Ospitare i dati aziendali in Svizzera: criteri di scelta

Ospitare in Svizzera: cosa cambia davvero la localizzazione

La nuova legge sulla protezione dei dati (nLPD) è applicabile dal 1° settembre 2023. Essa non impone di ospitare i vostri dati in Svizzera: regola invece il loro trasferimento all'estero. Il criterio decisivo diventa la giurisdizione del gestore e la sensibilità delle informazioni che gli affidate.

Il Patriot Act del 2001, seguito dal Cloud Act del 2018, autorizza le autorità statunitensi a esigere l'accesso ai dati detenuti da imprese americane, anche se archiviati in Europa o in Svizzera. Un documento confidenziale affidato a un servizio gestito da una società statunitense rimane quindi, per diritto, accessibile a un giudice americano, indipendentemente dal paese in cui si trova il data center.

Un hoster svizzero opera sotto il diritto svizzero e risponde alle autorità elvetiche. Questo effetto giurisdizionale interessa soprattutto le aziende bancarie, mediche o industriali.

Non tutti i dati hanno lo stesso peso. La LPD protegge più rigorosamente taluni dati personali, la cui violazione può avere gravi conseguenze. Accanto a questi, i segreti di fabbricazione e i piani strategici costituiscono una posta in gioco distinta.

La domanda da porsi non è dunque «dove si trova il server?», bensì «chi può costringere il gestore e su quale base giuridica?». La localizzazione del data center, il capitale sociale e la piattaforma vanno valutati separatamente.

Vantaggi e svantaggi dell'hosting in un data center svizzero

On-premise, cloud privato, cloud condiviso, IaaS/PaaS/SaaS: quali opzioni per quali esigenze?

Le opzioni di hosting dei dati aziendali in Svizzera spaziano dall'on-premise al cloud, passando per il cloud privato o condiviso. Ciascuna implica un livello diverso di responsabilità e di esternalizzazione.

Acquistare i propri server e gestirli in loco ha perso terreno: l'opzione è considerata costosa, dispendiosa in termini di tempo e rischiosa in caso di guasto. L'individuazione del problema, la sua risoluzione e il coordinamento tra i partner IT spettano allora all'azienda. L'esternalizzazione è accelerata con l'esplosione dei dati digitali, l'evoluzione tecnologica, l'emergere del cloud e, infine, la pandemia di Covid-19.

Il cloud privato ospita la vostra infrastruttura in uno spazio isolato ad uso esclusivo; il cloud condiviso ripartisce le risorse tra diversi clienti. In entrambi i casi, potete esternalizzare tutta o parte della vostra infrastruttura, incluso il backup dei dati.

Con l'IaaS, il prestatore fornisce i server fisici, la rete e lo storage sotto forma di macchine virtuali, ma non il sistema operativo né le applicazioni. Il PaaS aggiunge l'infrastruttura applicativa, i database e i bilanciatori di carico, generalmente sotto forma di container. Il SaaS dà accesso a un software completo, su risorse condivise tra più clienti. Il cloud computing corrisponde allo storage e all'accesso a servizi informatici via Internet.

Passare a un hoster svizzero non obbliga a rifare tutto. ERP, CRM, file collaborativi e sistemi GED possono essere integrati presso il prestatore, con uno sportello unico per la manutenzione, la sicurezza e il supporto. La vicinanza riduce inoltre la latenza, aspetto cruciale per le applicazioni operative e collaborative.

Fair IT distingue il cloud svizzero, l'IaaS, il PaaS e il SaaS tra le possibilità offerte alle società elvetiche. Meanquest propone in particolare l'IaaS, Cohesity as a service, il Managed Engine as a Service e il Monitoring as a Service. groupe.iD mette in risalto l'integrazione applicativa e lo sportello unico.

Maijin punta sull'auto-hosting di un assistente IA su un server noleggiato. I modelli open source menzionati sono Ollama e Apertus, il modello aperto svizzero disponibile da settembre 2025.

Un'IA sovrana gira su un'infrastruttura di cui controllate la localizzazione, l'accesso e le condizioni d'utilizzo. I vostri dati non transitano allora attraverso nessun attore soggetto a una giurisdizione straniera senza il vostro consenso. L'auto-hosting di un modello open source sul vostro server o sulla vostra macchina fa sì che nulla esca. Si rivolge a dati molto sensibili, team tecnici e a un bisogno di controllo totale.

Confronto dei modelli di hosting: on-premise, cloud privato, condiviso, IaaS, PaaS, SaaS

LPD e leggi cantonali: responsabilità per l'hosting dei dati

La protezione dei dati ha lo scopo di tutelare i diritti della personalità e la sfera privata. Chi tratta dati personali deve agire nel rispetto del diritto e del principio di proporzionalità. La nozione di trattamento copre tutti gli usi dei dati, in particolare il fatto di procurarseli e conservarli.

