Il 29 aprile 2025 il Garante ha chiuso un procedimento contro Regione Lombardia sulla conservazione dei metadati della posta elettronica. Il numero che salta all’occhio è 90 giorni. È lo stesso numero che troverete nel vostro tenant Microsoft 365, e non perché qualcuno l’abbia scelto.
Ma il provvedimento non dice quello che quasi tutti hanno riassunto. Vale leggerlo con precisione, perché la differenza cambia completamente cosa dovete fare.
Il fatto: 90 giorni, e non sono quelli il problema
Il provvedimento (doc. web 10134221, Registro n. 243) descrive così la contestazione:
«i metadati di posta elettronica venivano conservati dalla Regione, in assenza della previa stipulazione di un accordo collettivo con le rappresentanze sindacali (cfr. art. 4, comma 1, della l. 20 maggio 1970, n. 300), per un ampio periodo temporale, complessivamente pari a 90 giorni»
Il baricentro è nella subordinata, non nel numero. E c’è un dettaglio che lo conferma in modo definitivo: la violazione è delimitata al periodo anteriore agli accordi. Il provvedimento circoscrive l’illecito alle date precedenti la stipula degli accordi collettivi, per il personale dirigenziale e non dirigenziale. Conservare 90 giorni con le garanzie in essere non è stato sanzionato.
Non è la durata a essere illecita. È il difetto di base giuridica.
Questo ribalta la reazione istintiva, che è “dobbiamo scendere sotto i 21 giorni”. In molti tenant non si può. E si scoprirà tra poco che non è nemmeno la domanda giusta.
Come si compongono i 90 giorni, e perché non li riducete
Il provvedimento scompone il dato con una precisione tecnica insolita per un atto del Garante:
| Finestra | Come si accede |
|---|---|
| primi 7 giorni | message trace disponibile direttamente sul server Exchange |
| successivi 83 giorni | accessibili «da ciascun operatore preposto al servizio di assistenza tecnica, previo download» di un report CSV |
Novanta giorni, in due tronconi. E i metadati non sono solo l’envelope: il provvedimento li definisce come «le informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica» e vi include mittente, destinatario, IP, orari, dimensione, allegati e anche l’oggetto del messaggio.
Sul piano tecnico, per un tenant Microsoft 365 la situazione è questa — e sono valori verificati sulla documentazione Microsoft, non stime:
- il message trace di Exchange Online arriva fino a 90 giorni e non è configurabile dall’amministratore;
- le opzioni di conservazione del log di controllo a 7 e 30 giorni richiedono Microsoft 365 E5;
- su Audit (Standard) la conservazione predefinita è di 180 giorni.
La conseguenza è secca, e va detta anche se è impopolare: su Business Premium i 21 giorni non sono raggiungibili con nessuna configurazione. Chi vi promette di “mettere il tenant in regola” abbassando la retention vi sta descrivendo un pannello che non esiste.
Se volete i numeri esatti del vostro ambiente prima di proseguire, la parte tecnica è nella guida sulla conservazione delle email dei dipendenti, che entra nel dettaglio delle impostazioni e del litigation hold.
Le tre difese che il Garante ha respinto
Qui c’è la parte utile, perché sono le tre difese che verrebbero in mente a chiunque.
La prima: “i dati oltre i 7 giorni li tenevamo solo in un report CSV”. Respinta:
«non può essere ritenuta sufficiente per escludere la responsabilità della Regione la circostanza che la stessa conservasse i metadati relativi alle e-mail più risalenti di 7 giorni “attraverso un report in formato CSV”»
Il Garante riconosce che la misura «risulta apprezzabile sotto il profilo della minimizzazione dei dati», ma osserva che non è «idonea a colmare […] il difetto di base giuridica». È una distinzione che vale imparare: una buona misura tecnica non sana un problema di base giuridica. Sono due piani diversi.
La seconda: “abbiamo scelto i 90 giorni prima che uscisse il documento di indirizzo”. Respinta anch’essa: la cronologia non rende lecito il trattamento.
La terza, la più istruttiva: “i sindacati non hanno chiesto di aprire un tavolo”. La risposta è la frase che ogni datore di lavoro dovrebbe leggere:
«l’obbligo di attivarsi per addivenire alla stipulazione dell’accordo collettivo spetta in ogni caso al datore di lavoro»
Non è una procedura che parte su richiesta di qualcuno. L’iniziativa è vostra, sempre.
