Indice dei contenuti dell'articolo:
Affidare lo sviluppo, la manutenzione o l’amministrazione di un sito web a un freelance extra ue. indiano, pakistano (e non solo) trovato su una piattaforma internazionale come Fiver ad esempio, può sembrare una scelta economicamente conveniente. Il preventivo è basso, il professionista dichiara di essere immediatamente disponibile e, almeno sulla carta, il lavoro appare semplice: correggere un problema, installare un plugin, modificare il tema, ottimizzare il database o intervenire sul server.
Il problema nasce quando quel sito non è una semplice pagina vetrina, ma un sistema collegato a database, ordini, account clienti, ticket di assistenza, documenti, dati sanitari, informazioni finanziarie o credenziali di accesso. In quel momento non si sta più acquistando soltanto qualche ora di programmazione. Si sta affidando a un soggetto esterno la possibilità di accedere a dati personali, infrastrutture e segreti aziendali.
Quando il collaboratore opera dall’India, dal Pakistan o da un altro Paese esterno allo Spazio economico europeo, entrano inoltre in gioco le regole sui trasferimenti internazionali di dati. Il risparmio iniziale deve quindi essere confrontato con costi, responsabilità e rischi che molte aziende scoprono soltanto dopo un incidente.
Il problema non è la nazionalità del tecnico
È importante chiarire subito un punto: non è corretto valutare la competenza o l’affidabilità di un professionista sulla base della sua nazionalità. In India, Pakistan e in molti altri Paesi operano tecnici estremamente qualificati, società strutturate e professionisti capaci di offrire servizi di alto livello.
Il problema riguarda il modello di affidamento. Un conto è stipulare un contratto con un fornitore identificato, verificato, assicurato, organizzato e in grado di fornire garanzie tecniche e giuridiche. Un altro conto è consegnare le credenziali di produzione a un profilo trovato su una piattaforma generalista, scelto quasi esclusivamente per il prezzo e del quale non si conoscono struttura, collaboratori, sede effettiva, procedure di sicurezza e catena dei subfornitori.
La questione, quindi, non è “italiano contro straniero”. La vera contrapposizione è tra fornitura professionale governata e outsourcing improvvisato senza garanzie verificabili.
Un server in Europa non impedisce il trasferimento dei dati
Uno degli errori più comuni consiste nel pensare che non vi sia alcun trasferimento internazionale perché il server e il database rimangono fisicamente in Europa.
In realtà, quando un’azienda europea rende i dati disponibili a un soggetto distinto che opera da un Paese terzo, l’accesso remoto può rientrare nel Capitolo V del GDPR. Non è necessario che il freelance scarichi l’intero database sul proprio computer. Può essere sufficiente che sia tecnicamente in grado di visualizzare, consultare, copiare, modificare o estrarre le informazioni.
Un accesso tramite SSH, pannello di hosting, phpMyAdmin, WordPress, CRM, software di ticketing o desktop remoto può quindi comportare un trasferimento di dati verso un Paese terzo.
Neppure l’utilizzo di una VPN europea modifica automaticamente questa conclusione. La VPN protegge il canale di comunicazione e può ridurre alcuni rischi tecnici, ma il soggetto continua ad accedere ai dati da una giurisdizione esterna allo Spazio economico europeo.
India e Pakistan non sono Paesi destinatari di una decisione di adeguatezza
Alla data del 20 luglio 2026, né l’India né il Pakistan figurano tra i Paesi per i quali la Commissione europea ha adottato una decisione generale di adeguatezza ai sensi dell’articolo 45 del GDPR.
Questo significa che i dati personali non possono essere resi accessibili a un fornitore situato in tali Paesi con la stessa semplicità con cui vengono condivisi con un fornitore stabilito in Italia, Germania, Francia o in un altro Paese dello Spazio economico europeo.
L’assenza di una decisione di adeguatezza non rende automaticamente vietato il rapporto. Impone però all’azienda europea di individuare uno strumento giuridico valido, verificare le condizioni concrete del trasferimento e adottare eventuali misure supplementari.
Nella maggior parte degli affidamenti a un fornitore esterno, lo strumento utilizzato è costituito dalle Clausole Contrattuali Standard europee, comunemente indicate con l’acronimo SCC. Nel caso tipico di un’azienda europea che affida attività tecniche a un freelance extra-UE, può risultare applicabile il modulo titolare-responsabile.
