Hosting in Svizzera e privacy: cosa significano la nLPD e il GDPR per sito, email e backup

Dal 1° settembre 2023 in Svizzera è in vigore la legge federale sulla protezione dei dati riveduta: la nLPD (revDSG o nDSG in tedesco, nFADP o revFADP in inglese). Per una piccola o media impresa torna sempre la stessa domanda pratica: dove possono stare il nostro sito, le nostre caselle email e i nostri backup, e cosa ci serve dal nostro provider di hosting? La risposta breve: il diritto svizzero non impone un data center in Svizzera, ma devi sapere dove si trovano i tuoi dati, chi li tratta per te e come sono protetti, e dichiararlo nella tua informativa sulla privacy. Questa guida spiega le regole che contano per l'hosting, le confronta con il GDPR europeo e si chiude con una checklist da seguire punto per punto.

nLPD, GDPR o entrambi?#

La nLPD si applica alle aziende e ai privati che in Svizzera trattano dati personali, cioè qualsiasi informazione su una persona fisica identificata o identificabile: nomi, indirizzi email, indirizzi IP, storici degli ordini. Con la revisione, i dati delle persone giuridiche non sono più protetti dalla legge. Vale anche per i trattamenti all'estero che hanno effetti in Svizzera.

Anche il GDPR può riguardare un'azienda svizzera senza sede nell'UE: quando offre beni o servizi a persone nell'UE o ne monitora il comportamento, per esempio con strumenti di tracking sul sito. Un negozio online che spedisce in Italia o un hotel che cerca ospiti in Lombardia si trova presto in questa situazione. Allora le due leggi valgono in parallelo, e un'azienda senza sede nell'UE può dover nominare un rappresentante nell'UE.

Il mio sito deve essere ospitato in Svizzera?#

No. Né la nLPD né il GDPR impongono di ospitare un normale sito aziendale in un Paese preciso. La legge regola la comunicazione di dati personali all'estero. Il Consiglio federale tiene un elenco degli Stati con un livello di protezione adeguato, e tutti gli Stati UE e SEE ne fanno parte: l'hosting nell'UE non richiede quindi garanzie aggiuntive per il trasferimento (l'accordo sul trattamento dei dati resta comunque necessario). Verso gli Stati Uniti, dal 15 settembre 2024 i dati possono essere trasmessi alle aziende certificate secondo lo Swiss-US Data Privacy Framework; per gli altri Paesi servono garanzie come le clausole contrattuali standard. Nella direzione opposta, l'UE riconosce la Svizzera come Paese con protezione adeguata, come ha confermato la Commissione europea nel gennaio 2024: i dati dei tuoi clienti nell'UE possono quindi essere ospitati in Svizzera.

Perché allora tante PMI svizzere preferiscono comunque un hosting in Svizzera? Perché semplifica le cose: un solo Paese nell'informativa invece di un elenco, meno meccanismi di trasferimento da verificare, un fornitore soggetto al diritto svizzero che puoi raggiungere nella tua lingua. Alcuni settori vincolati dal segreto professionale, e alcuni contratti con i clienti, fissano inoltre regole più severe su dove possono stare i dati: verifica i tuoi prima di scegliere.

Il tuo provider di hosting è il tuo responsabile del trattamento#

Quando il tuo hoster conserva il sito, i messaggi del modulo di contatto, gli ordini del negozio online e le email, tratta dati personali per conto tuo: dal punto di vista giuridico è un responsabile del trattamento, mentre tu resti il titolare del trattamento, responsabile dei dati. Secondo la nLPD puoi affidare un trattamento a un responsabile per contratto, senza requisiti di forma, se fa solo ciò che potresti fare tu stesso e se ti assicuri che garantisca la sicurezza dei dati; può coinvolgere altri subfornitori solo con la tua autorizzazione preventiva. Secondo il GDPR è obbligatorio un contratto scritto, spesso chiamato accordo sul trattamento dei dati o DPA. Un buon accordo stabilisce:

• oggetto, durata, natura e finalità del trattamento e tipi di dati;
• trattamento solo su tue istruzioni documentate e riservatezza del personale coinvolto;
• le misure di sicurezza tecniche e organizzative;
• i subfornitori, dove si trovano e come vieni informato dei cambiamenti;
• il supporto quando le persone esercitano i loro diritti o in caso di violazione della sicurezza dei dati;
• la cancellazione o la restituzione dei dati alla fine del contratto, e le informazioni con cui puoi verificare tutto questo.