⚠️ Una precisazione che va fatta perché in rete si legge il contrario: il Garante non ha affermato che l’impossibilità tecnica di ridurre un parametro del fornitore non sia una giustificazione. Quella dichiarazione — «il parametro dei 90 giorni di retention è impostato da Microsoft (condizioni di rilascio della licenza) e gli amministratori non hanno la possibilità di diminuirlo» — compare nel provvedimento una sola volta, ed è la difesa della Regione riportata nella parte in fatto. Il Garante non vi replica. Il vincolo del fornitore non viene accolto né respinto come scusante: diventa irrilevante, perché il rimedio richiesto è procedurale e non tecnico. Chi non può ridurre la conservazione deve comunque esperire le garanzie dell’art. 4. Coerentemente, la stessa Regione dichiarava di voler rappresentare alle RSU «gli aspetti vincolanti derivanti dalla licenza Microsoft»: il vincolo di licenza è materia da portare al tavolo, non un’esenzione.
I 21 giorni non sono un limite. La condizione è un’altra
Il documento di indirizzo del 6 giugno 2024 è la fonte dei famosi 21 giorni, e viene citato quasi sempre male. Il testo non fissa un termine: pone una condizione.
«affinché sia ritenuto applicabile il comma 2 dell’art. 4 […] l’attività di raccolta e conservazione dei soli metadati/log necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica»
La condizione è il nesso con il funzionamento, e i 21 giorni sono il bordo esterno entro cui quel nesso è considerato normale. Non è che al ventiduesimo giorno scatti un obbligo: è che più vi allontanate dalla necessità tecnica, più difficile diventa sostenere che lo strumento serva a far funzionare la posta e non a osservare le persone.
E il comma 2 non è una zona franca. Il Garante nel provvedimento lo dice esplicitamente:
«in tali casi non può essere generalmente invocata l’eccezione di cui al comma 2 dell’art. 4»
Perché i sistemi che raccolgono, conservano ed elaborano quei dati «non sono indispensabili per rendere la prestazione lavorativa e operano in modo del tutto indipendente rispetto alla normale attività dell’utilizzatore». Tradotto: la casella è uno strumento di lavoro, il sistema che tiene il registro di tutto ciò che vi transita è un’altra cosa.
La strada che resta: accordo, oppure Ispettorato
L’art. 4, comma 1, dello Statuto dei Lavoratori indica due vie, e non le indica il Garante: le indica la norma.
«possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. […] In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione delle sede territoriale dell’Ispettorato nazionale del lavoro»
Per le imprese con unità produttive in più province la competenza sull’autorizzazione passa alla sede centrale dell’Ispettorato.
C’è un punto che alle PMI sfugge, e che rende la cosa molto meno spaventosa di come suona: è lo stesso articolo, lo stesso comma e la stessa istanza della videosorveglianza. L’art. 4 parla di «impianti audiovisivi e altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori». Le telecamere e il log della posta stanno nella stessa norma. Chi ha già fatto la pratica per un impianto di videosorveglianza conosce già il percorso.
Chi presenta l’istanza, e cosa dice l’Ispettorato
Tre cose verificate sulla modulistica ufficiale, perché è qui che le promesse commerciali si sfilacciano.
Firma il legale rappresentante. L’Ispettorato indica il rappresentante legale dell’azienda come soggetto che presenta l’istanza, e i moduli non prevedono la sottoscrizione da parte di un terzo delegato. Nessun fornitore può firmare al posto vostro.
Esiste lo spazio per un referente tecnico esterno. La modulistica prevede di indicare un tecnico a cui l’ufficio possa chiedere chiarimenti. È il posto giusto per il partner informatico, e non è un dettaglio formale: la parte difficile dell’istanza è descrivere con esattezza quali dati lo strumento registra, per quanti giorni, chi vi accede e con quale finalità. Quella descrizione, per un sistema di posta, nessun consulente la può scrivere senza leggere il tenant.
Non c’è silenzio-assenso. Il procedimento si chiude con un provvedimento espresso, e i provvedimenti autorizzativi dell’Ispettorato sono definitivi. Inoltre l’Ispettorato avverte che l’installazione o la messa in esercizio prima dell’autorizzazione ricade nelle sanzioni dell’art. 38 dello Statuto. Non è una pratica da fare “quando capita”.
⚠️ Una domanda a cui non abbiamo trovato risposta ufficiale, e che quindi non risolviamo con una supposizione: se una singola istanza possa coprire più tipi di strumento insieme — posta, EDR, SIEM, DLP, log di navigazione. È documentata l’istanza unica per più unità produttive, con un unico provvedimento; sui tipi di strumento diversi la modulistica non si pronuncia. Vale chiederlo alla sede territoriale competente prima di impostare la pratica, perché la differenza fra una istanza e cinque non è banale.