La LPD rivista nel 2023 è presentata come la versione svizzera del RGPD, con alcune sfumature. Regola altresì il profiling, ossia il trattamento automatizzato di dati.

Le persone interessate dispongono di diritti: sapere quali dati che le riguardano sono trattati e, in determinate condizioni, esigerne la rettifica, il blocco o la cancellazione. Possono esercitare il diritto di accesso e consultare il proprio fascicolo. Un trattamento illecito può essere contestato.

Il regime non è solo federale: ogni Cantone ha la propria legislazione in materia. Gli organi pubblici dei Cantoni e dei Comuni vi sono sottoposti, così come gli organismi privati incaricati di una missione di interesse pubblico, ad esempio le organizzazioni di aiuto e cura a domicilio o le case per anziani.

Gli organi della Confederazione e le persone private rientrano nella LPD federale. Nell'assicurazione malattie e infortuni obbligatoria, gli assicuratori agiscono come organi esecutivi e ricadono anch'essi sotto questa legge; nell'assicurazione complementare, sono trattati come persone private. Gli uffici cantonali AI figurano tra gli organi pubblici cantonali sottoposti alle leggi cantonali.

L'autorità di vigilanza è il Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Autorità indipendente, vigila affinché gli organi federali e le imprese private non procedano a trattamenti illeciti di dati personali. In caso di violazione, può essere allertato.

Sicurezza fisica e logica: i criteri da verificare in un data center svizzero

Due punti di riferimento ricorrono nei capitolati d'oneri: la certificazione ISO 27001 per la gestione della sicurezza delle informazioni e la classificazione Tier III o IV del data center, ovvero una disponibilità annunciata dal 99,982% al 99,995%.

Lato fisico: controllo degli accessi biometrico, sorveglianza 24/7 tramite telecamere e guardie, sistemi antincendio, climatizzazione di precisione. Da verificare anche la limitazione dell'impronta di carbonio e il ricorso all'energia rinnovabile.

Lato logico contano il firewall di nuova generazione, il rilevamento e la prevenzione delle intrusioni, nonché i piani di ripristino dopo sinistro e di continuità operativa. La ridondanza della rete condiziona la stabilità della connessione.

groupe.iD mette in risalto una soluzione di hosting svizzero, in particolare per le attività bancarie, sanitarie e industriali. Meanquest annovera tra le sue prestazioni di sicurezza i Managed Security Services e due soluzioni proprietarie, Meanquest phishing e Meanquest isms.

Indicatori chiave di sicurezza e prestazioni di un data center svizzero

Trasferimenti fuori dalla Svizzera e subappaltatori: i punti di attenzione

La nLPD non vieta l'esportazione di dati: la disciplina. Un paese che offre un livello di protezione adeguato, come i membri dell'UE e dello SEE, può ricevere dati personali senza garanzie supplementari.

L'elenco degli Stati che rispondono a questo requisito figura nell'allegato 1 dell'ordinanza sulla protezione dei dati (OPDo), stabilito dal Consiglio federale. Vi figurano ad esempio la Germania, l'Argentina e il Regno Unito. Dal 14 agosto 2024, il Consiglio federale ammette anche i trasferimenti verso imprese americane certificate nell'ambito del Swiss-U.S. Data Privacy Framework.

Senza decisione di adeguatezza, garanzie appropriate possono essere sufficienti. Le clausole tipo di protezione dei dati (Standard Contractual Clauses, SCC) devono essere approvate preliminarmente dall'IFPDT, che emette la sua decisione entro 90 giorni. Clausole specifiche di protezione dei dati possono anche essere previste in un contratto, ma l'IFPDT deve esserne informato prima del trasferimento.

La persona interessata deve essere informata di qualsiasi comunicazione dei suoi dati all'estero (art. 19, cpv. 4, LPD). I dati possono essere trasmessi solo se il paese destinatario assicura un livello di protezione adeguato (art. 16, cpv. 1, LPD).

Ospitare in Svizzera non basta se il gestore rimane soggetto a una giurisdizione straniera. Ogni subappaltatore aggiunge inoltre un anello: chiedete l'elenco dei prestatori che intervengono sui vostri dati, la loro localizzazione e la giurisdizione di cui rilevano, anche per il supporto, la supervisione e il backup.

L'auto-hosting di un modello open source come Ollama o Apertus evita qualsiasi trasferimento di dati per certi trattamenti. La scelta di un fornitore di IA è una scelta di dipendenza giuridica, non solo tecnica.

Costi di hosting in Svizzera: voci da verificare e riferimenti numerici

Il costo di un hosting di dati aziendali in Svizzera varia a seconda del modello scelto (on-premise, cloud privato, condiviso, IaaS, PaaS o SaaS), delle risorse allocate (processori, storage, banda passante), della ridondanza, delle certificazioni richieste e del supporto. Confrontate le offerte a perimetro equivalente piuttosto che un prezzo isolato.

