Cornice decorativa ad acquerello per il titolo dell'articolo

Retention policy PEC: cosa conservare e per quanto tempo

di

Per la conservazione PEC applichiamo due regole distinte: limitiamo la conservazione dei metadati a un periodo breve, orientativamente non oltre 21 giorni, e trasferiamo in conservazione a norma i messaggi con valore probatorio secondo l’articolo 44 del Codice dell’Amministrazione Digitale. Sono due obblighi separati, con responsabili e scadenze diverse, e vanno gestiti come tali.

In breve:

  • Il limite orientativo di 21 giorni riguarda i metadati tecnici; prolungarlo per controllare il lavoro richiede accordo sindacale o autorizzazione dell’Ispettorato.
  • I trenta mesi per alcuni registri tecnici riguardano il gestore PEC, non l’azienda, che deve conservare a norma ricevute e documenti probatori.
  • Salvare i messaggi in file .eml sul computer di un dipendente non basta: servono pacchetti firmati, riferimenti temporali e rapporti di versamento prodotti dal conservatore.
  • Verificate i pannelli dei fornitori cloud: le impostazioni iniziali possono mantenere registri estesi, e la responsabilità di disattivare raccolte superflue resta all’azienda.
  • Ogni anno eseguite un riversamento di prova e confrontate i rapporti di esito con i documenti inviati, per individuare tempestivamente eventuali interruzioni.
TrovaPEC
Trova gli indirizzi PEC in modo efficiente
TrovaPEC ricerca PEC ufficiali di aziende e professionisti a partire da liste di Partite IVA o Codici Fiscali, evitando ricerche manuali.

Indice

Cosa ha stabilito il Garante sul trattamento di email e metadati

Il provvedimento del 6 giugno 2024 nasce per contenere la raccolta indiscriminata di metadati da parte dei programmi di gestione della posta elettronica in ambito lavorativo. Un metadato è un’informazione sul messaggio, non il suo contenuto: mittente, destinatario, orario di invio, dimensione dell’allegato. Molti software di gestione email, soprattutto quelli in cloud, registrano questi dati per settimane o mesi senza che il titolare del trattamento se ne accorga.

Il Garante indica un principio di proporzionalità: la conservazione dei metadati necessari al solo funzionamento tecnico del sistema deve durare poche giornate e, a titolo orientativo, non dovrebbe superare i 21 giorni salvo esigenze specifiche documentate. Quando l’azienda vuole trattenere questi dati più a lungo per finalità di controllo dell’attività lavorativa, deve rispettare le garanzie previste dall’articolo 4 della legge 300 del 1970, quindi accordo sindacale o autorizzazione dell’Ispettorato del Lavoro.

Un punto spesso trascurato riguarda le impostazioni predefinite dei fornitori cloud, che vanno verificate attivamente:

  • Molti provider attivano di default log estesi oltre il periodo consigliato dal Garante.
  • Il titolare deve controllare i pannelli di amministrazione e disattivare la raccolta non necessaria.
  • Affidarsi alle impostazioni standard del fornitore non esonera dalla responsabilità di configurazione corretta.

Metadati e messaggi: due conservazioni separate con tempi diversi

Il gestore del servizio PEC e l’azienda titolare della casella hanno obblighi distinti. Il gestore conserva i log tecnici dei messaggi secondo le regole tecniche AgID, che per alcuni versamenti specifici dei log indicano un periodo di trenta mesi. Questo riguarda la responsabilità del gestore, non quella dell’azienda che usa la casella per lavoro.

L’azienda, invece, ha l’obbligo di trasferire in conservazione a norma i messaggi che hanno valore probatorio, cioè quelli che documentano un fatto giuridicamente rilevante. La distinzione pratica è questa: per chi opera nel settore degli affitti brevi, rispettare il GDPR affitti brevi: gli obblighi degli host in Italia è fondamentale per la corretta gestione dei dati personali.

  • Le ricevute di accettazione e consegna PEC relative a comunicazioni legali vanno conservate a norma, non lasciate solo nella casella di posta.
  • Fatture, contratti e disdette inviate via PEC seguono lo stesso trattamento, perché costituiscono prova dell’invio e della ricezione.
  • I file .eml salvati localmente sul computer di un dipendente non costituiscono conservazione a norma: sono una copia di cortesia priva delle garanzie tecniche richieste dall’articolo 44 del CAD.

Confondere l’archivio locale della posta con un sistema di conservazione è l’errore più comune tra le piccole aziende.

Conservazione a norma: requisiti tecnici da rispettare

Per avere valore probatorio nel tempo, un documento informatico deve mantenere integrità, autenticità, leggibilità e reperibilità. Le linee guida AgID descrivono il processo che garantisce questi requisiti attraverso un flusso codificato.

  1. Il documento viene raccolto in un pacchetto di versamento (PdV) insieme ai metadati rilevanti.
  2. Il conservatore effettua i controlli formali e tecnici previsti dal manuale di conservazione.
  3. Il sistema genera un pacchetto di archiviazione (PdA) con firma e riferimento temporale.
  4. Il conservatore restituisce un rapporto di versamento che certifica l’esito dell’operazione.

Nel contratto con il conservatore vanno verificati i tempi di presa in carico, le modalità di notifica degli scarti e la possibilità di esportare i pacchetti in caso di cambio fornitore. I rapporti di versamento vanno archiviati a parte, perché sono la prova che il processo è stato eseguito correttamente.

Un consiglio: pianificate un riversamento di prova ogni anno e controllate che i rapporti di esito corrispondano esattamente ai documenti inviati, prima che un controllo reale metta alla prova il sistema.

