Il provvedimento del Garante privacy del 14 luglio 2026 sul Comune di Chivasso non introduce una soglia automatica per conservare i dati della posta elettronica. Dice qualcosa di più concreto per imprese ed enti: anche quando non emerge un controllo a distanza dei lavoratori, i metadati email restano un trattamento da spiegare, delimitare e documentare. Nel caso esaminato, l’Autorità ha dichiarato illecito il trattamento solo per l’incompletezza dell’informativa sui tempi di conservazione e ha adottato un ammonimento.
Il reclamo riguardava i metadati generati dall’uso della posta elettronica del personale comunale. Il disciplinare informatico richiamato nell’informativa indicava la registrazione di elementi come data, ora, mittente e destinatario, ma inizialmente non specificava per quanto tempo quei dati sarebbero rimasti conservati. Il Comune ha poi dichiarato che la conservazione era pari a 21 giorni e di aver reso più esplicita l’informazione tramite intranet. Il provvedimento, però, non pubblica integralmente i documenti interni e contiene diversi omissis: non permette quindi di ricostruire tutta la cronologia della vicenda.
Il punto della decisione sta in questa distinzione. Il Garante ha archiviato i profili relativi a finalità ulteriori di controllo o tutela del patrimonio informativo, perché non è risultato comprovato che l’ente avesse usato i metadati per finalità riconducibili all’articolo 4, comma 1, dello Statuto dei lavoratori. Nonostante questo, l’informativa incompleta è bastata a rendere illecito il trattamento sotto il profilo dell’articolo 13 del GDPR. Per un datore di lavoro, pubblico o privato, non basta quindi evitare controlli impropri: deve sapere quali tracce tecniche vengono generate e deve comunicarlo in modo adeguato alle persone interessate.
Nelle aziende i metadati della posta vengono spesso trattati come rumore tecnico del servizio: informazioni prodotte dal server e conservate dal fornitore cloud per far funzionare la piattaforma. Il documento di indirizzo del Garante del 6 giugno 2024 li descrive invece come informazioni registrate nei log dei sistemi di gestione e smistamento dei messaggi. Possono comprendere mittente, destinatario, indirizzi IP, orari, dimensione del messaggio, allegati e, in alcuni sistemi, anche l’oggetto. Non sono il contenuto della email, ma possono rivelare relazioni, abitudini operative, intensità del lavoro e flussi interni.
Da qui deriva il limite di una difesa solo formale. Dire che la posta è gestita da un fornitore esterno, nominato responsabile del trattamento, non trasferisce fuori dall’azienda la responsabilità organizzativa del datore di lavoro. Nel provvedimento sul Comune di Chivasso il Garante richiama proprio questo aspetto: i dati restano nella sfera del titolare, anche se l’accesso ai log passa dal fornitore. Per una PMI il contratto con il provider non può essere letto soltanto come acquisto di caselle email. Deve chiarire quali log esistono, chi può consultarli, per quali attività e con quali istruzioni.
Il numero dei giorni, da solo, non risolve il problema. Nel documento del 2024 il Garante indica che, per il solo funzionamento dell’infrastruttura e per le essenziali garanzie di sicurezza del servizio, la conservazione dovrebbe essere limitata a pochi giorni e, in via orientativa, non superare 21 giorni, salvo condizioni particolari da comprovare. La parola decisiva è “orientativa”: trasformare quel valore in una regola valida per ogni situazione sarebbe una lettura impropria. Una conservazione più lunga può richiedere una giustificazione specifica; una conservazione più breve non sana automaticamente informative opache o accessi non governati.
La parte tecnica entra così nel cuore dell’organizzazione. Un sistema di posta conserva log per motivi diversi: consegna dei messaggi, diagnosi degli errori, contrasto allo spam, sicurezza, continuità del servizio, eventuali analisi su incidenti. Ogni finalità può richiedere dati differenti e tempi differenti. Se l’impresa non distingue questi piani, rischia di accumulare registrazioni “perché il sistema lo fa”, senza una decisione leggibile. È un costo nascosto anche operativo: più dati restano disponibili, più aumentano le superfici di accesso, le richieste interne di consultazione e la complessità in caso di incidente o contestazione.
L’articolo 4 dello Statuto dei lavoratori aggiunge un ulteriore livello. La norma distingue gli strumenti dai quali può derivare anche un controllo a distanza, utilizzabili con finalità determinate e garanzie procedurali, dagli strumenti usati dal lavoratore per rendere la prestazione e da quelli di registrazione di accessi e presenze. Le informazioni raccolte sono utilizzabili solo se il lavoratore riceve un’adeguata informazione sulle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto della disciplina privacy. Il caso Chivasso non diventa automaticamente un modello per ogni impresa, ma mostra quanto sia sottile il confine fra infrastruttura tecnica e potenziale controllo organizzativo.
Per chi dirige un’azienda senza un reparto informatico interno, la decisione concreta non è cambiare piattaforma alla cieca. È chiedere una mappa verificabile del servizio: quali metadati vengono generati, per quanto tempo restano disponibili, se il pannello amministrativo permette ricerche per utente, chi ha le credenziali per accedervi, quali operazioni vengono a loro volta tracciate e quali informazioni sono state comunicate al personale. Non è una check-list burocratica. È la traduzione tecnica di responsabilità che esistono anche quando il software è in abbonamento e il server non è nei locali aziendali.
La conseguenza più utile, per le imprese che prendono sul serio questo filone, non è la cancellazione indistinta dei log ma una gestione più selettiva. Alcuni dati servono davvero alla sicurezza e alla continuità operativa; altri restano conservati per impostazioni predefinite o per abitudine. Se i fornitori renderanno più trasparenti le opzioni di conservazione e gli amministratori aziendali le documenteranno meglio, il tema potrà uscire dalla zona grigia in cui privacy, sicurezza e gestione del personale si sovrappongono. In caso contrario, il costo dei dati senza scopo continuerà a emergere solo quando un reclamo o un controllo costringerà a spiegare ciò che non era stato deciso prima.
Per approfondire
Garante per la protezione dei dati personali, Provvedimento del 14 luglio 2026, doc. web 10286374.
Garante per la protezione dei dati personali, Documento di indirizzo del 6 giugno 2024 sui programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati.
Normattiva, legge 20 maggio 1970, n. 300, articolo 4, Impianti audiovisivi e altri strumenti di controllo.
Per approfondire
Provvedimento del 14 luglio 2026 [10286374]
Provvedimento del 6 giugno 2024 – Documento di indirizzo. Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati [10026277]
LEGGE 20 maggio 1970, n. 300 – Art. 4, Impianti audiovisivi e altri strumenti di controllo
