Ospitare il proprio negozio online in Svizzera o all’estero: quali conseguenze?

Perché la localizzazione dell’hosting è una scelta strategica per un negozio online svizzero

Il luogo di archiviazione dei dati di un negozio non è una scelta estetica. Tre testi normativi si sovrappongono sullo stesso server per un’azienda della Svizzera romanda: la nuova Legge federale sulla protezione dei dati (nLPD) svizzera, il Regolamento generale sulla protezione dei dati (RGPD) europeo e il CLOUD Act statunitense. A seconda del paese in cui opera l’infrastruttura e della nazionalità del gestore, non è lo stesso testo a determinare chi può accedere agli account clienti, agli ordini e alle fatture.

La posta in gioco coinvolge direttamente la direzione: la sanzione prevista dalla nLPD può arrivare a 250'000 franchi e colpisce la persona fisica, non solo la società. Un negozio che incassa pagamenti, elabora indirizzi e conserva uno storico degli acquisti tratta quindi dati la cui localizzazione impegna la responsabilità individuale del dirigente.

Quattro domande strutturano la decisione e ricorrono in ogni sezione: dove risiedono fisicamente i dati (residenza), chi può legalmente richiederli (sovranità), a quali condizioni un trasferimento fuori dalla Svizzera è lecito e secondo quali criteri distinguere ciò che deve rimanere in Svizzera da ciò che può restare altrove.

I numeri che inquadrano la decisione di hosting

Mappare i dati effettivamente trattati dal negozio

Prima di confrontare gli hoster, bisogna sapere cosa si sta ospitando. Un inventario tipo per le PMI distingue quattro famiglie: la messaggistica (e-mail, allegati, contratti negoziati per iscritto, scambi con il fiduciario, talvolta dieci anni di storico), i documenti di lavoro (preventivi, procedure, presentazioni), la contabilità e le risorse umane (scritture contabili, buste paga, contratti, eventuali dati medici, informazioni sensibili ai sensi di legge) e il file clienti (coordinate, storico acquisti, note commerciali, talvolta dati bancari), materia prima del fatturato.

Un negozio online vi aggiunge i propri giacimenti specifici. Una dichiarazione sulla protezione dei dati di un shop svizzero mostra cosa viene raccolto alla semplice creazione di un account cliente: nome e cognome, indirizzo postale, data di nascita, numero di telefono, indirizzo e-mail e password. Si aggiungono i log del server registrati ad ogni visita — indirizzo IP, nome del provider di accesso, data e ora, URL di origine, file consultato, codice di stato, sistema operativo, browser — conservati in questo esempio per un massimo di 24 mesi.

Il punto critico non è l’elenco, ma la sua dispersione. Ogni abbonamento sottoscritto in tre clic aggiunge un luogo di archiviazione che la direzione non vede: strumento per newsletter, rete pubblicitaria, soluzione di pagamento, gestore di ticket, plugin di analisi del pubblico. I punti ciechi classici: strumenti gratuiti aperti da un collaboratore per risolvere un’emergenza, backup di cui nessuno sa dove finiscono, account mai chiusi dopo una partenza. Senza questa mappa, nessun confronto tra hoster ha senso: non si sa cosa si sta spostando.

Hosting in Svizzera non significa sempre sovranità svizzera

Due nozioni sono sistematicamente confuse. La residenza dei dati indica il luogo in cui sono archiviati fisicamente. La sovranità indica chi può legalmente richiederli. Un fornitore può spuntare la prima casella e fallire sulla seconda: è ciò che falsa la maggior parte delle decisioni di hosting.

Gli hyperscaler americani dispongono di regioni in Svizzera: Microsoft gestisce due regioni Azure (Zurigo e Ginevra), AWS una regione a Zurigo dal 2022, anche Google Cloud ha una regione a Zurigo. Un negozio può quindi mostrare dati «ospitati in Svizzera» pur essendo cliente di operatori sotto controllo americano. L’argomento della localizzazione si ferma dove inizia il diritto.

Il CLOUD Act statunitense ha una portata extraterritoriale: permette alle autorità degli Stati Uniti di esigere da un’impresa sotto controllo americano la comunicazione di dati, ovunque siano archiviati. Un datacenter a Zurigo gestito da una società americana rimane soggetto a questa legge. Un’analisi dedicata all’argomento riporta che il direttore giuridico di Microsoft Francia ha riconosciuto sotto giuramento davanti al Senato che l’azienda non può garantire che i dati europei sfuggano a una requisizione americana.

