Dove risiede un sito: posizione del server, il GDPR e i limiti dell'argomento UE

«I nostri dati stanno a Francoforte» — frasi come questa compaiono sempre più spesso nelle offerte dei fornitori di servizi web. Ma che cosa significa davvero la posizione di un centro dati: per la velocità di un sito, per la protezione dei dati, per la certezza giuridica? E dove finisce l'effetto rassicurante della parola «server UE»? Un inquadramento per le aziende che vogliono capire che cosa stiano in realtà comprando.

Trasparenza: questo contributo esce come contenuto pubblicitario e proviene dall'ambito di BitBau di Osnabrück (in tedesco), un'agenzia web che gestisce i progetti dei clienti su infrastruttura con sede a Francoforte. Il testo non è consulenza legale — vuole spiegare i nessi tecnici e giuridici in modo che si possano porre al proprio fornitore le domande giuste.

Prima la tecnica. Hosting significa: da qualche parte c'è un computer che consegna il sito non appena qualcuno lo richiama. Tra questo computer e il visitatore stanno fibra ottica, nodi di commutazione — e la fisica. I dati viaggiano velocemente, ma non infinitamente velocemente, e ogni richiesta fa la spola più volte tra browser e server. Quanto più lontano è il server, tanto più percettibilmente questi percorsi si sommano.

Per un pubblico in Germania, Austria e Svizzera Francoforte non è perciò una scelta casuale: la città ospita uno dei più importanti nodi internet d'Europa, qui le linee convergono. Un sito ospitato a Francoforte risponde ai visitatori dell'area di lingua tedesca semplicemente più in fretta dello stesso sito servito dalla costa orientale americana. La differenza sta nell'ordine dei decimi di secondo — cosa che suona innocua, ma concorre a decidere di lentezza percepita, frequenze di rimbalzo e valutazione dei motori di ricerca.

Le piattaforme di hosting moderne relativizzano in parte la distanza distribuendo copie del sito su server in tutto il mondo. Per la pura consegna delle pagine questo funziona bene. Ma non appena vengono elaborate richieste individuali — un modulo, un accesso, una prenotazione — la richiesta deve andare là dove avviene l'elaborazione vera e propria. E con questo siamo al secondo tema, più pesante: dove vengono trattati i dati, e secondo quale diritto?

Prima che questa domanda si lasci rispondere, vale la pena guardare a che cosa comprenda «il sito» in senso tecnico. Perché della presenza online fa parte più del solo server web: una banca dati in cui stanno contenuti e compilazioni dei moduli; copie di sicurezza che possono essere conservate in un luogo diverso dall'originale; file di protocollo che registrano chi ha richiamato che cosa e quando; il servizio che recapita le compilazioni dei moduli come e-mail; forse uno strumento per il monitoraggio degli errori. Ognuna di queste componenti può girare presso un altro fornitore in un'altra regione del mondo — e su ognuna la questione della posizione si lascia porre separatamente. Non è dunque una singola domanda, bensì un piccolo inventario della propria presenza online.

Perché un sito senza dati personali praticamente non esiste. Già il semplice richiamo di una pagina trasmette l'indirizzo IP del visitatore, che secondo la concezione europea vale come dato personale; a ciò si aggiungono i protocolli del server, le compilazioni dei moduli, i cookie, i servizi incorporati. Il Regolamento generale sulla protezione dei dati, il GDPR, chiama a risponderne il gestore del sito — non l'hoster. Il fornitore tratta i dati giuridicamente per suo conto, come fissato in un contratto di responsabile del trattamento.

Questo contratto non è una formalità, ma il documento centrale del rapporto tra gestore e fornitore. Di solito disciplina quali dati vengano trattati per quale scopo, che il fornitore agisca soltanto su istruzione, quali subincaricati possa impiegare, come i dati vengano cancellati dopo la fine del contratto e come egli supporti il gestore quando gli interessati chiedono accesso o cancellazione. Le grandi piattaforme mettono a disposizione contratti del genere in forma standardizzata — con il clic, però, non è finita: il gestore dovrebbe effettivamente scaricare il documento, archiviarlo e sapere che cosa vi sia scritto. Perché nel dubbio deve poter dimostrare lui stesso che il trattamento è stato concordato in modo ordinato.

