Data room a norma GDPR con hosting in UE: DPA, sub-responsabili e sovranità del dato

GDPR e data room: cosa richiede davvero la conformità

Il Regolamento (UE) 2016/679 (GDPR) classifica il provider di una Virtual Data Room come responsabile del trattamento ai sensi dell'art. 4, punto 8. Il cliente, che carica i documenti e decide chi può accedervi, è il titolare del trattamento. Questa distinzione non è formale: determina obblighi precisi, che il contratto con il provider deve tradurre in clausole verificabili.

Il GDPR non si accontenta di un'autodichiarazione di conformità. Richiede che il rapporto tra titolare e responsabile sia regolato da un contratto scritto (o da altro atto giuridico vincolante ai sensi dell'art. 28, par. 3) che specifichi: l'oggetto, la durata, la natura e la finalità del trattamento, il tipo di dati personali, le categorie di interessati e gli obblighi del responsabile. Questo contratto è il DPA (Data Processing Agreement), in italiano accordo di trattamento dati.

Sul fronte del hosting, il GDPR consente il trattamento dei dati in paesi terzi a condizioni specifiche: decisioni di adeguatezza, Clausole Contrattuali Standard (CCS), o garanzie supplementari. Ma per la maggior parte delle organizzazioni italiane, la scelta più sicura e semplice rimane il hosting fisico entro il territorio UE, che elimina strutturalmente la necessità di meccanismi di trasferimento internazionale e le complicazioni che ne derivano.

L'accordo di trattamento dati (DPA) ai sensi dell'art. 28 GDPR

L'art. 28 GDPR stabilisce che il titolare del trattamento ricorra unicamente a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Il contratto tra titolare e responsabile deve essere stipulato per iscritto e deve includere una serie di clausole obbligatorie. In mancanza di un DPA valido, il titolare è esposto a sanzioni da parte del Garante per la protezione dei dati personali anche in assenza di un incidente: la violazione è strutturale, non dipende dall'accadimento di un evento.

Le clausole obbligatorie del DPA ai sensi dell'art. 28, par. 3 GDPR comprendono: il trattare i dati solo su istruzione documentata del titolare; il garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza; l'adottare tutte le misure di sicurezza richieste dall'art. 32 GDPR; il rispettare le condizioni per il ricorso a sub-responsabili; l'assistere il titolare nel rispettare i diritti degli interessati; il cancellare o restituire tutti i dati personali al termine dei servizi; il mettere a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi; il consentire ispezioni e audit da parte del titolare o di auditor incaricati.

Un punto spesso trascurato è il diritto di audit: il DPA deve prevedere che il titolare possa verificare il rispetto degli obblighi da parte del responsabile, anche mediante audit condotti da terze parti. Un provider VDR che non concede questo diritto nel DPA non soddisfa il requisito dell'art. 28.

• Oggetto e finalità del trattamento: descrizione precisa di quali dati vengono trattati e perché
• Durata del trattamento: per quanto tempo i dati rimangono sul server del provider
• Natura del trattamento: conservazione, trasmissione, indicizzazione, backup
• Tipo di dati personali e categorie di interessati: dipendenti, controparti, consulenti, persone fisiche nei documenti caricati
• Istruzioni del titolare: il provider tratta i dati solo su istruzione documentata del titolare
• Misure di sicurezza: riferimento alle misure tecniche e organizzative adottate (cifratura, controllo accessi, audit log)
• Sub-responsabili: lista e regime di autorizzazione per i sub-processori
• Diritti degli interessati: procedure di supporto per accesso, rettifica, cancellazione
• Notifica incidenti: tempistiche e modalità di comunicazione al titolare in caso di data breach
• Cancellazione o restituzione dei dati: modalità di chiusura e tempi di eliminazione dopo la fine del rapporto
• Audit e ispezioni: diritto del titolare di verificare la conformità del responsabile

Sub-responsabili del trattamento: la catena che pochi controllano

I sub-responsabili del trattamento (in inglese sub-processors) sono i soggetti che il provider VDR ingaggia a loro volta per erogare il servizio. Non si tratta di un dettaglio tecnico: ogni sub-responsabile ha accesso, in teoria, ai dati caricati nella data room. Il titolare del trattamento ha il diritto, sancito dall'art. 28, par. 2 GDPR, di essere informato sui sub-responsabili e, in alcuni casi, di opporsi alla loro nomina.

