Passare da Dropbox a Nextcloud, o da Google Analytics a Matomo, cambia la tua posizione giuridica più di quanto ammettano la maggior parte delle guide. Nel momento in cui il tuo VPS memorizza il nome, l’e-mail, l’indirizzo IP o la foto di un’altra persona, diventi titolare del trattamento ai sensi del GDPR, e il tuo provider di hosting è il tuo responsabile del trattamento. «È solo il mio homelab» smette di essere vero non appena familiari, soci di un club o clienti hanno un proprio account.
Non esiste un «VPS conforme al GDPR» da acquistare. La conformità è una proprietà della tua configurazione, non del provider. Ciò che un provider può fornire sono i documenti e la residenza dei dati che rendono la conformità possibile.
L’unico documento di cui hai davvero bisogno
L’articolo 28, paragrafo 3 del GDPR impone un contratto scritto tra te e ogni responsabile che tratta dati personali per tuo conto. In italiano è la nomina a responsabile del trattamento; in inglese, un Data Processing Agreement (DPA). Senza di esso il tuo hosting non è conforme, per quanto bene tu abbia configurato il server.
Tutti e tre i grandi provider europei a basso costo lo rilasciano direttamente dal pannello di controllo, senza costi aggiuntivi:
| Provider | Dove ottenere il contratto | Note |
|---|---|---|
| Hetzner | Concluso direttamente nel tuo account cliente | Copre gli obblighi dell’art. 28 (titolare/responsabile); le misure tecniche e organizzative sono verificate ogni anno dal TÜV Rheinland (i-sec GmbH) |
| Netcup | CCP → Master Data → Order Processing | Generatore di contratto, senza costi aggiuntivi |
| Contabo | Pannello di controllo → Data Processing Agreement → «Create new» | Copre VPS, VDS, server dedicati, Object Storage e colocation |
Contabo offre inoltre le clausole contrattuali standard dell’UE se la posizione del server che hai scelto si trova fuori dall’UE – utile saperlo, perché Contabo vende le regioni statunitensi e asiatiche allo stesso prezzo di quelle tedesche.
Dove risiedono fisicamente i dati
La scelta della regione è il punto su cui si sbaglia di più, perché i provider mescolano posizioni UE ed extra-UE dietro un unico accesso.
Hetzner traccia qui una distinzione esplicita. Falkenstein, Norimberga ed Helsinki mantengono nell’UE sia i tuoi dati anagrafici cliente sia i dati del tuo server. Ashburn (Virginia), Hillsboro (Oregon) e Singapore sono anch’esse nel menu: per queste, i dati del server lasciano l’UE mentre i dati cliente vi restano. Scegliere una regione statunitense presso un provider tedesco non tiene in Europa i file dei tuoi utenti.
Netcup gestisce Norimberga e Vienna. Il livello più economico di Contabo è impostato sulla Germania per impostazione predefinita, ma vende regioni di USA, Regno Unito, Singapore e Australia dallo stesso menu a tendina.
La regola pratica: scegli la regione in modo deliberato al momento del provisioning e poi verificala, anziché fidarti dell’impostazione predefinita.
La questione dei provider statunitensi non è risolta
DigitalOcean, Vultr e Akamai/Linode gestiscono tutti data center nell’UE, e tutti e tre hanno sede negli Stati Uniti. Questo conta perché il CLOUD Act raggiunge le aziende statunitensi indipendentemente da dove si trovi l’hardware, questione distinta dal fatto che il data center sia a Francoforte.
Il terreno giuridico qui è davvero instabile, perciò considera superata qualsiasi guida che parli con certezza:
- La decisione di adeguatezza della Commissione europea del luglio 2023 sul Data Privacy Framework UE-USA è diritto vigente oggi.
- Il 3 settembre 2025 il Tribunale dell’UE ha respinto il ricorso di Philippe Latombe contro di essa, ritenendo la Data Protection Review Court sufficientemente indipendente.