L’esempio tipico descritto da questa analisi è quello di una fiducia ginevrina che migra la propria contabilità clienti verso Azure Svizzera, rassicurandosi sulla dicitura «dati ospitati a Zurigo»: sulla carta tutto è in ordine, nella pratica questi fascicoli restano accessibili a un’autorità americana, senza che la fiducia né l’entità svizzera del fornitore possano opporsi. Per un negozio, la domanda non è quindi solo «dove sono i server», ma «chi controlla la società che li gestisce e quale diritto le si applica».

Residenza dei dati ≠ sovranità: cosa copre ciascuna nozione

Cosa cambia la nLPD per un trasferimento di dati fuori dalla Svizzera

Prima chiarificazione: la nuova Legge federale sulla protezione dei dati, entrata in vigore il 1° settembre 2023, non impone di ospitare i dati in Svizzera. Sostituisce una legge del 1992 divenuta inadeguata e allinea il diritto svizzero agli standard del RGPD europeo. Ciò che regola è la comunicazione di dati personali fuori dalla Svizzera.

Un trasferimento all’estero è lecito solo se lo Stato di destinazione garantisce una protezione adeguata. Il Consiglio federale tiene l’elenco di questi paesi nell’allegato 1 dell’Ordinanza sulla protezione dei dati; i membri dell’Unione europea vi figurano. Verso un paese che non vi figura, l’esportatore deve mettere in atto garanzie riconosciute.

Il caso degli Stati Uniti merita una precisazione: figurano nell’elenco delle destinazioni adeguate, ma solo per le imprese americane certificate nell’ambito del trasferimento Svizzera–Stati Uniti. Questo quadro esiste ed è utile, ma presuppone di verificare, fornitore per fornitore, che l’entità che ospita realmente il negozio sia coperta — non solo la casa madre che firma il contratto.

Il trasferimento è solo un aspetto. La legge si articola attorno a principi — trasparenza, consenso informato, minimizzazione dei dati, diritto all’oblio, portabilità, sicurezza, responsabilità — che riguardano anche la gestione, l’utilizzo, l’archiviazione e la cancellazione dei dati. Ospitare all’estero non modifica nessuno di questi obblighi e le persone i cui diritti sono violati possono agire in giustizia. Un negozio deve quindi poter ritrovare, esportare e cancellare un dato cliente anche quando è distribuito presso diversi subappaltatori.

Punti di riferimento: dalla LPD del 1992 al riconoscimento europeo del 2024

Conseguenze concrete di un hosting all’estero per il negozio

I dati ospitati fuori dalla Svizzera restano accessibili secondo le leggi del paese in cui si trova il server. Un fornitore può dichiararsi «conforme al RGPD»: ciò non osta a che le autorità del suo paese di origine chiedano l’accesso ai dati che archivia. È il meccanismo del CLOUD Act, che permette alle autorità americane di esigere da un’impresa americana l’accesso a dati ovunque siano ospitati, incluso in un datacenter in Svizzera.

Dal lato clienti, il carico di lavoro aumenta. Ogni richiesta di accesso, rettifica o cancellazione deve essere onorata nei termini, il che presuppone di conoscere tutti i luoghi in cui il dato è stato copiato: database di produzione, backup, strumenti di marketing, storico ordini. Un hoster straniero aggiunge intermediari, quindi ritardi e dipendenze, a ogni richiesta.

La sorveglianza dei subappaltatori diventa un compito ricorrente, non un controllo unico alla firma. Un anno dopo l’entrata in vigore della nLPD, i responsabili del trattamento devono assicurarsi di effettuare controlli presso i propri subappaltatori. Ora, un negozio tipico ne conta diversi: hoster, prestatore di servizi di pagamento, trasportatore, strumento di e-mailing, servizio di assistenza.

Resta lo scenario spiacevole: requisizione o controversia. Una richiesta di un’autorità straniera si rivolge al fornitore, non alla PMI svizzera, che non è parte della procedura e spesso non può opporre nulla. In caso di conflitto commerciale con un prestatore stabilito all’estero, la competenza giurisdizionale e la lingua della procedura cambiano, il che pesa sui costi e sui tempi di risoluzione.

Cosa offre un hosting in Svizzera, senza automatismo di conformità

I vantaggi avanzati sono concreti e verificabili. Il diritto applicabile al trattamento è il diritto svizzero e la Svizzera dispone dal settembre 2023 di una legge rafforzata. Per gli scambi con l’Unione europea, ospitare in Svizzera semplifica anche i trasferimenti in senso inverso: per decisione del 26 luglio 2000, la Commissione europea ha riconosciuto che il diritto svizzero garantiva una protezione adeguata dei dati, decisione confermata nella sua relazione di gennaio 2024.