Verifica annuale e confronto dei rapporti di conservazione

Checklist operativa per aggiornare la retention policy PEC

Aggiornare la policy richiede un lavoro congiunto tra IT, ufficio legale e amministrazione, non una semplice modifica tecnica.

  • Mappate tutti i sistemi che trattano PEC in azienda, dal client di posta al software di fatturazione collegato.
  • Decidete durate differenziate: pochi giorni per i metadati tecnici, conservazione a norma permanente per i documenti con valore probatorio.
  • Verificate le impostazioni dei fornitori cloud e chiedete, dove possibile, l’anonimizzazione o la riduzione dei log superflui.
  • Redigete o aggiornate il manuale di conservazione, specificando quali tipi di documento vengono versati e con quale periodicità.
  • Informate i dipendenti con un’informativa chiara su cosa viene raccolto e per quanto tempo, soprattutto quando i log possono riflettere l’attività lavorativa.
  • Attivate, solo se necessario per finalità di controllo prolungato, le garanzie previste dall’articolo 4 della legge 300 del 1970 tramite accordo sindacale.
  • Programmate controlli periodici sui rapporti di versamento e sui backup, per verificare che la catena di conservazione non si sia interrotta.

Un consiglio: rivedete la policy ogni volta che cambiate fornitore di posta o di conservazione, perché le impostazioni predefinite spesso tornano ai valori di fabbrica dopo una migrazione.

Prima di qualsiasi invio massivo, correggere le anagrafiche riduce gli errori che poi si ripercuotono sulla conservazione: la nostra guida su come correggere le anagrafiche PEC spiega i passaggi da seguire insieme a legale e IT. Per chi gestisce volumi ricorrenti, la validazione massiva degli indirizzi evita che messaggi rilevanti finiscano su indirizzi non più attivi.

Come supportiamo concretamente la gestione della retention PEC

I nostri servizi intervengono a monte del processo di conservazione, dove spesso nascono gli errori che poi complicano i versamenti. La ricerca PEC massiva da partita IVA o codice fiscale recupera indirizzi ufficiali direttamente dall’Indice Nazionale degli Indirizzi PEC, riducendo i bounce che altrimenti generano ricevute incoerenti da archiviare. La normalizzazione e correzione delle anagrafiche sistema partita IVA e ragione sociale prima dell’invio, così i pacchetti da versare al conservatore contengono dati corretti fin dall’origine. Chi gestisce flussi ricorrenti può integrare questi controlli tramite i web services per la ricerca PEC, collegando verifica e invio direttamente ai propri sistemi interni.

Perché conviene aggiornare la policy senza aspettare il prossimo controllo

Rimandare l’adeguamento espone a contestazioni probatorie quando un messaggio rilevante risulta conservato male o non conservato affatto, e complica la ricostruzione degli eventi in caso di incidente di sicurezza. Chi interviene ora guadagna un controllo più preciso sui propri sistemi: meno log inutili da gestire, meno rumore nei pannelli di amministrazione, procedure più chiare da seguire. Vale la pena dedicare una mattinata a un audit congiunto tra IT, legale e amministrazione prima che sia un’ispezione a imporlo.

— Alessandro

Servizi utili per preparare i pacchetti da versare al conservatore

Prima di versare documenti in conservazione a norma, molte aziende devono prima trovare, verificare e inviare comunicazioni PEC corrette su larga scala. Per questo offriamo un insieme di servizi pensati per chi gestisce volumi significativi di indirizzi e documenti:

TrovaPEC

Questi strumenti non sostituiscono il conservatore, ma riducono gli errori anagrafici che poi complicano la rendicontazione e i pacchetti di versamento. Chi gestisce anche contratti su larga scala può consultare la nostra pagina su PEC per recesso contratti per casi applicativi simili. Visitate la pagina principale dei nostri servizi per una valutazione del flusso più adatto alla vostra azienda.

Questo articolo fornisce informazioni generali e non sostituisce il parere di un avvocato qualificato. Consulta un professionista legale qualificato riguardo al tuo caso specifico prima di agire in base a questo contenuto.

Domande frequenti

Come si ottiene un indirizzo PEC in Italia?

Si ottiene richiedendo l’attivazione a un gestore accreditato, spesso tramite abbonamento annuale, oppure gratuitamente tramite il domicilio digitale per i titolari di partita IVA presso INI-PEC. Le imprese e i professionisti sono obbligati per legge ad averne una registrata nei registri pubblici.

Il GDPR prevede un periodo di conservazione fisso per i dati personali?

Il GDPR non fissa un periodo unico valido per tutti i trattamenti: il principio di limitazione della conservazione richiede che i dati siano trattenuti solo per il tempo necessario alla finalità dichiarata. Per i metadati delle email in ambito lavorativo, il Garante indica orientativamente non oltre 21 giorni salvo esigenze specifiche.

Cos’è un indirizzo di posta elettronica certificata?

È un indirizzo email che garantisce, tramite ricevute con valore legale, la prova dell’invio e della consegna di un messaggio, equiparandolo a una raccomandata con ricevuta di ritorno. In Italia è obbligatorio per imprese, professionisti iscritti ad albi e pubbliche amministrazioni.

Quali sono i principali fornitori di posta elettronica certificata in Italia?

In Italia operano diversi gestori accreditati che offrono caselle PEC a pagamento, selezionabili in base a volumi di invio, integrazioni richieste e assistenza offerta. L’elenco aggiornato dei gestori accreditati è consultabile tramite l’Indice Nazionale degli Indirizzi PEC.

Fonti

Raccomandati

Lascia un commento