Hosting sotto attacco GDPR: le multe arrivano dritte a te nel 2025
Il Cambiamento che Nessuno Si Aspettava (Ma Era Ovvio)
Se gestisci un hosting managed, elabori dati di clienti in UE o offri piattaforme per servizi dati, ferma tutto e leggi bene. L'idea che la responsabilità GDPR ricada solo sui tuoi clienti? Finita.
Per i primi sette anni di GDPR, dal 2018 al 2024, il copione era sempre lo stesso: multe alle aziende che gestivano il rapporto con gli utenti. Hosting provider, cloud e infrastruttura? Citati nelle indagini, ma il colpo arrivava altrove.
Nel 2025 tutto è cambiato. Due decisioni delle autorità lo dimostrano. E ogni manager di hosting dovrebbe perdere il sonno per questo.
Caso Uno: Il Guasto Sicurezza NHS da 3,07 Milioni di Sterline
A marzo 2025, l'ICO britannico ha fatto storia: multa diretta a un processore di dati.
Advanced Computer Software Group fornisce IT al Servizio Sanitario Nazionale UK. Ad agosto 2022, un ransomware entra da un account cliente senza MFA. Risultato: cartelle cliniche di quasi 900 pazienti a domicilio, più dati di 82.946 persone.
Il punto chiave: la multa è arrivata perché non hanno protetto i dati come previsto dal contratto.
L'indagine ICO ha evidenziato i buchi:
- Assenza di MFA su sistemi con dati sanitari
- Nessuna scansione vulnerabilità completa
- Patch management scarso
Pena iniziale: 6,1 milioni di sterline. Ridotta a 3,07 milioni per accordo. Messaggio chiaro: l'articolo 32 del UK GDPR impone misure tecniche e organizzative adeguate. Se elabori dati per contratto, le metti in atto tu. Punto.
Non ha pagato l'NHS. Ha pagato il processore.
Caso Due: La Trappola della Conservazione Dati da 1 Milione di Euro
Cinque mesi dopo, la CNIL francese colpisce Mobius Solutions, SaaS britannico che gestiva dati pubblicitari per Deezer.
Fine contratto? Mobius tiene i dati. Peggio: li usa per migliorare il suo servizio senza permesso.
Tre violazioni:
- Conservazione post-contratto (articolo 28(3)(g))
- Elaborazione oltre istruzioni del controller (articolo 28(3)(a))
- Mancanza registri elaborazione (articolo 30)
Multa: 1 milione di euro.
Per gli hosting, conta il volume: 46 milioni di record utenti Deezer. Mobius senza sede UE, giurisdizione CNIL diretta, senza scappatoie. Tre anni di indagini, da novembre 2022 a dicembre 2025, fine al processore.
Perché Colpisce il Tuo Business Hosting
Non casi isolati. Precedenti. Ecco cosa fissano:
Rispondi tu delle tue sicurezze. Il DPA sposta obblighi contrattuali, non rischi regolatori. Se non applichi controlli tecnici adeguati, multa diretta a te.
Cancellazione dati obbligatoria. Contratto finito? Elimina tutto come pattuito. Tenerli "per sicurezza" o per i tuoi scopi porta multe. Mobius lo conferma: zona grigia zero.
Standard sicurezza imprescindibili. MFA, gestione vulnerabilità, patch, controlli accesso: nel 2025 non opzionali. Audit li scova, regolatori multano.
Documentazione: salvezza o condanna. Mancati registri su Mobius? Violazione extra. Log elaborazioni, audit tecnici, incidenti sicurezza, policy retention: prove in indagini. Senza, presunti non conformi.
Azioni Immediate per il Tuo Hosting
Piattaforma hosting, servizi managed o SaaS con dati UE? Ecco la lista:
Controlla l'architettura sicurezza. MFA, encryption, segmentazione rete, scansioni vulnerabilità: attivi su tutti i sistemi con dati personali? Altrimenti, rischi alti.
Verifica retention dati. Fine contratto: l'automazione cancella davvero? O resta nei backup? Definisci e applica periodi retention.
Rafforza i DPA. Specifica obblighi sicurezza, procedure cancellazione, diritti audit. Niente vaghezze.
Logging e monitoring totali. Dimostra cosa elabori, chi accede, come proteggi. È la tua difesa.
Valuta cyber insurance. Multe GDPR serie. Non copre tutto, ma fa parte del risk management.
Consulta legali. Precedenti freschi. Servono esperti su tech e norme del 2025.
La Verità Scomoda
Le norme rendevano i processori responsabili dal 2018. Regolatori puntavano ai controller: bersagli facili.
Nel 2025 hanno cambiato rotta. Colpiscono chi tiene e protegge i dati. Lo fanno.
Advanced e Mobius aprono la strada. Non saranno gli ultimi. Ogni hosting, SaaS, cloud con dati UE è nel mirino.
Non si tratta se arriveranno. Lo hanno fatto. Si tratta se sei pronto.
Da NameOcean, Vibe Hosting nasce con architettura compliance-first. Ma la conformità non si compra: si costruisce in infra, documenti e operazioni.
Muoviti ora. Il precedente c'è.