Requisiti di hosting UE per servizi di trasferimento file 2026

I requisiti di hosting UE per i servizi di trasferimento file nel 2026 sovrappongono più regole l'una all'altra. Il GDPR Capitoli IV e V stabilisce la base per gli obblighi del responsabile del trattamento e i trasferimenti internazionali. Il Data Act (Regolamento 2023/2854), applicabile dal 12 settembre 2025, aggiunge diritti di portabilità e interoperabilità. Lo schema EUCS in fase di elaborazione ai sensi del Cybersecurity Act spinge la sovranità nei livelli di certificazione cloud. NIS2 aggiunge obblighi di cybersecurity. Le regole degli stati membri come SecNumCloud in Francia e C5 in Germania si aggiungono sopra. Il risultato pratico: un vendor di trasferimento file che serve clienti UE necessita di infrastruttura ubicata in UE, contratti di trattamento soggetti al diritto UE e protezione documentata dalla compulsione non-UE.

La localizzazione del server non è l'intera storia

Molti provider pubblicizzano "hosting UE" basandosi su una region cloud con parent company statunitense a Francoforte o Dublino. Tale collocazione soddisfa solo parzialmente i requisiti di residenza dei dati del GDPR. La sentenza Schrems II della CGUE (C-311/18) ha chiarito che conta l'esposizione legale del provider, non solo la geografia dei byte. Una parent company statunitense con una region a Francoforte può comunque essere obbligata ai sensi del CLOUD Act americano. Per molti clienti UE, specialmente nei settori regolamentati, questo costituisce un problema di trasferimento. La visione 2026 delle Raccomandazioni 01/2020 dell'European Data Protection Board e dei suoi aggiornamenti: valuta la legge del paese in cui il provider può essere legalmente obbligato, non solo dove si trova il server.

GDPR Articolo 28 e il contratto con il responsabile

Qualsiasi vendor di trasferimento file che tratta dati personali per un titolare UE deve firmare un Data Processing Agreement conforme all'Articolo 28(3). Il DPA deve specificare oggetto e durata del trattamento, natura e finalità, tipologie di dati personali e categorie di interessati, obblighi e diritti del titolare. Deve impegnare il responsabile a condizioni specifiche: agire solo su istruzione, garantire la riservatezza del personale, implementare le misure di sicurezza dell'Articolo 32, supportare gli audit, restituire o cancellare i dati alla cessazione del contratto e gestire i sub-responsabili con autorizzazione preventiva. I DPA mancanti o carenti sono il rilievo più comune negli audit della CNIL e di altre autorità di controllo nel 2024-2025.

Trasferimenti transfrontalieri dopo Schrems II

Dal luglio 2023, il Data Privacy Framework UE-USA fornisce un percorso di adeguatezza valido per gli importatori di dati statunitensi che si auto-certificano. Ma il Framework è oggetto di contestazioni legali e la storia suggerisce che una nuova sentenza Schrems sia plausibile. Per i vendor di trasferimento file che instradano dati al di fuori del SEE, la via più sicura è multilivello: fare affidamento sul Framework dove applicabile, affiancarlo con le Clausole Contrattuali Standard 2021 e condurre una Transfer Impact Assessment che documenti il regime giuridico nel paese di destinazione e le misure supplementari (crittografia end-to-end, pseudonimizzazione, split-key escrow) che proteggono i dati. Molti acquirenti di trasferimento file nel 2026 richiedono semplicemente percorsi dati solo-UE per evitare l'analisi.

Le regole di portabilità del Data Act

Il Data Act, applicabile dal 12 settembre 2025, conferisce ai clienti UE diritti esecutivi per cambiare cloud provider e portare con sé i propri dati. Gli Articoli 23-31 riguardano specificamente i servizi di elaborazione dati, richiedendo ai provider di rimuovere gli ostacoli alla migrazione, limitare i costi (con costi azzerati dal 12 gennaio 2027) e supportare la portabilità dei dati in formati strutturati, comunemente usati e leggibili automaticamente. Per i servizi di trasferimento file che conservano archivi dei clienti o dati dei tenant, l'obbligo è abilitare l'export dei metadati dell'account, dei file caricati e della configurazione in formati come ZIP, JSON e CSV. I vendor privi di strumenti di export funzionanti rischiano azioni di enforcement.

