Quanto si possono conservare le email dei dipendenti: cosa insegna la sanzione da 460.000 euro

Il 18 giugno 2026 il Garante per la protezione dei dati personali ha sanzionato Piaggio & C. S.p.A. per 460.000 euro. L’azienda aveva estratto dalle caselle di posta aziendale di due ex dipendenti 112 email complessive, nell’ambito di un’indagine interna avviata dopo alcune contestazioni disciplinari.

Il dettaglio che rende questo provvedimento rilevante per chiunque amministri la posta aziendale non è l’accesso in sé. È questo passaggio:

i dati acquisiti dalla Società siano cronologicamente precedenti all’insorgere del sospetto dell’illecito compiuto

Alcune di quelle email risalivano a circa due anni prima che il sospetto nascesse. Ed erano recuperabili per una ragione sola: erano ancora lì.

È la configurazione della conservazione ad aver creato l’esposizione, non la decisione di accedere. Ed è una configurazione che si decide una volta, spesso anni prima, spesso senza pensarci — e che quasi nessuno rivede.

Cosa è stato contestato

Il provvedimento (n. 476 del 18 giugno 2026) nasce dai reclami di due ex dipendenti. Le email — 18 per una posizione, transitate fra novembre 2020 e gennaio 2022, e 94 per l’altra, da aprile 2020 — sono state estratte manualmente dalla funzione ICT tramite parole chiave e filtri, e comprendevano corrispondenza personale con terzi.

Le violazioni accertate sono tre gruppi distinti, e vale la pena tenerli separati perché si risolvono in modo diverso:

1. Conservazione eccessiva di email e log — art. 5, par. 1, lett. e) del GDPR, oltre alle contestazioni su liceità, limitazione della finalità e minimizzazione.
2. Informativa inadeguata: mancava l’indicazione delle finalità della conservazione, della base giuridica e dei periodi di conservazione per categoria di dato. Una policy che si limita a dire che i dipendenti “non devono avere aspettativa di confidenzialità” non basta.
3. Mancata risposta alle richieste degli interessati — artt. 12, par. 3, e 17. Due richieste sulla disattivazione degli account, del 23 aprile e del 31 maggio 2023, sono rimaste senza risposta nel termine di 30 giorni.

Il quadro normativo richiamato include anche l’art. 114 del Codice privacy, che porta con sé le garanzie dell’art. 4 della legge 300/1970 sul controllo a distanza.

I due numeri che riguardano tutti

Qui sta la parte trasferibile. Il provvedimento fotografa i tempi di conservazione che l’azienda applicava, e quelli che ha adottato durante il procedimento — modifica che il Garante ha valutato favorevolmente.

Cinque anni dopo l’uscita di una persona non è una scelta esotica: è quello che accade da sé quando si attiva un blocco su una casella e non si specifica una durata. Ed è la ragione per cui questo provvedimento va letto come un problema di configurazione, non di condotta.

⚠️ Attenzione a non leggere “3 mesi” come una soglia di legge. Non lo è: non esiste un termine fissato dalla norma, il criterio resta la necessità rispetto alla finalità dichiarata. Ma è un termine che un’autorità ha esaminato senza contestarlo, e come riferimento pratico vale più di una stima.

La regola dei 21 giorni: cosa copre davvero

I 21 giorni vengono citati spesso e quasi sempre in modo impreciso. Vengono dal documento di indirizzo del Garante del 6 giugno 2024 sui programmi di gestione della posta elettronica nel contesto lavorativo, e riguardano i metadati: mittente e destinatario, indirizzi IP di server e client, orari di invio e ricezione, dimensione del messaggio, presenza e dimensione degli allegati, oggetto.

Due precisazioni che cambiano l’applicazione pratica:

• Non riguardano il contenuto dei messaggi nella casella dell’utente, che resta sotto il controllo di quest’ultimo e non è soggetto a quel limite.
• Non sono un divieto assoluto. Una conservazione sensibilmente più lunga è ammessa dove circostanze particolari la rendano necessaria, dimostrandolo in applicazione del principio di accountability. Dove però il prolungamento rende lo strumento un mezzo di controllo a distanza, si rientra nella procedura dell’art. 4 della legge 300/1970: accordo sindacale o autorizzazione.

La distinzione fra metadati e contenuto non è netta come sembra, e il documento lo dice esplicitamente: le informazioni dell’envelope, pur essendo metadati registrati automaticamente nei log, sono inscindibili dal messaggio di cui fanno parte integrante.

Le impostazioni di Microsoft 365 che decidono la vostra esposizione

Il provvedimento non indica quale piattaforma usasse l’azienda, e non è rilevante: la contestazione riguarda i tempi, non il prodotto. Quello che segue è la nostra traduzione di quei tempi nelle impostazioni che li producono su Microsoft 365 — perché è lì che le PMI italiane hanno la posta, ed è lì che va guardato.

1. Litigation hold — la conservazione illimitata e invisibile

È l’impostazione che merita il primo controllo, per tre motivi documentati da Microsoft:

• Conserva tutto il contenuto della casella, compresi gli elementi eliminati definitivamente e le versioni originali di quelli modificati. Il blocco si estende anche all’archivio, se attivo.
• Se si attiva senza specificare una durata, la proprietà LitigationHoldDuration assume il valore Unlimited e gli elementi non vengono mai eliminati.
• Se i campi Note e URL restano vuoti, l’utente non viene informato che la sua casella è sotto blocco.

Messe insieme: una casella di spunta produce una conservazione integrale, potenzialmente illimitata e non comunicata all’interessato. Nessuna di queste tre cose è un difetto del prodotto — sono comportamenti corretti per la finalità eDiscovery per cui la funzione esiste. Diventano un problema quando la funzione è attiva su caselle per cui nessuno ha mai dichiarato quella finalità.