L'art. 28, par. 2 GDPR prevede due modelli: autorizzazione generale preliminare, con obbligo per il responsabile di informare il titolare su eventuali modifiche alla lista dei sub-responsabili (aggiunta o sostituzione), lasciando al titolare la possibilità di opporsi; o autorizzazione specifica preventiva, in cui il titolare deve approvare ogni singolo sub-responsabile prima che possa accedere ai dati.

I sub-responsabili tipici di una piattaforma VDR cloud comprendono: il provider di infrastruttura cloud (es. AWS, Azure, GCP), il provider di CDN per la distribuzione dei contenuti, il sistema di pagamento (es. Stripe), il provider di email transazionale, e i sistemi di monitoraggio e logging. Un provider VDR serio pubblica questa lista in modo trasparente e la aggiorna tempestivamente in caso di modifiche. Il titolare deve conservare copia della lista come documentazione di conformità.

La verifica dei sub-responsabili è anche rilevante dal punto di vista di Schrems II: se uno dei sub-responsabili è un'azienda americana o ha sede in un paese senza decisione di adeguatezza, si apre il problema del trasferimento internazionale dei dati, anche se il server principale è in UE.

Schrems II e Clausole Contrattuali Standard: il nodo dei trasferimenti extra-UE

La sentenza Schrems II della Corte di Giustizia dell'Unione Europea (CGUE, C-311/18, luglio 2020) ha invalidato il Privacy Shield USA-UE, lo strumento che fino ad allora rendeva lecito il trasferimento di dati personali verso gli Stati Uniti. La sentenza ha chiarito che i trasferimenti verso paesi terzi sono leciti solo se accompagnati da garanzie adeguate, e che le garanzie devono essere reali, non formali: un contratto che richiama le Clausole Contrattuali Standard (CCS) non è sufficiente se, nella pratica, la normativa del paese terzo consente alle autorità governative di accedere ai dati.

Il punto critico per le VDR è il CLOUD Act americano (Clarifying Lawful Overseas Use of Data Act, 2018): consente alle autorità federali USA di richiedere a società americane l'accesso ai dati conservati all'estero, incluse le regioni EU di AWS, Azure o GCP. Un provider VDR americano con hosting in UE rimane soggetto al CLOUD Act perché la società madre è americana. I dati sono fisicamente in UE, ma giuridicamente accessibili alle autorità USA.

Le Clausole Contrattuali Standard (CCS, adottate dalla Commissione Europea con Decisione del 4 giugno 2021) sono il meccanismo principale per rendere leciti i trasferimenti verso paesi terzi in assenza di una decisione di adeguatezza. Le CCS devono essere integrate nel contratto tra titolare e responsabile quando i dati vengono trasferiti fuori dall'UE. Ma dopo Schrems II, le CCS non bastano da sole: il titolare deve condurre una valutazione del trasferimento (Transfer Impact Assessment) per verificare che la legislazione del paese di destinazione non comprometta l'effettività delle garanzie contrattuali.

La soluzione più semplice per evitare queste complicazioni è scegliere un provider VDR con hosting predefinito in UE e sede legale in Europa. In questo caso non ci sono trasferimenti extra-UE da giustificare, non servono CCS e non è necessario un Transfer Impact Assessment. Il DPA rimane obbligatorio, ma si semplifica notevolmente. Per un approfondimento sul confronto tra provider con hosting UE, si veda la scheda data room con hosting in Europa.

Scenario: Studio Legale Rinaldi e Associati

Studio Legale Rinaldi e Associati è uno studio bolognese di dieci avvocati specializzati in diritto societario e M&A. Nel primo semestre del 2026, lo studio gestisce la cessione di una PMI manifatturiera modenese a un acquirente con sede ad Amsterdam. La due diligence richiede la condivisione di circa 600 documenti riservati: bilanci certificati, contratti con dipendenti, perizie sugli impianti, accordi di fornitura con riserve di riservatezza, e corrispondenza con l'Agenzia delle Entrate.

