Ospitare i dati fuori dall’UE è un rischio GDPR? Cosa significa davvero e come limitarlo

Se la tua attività tiene nel cloud file dei clienti, cartelle di progetto o note di team, c’è una buona probabilità che una parte di quei dati viva già fuori dall’Unione europea, spesso senza che nessuno l’abbia deciso di proposito. Una regione di server predefinita, un fornitore di proprietà statunitense, un bucket di backup in un altro paese: i dati attraversano un confine in silenzio, e la responsabilità resta tua. Per un freelance, un piccolo studio o un’azienda senza un ufficio legale dedicato, la domanda onesta non è «è vietato?» ma «quanto rischio mi sto prendendo, e cosa posso fare davvero?».

Questo articolo risponde a questa domanda. Non è una consulenza legale, e nessuno strumento da solo ti rende conforme al GDPR. Ma puoi capire le regole abbastanza bene da prendere decisioni sensate, e puoi mettere in atto controlli concreti già oggi.

Risposta rapida

Ospitare dati personali fuori dall’UE non è automaticamente illegale ai sensi del GDPR, ma è un «trasferimento» regolato che devi essere in grado di giustificare. Il trasferimento ha bisogno di una base giuridica prevista dal capo V del GDPR: una decisione di adeguatezza per il paese di destinazione, oppure garanzie adeguate come le clausole contrattuali tipo, di solito accompagnate da una valutazione d’impatto del trasferimento. Il rischio pratico più acuto è l’accesso da parte di governi stranieri, per esempio in base al CLOUD Act statunitense, che può raggiungere i dati detenuti da fornitori controllati da società statunitensi anche quando i server si trovano in Europa. Il modo più efficace per limitare questo rischio è ridurre ciò che un fornitore può davvero leggere: una crittografia lato client robusta in cui le chiavi le hai solo tu, più la scelta di un hosting con sede o controllo nell’UE quando è possibile.

Perché la questione preoccupa in particolare le piccole attività

Le grandi organizzazioni hanno un responsabile della protezione dei dati, un ufficio legale e contratti con i fornitori negoziati riga per riga. Un freelance, uno studio di due persone o un piccolo studio professionale non hanno niente di tutto questo, eppure hanno gli stessi obblighi di un titolare del trattamento. Quando conservi i documenti di un cliente, fatture, contratti, dati sanitari o documenti d’identità, stai trattando dati personali per conto di qualcun altro, e rispondi di dove finiscono.

Tre cose rendono la situazione scomoda:

I trasferimenti avvengono di default. Molti strumenti popolari conservano i dati negli Stati Uniti o li distribuiscono su regioni globali, a meno che tu non scelga esplicitamente altrimenti. Puoi «trasferire» senza aver mai cliccato su un pulsante di esportazione.
«Regione UE» non significa «fuori dalla portata straniera». Un fornitore può conservare i tuoi file a Francoforte ed essere comunque obbligato per legge da un governo extra UE a consegnarli, a causa di chi possiede e controlla l’azienda.
La responsabilità ricade su di te. Ai sensi del GDPR, essere in grado di dimostrare perché la tua configurazione è lecita è già di per sé un obbligo. «Non sapevo dove fossero i server» non è una difesa.

La buona notizia: non devi diventare un avvocato esperto di privacy. Ti servono un modello mentale chiaro e una breve lista di controllo.

Le regole sull’invio di dati personali fuori dall’UE (più precisamente, dallo Spazio economico europeo) si trovano nel capo V del GDPR, articoli da 44 a 50. Il principio di fondo è semplice: puoi trasferire dati fuori dal SEE solo se la protezione che viaggia con essi resta sostanzialmente equivalente a quella europea. Ci sono alcuni modi riconosciuti per ottenerlo.

Le decisioni di adeguatezza

La Commissione europea può decidere che un paese offre un livello di protezione adeguato. I trasferimenti verso quei paesi sono allora trattati in gran parte come trasferimenti all’interno dell’UE, senza bisogno di altri meccanismi. Diversi paesi hanno lo status di adeguatezza, e per gli Stati Uniti esiste il Data Privacy Framework UE-USA, che copre le aziende statunitensi che si autocertificano. Le decisioni di adeguatezza possono essere contestate e possono cambiare, quindi sono una base da documentare, non una casella da spuntare una volta e dimenticare.

Le garanzie adeguate (clausole contrattuali tipo)

Quando non c’è una decisione di adeguatezza, la strada più comune sono le garanzie adeguate dell’articolo 46, molto spesso le clausole contrattuali tipo (SCC) della Commissione. Sono clausole contrattuali che il tuo fornitore firma e che lo impegnano a una protezione di livello europeo. I fornitori cloud affidabili pubblicano le SCC nei loro accordi sul trattamento dei dati.

