Ospitare i propri dati in Svizzera cambia tre aspetti molto concreti: il diritto applicabile al contratto di hosting, la facilità con cui rispondere alle domande dei clienti sulla localizzazione, e la semplicità del fascicolo di conformità per i trasferimenti all'estero. Non cambia invece il diritto a cui resta soggetto l'editore del software installato sopra tale hosting — una confusione frequente tra il luogo del server e la giurisdizione del fornitore. Il sovrapprezzo esiste, ma raramente è il criterio giusto per decidere da solo.
Cosa cambia, concretamente, quando l'hosting è svizzero?
Il primo cambiamento riguarda il contratto stesso. Un hoster svizzero — Infomaniak ed Exoscale ne sono gli esempi più noti — opera secondo il diritto svizzero, risponde alle autorità svizzere e rientra senza ambiguità nel regime della LPD[1]. Per lo strato «hosting», la questione dei trasferimenti all'estero semplicemente non si pone: i dati restano sul territorio, un aspetto che semplifica altrettanto il registro dei trattamenti, come ho dettagliato in LPD: dove dormono davvero i dati della vostra PMI?
Il secondo cambiamento riguarda l'immagine e la fiducia. Una parte della clientela svizzera — nella sanità, nella finanza, nel settore pubblico, o semplicemente tra dirigenti prudenti — pone spontaneamente la domanda sul luogo di hosting prima di firmare. Poter rispondere «in Svizzera, presso un hoster svizzero» chiude la discussione in una frase, mentre la risposta «da qualche parte in un cloud internazionale» ne apre diverse.
Il terzo cambiamento riguarda il ricorso in caso di controversia. Un hoster svizzero dipende dalle autorità svizzere, tra cui l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) per le questioni di protezione dei dati. Un hoster estero dipende anzitutto dal proprio diritto nazionale, e la procedura svizzera si applica solo in seconda battuta, quando si applica.
Cosa non risolve l'hosting svizzero
Ecco la sfumatura che più spesso sfugge: il luogo del server e il diritto a cui è soggetto l'editore del software sono due cose distinte. Un editore SaaS americano che affitta un data center in Svizzera o nell'Unione Europea per conservarvi i vostri dati resta, in quanto azienda americana, potenzialmente raggiungibile dal diritto americano. Il CLOUD Act, legge federale del 2018, consente alle autorità statunitensi di richiedere dati a un fornitore soggetto alla loro giurisdizione, indipendentemente dal paese in cui si trova il server che li ospita. È il fornitore a essere preso di mira, non l'ubicazione fisica del disco rigido.
Ho dettagliato altrove la meccanica completa di questa questione extraterritoriale, e il modo di affrontarla senza cedere all'allarmismo — merita di essere classificata per tipo di dato piuttosto che trattata in blocco, come spiego in LPD: dove dormono davvero i dati della vostra PMI? Il punto essenziale sta in una frase: cambiare hoster senza cambiare editore non basta a sottrarre un dato sensibile al campo di applicazione di un diritto estero.
L'hosting svizzero non risolve nemmeno le vostre pratiche interne. Una password condivisa da anni, account di ex collaboratori mai revocati, un contratto di sub-fornitura mai firmato: nessun hoster, per quanto svizzero, corregge queste falle al posto vostro.
Il sovrapprezzo, in ordini di grandezza
Il riflesso è credere che l'hosting svizzero sia fuori portata. La realtà è più misurata. Per un'infrastruttura standard — un sito, un'applicazione aziendale, un database — il sovrapprezzo fatturato da un hoster svizzero rispetto a un'offerta internazionale equivalente si conta generalmente in decine di franchi al mese, non in centinaia, e il divario si è ridotto negli ultimi anni man mano che l'offerta svizzera è maturata. Su volumi di storage o di calcolo più pesanti, il sovrapprezzo può salire, ma resta raramente il fattore che fa sbilanciare un budget di progetto.
Il vero calcolo, del resto, non è solo finanziario. Per un'applicazione costruita su misura, il costo di hosting pesa in genere poco rispetto al costo di progettazione e manutenzione — è una voce tra le altre in un progetto su misura, non la riga che decide tutto. Il ragionamento inverso — scegliere un hoster solo perché è il meno caro — espone al rischio contrario: riversare sul diritto estero una questione che un sovrapprezzo moderato avrebbe risolto.
Il caso estremo: non ospitare più affatto
Esiste un punto dello spettro in cui la questione dell'hosting scompare semplicemente: l'assenza di hosting. È la scelta che ho fatto con FiscalDoc, l'applicazione locale che ho costruito per archiviare i miei documenti fiscali. Nessun cloud, né svizzero né estero: il modello di IA che analizza i miei documenti gira direttamente sul mio computer, e nulla transita per un server esterno. Ho documentato questo caso in FiscalDoc: sostituire 1'400 CHF/anno di SaaS con un'IA locale.