- Latombe ha proposto impugnazione il 31 ottobre 2025. Il caso è dinanzi alla Corte di giustizia come causa C-703/25 P e resta pendente, senza data di udienza annunciata a maggio 2026.
- Due pilastri di sostegno vacillano: il PCLOB, che sorveglia le garanzie di intelligence del framework, è in un limbo giuridico, e la Sezione 702 del FISA procede con una proroga di breve durata.
Se la CGUE annullasse il framework nel merito, sarebbe, dopo il Safe Harbour e il Privacy Shield, il terzo meccanismo transatlantico di trasferimento abbattuto. Per chi fa self-hosting la lettura pragmatica è semplice: un provider di proprietà europea in una regione UE aggira l’intera questione, e non costa di più.
Cosa chiede il GDPR al server stesso
L’articolo 32 richiede una sicurezza «adeguata al rischio» anziché una lista fissa, ed è per questo che i consigli generici sono inutili. In concreto, per una configurazione su un singolo VPS:
- Cifra i backup, non solo il disco. Gli snapshot del provider di solito restano non cifrati nello stesso account.
resticoborgcon passphrase, spinti verso uno storage separato, sono la misura che conta davvero. - Sappi dove finiscono i backup. Un server Hetzner a Falkenstein che esegue il backup su un bucket S3 statunitense è un trasferimento che devi documentare.
- Riduci la conservazione dei log. Nginx e Traefik registrano per impostazione predefinita gli indirizzi IP completi, e un IP è un dato personale. Anonimizza l’ultimo ottetto oppure ruota in modo aggressivo: da 7 a 14 giorni bastano per il debug senza accumulare responsabilità.
- Tieni un registro ai sensi dell’art. 30. Per la maggior parte di chi fa self-hosting sta in una pagina: cosa tratti, perché, dove risiede, chi altro vi accede e per quanto tempo lo conservi.
- Elenca i tuoi sub-responsabili. Il tuo host VPS, la tua destinazione di backup, il tuo relay di posta e la tua CDN contano ciascuno.
Note a livello di applicazione
Nextcloud memorizza nomi di file, link di condivisione e IP di accesso – la portata piena, e i suoi log del server richiedono la stessa disciplina di conservazione del reverse proxy.
Matomo e Plausible sono spesso la ragione stessa della migrazione: entrambi funzionano senza cookie e senza banner di consenso quando configurati per anonimizzare gli IP, esattamente ciò che Google Analytics non può offrire. Vedi come fare self-hosting di Plausible.
Vaultwarden custodisce una cassaforte cifrata che il server non può leggere, ma l’e-mail dell’account e le marche temporali di accesso restano dati personali.
Tra due provider tedeschi non è il GDPR a decidere, ma le caratteristiche e il prezzo – vedi il nostro confronto Hetzner contro Netcup e il confronto VPS completo.
Questa è una sintesi pratica, non consulenza legale. Se tratti dati sanitari, dati di minori o qualcosa su larga scala, rivolgiti a un avvocato specializzato in protezione dei dati.
Frequently asked questions
Un provider tedesco mi rende automaticamente conforme al GDPR?
No. Un provider tedesco elimina il problema del trasferimento internazionale e fornisce facilmente il contratto di nomina a responsabile. Ma gli obblighi che fanno fallire un audit restano tuoi in quanto titolare: il registro dell'articolo 30, i limiti di conservazione, la notifica delle violazioni entro 72 ore e la risposta alle richieste di accesso.
Serve un contratto di nomina per un server puramente personale?
Se sei l'unica persona i cui dati risiedono sul server, di norma si applica l'eccezione domestica e non serve alcun contratto. Hetzner segnala questa eccezione per l'uso privato. Non appena un utente esterno ha un account, l'eccezione smette di valere.
Hetzner o Netcup, quale è meglio per il GDPR?
Nessuno dei due ha un vantaggio legale. Sono due aziende tedesche che offrono il contratto di nomina direttamente dal pannello di controllo. Scegli quindi in base a caratteristiche e prezzo anziché al GDPR: sul piano legale i due si equivalgono.