Da ThunderHosting i clienti aziendali che trattano dati personali di terzi tramite i nostri servizi ricevono su richiesta un accordo sul trattamento dei dati, come previsto dalle nostre condizioni generali. La nostra informativa sulla privacy indica dove conserviamo i dati e con quali tipi di fornitori lavoriamo.

Dove si trovano davvero sito, email e backup#

«Ospitato in Svizzera» raramente è un solo luogo. Passa in rassegna ogni copia dei tuoi dati:

• Sito e database. Il server su cui gira il tuo CMS e il database con i moduli ricevuti, gli account dei clienti e gli ordini.
• Email. Le caselle email contengono spesso più dati personali del sito: nomi, indirizzi, contratti, a volte dati salariali o sanitari. Dove sono ospitate le caselle conta quanto dove si trova il sito. Se usi un servizio email separato, è un altro responsabile del trattamento con una sua ubicazione.
• Backup. Un backup è una copia completa dei tuoi dati, spesso conservata in un secondo data center. Chiedi in quale Paese si trova e per quanto tempo viene conservato: i dati che cancelli restano nei backup finché non vengono sovrascritti.
• DNS e CDN. I record DNS vengono serviti per natura da molte località, e una content delivery network copia le tue pagine su server in tutto il mondo. Di solito sono contenuti pubblici, ma mettili comunque in lista.
• Script di terzi. Statistiche, web font, mappe, widget di chat e video incorporati inviano almeno l'indirizzo IP del visitatore al loro fornitore, spesso negli Stati Uniti.

Con l'hosting web di ThunderHosting, il tuo sito, le tue caselle email e i tuoi database girano sulla nostra piattaforma Plesk nel nostro data center di Lugano, in Ticino. I backup giornalieri sono inclusi in ogni piano. Come spiega la nostra informativa sulla privacy, i dati dei clienti sono conservati su server in Svizzera e nell'Unione europea: per ridondanza e backup usiamo anche data center partner in Germania e Finlandia, Paesi a cui la Svizzera riconosce un livello di protezione adeguato.

Cookie e statistiche#

Il diritto svizzero non prevede un obbligo generale di consenso ai cookie. Secondo la legge sulle telecomunicazioni puoi salvare e leggere dati sul dispositivo dei visitatori se li informi e spieghi come rifiutare; la tua informativa deve descrivere cosa raccogli. Per i visitatori nell'UE, il GDPR e le regole europee ePrivacy richiedono un consenso preventivo per i cookie non strettamente necessari, come quelli di statistica e marketing. Se il tuo sito si rivolge a persone nell'UE, un banner che carica questi script solo dopo il consenso è la scelta più sicura.

Ogni strumento in più è un destinatario in più, e spesso una comunicazione all'estero, da indicare nell'informativa. Meno strumenti significano un'informativa più breve e un sito più veloce: ospita i web font sul tuo server invece di caricarli da terzi, e chiediti se consulti davvero le statistiche che raccogli.

Sicurezza dei dati: SSL e le basi#

Entrambe le leggi richiedono misure tecniche e organizzative adeguate al rischio. Per un tipico sito di una PMI significa:

• HTTPS ovunque. Ogni modulo, login e pagina del negozio deve essere cifrato. Tutti i nostri piani di hosting web includono certificati Let's Encrypt gratuiti (certificati SSL).
• Aggiornamenti. La maggior parte degli attacchi ai siti sfrutta versioni di CMS e plugin non aggiornate. Il WordPress Toolkit nel pannello di controllo tiene aggiornato WordPress.
• Account separati. Dai a ogni persona il suo account FTP o email con una password robusta, invece di condividere un unico accesso.
• Backup e ripristino. Verifica ogni quanto vengono fatti i backup, per quanto tempo vengono conservati e come si ripristinano.
• Minimizzazione dei dati. Cancella i vecchi moduli ricevuti, le caselle inutilizzate e le copie di prova del sito che non ti servono più.

