Questa guida spiega in modo generale come la sede del datacenter si collega al GDPR e alla scelta dell'hosting. Non è una consulenza legale: per il tuo caso concreto, soprattutto se tratti dati sensibili o lavori con la pubblica amministrazione, rivolgiti a un consulente privacy o a un avvocato.
Cosa dice il GDPR sulla sede dei dati
Il Regolamento generale sulla protezione dei dati (GDPR) si applica in tutta l'Unione europea e tratta l'area UE e SEE come un unico spazio. Non chiede che i dati di clienti italiani restino in Italia: un server a Milano, a Francoforte o a Parigi, dal punto di vista della sede, è nella stessa situazione. Quello che il regolamento disciplina con attenzione è il trasferimento dei dati personali verso paesi terzi, cioè fuori dallo Spazio economico europeo.
La sede del datacenter, poi, è solo un pezzo della conformità. Contano anche il contratto con il provider, che di norma agisce come responsabile del trattamento, le misure di sicurezza, i backup, chi può accedere ai dati e dove si trovano eventuali sub-fornitori, per esempio per email, CDN o backup esterni.
Dati in UE e fuori UE: cosa cambia
Se i dati restano nell'UE, il quadro è più semplice: non c'è un trasferimento internazionale da giustificare. Se invece i dati finiscono su server fuori dallo Spazio economico europeo, il trasferimento è possibile, ma deve poggiare su una base prevista dal GDPR. Le più comuni sono:
- Decisioni di adeguatezza della Commissione europea, che riconoscono a un paese un livello di protezione adeguato. Per gli Stati Uniti, ad esempio, dal 2023 esiste l'EU-US Data Privacy Framework, che vale per le aziende americane aderenti.
- Clausole contrattuali standard approvate dalla Commissione, inserite nel contratto con il fornitore, spesso accompagnate da una valutazione del rischio del trasferimento.
Le regole e le decisioni in questo campo possono cambiare nel tempo. Se il tuo hosting, il CDN o un servizio collegato tratta dati fuori dall'UE, verifica con un esperto quale base usa il fornitore e se è adatta alla tua attività.
Dove stanno i datacenter dei provider
Ecco cosa dichiarano i provider del confronto sulle loro pagine. "Non indicato" vuol dire che il dato non compare nelle pagine lette, non che manchi.
| Provider | Datacenter in Italia | Altre sedi dichiarate |
|---|---|---|
| Aruba | Sì, di proprietà: Arezzo, area Milano/Bergamo, Roma | Repubblica Ceca |
| Keliweb | Sì, datacenter di proprietà DC2 (città non indicata) | - |
| Netsons | Sì, "datacenter italiano" (città e operatore non indicati) | - |
| Serverplan | Sì, "datacenter italiano" (città non indicata) | - |
| OVHcloud | Region Milano nel Public Cloud; per l'hosting web non indicato | Francia, Germania, Polonia, Regno Unito, Nord America, Asia, Australia |
| Register.it | Non indicato | Non indicate |
| SiteGround | Non indicato | 11 datacenter Google Cloud in Nord America, Europa, Asia e Australia; sede scelta in fase d'ordine |
| Hostinger | No | Francia, Germania, Lituania, Paesi Bassi, Regno Unito, USA, Asia, Brasile |
| IONOS | No | VPS: Germania, Spagna, Gran Bretagna, USA |
| Hetzner | No | Web hosting solo a Norimberga; cloud anche Falkenstein, Helsinki, USA, Singapore |
| Contabo | No | Germania, Regno Unito, USA, Asia, Australia |
Alcune note utili. Aruba dichiara datacenter di proprietà sul territorio nazionale per l'hosting e parla di "Cloud VPS in Italia" senza indicare il singolo sito. OVHcloud elenca Milano tra le sue Region, ma non indica quali prodotti siano disponibili lì: se ti serve l'Italia per un hosting web, chiedilo prima. Hetzner dichiara che il suo web hosting gira solo su server propri a Norimberga ed è conforme al GDPR. SiteGround permette di scegliere il datacenter e indica opzioni con sede UE. Nota anche che il Regno Unito, presente tra le sedi di diversi provider, non fa parte dell'Unione europea.
Il vero vantaggio di un server in Italia: la latenza
Se il tuo pubblico è in Italia, un server vicino riduce il tempo che i dati impiegano ad andare e tornare, la cosiddetta latenza. La differenza tra un datacenter italiano e uno in Germania o in Francia di solito è contenuta, ma si somma a ogni richiesta che il browser fa per caricare la pagina. Pesa di più su siti con molte richieste non in cache, come negozi online e aree riservate; pesa poco su un blog ben configurato con cache e CDN, che serve le risorse statiche da nodi vicini al visitatore.
La sede, comunque, è solo una parte della velocità: contano anche server, cache, PHP e ottimizzazione del sito. Se il tuo obiettivo è un sito veloce, parti dalla guida sulla velocità dell'hosting. Se il pubblico è internazionale, un datacenter centrale in Europa più un CDN può servire meglio di un singolo server in Italia.
Quando ha senso scegliere un datacenter italiano
- Pubblico quasi solo italiano, specie per e-commerce e gestionali: latenza più bassa e un fornitore con supporto in italiano. Vedi le offerte per l'hosting e-commerce.
- Requisiti contrattuali o di settore che chiedono espressamente server in Italia, come alcuni bandi o capitolati: in quel caso il requisito viene dal contratto, non dal GDPR in sé. Serverplan, per esempio, dichiara una certificazione ACN per servizi IaaS alla pubblica amministrazione.
- Preferenza per un fornitore italiano, con contratto e fatturazione italiani e assistenza nella tua lingua.
Se nessuno di questi punti ti riguarda, un datacenter in un altro paese UE è una scelta altrettanto valida per il GDPR, e allarga la scelta a provider con prezzi o funzioni migliori per te.
Checklist sulla sede dei dati
- Chiedi dove si trova il datacenter del prodotto che compri, non dell'azienda in generale.
- Verifica se puoi scegliere la sede in fase d'ordine e se resta fissa.
- Controlla dove finiscono backup, email e CDN: possono stare altrove rispetto al sito.
- Leggi l'accordo sul trattamento dei dati del provider (spesso chiamato DPA).
- Se i dati escono dall'UE, chiedi quale base giuridica usa il fornitore e fatti consigliare da un esperto.
Nelle classifiche del sito il datacenter è uno dei criteri: un datacenter in Italia vale di più, uno in UE poco meno. Il metodo completo è nella pagina sulla metodologia, e il confronto di tutti i criteri in quella sul miglior hosting.