L'hosting on-premise richiede di investire nell'attrezzatura e nelle risorse necessarie per gestire i server. L'opzione è considerata costosa, dispendiosa in termini di tempo e rischiosa in caso di guasto, mentre l'esternalizzazione trasferisce parte di questa gestione al prestatore.

Un'applicazione web modesta ospitata presso Infomaniak costa circa 10 euro al mese. Il traffico in uscita, fatturato circa 83 dollari al mese per terabyte presso AWS, è gratuito presso Infomaniak, Hetzner e OVHcloud. Per l'auto-hosting di un assistente IA, Maijin indica un server noleggiato a meno di 20 franchi al mese.

Nel preventivo, chiedete una suddivisione separata: risorse, storage, backup, sicurezza, supporto, certificazioni e classificazione del data center. Indicate il modello, la ridondanza e il livello di supporto attesi, per ricevere offerte comparabili.

Un importo isolato non permette di confrontare modelli in cui le responsabilità assunte differiscono. Fate precisare i compiti che il prestatore assume e quelli che restano a vostro carico.

Domande da porre a un prestatore prima di firmare

Localizzazione: dove sono ospitati i dati, in quali data center, e il gestore rileva di una giurisdizione straniera? Chiedete l'elenco dei subappaltatori che intervengono sui dati, incluso per il supporto e la supervisione, con il loro paese e la legge applicabile.

Condizioni di accesso: chi può consultare i dati, secondo quali procedure, e come vengono tracciati gli accessi? Fate precisare l'iter da seguire se un'autorità straniera indirizza una richiesta al prestatore.

Garanzie tecniche: certificazioni (ISO 27001), classificazione del data center (Tier III o IV), misure di sicurezza fisica, piani di ripristino dopo sinistro e di continuità operativa, ridondanza della rete. Verificate la disponibilità annunciata, dal 99,982% al 99,995% per un data center Tier III o IV, e chiedete una disponibilità garantita contrattualmente.

Uscita: come recuperare i vostri dati, in quali formati, secondo quali modalità e a quale costo? Chiedete anche chi assicura la manutenzione, la sicurezza e il supporto, e se è previsto uno sportello unico. Per un cloud privato, fate confermare che il vostro spazio sia isolato e ad uso esclusivo, e prevedete un contratto di reversibilità.

Energia: l'hoster ricorre a energia rinnovabile e a quale limitazione della sua impronta di carbonio si impegna?

Chiedete se il prestatore propone un audit ISO 27001, una conformità LPD o un DPO as-a-service, e fate figurare queste prestazioni come voci distinte nell'offerta. groupe.iD mette in risalto uno sportello unico per la manutenzione, la sicurezza e il supporto tecnico.

Giuridico: il prestatore rileva della LPD federale o di una legge cantonale? Come tratta le domande di accesso, rettifica, blocco e cancellazione, nonché il profiling? L'autorità di vigilanza è l'IFPDT.

Trasferimenti: se dei dati partono fuori dalla Svizzera, il paese figura nell'allegato 1 OPDo? In caso negativo, sono previste clausole tipo approvate dall'IFPDT o clausole specifiche notificate all'IFPDT?

Budget: chiedete un'offerta dettagliata per il modello envisagé (cloud privato, condiviso, IaaS, PaaS o SaaS), precisando lo storage, il backup e il supporto. Confrontatela con il costo totale dell'on-premise, tenendo conto dell'attrezzatura e delle risorse necessarie alla gestione.

Checklist: domande essenziali da porre a un prestatore di hosting svizzero

Settori con esigenze rafforzate: finanza, sanità, industria e R&S

Banca e finanza: la protezione delle informazioni clienti, la conformità FINMA e la sécurisation delle transazioni pesano nella scelta di un hosting locale.

Sanità e cure: l'hosting dei dati pazienti deve rispettare la LPD. Le organizzazioni di aiuto e cura a domicilio e le case per anziani rientrano inoltre nel diritto cantonale di protezione dei dati, in quanto organismi incaricati di una missione di interesse pubblico.

Industria e R&S: la posta in gioco non è il dato personale, ma la preservazione dei segreti di fabbricazione e dei piani strategici. La giurisdizione dell'hoster protegge qui l'attivo industriale tanto quanto la conformità.

Per questi tre profili, la vicinanza di un data center svizzero riduce la latenza e accelera il trattamento degli ERP, CRM e delle applicazioni collaborative.

Per i dati molto sensibili, l'auto-hosting di un modello open source su un server o una macchina locale non fa uscire nulla. Si adatta ai team tecnici che vogliono un controllo totale.

Top 3 dei settori con esigenze rafforzate in materia di hosting in Svizzera