Anche gli attacchi alla disponibilità sono un tema di sicurezza: leggi il nostro articolo sulla protezione DDoS (in inglese).

Checklist per le PMI svizzere#

1. Elenca i dati personali trattati dal tuo sito e dalla tua email: moduli, negozio online, newsletter, caselle, log del server.
2. Chiedi al tuo hoster in quale Paese si trovano sito, database, caselle email e backup.
3. Stipula un accordo sul trattamento dei dati con il tuo hoster e con ogni altro servizio che tratta dati personali per te.
4. Verifica ogni comunicazione all'estero: uno Stato nell'elenco del Consiglio federale, oppure garanzie come le clausole contrattuali standard o il Data Privacy Framework.
5. Usa HTTPS su ogni dominio e sottodominio, webmail compresa.
6. Controlla cookie e script di terzi, e usa un banner di consenso se ti rivolgi a visitatori nell'UE.
7. Aggiorna l'informativa sulla privacy: chi sei, cosa raccogli e perché, i destinatari e i Paesi in cui finiscono i dati.
8. Definisci i backup: frequenza, ubicazione, durata di conservazione e una prova di ripristino.
9. Preparati a una violazione della sicurezza dei dati: chi decide e chi la notifica entro i termini all'IFPDT (e, se si applica il GDPR, a un'autorità europea).
10. Cancella regolarmente i dati che non ti servono più.

Questo articolo è un'informazione generale e non una consulenza legale. Le regole che valgono per la tua azienda dipendono dall'attività, dai clienti e dai contratti; per l'informativa sulla privacy e i contratti rivolgiti a uno specialista. L'IFPDT pubblica sul suo sito guide per le aziende.

Hosting a Lugano con ThunderHosting#

Il nostro hosting web parte da CHF 5 al mese con Solo Spark; Smart Space costa CHF 9 e Business Pack CHF 20 al mese. Ogni piano include caselle email sul tuo dominio (account email e webmail), SSL gratuito, backup giornalieri e il pannello di controllo Plesk, e ThunderHosting GmbH è un'azienda svizzera che risponde in italiano, tedesco, francese e inglese. Se ti servono un sistema operativo tuo e l'accesso root, un VPS a Lugano ti dà il pieno controllo, e con esso la piena responsabilità della sicurezza del server. Arrivi da un altro provider? Migriamo il tuo sito gratuitamente. Per confrontare i provider non solo sulla protezione dei dati, usa la nostra checklist per scegliere un hosting web in Svizzera.

Domande frequenti#

L'hosting nell'UE è ammesso dalla nLPD?#

Sì. Tutti gli Stati UE e SEE sono nell'elenco del Consiglio federale degli Stati con un livello di protezione dei dati adeguato. Indica questi Paesi nella tua informativa sulla privacy.

Mi serve un accordo sul trattamento dei dati con il mio provider di hosting?#

Dove si applica il GDPR, sì: è obbligatorio. Anche secondo la nLPD il trattamento va affidato per contratto, senza requisiti di forma; devi assicurarti che il provider tratti i dati solo come faresti tu e li protegga; un accordo scritto è il modo più semplice per dimostrarlo. ThunderHosting ne mette uno a disposizione dei clienti aziendali su richiesta.

Il GDPR si applica al mio sito svizzero?#

Può applicarsi: se offri beni o servizi a persone nell'UE o ne monitori il comportamento, per esempio con il tracking. Un sito per clienti locali in Svizzera rientra di solito solo nella nLPD.

In Svizzera mi serve un banner per i cookie?#

Per i visitatori in Svizzera basta informarli e spiegare come rifiutare i cookie. Per i visitatori nell'UE, i cookie non strettamente necessari richiedono un consenso preventivo.

Dove sono ospitate le mie email con ThunderHosting?#

Le caselle email dei nostri piani di hosting web girano sulla nostra piattaforma Plesk a Lugano, insieme al tuo sito e ai tuoi database. I backup sono conservati come descritto nella nostra informativa sulla privacy, anche in data center partner in Germania e Finlandia.