Hosting e GDPR in Italia: DPA art. 28 e clausole contrattuali standard per server in Germania e Romania

Guida pratica per aziende italiane che scelgono dove ospitare un sito, un gestionale o un'applicazione con dati personali. Situazione al 30.09.2026. Non è consulenza legale.

Risposta breve

1Se un provider di hosting conserva dati personali per suo conto, la sua azienda è titolare del trattamento e il provider è responsabile del trattamento: serve un contratto scritto che rispetti l'art. 28 del GDPR (Regolamento (UE) 2016/679), di norma chiamato DPA.
2Il GDPR si applica allo stesso modo in tutta l'Unione: un server in Germania o in Romania non richiede, di per sé, un trasferimento extra-UE e quindi non richiede clausole contrattuali standard per i trasferimenti verso paesi terzi (Decisione (UE) 2021/914).
3Le clausole tipo della Decisione (UE) 2021/915 sono invece lo schema predisposto dalla Commissione per il contratto tra titolare e responsabile ai sensi dell'art. 28, par. 7: sono un modo per redigere il DPA, non un obbligo.
4La responsabilità di rispettare il GDPR resta del titolare. Il provider fornisce infrastruttura e garanzie contrattuali, ma non certifica né firma al posto suo la conformità legale.

Titolare e responsabile: chi fa cosa

Il titolare decide finalità e mezzi del trattamento: per esempio un negozio online che raccoglie ordini, o uno studio professionale che gestisce i dati dei clienti. Il responsabile tratta i dati per conto del titolare, seguendo le sue istruzioni documentate. Un provider di hosting che ospita il sito o il database del cliente rientra normalmente in questo secondo ruolo.

Il rapporto va regolato con un contratto o un altro atto giuridico vincolante. L'art. 28 GDPR elenca i contenuti minimi: trattamento solo su istruzioni documentate, obbligo di riservatezza, misure di sicurezza adeguate, regole sul ricorso ad altri responsabili (sub-responsabili), assistenza al titolare per i diritti degli interessati, cancellazione o restituzione dei dati a fine servizio e messa a disposizione delle informazioni necessarie per dimostrare il rispetto degli obblighi, comprese le verifiche.

Clausole tipo: due decisioni diverse, due scopi diversi

La Commissione europea ha adottato il 4 giugno 2021 due decisioni di esecuzione che si confondono spesso. La Decisione (UE) 2021/914 contiene le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi. La Decisione (UE) 2021/915 contiene le clausole tipo tra titolari e responsabili, ai sensi dell'art. 28, par. 7.

Per un hosting con server in Germania e Romania la domanda corretta è quindi: il mio DPA copre i punti dell'art. 28? Le clausole del 2021/914 diventano rilevanti solo se dati personali vengono trasferiti fuori dallo Spazio economico europeo, per esempio verso un sub-responsabile in un paese terzo (artt. 44-46 GDPR).

Normativa italiana e Garante

In Italia il GDPR si affianca al Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196), modificato dal D.Lgs. 10 agosto 2018, n. 101 per adeguarlo al regolamento. L'autorità di controllo è il Garante per la protezione dei dati personali, che pubblica provvedimenti e FAQ sul proprio sito. Per valutazioni su casi specifici (per esempio dati sanitari o dati di dipendenti) è consigliabile rivolgersi a un consulente legale.

In caso di violazione dei dati, l'art. 33 GDPR prevede che il titolare notifichi all'autorità entro 72 ore da quando ne è venuto a conoscenza, se possibile, e che il responsabile informi il titolare senza ingiustificato ritardo. Per questo il DPA dovrebbe indicare chi contattare e come.

Esempi concreti

Negozio WooCommerce di Bologna con clienti in tutta l'UE

Il negozio conserva nomi, indirizzi e storico ordini su un VPS. Il titolare è il negozio. Prima di migrare chiede il DPA, l'elenco dei sub-responsabili e l'ubicazione dei server. Se tutto resta in UE non serve un trasferimento extra-UE da documentare per l'hosting; restano però da verificare plugin e servizi esterni (spedizioni, e-mail marketing) che possono avere una sede fuori dall'UE.

Studio di commercialisti a Torino con gestionale web

Lo studio usa un gestionale ospitato su un server dedicato. I dati dei clienti sono personali e spesso riservati. Lo studio verifica che il DPA preveda cancellazione o restituzione dei dati a fine contratto, e prepara una procedura interna per la notifica entro 72 ore in caso di incidente.

Startup SaaS di Milano con clienti B2B

La startup è titolare per i dati dei propri utenti e responsabile per i dati dei suoi clienti aziendali. Serve quindi una catena di contratti: DPA con il cliente, DPA con il provider di hosting, e un elenco aggiornato dei sub-responsabili da comunicare ai clienti.

Errori comuni

Pensare che "server in UE" equivalga a "nessun contratto necessario": l'art. 28 richiede il DPA anche per un provider europeo.
Confondere le clausole del 2021/914 (trasferimenti extra-UE) con quelle del 2021/915 (contratto titolare-responsabile).
Non chiedere l'elenco dei sub-responsabili e non prevedere come si viene informati dei cambiamenti.
Dimenticare la cancellazione o la restituzione dei dati alla fine del servizio.
Non avere una procedura interna per gli incidenti: le 72 ore dell'art. 33 partono dalla conoscenza della violazione da parte del titolare.

Come ti aiuta 4hosting

Server in data center nell'Unione europea, a Francoforte: non in Italia. La scelta vale per il trattamento dei dati e non indica per sé una conformità legale.
Contratto di trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR e clausole contrattuali standard per i trasferimenti, quando servono, con allineamento alle pratiche ISO 27001. Non si tratta di una certificazione ISO 27001.
Servizi DevOps e cybersecurity nelle ore del piano: hardening, WAF e DDoS, SIEM e incident response, backup e monitoraggio, utili per preparare una procedura di gestione degli incidenti.
4hosting non certifica la conformità GDPR del cliente e non firma conformità legale al suo posto: la valutazione giuridica resta del titolare e del suo consulente.
Supporto in inglese e in rumeno.

Domande frequenti

Un server in Germania o in Romania richiede le clausole contrattuali standard?

Non per il solo fatto di trovarsi in UE: le clausole della Decisione (UE) 2021/914 riguardano i trasferimenti verso paesi terzi. Serve invece un DPA ai sensi dell'art. 28 GDPR.

4hosting ha server in Italia?

No. Il data center è nell'Unione europea, a Francoforte.

4hosting certifica che il mio sito è conforme al GDPR?

No. 4hosting fornisce infrastruttura, un DPA e servizi tecnici. La conformità resta responsabilità del titolare del trattamento.