La verifica di realtà di Schrems II

Ecco la parte che sfugge a molti. Con la sentenza Schrems II del 2020, la Corte di giustizia dell’UE ha annullato il precedente quadro per i trasferimenti verso gli Stati Uniti e ha chiarito che firmare le SCC non basta da solo. Devi anche valutare se la legge del paese di destinazione possa svuotare quelle protezioni contrattuali, per esempio attraverso poteri di sorveglianza governativi. Questa valutazione è comunemente chiamata valutazione d’impatto del trasferimento. Dove il contesto giuridico è rischioso, ci si aspetta che tu aggiunga «misure supplementari», e una crittografia robusta che il fornitore non può decrittografare è l’esempio da manuale indicato dalle autorità europee.

Il rischio che i contratti non possono risolvere del tutto: l’accesso dei governi stranieri

Il motivo per cui la crittografia torna sempre è un vuoto specifico che le carte faticano a colmare. Leggi come il CLOUD Act statunitense possono imporre alle aziende con sede negli Stati Uniti, o controllate da società statunitensi, di consegnare i dati che detengono, a prescindere dal paese in cui si trovano i server. Quindi un data center europeo gestito da un fornitore statunitense non mette, da solo, i dati fuori da quella portata.

Questo conta perché cambia l’impostazione di tutta la domanda. La questione è meno «in quale città stanno i dischi» e più «chi può essere obbligato per legge a leggere i miei dati, e può davvero leggerli se gli viene chiesto?». Se il fornitore tiene le chiavi, una richiesta legittima di un’autorità può trasformarsi in file dei clienti leggibili. Se il fornitore non tiene mai le chiavi, la stessa richiesta produce rumore illeggibile.

È esattamente la differenza spiegata in cosa cambia davvero quando trapelano dati crittografati o dati in chiaro, ed è per questo che le etichette contano: avere chiara la differenza concreta tra crittografia a riposo, end-to-end e zero-knowledge è la cosa più utile in assoluto da imparare prima di scegliere un fornitore.

Le opzioni realistiche a confronto

La maggior parte delle piccole organizzazioni finisce per scegliere tra quattro configurazioni. Nessuna è perfetta. Ecco un confronto onesto sugli aspetti che incidono sul rischio di trasferimento ai sensi del GDPR.

Configurazione	Dove vivono i dati	Chi può leggerli	Preoccupazione GDPR principale	Livello di rischio del trasferimento
Cloud statunitense (chiavi detenute dal fornitore)	Spesso Stati Uniti o globale	Il fornitore, e chiunque possa obbligarlo per legge	Base del trasferimento più leggibilità da parte del fornitore	Alto
Regione UE di un fornitore controllato da società statunitensi	Data center nell’UE	Il fornitore, ancora raggiungibile da leggi straniere	Proprietà e controllo, non solo luogo	Da medio ad alto
Fornitore con sede nell’UE, chiavi detenute dal fornitore	UE	Il fornitore	Leggibilità da parte del fornitore in caso di violazione o richiesta	Medio
Qualsiasi fornitore, crittografia lato client, chiavi a te	Ovunque	Solo tu	In gran parte risolto per il contenuto; metadati e base giuridica contano ancora	Basso per il contenuto

Due avvertenze oneste. Primo, la crittografia lato client protegge il contenuto dei tuoi file, ma non cancella per magia ogni obbligo: ti serve comunque una base giuridica per il trattamento in sé, gestisci comunque dei metadati, e devi comunque ai tuoi clienti trasparenza su chi sono i tuoi sub-responsabili del trattamento. Secondo, tenere i dati solo in locale sulle tue macchine elimina del tutto la questione del trasferimento per quella copia, ma sposta il rischio sui tuoi backup, sul furto dei dispositivi e sulla perdita. Non esiste un’opzione senza compromessi, solo opzioni in cui capisci il compromesso.

Cosa significa in pratica: una breve lista di controllo

Non ti serve un ufficio conformità per agire. Ti serve una manciata di decisioni deliberate.

Mappa dove vanno i tuoi dati. Elenca gli strumenti che contengono dati dei clienti o dati personali e scopri, per ciascuno, la regione di archiviazione e il paese che controlla l’azienda. Se non riesci a scoprirlo, consideralo un campanello d’allarme.
Preferisci un hosting nell’UE quando puoi. Riduce, anche se non elimina, l’esposizione all’accesso straniero, e semplifica le tue carte.
Crittografa prima del caricamento ogni volta che i dati sono sensibili. Se il fornitore non può leggere i tuoi file, un trasferimento o una richiesta di un’autorità fanno trapelare testo cifrato, non documenti dei clienti. È la misura supplementare che le autorità di controllo favoriscono esplicitamente.
Tieni tu le chiavi. «Il fornitore crittografa i tuoi dati» significa poco se il fornitore tiene anche la chiave. Cerca design zero-knowledge in cui la chiave non lascia mai la tua parte.
Documenta il tuo ragionamento. Annota la base del trasferimento (adeguatezza o SCC) e conserva una breve valutazione scritta del rischio e delle misure adottate. Essere in grado di mostrarla è già di per sé un requisito del GDPR.
Pianifica il recupero. Una crittografia che solo tu puoi annullare significa che, se perdi la chiave o la frase di recupero, nessuno può aiutarti. Conserva il materiale di recupero al sicuro, offline.