La nomina a responsabile del trattamento non è una formalità
Quando il freelance o la società estera tratta i dati seguendo le istruzioni dell’azienda europea, assume normalmente il ruolo di responsabile del trattamento. Il rapporto deve quindi essere disciplinato secondo l’articolo 28 del GDPR.
Il contratto deve indicare concretamente:
- l’oggetto, la durata e le finalità del trattamento;
- le categorie di dati e di interessati coinvolti;
- gli obblighi di riservatezza del personale autorizzato;
- le misure tecniche e organizzative applicate;
- le procedure per la gestione di incidenti e violazioni dei dati;
- le condizioni per l’impiego di altri collaboratori o sub-responsabili;
- le modalità di restituzione o cancellazione dei dati al termine dell’incarico;
- i diritti di controllo, verifica e audit del titolare.
Un accordo di riservatezza generico non sostituisce la nomina a responsabile. Non la sostituiscono neppure una fattura, una conversazione via chat o l’accettazione dei termini standard della piattaforma utilizzata per trovare il professionista.
Occorre sapere chi tratta realmente i dati. Il nome mostrato sul profilo potrebbe non coincidere con il soggetto contrattuale, con la persona che esegue materialmente il lavoro o con gli eventuali collaboratori ai quali vengono inoltrate le credenziali.
Le condizioni della piattaforma non sostituiscono gli obblighi GDPR
Piattaforme come Fiverr e altri marketplace possono essere utili per trovare competenze specialistiche, ma il sistema di recensioni non è una verifica GDPR. Un elevato numero di valutazioni positive può indicare che molti clienti sono rimasti soddisfatti del lavoro, ma non dimostra che il fornitore disponga di procedure di sicurezza, continuità operativa, gestione degli incidenti, controllo degli accessi e cancellazione certificata dei dati.
La piattaforma potrebbe inoltre diventare parte della catena di trattamento quando viene utilizzata per inviare screenshot, file di configurazione, esportazioni del database, ticket, documenti o credenziali. Anche la collocazione dei sistemi della piattaforma e il ruolo dei suoi eventuali fornitori devono essere considerati.
La reputazione commerciale non equivale a una garanzia legale e tecnica. Un rating non identifica necessariamente tutti i soggetti che accederanno ai dati, non attribuisce diritti di audit e non garantisce la possibilità concreta di ottenere assistenza o risarcimento in caso di violazione.
Le SCC devono essere compilate e applicate realmente
Le Clausole Contrattuali Standard non sono un PDF da archiviare dopo aver inserito il nome del fornitore. Devono essere integrate nel rapporto contrattuale e accompagnate da allegati che descrivano in modo preciso il trattamento.
Devono essere indicati i sistemi interessati, le categorie di dati, le finalità dell’accesso, le misure di sicurezza, la durata, i destinatari, gli eventuali sub-responsabili e le modalità con cui il fornitore risponderà alle richieste dell’azienda europea.
Le SCC attribuiscono inoltre obblighi concreti al destinatario dei dati. Il fornitore deve essere in grado di comprendere e rispettare tali obblighi. Firmare clausole che non verranno applicate nella pratica non rende il trasferimento conforme.
Questo è uno dei punti deboli del freelance scelto soltanto sulla base del prezzo. Un professionista potrebbe essere tecnicamente competente, ma non avere alcuna struttura legale, procedura documentata o capacità organizzativa per rispettare gli impegni richiesti dalle clausole europee.
SCC e contratto non sono sufficienti senza una valutazione del trasferimento
Dopo la sentenza Schrems II e le raccomandazioni dell’European Data Protection Board, l’azienda esportatrice deve valutare se lo strumento utilizzato garantisca, nel caso concreto, un livello di protezione sostanzialmente equivalente a quello richiesto nell’Unione europea.
Questa analisi viene comunemente chiamata Transfer Impact Assessment, o TIA. Deve considerare la legislazione e le prassi del Paese destinatario, i possibili poteri di accesso delle autorità, la natura dei dati, il settore, le modalità tecniche del trattamento e la capacità effettiva del fornitore di rispettare le clausole.