Vi si aggiungono argomenti operativi spesso citati dai fornitori romandi: server distribuiti tra Ginevra e Zurigo, datacenter certificati ISO 27001, elettricità di origine rinnovabile, backup automatici quotidiani, supporto tecnico francofono raggiungibile per telefono, tempo di risposta dell’ordine di 200 ms dalla Svizzera romanda e tariffe di hosting di circa 7 franchi al mese per un’offerta condivisa. Questi elementi provengono da pagine commerciali: si verificano nel contratto, non su una pagina di vendita.

La sfumatura è indispensabile. Ospitare in Svizzera non dispensa dal rispettare la nLPD, né dal documentare i trattamenti, né dal controllare i subappaltatori — un hoster svizzero può a sua volta ricorrere a subappaltatori fuori dalla Svizzera per il supporto, il backup o la telemetria. La scelta del paese è un mattone della conformità, non un certificato automatico.

Ospitare il proprio negozio in Svizzera: punti di forza annunciati e limiti da conoscere

Selezione dei dati e dei rischi prima di scegliere o migrare

Rimpatriare tutto per riflesso sovranista è ingenuo quanto lasciare tutto senza porsi domande. Il buon punto di partenza non è «cloud svizzero o hyperscaler», ma «quale dato, quale rischio, quale obbligo». Applicato a un negozio, questa selezione inizia distinguendo i dati personali degli ordini (identità, indirizzo, storico acquisti), i dati di pagamento, i dati di connessione e i log, i contenuti vetrina senza dati personali, gli ambienti di test e i backup.

Per ogni voce, tre domande decidono: qual è la sensibilità del dato, quale obbligo legale lo riguarda e quale conseguenza finanziaria o di reputazione in caso di accesso indebito. Un file clienti e uno storico di fatturazione pesano più di un sito vetrina senza account cliente o di un ambiente di collaudo alimentato da dati fittizi. Documentare questo ragionamento riga per riga vale più di una politica generale «tutto in Svizzera» che nessuno applica.

Sei parametri completano la griglia: il paese di esercizio dei server, il paese di archiviazione dei backup (spesso distinto dal precedente), la nazionalità dell’azionista di controllo del fornitore, gli accessi tecnici possibili dall’estero, le garanzie contrattuali di notifica e audit, e la reversibilità. Quest’ultimo punto si testa prima della migrazione: in quale formato e entro quale termine si può recuperare l’integralità dei dati, inclusi i backup, in caso di cambio di fornitore?

Selezionare i propri dati prima di scegliere un hoster o migrare

Domande da porre al proprio hoster prima di firmare

Localizzazione: dove si trovano esattamente i server di produzione, i server di backup e le eventuali copie di soccorso? Queste tre risposte possono differire. Nazionalità: chi controlla la società madre del fornitore e questa società può ricevere una richiesta da un’autorità straniera? Accessi: quali accessi tecnici il supporto può aprire dall’estero, a quali condizioni e con quale traccia?

Subappaltatori: l’elenco completo dei subappaltatori successivi, con il loro paese e il loro ruolo (pagamento, e-mailing, supporto, backup). Garanzie: clausole di trasferimento, impegno di notifica in caso di richiesta di un’autorità, diritto di audit, misure di sicurezza, procedura in caso di violazione dei dati. Uscita: formato di esportazione, termini di restituzione, cancellazione certificata alla fine del contratto.

Queste domande non si pongono una volta per tutte: i controlli presso i subappaltatori sono un obbligo continuo per il responsabile del trattamento. In Svizzera, l’autorità competente per le questioni di protezione dei dati e trasparenza pubblica informazioni utili alle PMI; è verso di essa che ci si deve rivolgere in caso di dubbio su una clausola contrattuale o sulla liceità di un trasferimento.

Domande da porre al proprio hoster prima di firmare

Ospitare in Svizzera o all’estero: una decisione da documentare

Non esiste una risposta unica. La nLPD non impone di ospitare in Svizzera: regola la comunicazione di dati personali fuori dalla Svizzera e subordina il trasferimento a una protezione adeguata dello Stato di destinazione o a garanzie riconosciute. Ospitare in Svizzera è una scelta di sovranità e vicinanza — diritto applicabile, supporto francofono, latenza, energia —, non un obbligo generale.

Ciò che resta costante è la tracciabilità della decisione: per ogni famiglia di dati, scrivere quale fornitore la ospita, in quale paese si trovano server e backup, chi può legalmente richiederli e a quali condizioni si può andarsene. Questo documento si aggiorna a ogni nuovo abbonamento sottoscritto, a ogni cambio di fornitore di pagamenti o di strumento di marketing e a ogni analisi dei rischi — è lui, e non la dicitura «ospitato in Svizzera», a dimostrare la conformità.