L'avvocato dell'acquirente olandese, alla prima videocall, pone tre domande dirette: dove risiedono fisicamente i dati caricati nella data room? Il provider ha un DPA art. 28 GDPR sottoscrivibile prima dell'apertura della room? Chi sono i sub-responsabili del trattamento e sono tutti in UE? Lo studio stava usando una piattaforma di cloud sharing americana, con server dichiarati in Virginia, senza DPA disponibile in autonomia e senza lista pubblica dei sub-processori.

La soluzione adottata: migrazione in 48 ore su una VDR europea con hosting predefinito su AWS Francoforte, DPA scaricabile e firmabile digitalmente dal portale del provider, lista aggiornata dei sub-responsabili (tutti in UE), cifratura AES-256 a riposo e TLS 1.3 in transito, audit log esportabile per cartella e per utente. Il DPO dell'acquirente olandese riceve la documentazione completa entro la stessa giornata: DPA firmato, lista sub-processori, politica di notifica incidenti, e certificazione hosting UE. La data room viene aperta tre giorni dopo. Il processo di due diligence non subisce ritardi.

Il costo della soluzione: 99 euro al mese, piano Data Rooms, con accesso illimitato alle funzionalità e nessun vincolo di durata contrattuale minima. Il costo della non conformità, in termini di ritardi nella transazione e rischio reputazionale per lo studio, sarebbe stato incomparabilmente maggiore.

Errori comuni nella gestione GDPR di una data room

Non richiedere il DPA prima di aprire la data room. Il titolare del trattamento è obbligato a stipulare il DPA con il provider prima che inizi qualsiasi trattamento di dati personali. Aprire una data room con documenti che contengono dati personali senza DPA firmato è una violazione dell'art. 28 GDPR, indipendentemente dall'assenza di incidenti. Il Garante italiano, nei propri provvedimenti, ha sanzionato questa omissione anche in contesti aziendali non ad alto rischio.

Confondere hosting in UE con assenza di sub-responsabili extra-UE. Il fatto che il provider VDR abbia il server in Germania o Irlanda non garantisce che tutti i suoi sub-responsabili siano in UE. Se il provider usa un sistema di email transazionale americano o un CDN globale senza garanzie geografiche, i dati possono transitare fuori dall'UE anche se il dato principale è in Europa. Verificare la lista dei sub-processori e la loro localizzazione è un passaggio necessario, non opzionale.

Trattare il DPA come un adempimento una-tantum. Il DPA deve essere aggiornato ogni volta che cambia in modo significativo la natura del trattamento o che il provider modifica la propria lista di sub-responsabili. Se il provider notifica l'aggiunta di un nuovo sub-responsabile e il titolare non replica entro i termini previsti, il consenso si considera tacitamente dato secondo i modelli di autorizzazione generale. Ma il titolare deve comunque registrare questa modifica nella propria documentazione di conformità.

Dimenticare la notifica del data breach al Garante. L'art. 33 GDPR impone al titolare di notificare al Garante una violazione dei dati personali entro 72 ore dalla conoscenza, salvo che essa sia improbabile comporti un rischio per i diritti e le libertà delle persone fisiche. Il provider VDR ha l'obbligo contrattuale (nel DPA) di notificare al titolare qualsiasi violazione senza ingiustificato ritardo. Ma la notifica al Garante è responsabilità del titolare, non del provider. Molte organizzazioni non hanno ancora definito la procedura interna di escalation.

Non considerare i dati dei visitatori della data room come dati personali. I log di accesso generati dalla VDR contengono dati personali: nome, email, timestamp, indirizzo IP dei visitatori. Anche questi dati sono soggetti al GDPR e rientrano nel DPA. La retention di questi log deve essere definita contrattualmente, e i visitatori devono essere informati del trattamento attraverso un'informativa privacy al momento dell'accesso alla data room.

Il DPA con il provider VDR è obbligatorio anche per una singola data room di breve durata?

Sì. L'obbligo del DPA ai sensi dell'art. 28 GDPR dipende dalla natura del trattamento (presenza di dati personali di soggetti UE), non dalla sua durata. Una data room aperta per una settimana con documenti che contengono dati personali richiede un DPA valido. L'unica eccezione è quando i documenti caricati non contengono alcun dato personale, circostanza rara nella pratica.

Cosa rischio se non ho un DPA con il provider VDR?