Non esiste una risposta identica per qualsiasi progetto. L’accesso occasionale a un ambiente di test contenente dati sintetici presenta un rischio diverso rispetto all’amministrazione continuativa di un portale sanitario con migliaia di cartelle cliniche.
Quando la protezione contrattuale non è sufficiente, devono essere valutate misure supplementari tecniche e organizzative. Se tali misure non consentono di ottenere un livello di protezione adeguato, il trasferimento non dovrebbe essere autorizzato.
I cosiddetti dati sensibili richiedono cautele ancora maggiori
Nel linguaggio comune si parla spesso di “dati sensibili”. Il GDPR utilizza l’espressione categorie particolari di dati personali, comprendendo, tra gli altri, dati relativi alla salute, dati genetici o biometrici, origine etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita sessuale e orientamento sessuale.
Un sito di una struttura sanitaria, di uno psicologo, di un laboratorio, di un’associazione sindacale o di un’organizzazione politica può quindi trattare informazioni particolarmente delicate.
Altri dati, come indirizzi, ordini, fatture, email, ticket, indirizzi IP e informazioni relative ai pagamenti, non rientrano necessariamente nell’articolo 9, ma rimangono dati personali. Credenziali, chiavi private, token API e password richiedono inoltre protezioni elevate perché possono consentire l’accesso a interi sistemi aziendali.
Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, occorre valutare la necessità di una DPIA, la valutazione d’impatto sulla protezione dei dati. Il trattamento su larga scala di categorie particolari costituisce uno dei casi espressamente considerati dall’articolo 35 del GDPR.
L’accesso amministrativo comporta obblighi ulteriori in Italia
Quando al collaboratore vengono attribuiti privilegi da amministratore di server, database, rete o applicazione, devono essere considerate anche le prescrizioni italiane relative agli amministratori di sistema.
Il soggetto deve essere identificato nominativamente e le sue funzioni devono essere definite in modo analitico. Nel caso di servizi affidati in outsourcing, il titolare o il responsabile deve conservare gli estremi identificativi delle persone fisiche che svolgono effettivamente tali attività.
L’operato degli amministratori deve essere verificato con cadenza almeno annuale. Gli accessi logici devono essere registrati mediante log completi, integri e verificabili, da conservare per un periodo non inferiore a sei mesi.
Consegnare una password amministrativa condivisa a uno username sconosciuto rende difficile, se non impossibile, ricostruire chi abbia effettuato una determinata operazione. In caso di cancellazione di dati, installazione di malware o esportazione del database, l’azienda potrebbe non disporre delle informazioni necessarie per comprendere l’accaduto.
Le misure tecniche minime per un accesso esterno
L’accesso diretto e illimitato alla produzione dovrebbe essere l’ultima opzione, non il punto di partenza. Una configurazione ragionevole dovrebbe privilegiare:
- un ambiente di staging contenente dati anonimi, pseudonimizzati o sintetici;
- account nominativi con privilegi minimi e durata limitata;
- autenticazione a più fattori, VPN e sistemi bastion host;
- registrazione delle sessioni e degli accessi amministrativi;
- separazione tra codice, database, backup e segreti applicativi;
- revoca immediata delle autorizzazioni al termine dell’attività;
- procedure formali per incidenti, esportazioni e trasferimenti di file.
Quando possibile, il tecnico dovrebbe lavorare sul codice senza accedere ai dati reali. Un bug di layout, una modifica CSS o l’aggiornamento di una funzione PHP non richiedono normalmente la consultazione dell’anagrafica clienti.
Il principio deve essere semplice: nessun dato personale deve essere accessibile soltanto perché potrebbe essere utile. L’accesso deve essere necessario, proporzionato e documentato.
Il vero costo del freelance economico
Il prezzo orario è soltanto una parte del costo. Per utilizzare legittimamente un fornitore extra-UE possono essere necessari attività di due diligence, contratti, SCC, TIA, verifiche tecniche, monitoraggio, logging, gestione degli account, controllo dei subfornitori e supporto legale.
Se tutto questo non viene fatto, il costo non scompare. Viene semplicemente trasformato in rischio.
