Hosting e GDPR: dove sono i dati e serve un data center in Italia

Il GDPR non obbliga a tenere i dati in un data center in Italia, ma obbliga a sapere dove sono, chi li tratta per tuo conto e a quali condizioni. Se il tuo sito raccoglie dati personali (moduli di contatto, iscrizioni, ordini, area clienti), il fornitore di hosting è, di regola, un responsabile del trattamento: devi avere con lui un contratto che rispetti l'articolo 28 del regolamento, e se i dati escono dallo Spazio economico europeo devi poter dimostrare le garanzie previste dal capo V. Un server in Italia semplifica la valutazione, ma non sostituisce questi adempimenti.

Questa è una guida generale. Per il tuo caso rivolgiti a un consulente privacy o al responsabile della protezione dei dati, se nominato.

I ruoli: titolare, responsabile, sub-responsabile

• Titolare del trattamento: sei tu, o la tua organizzazione, che decide perché e come si trattano i dati dei visitatori e dei clienti.
• Responsabile del trattamento: il fornitore di hosting, che conserva ed elabora i dati per tuo conto, secondo le tue istruzioni.
• Sub-responsabile: un altro fornitore di cui si avvale il tuo fornitore, per esempio un servizio di backup, di posta o un data center di terzi.

Il titolare risponde della scelta di fornitori che offrano garanzie sufficienti. Per questo è importante sapere a chi si affida il fornitore.

Che cosa deve contenere il contratto

L'articolo 28 richiede un contratto o altro atto giuridico che vincoli il responsabile. In pratica deve regolare oggetto e durata, tipo di dati, finalità, obblighi di riservatezza, misure di sicurezza, uso di sub-responsabili con autorizzazione, assistenza al titolare per le richieste degli interessati, notifica delle violazioni, restituzione o cancellazione dei dati alla fine del servizio, e messa a disposizione delle informazioni per dimostrare la conformità, comprese verifiche. Molti fornitori mettono a disposizione un modello di accordo da accettare dal pannello: leggilo, non limitarti a spuntare la casella.

Dove sono i dati: la domanda giusta

Quattro domande concrete da porre al fornitore.

1. In quale Paese si trovano i server di produzione?
2. Dove sono archiviati i backup e i dati di log?
3. Chi sono i sub-responsabili e dove operano?
4. Il personale che fornisce assistenza può accedere ai dati da Paesi fuori dallo Spazio economico europeo?

L'ultima è spesso trascurata: anche se i server sono in Italia, un accesso da remoto da un Paese terzo può configurare un trasferimento di dati. Se il fornitore ha sede in un Paese extra SEE o fa parte di un gruppo con casa madre fuori dall'Europa, valuta con attenzione le garanzie.

Trasferimenti fuori dallo Spazio economico europeo

Il regolamento consente il trasferimento di dati personali verso Paesi terzi in presenza di una decisione di adeguatezza della Commissione europea, oppure di garanzie adeguate, come le clausole contrattuali standard, accompagnate, quando necessario, da misure supplementari, o in casi eccezionali di deroghe. Per i trasferimenti verso gli Stati Uniti esiste una decisione di adeguatezza del 2023 relativa al quadro per la protezione dei dati tra UE e Stati Uniti, applicabile alle organizzazioni aderenti. Poiché la validità e l'ambito delle decisioni possono essere oggetto di verifiche e contenziosi, controlla sul sito della Commissione europea e del Comitato europeo per la protezione dei dati la situazione aggiornata e chiedi al fornitore su quale base giuridica si fonda il trasferimento.

Se il fornitore dichiara che i dati restano nello Spazio economico europeo e che non esistono accessi da Paesi terzi, la valutazione si semplifica.

Serve un data center in Italia?

La normativa generale non lo impone. Ci sono però situazioni in cui la localizzazione conta.