Il rischio che quasi nessuno calcola
Fin qui il fronte del Garante. Ce n’è un secondo, e per un’azienda che deve licenziare qualcuno è più duro.
La Corte di cassazione ha consolidato l’orientamento per cui la prova acquisita in violazione dell’art. 4 dello Statuto dei Lavoratori è inutilizzabile nel processo del lavoro. Non è un precedente isolato: una pronuncia del 2026 richiama nove decisioni conformi, e in quel giudizio era il datore di lavoro a ricorrere — e ha perso. Anche qualificare la posta come strumento di lavoro ai sensi del comma 2 non mette la prova al riparo: fa scattare il comma 3, che subordina l’utilizzabilità all’informativa adeguata e al rispetto della disciplina privacy.
Mettete le due cose insieme e viene fuori il vero pericolo, che non è la sanzione.
Una conservazione lunga vi permette di guardare indietro nel tempo. Ed è precisamente guardare indietro ciò che rende il controllo censurabile: il criterio che la Cassazione applica, e che il Garante ha richiamato nel caso Piaggio, è che il controllo riguardi «dati acquisiti successivamente all’insorgere del sospetto». In quel caso i dati erano «cronologicamente precedenti all’insorgere del sospetto dell’illecito compiuto: infatti la raccolta […] è stata svolta a ritroso nel tempo, fino a circa 2 anni prima».
Quindi: conservare tutto non è la posizione prudente. È la posizione che vi espone su due fronti — la sanzione da una parte, e dall’altra il rischio di arrivare in udienza con una prova che il giudice non può guardare. Chi tiene i log “per sicurezza” sta costruendo esattamente il materiale che gli si ritorcerà contro.
Cosa fare, in ordine
Primo, misurate. Non si può descrivere in un’istanza uno strumento che non si è letto. Servono i valori reali: quanti giorni di message trace, quale piano di licenza e quindi quali opzioni di audit log avete davvero, quali criteri di conservazione di Microsoft Purview sono attivi su Exchange e con quale durata, quali caselle hanno un litigation hold e con quale scadenza. Sono numeri che si leggono dal tenant, non si stimano. Il toolkit PowerShell per la compliance Purview copre buona parte di questo perimetro in sola lettura.
Secondo, distinguete i due piani. Ciò che è configurabile lo portate al valore giustificabile. Ciò che non è configurabile — il message trace, e su Business Premium la soglia dell’audit log — non lo potete cambiare: lo dovete dichiarare. È l’oggetto della procedura, non un fallimento tecnico.
Terzo, aprite la procedura, e apritela voi. Con la RSU è un accordo, e lì serve il vostro consulente del lavoro. Senza RSU è un’istanza all’Ispettorato. In entrambi i casi l’obbligo di attivarsi «spetta in ogni caso al datore di lavoro»: nessuno verrà a chiedervelo, e il non averlo fatto è esattamente ciò che è stato contestato a Regione Lombardia.
Quarto, valutate la valutazione d’impatto. Il documento di indirizzo rimette al titolare il compito di valutare se il trattamento presenti un rischio elevato tale da richiedere una DPIA preventiva. Nel caso di Regione Lombardia la sua assenza è stata contestata insieme al resto. La parte tecnica dell’allegato — che dati, quanti giorni, chi accede — è la stessa che serve all’istanza: si scrive una volta.
Dove ci mettiamo noi
Non “vi mettiamo in regola il tenant”: quella promessa non è mantenibile da nessuno, perché una parte dei parametri non è configurabile e l’autorizzazione la firma l’Ispettorato.
Quello che facciamo è la metà tecnica, che è anche la metà che manca a chi presenta queste pratiche: misuriamo i giorni reali del vostro tenant, distinguiamo ciò che si può cambiare da ciò che va dichiarato, prepariamo la descrizione tecnica dello strumento per l’istanza e per l’allegato della valutazione d’impatto, e siamo il referente tecnico che la modulistica prevede quando l’ufficio chiede chiarimenti. La firma resta vostra; l’accordo sindacale, se c’è una RSU, resta del vostro consulente del lavoro.
Essere partner Microsoft non è una credenziale in materia di lavoro, e non la spacciamo per tale. È ciò che ci mette in condizione di dirvi che cosa fa davvero il vostro tenant — quale piano avete, quali opzioni quel piano vi dà, e quali numeri finiranno nella pratica. È la parte che nessun altro porta.