Si complica non appena i dati lasciano l'UE. Il GDPR consente i trasferimenti verso paesi terzi solo a condizioni particolari, e su nessun paese terzo si combatte con altrettanta intensità che sugli Stati Uniti. Per due volte la Corte di giustizia dell'Unione europea ha già fatto cadere accordi che dovevano mettere in sicurezza il traffico di dati attraverso l'Atlantico — da ultimo nel 2020, con la decisione divenuta nota come «Schrems II». Dal 2023 vige, con l'EU-US Data Privacy Framework, il terzo tentativo: le imprese statunitensi che vi si certificano valgono come destinatari ammissibili.

A voler essere onesti va aggiunto: anche questo terzo tentativo viene attaccato in sede giudiziaria, e nessuno può garantire che regga a lungo. Per le aziende ciò non significa panico, ma prevenzione. I contratti con i fornitori dovrebbero prevedere, accanto al Framework, anche le classiche clausole contrattuali tipo, perché in caso di una nuova caducazione non manchi da un giorno all'altro la base giuridica. Chi oggi acquista infrastruttura acquista insieme a essa la domanda su quanto sia a prova di crisi il suo fondamento giuridico.

A questo punto per molte aziende si pone la domanda di fondo: fornitore europeo o piattaforma americana con sede europea? Entrambe le cose sono sostenibili, ed entrambe hanno il loro prezzo. Un hoster con sede in Germania o nell'UE semplifica sensibilmente la situazione giuridica — in compenso resta più lavoro di gestione corrente presso il fornitore o presso l'azienda stessa: aggiornamenti, scalabilità e processi di pubblicazione vogliono essere organizzati, e l'integrazione tecnica dei framework moderni non è sempre così stretta come presso le piattaforme specializzate. I grandi fornitori statunitensi tolgono esattamente questo lavoro, ma portano con sé le questioni di trasferimento descritte. Importante è meno quale risposta un'azienda scelga, quanto che compia la scelta consapevolmente, metta per iscritto la ponderazione — e sappia motivarla se richiesto.

Su questo sfondo diventa chiaro che cosa faccia una posizione del server nell'UE — e che cosa no. Fa sì che il trattamento corrente avvenga fisicamente in Europa, accorcia i percorsi e semplifica notevolmente l'argomentazione in materia di protezione dei dati. Ma non trasforma un fornitore statunitense in un'impresa europea: se una casa madre americana gestisce la piattaforma, restano domande — per esempio quella molto discussa se le autorità statunitensi possano, in determinate circostanze, pretendere la consegna di dati che si trovano fisicamente in Europa. Questo dibattito giuridico non è concluso. È serio nominarlo, invece di liquidarlo con un sorriso.

Come ci si comporta in pratica? Lo si può mostrare con l'esempio dell'agenzia dietro questo contributo. BitBau gestisce i progetti dei clienti su infrastruttura Vercel con sede a Francoforte. La ponderazione che vi sta dietro è tipica di molti progetti digitali: la piattaforma è tecnicamente ritagliata sul framework impiegato e toglie al gestore molto lavoro di esercizio; la sede di Francoforte mantiene latenza e trattamento corrente dei dati nello spazio europeo. Al tempo stesso Vercel è un'impresa statunitense — ragione per cui contratto di responsabile del trattamento, certificazione sotto il Data Privacy Framework e clausole contrattuali tipo appartengono al programma obbligatorio, non a quello facoltativo. Una sede UE non sostituisce questi compiti a casa; li integra.