Non è una soluzione universale: non appena un team deve collaborare in più persone, accedere a uno strumento da più sedi o garantire una disponibilità continua, una qualche forma di hosting torna necessaria. Ma FiscalDoc segna utilmente l'altro estremo dello spettro. Cloud internazionale, cloud europeo, cloud svizzero, hosting dedicato in sede, postazione locale: a ogni tappa il controllo aumenta, e il numero di terzi di cui fidarsi diminuisce di conseguenza.
Come decidere, senza passarci un trimestre
Il metodo più rapido consiste nel classificare i vostri dati prima di scegliere un hoster, non il contrario. Alcune categorie giustificano, di default, un hosting svizzero o una vigilanza rafforzata sul diritto applicabile dell'editore:
- i dati sanitari e le cartelle mediche;
- i dati HR sensibili — stipendi, valutazioni, certificati medici;
- i fascicoli legati a un contenzioso in corso o imminente;
- i segreti commerciali strategici — piani, margini, negoziazioni;
- i dati dei clienti soggetti a un requisito contrattuale o normativo specifico.
Per il resto — un sito vetrina, uno strumento di marketing, una messaggistica di team standard — la localizzazione conta meno del rigore dei processi: contratti di sub-fornitura in regola, accessi controllati, esportazione possibile in ogni momento. È precisamente l'inventario che faccio effettuare a monte di ogni soluzione su misura, e il punto di partenza che raccomando in Cosa deve fare una PMI svizzera di fronte all'IA nel 2026?
Due temi si collegano naturalmente a questo una volta scelto l'hosting. Il primo: cosa succede il giorno in cui volete cambiare strumento o hoster? L'ho trattato in Come migrare i dati fuori da un SaaS senza rompere nulla. Il secondo, più fondamentale: al di là del luogo di hosting, a chi appartiene realmente il codice e il modello che girano su quel server? È la domanda che pongo in A chi appartengono il vostro strumento, il vostro codice, i vostri dati?
Da ricordare
— Un hoster svizzero cambia il diritto applicabile al contratto di hosting, l'immagine e il ricorso in caso di controversia — non il diritto a cui resta soggetto l'editore del software utilizzato sopra di esso. — Il sovrapprezzo di un hosting svizzero si conta generalmente in decine di franchi al mese per un'infrastruttura standard, raramente in centinaia. — Classificate i vostri dati prima di scegliere un hoster: sanità, HR sensibile, contenzioso e segreti commerciali giustificano una vigilanza rafforzata; il resto dipende soprattutto dai vostri processi.
FAQ
L'hosting svizzero è sufficiente se il mio editore software è americano? No. Il luogo del server e la giurisdizione da cui dipende l'editore sono due questioni distinte. Un editore americano resta potenzialmente raggiungibile dal diritto americano anche se i dati transitano per un data center svizzero o europeo, perché il CLOUD Act prende di mira l'azienda, non l'ubicazione del disco rigido.
Il CLOUD Act si applica davvero, o è solo uno spauracchio? La sua portata rispetto al diritto svizzero è oggetto di dibattito tra i giuristi, e mi guardo bene dal decidere ciò che i tribunali non hanno ancora finito di chiarire. Ciò che è accertato, invece, è il principio: la legge consente alle autorità americane di richiedere dati a un fornitore soggetto alla loro giurisdizione. Il riflesso corretto è classificare i vostri dati sensibili, non ignorare o drammatizzare la questione.
Quanto costa, all'incirca, un hosting svizzero rispetto a un'offerta internazionale? Per un'infrastruttura standard, il sovrapprezzo si colloca più spesso in decine di franchi al mese, con un divario che si è ridotto negli ultimi anni. Su grandi volumi può salire ulteriormente, ma il sovrapprezzo resta raramente il fattore decisivo rispetto al costo complessivo di un progetto.
Bisogna ospitare tutto in Svizzera per principio? No, e sarebbe una spesa mal indirizzata. Riservate il requisito di un hosting svizzero, o locale, ai dati la cui sensibilità lo giustifica: sanità, HR, contenzioso, segreti commerciali. Per il resto, il rigore dei processi conta più del luogo del data center.
Esiste un'opzione ancora più rigorosa dell'hosting svizzero? Sì: l'assenza di hosting. FiscalDoc, l'applicazione che ho costruito per la mia fiscalità personale, gira interamente in locale, senza alcun cloud. Non si adatta a tutti gli usi — la collaborazione in team ne risente — ma esiste, e segna utilmente il limite superiore dello spettro.
Non sapete dire, oggi, sotto quale diritto sono ospitati i vostri dati più sensibili? La Diagnosi d'Uso IA: sessanta minuti per mappare i vostri flussi reali, identificare ciò che merita una soluzione su misura, ciò che resta in SaaS, e ciò che non ha bisogno di IA affatto. Prenotare una diagnosi
Fonti
[1] Legge federale sulla protezione dei dati (LPD), revisione del 25 settembre 2020, entrata in vigore il 1° settembre 2023. www.fedlex.admin.ch/eli/cc/2022/491/fr [↩]
Jérôme Deshaie è CEO e fondatore di MCVA Consulting SA, agenzia aumentata con sede in Vallese. Quindici anni al servizio di grandi marchi internazionali, ora direttamente al fianco delle PMI svizzere. Percorso.