EUCS e i livelli di sovranità

Lo European Cybersecurity Certification Scheme for Cloud Services (EUCS) è in fase di elaborazione sotto il coordinamento dell'ENISA dal 2020 e si prevede venga adottato nel 2026, a condizione che vengano risolti i dibattiti sull'ambito. Definisce quattro livelli di assurance: Base, Sostanziale, Alto e potenzialmente Alto+ con criteri di sovranità che rispecchiano i requisiti di immunità di SecNumCloud. Per i vendor di trasferimento file che puntano agli acquirenti pubblici o regolamentati, l'allineamento anticipato all'EUCS Alto sarà una necessità competitiva. Alcuni stati membri tra cui Francia, Italia e Spagna hanno spinto per criteri espliciti di immunità nel livello superiore; altri tra cui Germania e Irlanda preferiscono solo controlli tecnici. Il testo finale determinerà quanto la "cloud sovereignty" significhi in pratica.

Localizzazione dei dati per settori specifici

Al di là delle regole orizzontali, diversi settori impongono la localizzazione. L'HDS francese per i dati sanitari, citato sopra, richiede host certificati. Gli standard BSI tedeschi per i dati sanitari e certi carichi di lavoro federali richiedono infrastruttura certificata C5. Il framework AgID italiano per la pubblica amministrazione impone la localizzazione italiana o UE per i dati classificati e sensibili. L'ENS spagnolo al livello Alto stabilisce requisiti equivalenti. Quando un vendor di trasferimento file serve acquirenti multi-paese, soddisfare la regola settoriale più restrittiva nell'intera base clienti solitamente determina l'architettura. La via più economica è spesso ospitare tutto in Francia o Germania sotto contratti UE rigorosi, anziché suddividere la geografia per cliente.

Obblighi NIS2 per i provider di hosting

NIS2 classifica i servizi di cloud computing e i servizi di data center come infrastruttura digitale critica. I vendor di trasferimento file che rientrano in queste categorie devono implementare le misure di cybersecurity dell'Articolo 21, segnalare gli incidenti entro 24 ore al CSIRT nazionale e soddisfare i doveri sulla supply chain. L'intersezione con l'hosting: i vendor non possono semplicemente dichiarare la prontezza NIS2 se i loro sub-processor non sono essi stessi conformi. Un servizio di trasferimento che gira su un backend di hosting non conforme eredita il gap. Le verifiche del rischio della supply chain sono ora standard nel procurement UE, con domande su ogni anello dalla load balancer allo storage di backup al CDN.

Logging, audit e notifica degli incidenti

Le aspettative di hosting UE nel 2026 includono log di audit dettagliati conservati abbastanza a lungo da supportare le notifiche di violazione delle 72 ore del GDPR Articolo 33. Per il trasferimento file, i log minimi coprono upload, download, creazione di link, scadenza di link e azioni admin. I log devono essere interrogabili dal titolare per indagare sospette violazioni. La conservazione dei log per sei mesi è comune; periodi più lunghi possono essere richiesti per clienti finanziari o sanitari. I log stessi contengono dati personali (IP, identificatori utente), quindi la loro conservazione e i controlli di accesso rientrano nella proporzionalità del GDPR. La conservazione eccessiva dei log "per ogni evenienza" viola la limitazione della conservazione.

HexaTransfer funziona su infrastruttura UE con crittografia AES-256-GCM applicata nel browser prima dell'upload, il che significa che il ciphertext sui server è inaccessibile senza il frammento del link. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.

L'hosting UE nel 2026 non è una regola ma un reticolo di regole. La localizzazione del server conta. La giurisdizione del provider conta. Le condizioni contrattuali contano. Le certificazioni contano. I vendor che restano al passo mappano ogni regola a misure tecniche e contrattuali concrete e pubblicano una trust page che gli acquirenti possono condividere con i loro team di privacy e sicurezza. Gli acquirenti, a loro volta, pongono le domande specifiche piuttosto che accettare "siamo ospitati in UE" come risposta completa.