Se volete cominciare dai numeri, la nostra scheda su governance e compliance Microsoft 365 descrive come lavoriamo, e da contattaci si parte con una lettura del tenant.
Domande frequenti
Che cosa sono i metadati della posta elettronica?
Sono le informazioni registrate nei log dei server che smistano la posta: mittente, destinatario, indirizzi IP, orari, dimensione del messaggio, presenza di allegati. Il provvedimento sulla Regione Lombardia precisa che vi rientra anche l’oggetto del messaggio. Non è il contenuto della casella: è la traccia di chi ha scritto a chi e quando, che il sistema genera per funzionare.
I 21 giorni sono un limite di legge?
No, e questo è l’equivoco più diffuso. Il documento di indirizzo del Garante del 6 giugno 2024 indica un periodo «limitato a pochi giorni, comunque non superiore ai 21 giorni», ma la condizione che conta non è il numero di giorni: è che si tratti dei soli metadati «necessari ad assicurare il funzionamento delle infrastrutture» della posta. Oltre quel perimetro serve una giustificazione in accountability, e dove lo strumento diventa controllo a distanza si entra nelle garanzie dell’art. 4.
Su Microsoft 365 posso ridurre la conservazione dei metadati?
Solo in parte, e questo è il punto tecnico da cui non si scappa. Il message trace di Exchange Online arriva fino a 90 giorni e non è configurabile dall’amministratore. Le opzioni di conservazione del log di controllo a 7 e 30 giorni richiedono Microsoft 365 E5: su Business Premium non sono disponibili, e la conservazione predefinita di Audit Standard è di 180 giorni. Nessuna configurazione porta un tenant Business Premium a 21 giorni.
Se non posso ridurre la conservazione, sono automaticamente in violazione?
No. Il provvedimento sulla Regione Lombardia è istruttivo proprio qui: la violazione è stata delimitata al periodo anteriore alla stipula degli accordi sindacali. Conservare 90 giorni con le garanzie procedurali in essere non è stato sanzionato. Il difetto contestato era la base giuridica, non la durata.
Serve un accordo sindacale anche se in azienda non c’è la RSU?
L’art. 4, comma 1, dello Statuto dei Lavoratori prevede l’accordo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali e, in mancanza di accordo, l’autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro. Per le imprese con unità produttive in più province la competenza sull’autorizzazione è della sede centrale dell’Ispettorato. Quindi la PMI senza RSU ha una strada amministrativa, non un negoziato.
L’istanza all’Ispettorato la può presentare il nostro fornitore informatico?
La modulistica dell’Ispettorato è sottoscritta dal legale rappresentante dell’azienda e non prevede la firma di un terzo delegato. Prevede però uno spazio per indicare un referente tecnico esterno a cui l’ufficio possa chiedere chiarimenti: è lì che un partner informatico dà il contributo che serve, perché la parte difficile dell’istanza è descrivere con precisione quali dati lo strumento registra e per quanti giorni.
Posso attivare lo strumento e presentare l’istanza dopo?
È la scelta più rischiosa, per due ragioni documentate. La prima è che non è previsto alcun silenzio-assenso: il procedimento si chiude con un provvedimento espresso. La seconda è che l’Ispettorato avverte che l’installazione o la messa in esercizio prima dell’autorizzazione ricade nelle sanzioni dell’art. 38 dello Statuto dei Lavoratori.
Conservare di più non mi aiuta se poi devo licenziare qualcuno?
È il contrario, e il fronte giudiziario è più severo di quello del Garante. La Cassazione ha consolidato l’orientamento per cui la prova acquisita in violazione dell’art. 4 dello Statuto dei Lavoratori è inutilizzabile, e in una pronuncia del 2026 richiama nove decisioni conformi. Una conservazione lunga permette di guardare indietro nel tempo, ed è esattamente ciò che rende il controllo censurabile: nel caso Piaggio i dati erano «cronologicamente precedenti all’insorgere del sospetto».
Fonti: provvedimento del Garante per la protezione dei dati personali del 29 aprile 2025, doc. web 10134221; documento di indirizzo «Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati» del 6 giugno 2024, doc. web 10026277; provvedimento n. 476 del 18 giugno 2026, doc. web 10272529 (pubblicato in forma parzialmente omissata in pendenza del giudizio di opposizione); art. 4 della legge 20 maggio 1970 n. 300 nel testo vigente; modulistica e note di servizio dell’Ispettorato nazionale del lavoro; documentazione Microsoft Learn su message trace e audit log retention. I riferimenti normativi sono riportati per informazione e non costituiscono consulenza legale o del lavoro.