L'assenza di DPA è una violazione diretta dell'art. 28 GDPR. Il Garante per la protezione dei dati personali può comminare sanzioni fino a €10.000.000 o al 2% del fatturato mondiale annuo per le violazioni degli obblighi del responsabile del trattamento. In aggiunta, in caso di data breach, l'assenza di DPA aggrava la posizione del titolare nelle procedure sanzionatorie. Il rischio non è teorico: il Garante italiano ha già emesso provvedimenti su questa specifica violazione.

Un provider VDR americano con hosting in Europa è GDPR-conforme?

Con riserve. Il provider può essere conforme sul fronte tecnico (hosting in UE, DPA disponibile, cifratura) ma rimane soggetto al CLOUD Act americano, che consente alle autorità USA di richiedere l'accesso ai dati conservati all'estero da aziende americane. Per la maggior parte dei deal commerciali ordinari il rischio è remoto. Per operazioni particolarmente sensibili o per organizzazioni regolate (banche, PA, settore difesa), un provider europeo puro elimina strutturalmente questa esposizione.

Cosa sono le Clausole Contrattuali Standard (CCS) e quando servono?

Le CCS sono clausole standard adottate dalla Commissione Europea (Decisione del 4 giugno 2021) per rendere leciti i trasferimenti di dati personali verso paesi terzi in assenza di una decisione di adeguatezza. Sono necessarie quando il provider VDR ha sub-responsabili in paesi extra-UE o quando la sede del provider è fuori dall'UE. Dopo la sentenza Schrems II, le CCS devono essere accompagnate da una Transfer Impact Assessment per verificare che la normativa del paese di destinazione non vanifichi le garanzie contrattuali.

Quanti sub-responsabili ha tipicamente un provider VDR cloud?

Un provider VDR cloud medio ha tra 5 e 15 sub-responsabili: il provider di infrastruttura cloud (il principale, es. AWS o Azure), il sistema di CDN, il provider di email transazionale, il sistema di pagamento, i servizi di monitoraggio e logging, e talvolta servizi di supporto o CRM. La lista deve essere pubblica e aggiornata. Se un provider non la pubblica, è un segnale di attenzione sul livello di trasparenza GDPR.

Come si gestisce la cancellazione dei dati al termine di una data room?

Il DPA deve specificare cosa accade ai dati al termine del rapporto contrattuale: cancellazione entro un termine definito, o restituzione al titolare con successiva cancellazione dal server del provider. Il titolare deve poter richiedere un certificato di cancellazione o una conferma scritta. Prima di chiudere una data room, è buona pratica esportare l'audit log completo e conservarlo in archivio sicuro per i termini di conservazione previsti dalla legge.

Papermark soddisfa i requisiti GDPR per una data room con hosting UE?

Papermark ha sede legale a Berlino, ospita i dati su AWS Francoforte (eu-central-1) di default, pubblica la lista aggiornata dei sub-responsabili del trattamento, rende disponibile il DPA conforme all'art. 28 GDPR direttamente dal portale del cliente, implementa la cifratura AES-256 a riposo e TLS 1.3 in transito, e fornisce un audit log esportabile per ogni data room. Il DPA non richiede negoziazione: è disponibile on-demand e firmabile digitalmente. Per il mercato italiano, la combinazione hosting UE, DPA senza attesa, prezzi trasparenti e data room illimitate dal piano Data Rooms (€99/mese) lo rende la scelta editoriale di SaleDati per operazioni che richiedono conformità GDPR documentabile.

Come si collega il GDPR a DORA e NIS2 per le organizzazioni italiane?

GDPR, DORA e NIS2 si sovrappongono largamente sul fronte dei controlli tecnici (cifratura, audit log, gestione incidenti, valutazione dei fornitori), ma hanno ambiti di applicazione distinti. Il GDPR riguarda il trattamento dei dati personali e si applica a qualsiasi organizzazione. DORA (Regolamento UE 2022/2554) si applica agli enti finanziari e ai loro fornitori IKT. NIS2 (D.Lgs. 138/2024) si applica agli operatori di settori essenziali e importanti. Per un'organizzazione soggetta a tutti e tre i regimi, una VDR con hosting UE, DPA valido e audit log esportabile soddisfa requisiti comuni a tutti.