2. Criteri di conservazione e caselle inattive

I criteri di conservazione di Microsoft Purview determinano per quanto tempo il contenuto sopravvive, e sono la leva su cui si scrive il periodo che si è dichiarato nell’informativa. Il punto critico è la cessazione del rapporto: una casella sotto blocco a cui viene rimossa la licenza non scompare — il contenuto resta conservato per la durata del blocco. È il meccanismo tecnico che produce il ”+ 5 anni” della tabella sopra, ed è la ragione per cui la conservazione post-cessazione va decisa esplicitamente e non lasciata come effetto collaterale di una procedura di offboarding.

3. Audit log e message trace — dove il limite non è vostro

Qui c’è un vincolo che va detto chiaramente, perché cambia la conclusione:

Le opzioni da 7 e 30 giorni delle audit log retention policy richiedono Microsoft 365 E5. Su Business Premium — cioè sul piano su cui sta la maggior parte delle PMI italiane — la soglia dei 21 giorni non è tecnicamente raggiungibile su questi registri.

La conseguenza è controintuitiva ma importante: per una PMI su Business Premium, la strada dell’accountability non è un’alternativa, è l’unica disponibile. Bisogna saper dire perché quel periodo è necessario, non promettere di scendere sotto una soglia che la piattaforma non consente. Questo è un ragionamento nostro sull’incrocio fra le due cose, non una posizione che il Garante abbia espresso su Microsoft 365.

Conservare tutto non è la posizione prudente

L’obiezione più comune, quando si propone di ridurre i tempi, è che i dati servono a difendersi. L’azienda l’ha sostenuta: la cancellazione avrebbe compromesso la difesa nei contenziosi di lavoro in corso.

Il Garante ha comunque disposto il divieto di accesso al contenuto dei dati raccolti e conservati sui sistemi aziendali relativi alla posta elettronica. Le eccezioni ai diritti degli interessati esistono — artt. 2-undecies del Codice e 23 del GDPR — ma richiedono una comunicazione motivata e resa senza ritardo all’interessato, che non è mai stata fatta.

Il risultato netto: la conservazione prolungata ha prodotto la sanzione, e i dati sono stati comunque resi inutilizzabili. Ha aggiunto rischio senza aggiungere tutela. È il motivo per cui “nel dubbio teniamo tutto” non è una posizione conservativa: è una posizione, e va difesa come tutte le altre.

La contestazione che non riguarda la retention

Il terzo gruppo di violazioni è di natura diversa e più semplice da evitare: due richieste sulla disattivazione degli account sono rimaste senza risposta. Non citavano il GDPR — arrivavano dentro lettere di impugnazione e una PEC — e questo è esattamente il punto: una richiesta non deve qualificarsi per essere valida, e l’assenza dell’indicazione della base giuridica non è motivo per non rispondere.

Nella pratica di una PMI questo si traduce in due cose:

• Chi riceve la PEC deve saper riconoscere un esercizio di diritti quando arriva dentro una comunicazione legale, dove nessuno lo cerca.
• La disattivazione dell’account deve essere una procedura, con una data. Se esiste come passo tracciato dell’offboarding, la risposta è un fatto; se dipende da chi si ricorda di farlo, non è dimostrabile.

Cosa fare, in ordine

1. Fotografare la configurazione attuale, in sola lettura: criteri di conservazione attivi su Exchange e relative durate, caselle con litigation hold e valore di LitigationHoldDuration, caselle inattive e da quando, audit log retention policy esistenti. Prima di decidere qualsiasi cosa, bisogna sapere cosa c’è.
2. Individuare i blocchi senza durata. Ogni Unlimited è una conservazione illimitata: va confermata con una finalità dichiarata, o va sostituita con una durata.
3. Decidere il periodo post-cessazione e scriverlo. È la voce che nel provvedimento ha pesato più di tutte.
4. Allineare l’informativa a quei numeri: finalità, base giuridica e periodo per categoria di dato. Un periodo corretto ma non dichiarato resta una violazione dell’art. 13. Il registro dei trattamenti è il posto dove questa coerenza diventa verificabile.
5. Documentare la giustificazione per i registri che restano sopra i 21 giorni, indicando anche il vincolo di piano dove esiste.
6. Rendere la disattivazione dell’account un passo tracciato dell’offboarding, con una data.
7. Definire chi autorizza un accesso e a quali condizioni: preventivamente, per iscritto, e limitato al perimetro temporale del fatto da verificare. La gradualità è ciò che distingue una verifica da un controllo di massa.

I punti 1 e 2 si fanno in un’ora e non richiedono alcuna decisione: sono lettura. Sono anche quelli che nella nostra esperienza cambiano il quadro più spesso, perché il litigation hold attivato “per sicurezza” durante una migrazione è una delle cose più comuni che si trovano in un tenant.

Stato delle informazioni: verificate il 14 agosto 2026. Le fonti sono il provvedimento del Garante n. 476 del 18 giugno 2026 e il documento di indirizzo del 6 giugno 2024 sui metadati della posta elettronica, oltre alla documentazione Microsoft su litigation hold, audit log retention e message trace. Questo articolo non è una consulenza legale: le decisioni sui periodi di conservazione vanno prese con chi assiste l’azienda sul lavoro e sulla privacy, e la parte tecnica va verificata sul vostro tenant.

Se volete partire dal punto 1 — sapere com’è configurato oggi il vostro tenant, senza modificare nulla — è il tipo di verifica che facciamo dentro l’assistenza Microsoft 365 e la cybersecurity gestita. Il toolkit PowerShell per Microsoft Purview copre la parte di lettura dei criteri di conservazione: scriveteci se preferite che la facciamo insieme.