwik-Holsztyn rozpoczął transformację w kwietniu 2024 r., wdrażając LibreOffice na 30 000 stacji roboczych z docelowym planem usunięcia Microsoft Office w 70% do października 2025 r. oraz pełnej migracji na Open-Xchange w zakresie poczty e-mail. Zobacz: „German State Schleswig-Holstein Ditches Microsoft for Open Source Software in 2025”, Eagle Eye Technology, wrzesień 2025; EuroStack Directory Project, „Schleswig-Holstein's Bold Open Source Leap”, marzec 2025. 

   
   

2. Ministerstwo Cyfryzacji Danii ogłosiło przejście latem 2025 roku, planując migrację połowy pracowników do sierpnia i pełne wdrożenie do jesieni. Cytat duńskiej minister cyfryzacji Caroline Stage Olsen, pierwotnie opublikowany w języku duńskim na jej profilu LinkedIn w czerwcu 2025 roku. Przełożone z języka duńskiego; relacjonowane w wielu mediach, m.in. „A Search for Digital Sovereignty: EU Governments Shift from Microsoft to Linux & LibreOffice”, 2-data.com oraz na blogu The Document Foundation Blog, 8 lipca 2025 r. 

   
   

3. privatim, „Resolution zur Auslagerung von Datenbearbeitungen in die Cloud”, przyjęta 18 listopada 2025 r., opublikowana 24 listopada 2025 r. Privatim to konferencja wszystkich szwajcarskich kantonalnych komisarzy ds. ochrony danych. Pełny tekst dostępny na stronie privatim.ch. Należy pamiętać, że kanton Glarus nie podpisał tej uchwały. 

   
   

4. Szczegóły projektu Swiss Government Cloud (SGC), Federalny Urząd ds. Informatyki i Telekomunikacji (FOITT). Całkowity koszt 319,4 mln CHF, realizacja w latach 2025–2032. Zob. bit.admin.ch/en/sgc-en. 

   
   

5. Francuska ustawa SREN (loi visant à sécuriser et réguler l'espace numérique) oraz jej wymagania certyfikacyjne SecNumCloud. Analiza w: „European Digital Sovereignty at Risk: Microsoft's Senate Testimony”, Windows Forum, lipiec 2025 r. Międzyresortowe seminarium z 8 kwietnia 2026 r.: Moritz Förster, „Frankreichs Plan: Weg von Windows, hin zu Linux”, heise online, 10 kwietnia 2026 r. Źródło pierwotne: Direction interministérielle du numérique (DINUM), numerique.gouv.fr. 

   
   

6. „Operation Souveränität: Bundestag plant Befreiungsschlag von Microsoft & Co.”, heise online / Table.Media, 2 lutego 2026 r. Cytowany tam fragment wypowiedzi Anny Lührmann (Zieloni). 

   
   

7. Kwestia tego, czy Microsoft zablokował dostęp Khana pod wpływem sankcji USA, czy też MTK zapobiegawczo wyłączył konto, aby chronić Microsoft przed odpowiedzialnością z tytułu sankcji, pozostaje sporna. Firma Microsoft zaprzeczyła, jakoby zawiesiła usługi, a później zwróciła się do Parlamentu Wielkiej Brytanii o sprostowanie zeznań w tej sprawie jako zawierających nieścisłości. The Register, 18 lutego 2026 r.: https://www.theregister.com/2026/02/18/microsoft_asks_uk_parliament_to_correct_record 

   
   

8. Zobacz: „US Sanctions Turn ICC Judge's Daily Life into a Nightmare”, Euronews, 18 lutego 2026 r.; wywiad Nicolasa Guillou dla „Le Monde”, relacjonowany przez Nordic Times, grudzień 2025 r.; Verfassungsblog, „The Sanctioning of Law”, grudzień 2025 r. Prezydent Macron oficjalnie poprosił Trumpa o zniesienie sankcji w liście, o którym donosiły Anadolu Agency, Politico oraz La Tribune Dimanche, luty 2026 r. 

   
   

9. „International Criminal Court Drops Microsoft 365 for European Open-Source Suite Amid Geopolitical Fears”, WinBuzzer, 6 listopada 2025 r. 

   
   

10. Opinia prawna przygotowana przez Uniwersytet w Kolonii na zlecenie niemieckiego Federalnego Ministerstwa Spraw Wewnętrznych (Bundesinnenministerium), opublikowana na wniosek o dostęp do informacji publicznej, grudzień 2025 r. Opisana w: „Gutachten: US-Behörden können auf europäische Cloud-Daten zugreifen”, w wielu mediach, w tym heise online i Tagesspiegel Background, 10–11 grudnia 2025 r. 

    
    

11. Benjamin Stiebel, „BMI passt wegen Cloud-Gutachten Geheimschutzregeln an”, Tagesspiegel Background, 11 grudnia 2025 r. https://background.tagesspiegel.de/it-und-cybersicherheit/briefing/bmi-passt-wegen-cloud-gutachten-geheimschutzregeln-an 

    
    

12. Zeznania Antona Carniaux, dyrektora ds. publicznych i prawnych Microsoft France, przed komisją śledczą francuskiego Senatu ds. zamówień publicznych i suwerenności cyfrowej, 10 czerwca 2025 r. Transkrypcja dostępna na stronie senat.fr. Opisane w: „Not Sovereign: Microsoft Cannot Guarantee the Security of EU Data”, heise online, lipiec 2025 r.; „Microsoft Admits It Cannot Guarantee EU Cloud Data Sovereignty from US Government”, WinBuzzer, 25 lipca 2025 r. 

    
    

13. Depesza Departamentu Stanu z 18 lutego 2026 roku podpisana przez sekretarza stanu Marco Rubio, o której poinformowała agencja Reuters: „Exclusive: US Orders Diplomats to Fight Data Sovereignty Initiatives”, 25 lutego 2026 r. Tego samego dnia temat opisały również TechCrunch i Japan Times.