Un incidente può comportare fermo del sito, perdita di dati, ripristino dei backup, analisi forense, comunicazioni ai clienti, notifiche al Garante, controversie contrattuali e danni reputazionali. In alcuni casi l’azienda potrebbe dover notificare una violazione all’autorità di controllo entro 72 ore dal momento in cui ne è venuta a conoscenza.
Alle conseguenze operative si aggiungono quelle economiche e legali. Per le violazioni più gravi, il GDPR prevede sanzioni amministrative fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore.
La responsabilità non viene trasferita insieme alle credenziali. Il titolare europeo deve scegliere responsabili che presentino garanzie sufficienti e deve essere in grado di dimostrare le verifiche compiute. Anche il responsabile possiede obblighi propri, ma l’azienda committente non può difendersi sostenendo di non sapere dove o da chi venissero trattati i dati.
Quando un fornitore extra-UE può essere utilizzato legittimamente
L’outsourcing internazionale non è vietato. Può essere una scelta valida quando il fornitore possiede competenze specialistiche, identità verificabile, struttura organizzativa, procedure di sicurezza, contratti adeguati e capacità di rispettare gli obblighi assunti.
Prima dell’affidamento, l’azienda dovrebbe almeno verificare:
- l’identità e la sede legale del soggetto contrattuale;
- chi eseguirà materialmente il lavoro e da quali Paesi;
- l’eventuale presenza di sub-responsabili;
- le misure di sicurezza e le procedure di gestione degli incidenti;
- la disponibilità a sottoscrivere nomina, SCC e allegati tecnici;
- la possibilità di effettuare controlli e ottenere documentazione;
- le modalità di cancellazione dei dati e revoca degli accessi.
Se il professionista rifiuta di identificarsi, non vuole indicare i collaboratori, utilizza account condivisi o chiede di ricevere il database reale tramite una chat, il prezzo basso non dovrebbe essere considerato un vantaggio. È un segnale di rischio.
La sistemistica professionale non si acquista scegliendo soltanto il prezzo più basso
Un sito aziendale non è un insieme isolato di pagine. È parte dell’infrastruttura informatica dell’organizzazione. Può contenere dati personali, segreti commerciali, credenziali, integrazioni con gestionali, gateway di pagamento e servizi esterni.
Per questo la manutenzione sistemistica dovrebbe essere affidata a un interlocutore identificabile, contrattualmente responsabile e in grado di documentare le attività svolte. La vicinanza geografica non garantisce automaticamente la qualità, ma un rapporto con un fornitore italiano o europeo può semplificare la giurisdizione applicabile, la gestione contrattuale, gli audit e il trattamento dei dati all’interno dello Spazio economico europeo.
Il criterio corretto non è scegliere il tecnico più vicino o quello più economico. È scegliere il fornitore che offra competenza, continuità, tracciabilità e garanzie verificabili.
Conclusione
Affidare un sito contenente dati personali a un freelance situato in India, Pakistan o in un altro Paese extra-SEE può essere legittimo, ma non può essere trattato come un semplice acquisto occasionale su Internet.
L’azienda europea deve conoscere il soggetto che accederà ai dati, definirne il ruolo, regolare il rapporto ai sensi dell’articolo 28, individuare una base valida per il trasferimento, predisporre le SCC quando applicabili, valutare il contesto del Paese terzo e adottare misure tecniche proporzionate.
Soprattutto, deve evitare l’errore di confondere un prezzo basso con un rischio basso. In ambito hosting e sistemistico, il professionista non interviene soltanto su un tema grafico: può trovarsi nelle condizioni di leggere, modificare, esportare o cancellare il patrimonio informativo dell’azienda.
Prima di consegnare accessi amministrativi, database e credenziali, è quindi opportuno chiedersi non soltanto quanto costa il lavoro, ma anche chi risponderà in caso di problema, quali controlli saranno disponibili e dove finiranno realmente i dati.
Per le aziende che gestiscono siti, ecommerce, applicazioni e database con dati personali, confrontarsi con un partner sistemistico strutturato come Managed Server S.r.l. consente di affrontare il progetto partendo da infrastruttura, sicurezza, tracciamento degli accessi e corretta delimitazione delle responsabilità, anziché intervenire soltanto quando il problema si è già verificato.
