Il Garante della privacy ha pubblicato il Provvedimento - Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9978728.

Esso si affianca alle antiche, ma sempre applicabili, "Linee guida del Garante per posta elettronica e Internet" del 2007.

Ringrazio Glauco Rampogna (Idraulico della privacy e molto altro) per avermi inviato la segnalazione precisa.

Se ho capito bene, il riassunto finale è: email e metadati (quindi anche i log) vanno conservati al più per 7 giorni dal datore di lavoro.

Nel caso in cui il datore di lavoro usi servizi email in cloud (Microsoft 365, Google e simili) e questi non permettono di configurare i parametri come prescritto, è necessario accordarsi con i sindacati o l'Ispettorato nazionale del lavoro, secondo quanto prescritto dall'articolo 4 della Legge 300 del 1970 (Statuto dei lavoratori). In alternativa, bisogna dedurre che, fino a quando il fornitore non metta a disposizione configurazioni allineate o in mancanza di accordo con i sindacati, bisognerebbe sospendere l'uso dell'email (opzione ovviamente non percorribile in tempi brevi).

Questo, penso, sia necessario anche quando il servizio email non è propriamente in cloud, ma comunque gestito da un fornitore esterno. C'è poi il problema (come ricorda Christian Bernieri, altro Idraulico della privacy) delle email di Gruppo, gestite da una Casa madre estera.

Christian Bernieri ha scritto un lungo articolo in merito qui: https://bernieri.blogspot.com/2024/02/chi-vusa-puse-la-vaca-le-sua.html.

Rimangono sempre in vigore gli obblighi di informativa verso i lavoratori e, se necessario, di valutazione d'impatto (DPIA).

Sto ragionando sul fatto che spesso è necessario mantenere i log per controllare se viene data risposta alle email (questo anche nella Pubblica amministrazione). Io posso pensare che per le caselle "d'ufficio", non si debbano applicare i 7 giorni.