• Pubblica amministrazione e suoi fornitori: i servizi cloud per le amministrazioni sono soggetti a requisiti di qualificazione e, per certe categorie di dati, a indicazioni di localizzazione definite a livello nazionale. Verifica con i riferimenti dell'ACN e dell'AgID.
• Settori regolati: finanza, sanità e infrastrutture critiche possono avere regole specifiche di conservazione o di controllo.
• Clausole contrattuali dei clienti: alcune aziende richiedono ai fornitori dati in Italia o in UE.
• Latenza: per utenti italiani, un server vicino riduce i tempi di risposta. È un aspetto prestazionale, non giuridico.

Per un sito aziendale che tratta pochi dati personali, la scelta di un fornitore in UE con contratto corretto è, di norma, sufficiente dal punto di vista del GDPR.

Esempio: sito con modulo di contatto e newsletter

Uno studio ha un sito WordPress con modulo di contatto e iscrizione alla newsletter, ospitato presso un fornitore con server in un Paese dell'Unione. Il flusso dei dati: il visitatore compila il modulo, il sito li salva nel database del fornitore e li invia a un servizio di newsletter che ha sede fuori dall'UE. Adempimenti essenziali: informativa chiara che indichi i destinatari dei dati, contratto di nomina con il fornitore di hosting, verifica della base giuridica per il trasferimento verso il servizio di newsletter, registro dei trattamenti aggiornato, e misure di sicurezza adeguate. L'hosting in sé non è il solo punto critico: spesso lo sono i servizi esterni collegati al sito.

Sicurezza e violazioni

L'articolo 32 chiede misure tecniche e organizzative adeguate. In caso di violazione di dati personali, il titolare deve valutare la notifica al Garante entro 72 ore dalla scoperta, salvo che sia improbabile un rischio per i diritti delle persone; il responsabile deve informare il titolare senza ritardo. Il tuo fornitore deve avere procedure per avvisarti: chiedi come e in quanto tempo. Per le misure pratiche vedi la guida sulla sicurezza dell'hosting.

Cosa fare al momento della scelta e del cambio

1. Chiedi il modello di accordo di trattamento dei dati e l'elenco dei sub-responsabili.
2. Annota nel registro dei trattamenti il nuovo fornitore e la localizzazione.
3. Aggiorna l'informativa privacy se cambiano destinatari o trasferimenti.
4. In caso di cambio, richiedi la cancellazione documentata dei dati sul vecchio fornitore dopo la migrazione. Vedi anche la guida alla migrazione.

Errori da evitare

• Pensare che «server in Italia» equivalga a «conforme».
• Non avere nessun contratto di nomina con il fornitore.
• Ignorare i servizi esterni collegati al sito.
• Non aggiornare informativa e registro dopo un cambio di fornitore.

Quando consultare un professionista

Se tratti dati sensibili, dati di minori o dati su larga scala, o se devi decidere sui trasferimenti extra SEE, consulta un consulente privacy o un legale specializzato.

Domande frequenti

Il fornitore di hosting è sempre responsabile del trattamento?

Di regola sì, per i dati dei tuoi utenti che conserva per tuo conto. In alcuni casi tratta dati propri, come quelli di fatturazione, come titolare autonomo.

Un server in Germania o in Irlanda va bene come uno in Italia?

Per il GDPR i Paesi dello Spazio economico europeo sono equiparati. La scelta può dipendere da altri fattori, come clienti pubblici o latenza.

I log del server sono dati personali?

Possono esserlo, perché contengono indirizzi IP. Verifica per quanto tempo sono conservati.

Serve il consenso dei visitatori per usare un hosting?

No, per ospitare il sito non serve il consenso: serve una base giuridica per i trattamenti e un'informativa. Il consenso riguarda per esempio i cookie non tecnici.

Fonti e approfondimenti

• Garante per la protezione dei dati personali — provvedimenti, guide e modelli.
• Comitato europeo per la protezione dei dati — linee guida sui trasferimenti e sui ruoli.
• EUR-Lex — testo del regolamento (UE) 2016/679.
• Agenzia per la Cybersicurezza Nazionale — qualificazione dei servizi cloud.