Questa onestà distingue la consulenza solida dalla frode sull'etichetta. «Server in Germania» è un argomento, non un salvacondotto: un sito può essere ospitato a Francoforte e avere comunque problemi di protezione dei dati — per esempio se carica caratteri tipografici, video o strumenti di analisi da server di terzi che trasferiscono dati dei visitatori in tutto il mondo. I tribunali tedeschi hanno già censurato il fatto che il solo incorporare caratteri caricati da server statunitensi trasmetta senza consenso l'indirizzo IP dei visitatori. La catena è forte quanto il suo anello più debole.

Perciò vale la pena guardare all'intero sito, non solo all'hoster. Quali servizi di terzi sono incorporati — servizi cartografici, caratteri, video, statistiche? I caratteri si lasciano servire localmente dal proprio server invece che da server altrui? Serve davvero lo strumento di analisi esterno, o basta un'alternativa parsimoniosa nei dati? Nella pratica domande del genere decidono più spesso della qualità di un sito in materia di protezione dei dati che non la scelta del centro dati.

Alla diligenza appartiene infine che la situazione sulla carta tenga il passo con la realtà. Se cambia l'hoster, se si aggiunge uno strumento di analisi o se un servizio viene meno, l'informativa sulla privacy deve rispecchiarlo — un'informativa che elenchi servizi da tempo spenti, o che taccia quelli nuovi, è più di un difetto estetico. Lo stesso vale per la documentazione interna dei trattamenti, che dovrebbe essere allo stesso livello di aggiornamento del sito stesso. Non è un compito di progetto una tantum per la messa online, ma cura corrente — e al tempo stesso una buona occasione per rimettere in discussione una volta all'anno, in linea di principio, l'inventario dei servizi di terzi: che cosa di tutto ciò serve ancora davvero, e che cosa gira soltanto perché nessuno lo ha mai rimosso?

Per il colloquio con il proprio fornitore basta poi un breve elenco. Esiste un contratto di responsabile del trattamento, e l'azienda lo ha effettivamente in mano? In quale regione vengono trattati sito, banca dati e copie di sicurezza — ed è fissato contrattualmente o è soltanto un'impostazione predefinita? Quali subappaltatori sono coinvolti, e dove hanno sede? Su quale base giuridica si fondano i trasferimenti verso paesi terzi? E infine: chi si fa vivo entro quale termine, se qualcosa va storto?

Chi a queste domande riceve risposte chiare lavora con un fornitore che prende sul serio il proprio mestiere. Le risposte evasive — «di questo si occupa l'hoster», «è tutto certificato» — sono invece un segnale d'allarme, perché responsabile alla fine resta il gestore del sito stesso. La protezione dei dati si lascia delegare come la contabilità: si possono incaricare specialisti, ma la responsabilità non si può cedere.

Questo vale del resto a prescindere dalla dimensione del progetto. Anche chi gestisce il proprio sito con un costruttore online ha un fornitore di hosting — solo che non lo ha scelto consapevolmente, perché è compreso nel pacchetto. Le domande restano le stesse: dove tratta i dati il fornitore, esiste un contratto di responsabile del trattamento, quali subincaricati sono coinvolti? La differenza è soltanto che le risposte stanno nei documenti contrattuali del fornitore del costruttore invece che in un contratto negoziato singolarmente. Leggerle andrebbe fatto in entrambi i casi — la responsabilità del gestore non si restringe con il prezzo mensile.

Resta la domanda di partenza: la posizione conta? Sì — e per giunta tre volte. Tecnicamente, perché vicinanza significa velocità e la velocità decide dell'utilizzo. Giuridicamente, perché il trattamento nello spazio giuridico europeo semplifica l'argomentazione e riduce la dipendenza da fragili accordi transatlantici. E come segnale, perché un fornitore che parla apertamente di sedi, contratti e casi limite presumibilmente lavora in modo pulito anche per il resto. Una cosa sola la posizione non è mai: un sostituto dei propri compiti a casa — uso parsimonioso dei servizi di terzi, contratti puliti e un'informativa sulla privacy che descriva quel che accade davvero.