Per gli aspetti specifici di settore, due nostre guide approfondiscono proprio questa tensione: come gli studi contabili gestiscono l’archiviazione dei documenti dei clienti con il GDPR, e come freelance e consulenti proteggono i dati dei clienti senza un reparto IT.

Dove Filarr può aiutare, e dove no

Filarr è uno spazio di lavoro crittografato local-first: note, file e un grafo che li collega, conservati crittografati sul tuo disco. È rilevante per questa discussione per una ragione precisa, quindi siamo esatti su cosa risolve e cosa no.

In cosa aiuta. Ogni file viene crittografato sul tuo dispositivo con AES-256-GCM, sotto la chiave del tuo account e con un valore casuale nuovo per ogni file, prima che qualsiasi cosa lasci la tua macchina. La sincronizzazione cloud facoltativa carica solo blob opachi già crittografati: nel codice, il server conserva testo cifrato che non può leggere, i nomi dei file sono sostituiti da identificativi opachi e la tua chiave di crittografia non raggiunge mai il server in chiaro. Questo significa che, anche se il backend di sincronizzazione predefinito gira su Cloudflare R2 (un fornitore controllato da una società statunitense), il fornitore detiene dati illeggibili, che è esattamente il tipo di misura supplementare a cui rimandano le indicazioni successive a Schrems II. Puoi leggere come funziona in uno sguardo dentro la sincronizzazione zero-knowledge di Filarr. Dal 16 ottobre 2026, l’accesso invia una chiave derivata sul tuo dispositivo al posto della password; durante una transizione di circa due mesi, un account che non ha ancora effettuato di nuovo l’accesso, o una versione meno recente dell’app, invia ancora la password via HTTPS, e un server compromesso potrebbe intercettarla in quel momento. Se vuoi scegliere dove vengono conservati i file crittografati, Filarr permette anche di usare il tuo spazio di archiviazione con il piano Pro, così puoi puntare la sincronizzazione su un bucket compatibile S3 nell’UE scelto da te, mentre il tuo account e l’accesso continuano a girare sull’infrastruttura di Filarr; la guida alla configurazione del tuo storage S3 spiega come fare.

Cosa non risolve. Filarr è uno strumento di crittografia e archiviazione, non una certificazione GDPR e non una consulenza legale. Non sceglie la tua base giuridica per il trattamento, non scrive i tuoi accordi sul trattamento dei dati, non gestisce il consenso dei tuoi clienti e non si occupa delle richieste degli interessati al posto tuo. La crittografia è un controllo tra diversi. Se il tuo trattamento nel suo insieme non è conforme, crittografare i file non lo sistema. E poiché le chiavi le hai solo tu, il recupero è una tua responsabilità: perdi la frase di recupero e i dati sono persi.

In breve, Filarr può ridurre la parte più difficile da sistemare del problema dei dati fuori dall’UE, cioè la leggibilità da parte del fornitore, e può permetterti di scegliere dove vivono i blob crittografati. Il resto della conformità resta compito tuo.

Domande frequenti

È illegale conservare i dati dei clienti fuori dall’UE? No. È un trasferimento regolato, non un divieto. È lecito se hai una base valida ai sensi del capo V del GDPR, di solito una decisione di adeguatezza o le clausole contrattuali tipo, e, da Schrems II in poi, una valutazione motivata dei rischi del paese di destinazione con misure supplementari quando servono.

Il mio fornitore conserva i dati in una regione UE. Sono al sicuro dall’accesso straniero? Non necessariamente. Se il fornitore è di proprietà o sotto il controllo di un’azienda extra UE, leggi come il CLOUD Act statunitense possono comunque raggiungere i dati anche in un data center nell’UE. Il luogo aiuta, ma la proprietà e il fatto che il fornitore possa leggere i tuoi dati contano altrettanto.

La crittografia mi rende conforme al GDPR? No, ma è uno dei controlli più forti che puoi aggiungere da solo. Una crittografia in cui le chiavi le hai solo tu è la misura supplementare che le autorità europee favoriscono esplicitamente per i trasferimenti rischiosi, perché una divulgazione imposta o una violazione espongono allora testo cifrato illeggibile. La conformità dipende comunque da tutto il tuo trattamento, non da un singolo strumento.

Qual è il cambiamento più semplice e con il maggiore impatto che posso fare? Smetti di lasciare che il fornitore tenga le tue chiavi per i dati sensibili. Usa una crittografia lato client e zero-knowledge, così che i file siano illeggibili lato server, e preferisci un archivio con sede nell’UE o scelto da te. Questa combinazione affronta in un colpo solo il rischio di violazione e quello dell’accesso straniero.

Tenere tutto in locale invece che nel cloud è un’opzione valida? Sì, ed elimina la questione del trasferimento per quella copia, ed è per questo che molti utenti attenti alla privacy la preferiscono. Il compromesso si sposta sui tuoi backup e sulla sicurezza dei tuoi dispositivi, quindi abbina l’archiviazione locale a backup crittografati e a una chiave di recupero conservata al sicuro.

Questo articolo è un’informazione di carattere generale, non una consulenza legale. Per decisioni sui tuoi obblighi specifici, rivolgiti a un professionista qualificato della protezione dei dati.