Le multe GDPR arrivano a 6,11 miliardi di euro — "tenere tutto per sempre" è un rischio di conformità?

A marzo 2026, le sanzioni GDPR registrate nell’UE avevano raggiunto circa €6.11 miliardi, relativi a 2.685 sanzioni con importo e data noti, secondo il rapporto CMS GDPR Enforcement Tracker 2025/2026. Includendo le voci con informazioni incomplete, il rapporto conta 3.062 casi. Singole sanzioni arrivano a €1.2 miliardi. Qualunque fosse la valutazione dei rischi della tua organizzazione all’arrivo del GDPR nel 2018, otto anni dopo le sanzioni non sono più teoriche: sono un costo documentato per le aziende che gestiscono male i dati.

Quasi tutti i consigli sulla conservazione della posta si concentrano sul rischio sbagliato. Ti dicono per quanto tenere le varie categorie di email per motivi di conformità — sette anni per i documenti contabili, due anni per i ticket di assistenza — come se il rischio fosse sempre eliminare qualcosa troppo presto. Quel rischio è reale. Ma le autorità sono sempre più chiare sul fatto che l'errore opposto, tenere tutto a tempo indeterminato perché eliminare qualsiasi cosa sembra rischioso, è a sua volta una violazione.

Il principio che quasi tutte le policy di conservazione saltano

Il GDPR non ti consegna un periodo di conservazione fisso per la posta, ed è proprio quell'ambiguità che porta tante organizzazioni al "non cancellare mai niente, non si sa mai". Ma l'articolo 5(1)(e), il principio di limitazione della conservazione, richiede che i dati personali siano conservati "per un arco di tempo non superiore al necessario" rispetto alle finalità per cui sono stati raccolti — e l'articolo 5(1)(c), la minimizzazione dei dati, gli sta subito accanto. La conservazione a tempo indeterminato non è un'impostazione predefinita sicura sotto nessuno dei due principi. È proprio la cosa che sono stati scritti per vietare.

In pratica questo significa che un'organizzazione deve saper rispondere, per ogni categoria di email che detiene: perché la sto tenendo, e per quanto ancora. "Potrebbe servirci un giorno" non è una risposta che le autorità accettano, per quanto comprensibile sia l'istinto che c'è dietro.

Ora le autorità vogliono prove, non un documento di policy

L'altro cambiamento che vale la pena notare: una policy di conservazione scritta e riposta in una cartella di conformità non basta più, da sola, a soddisfare le aspettative delle autorità. Quello che chiedono sono prove verificabili che la policy sia davvero applicata — procedure di cancellazione documentate, calendari di conservazione applicati a livello di server invece che lasciati alla discrezione del singolo dipendente, e procedure di legal hold che sospendano correttamente la cancellazione ordinaria quando è ragionevolmente prevedibile un contenzioso.

Lo si vede anche nelle sanzioni collegate. La CNIL francese e il Garante italiano hanno pubblicato indicazioni formali nell’aprile 2026 che trattano la casella come un’estensione della vita privata — in genere richiedono il consenso per i pixel di tracciamento, con esenzioni e disposizioni transitorie definite. Controlla le regole dell’autorità competente per l’uso specifico. È un meccanismo diverso dalle sanzioni sulla conservazione, ma l'atteggiamento di fondo è lo stesso: le autorità guardano proprio a che cosa fanno le aziende con il contenuto della posta, non solo se da qualche parte esiste un documento di policy.

Un calendario di conservazione che regge davvero

Niente di tutto questo richiede strumenti esotici. Una struttura difendibile è fatta di poche categorie, ciascuna con una motivazione documentata e una durata:

Posta operativa di routine — coordinamento interno, appuntamenti, corrispondenza quotidiana senza un rilievo legale o finanziario autonomo. Di solito conservata per circa un anno, poi eliminata.

Corrispondenza con l'assistenza clienti — di norma tenuta più a lungo, spesso due anni, per coprire i termini di garanzia e di contestazione.

Documenti contabili e fiscalmente rilevanti — regolati da ciò che impongono le norme fiscali e di revisione del tuo ordinamento, spesso sette anni.

Tutto ciò che è sotto blocco legale attivo — conservato a prescindere dalla categoria finché il blocco non viene revocato, prevalendo su ogni altro piano di conservazione.

I numeri precisi variano per settore e per paese — non li stabilisce il GDPR, li stabiliscono la tua autorità o la tua stessa motivazione documentata. Quello che conta è che ogni categoria abbia un numero attaccato, e che il numero venga davvero applicato invece di restare un buon proposito.

Dove si inserisce un archivio personale

Un archivio locale cambia la posizione di un documento, ma non elimina gli obblighi di conservazione. Per la posta aziendale con dati personali, definisci perché ogni categoria deve essere conservata, chi può accedervi e quando va eliminata. Applica la politica a posta sul server, archivi locali e backup. La conservazione continuata richiede uno scopo valido o un obbligo legale; spostare la posta dal server non ne crea uno. Consulta le indicazioni della CNIL sulla conservazione.

MailVault archivia ogni cartella del tuo account IMAP o OAuth come singoli file .eml sul tuo disco, del tutto indipendenti dalla casella di posta del tuo provider. Usa la copia locale solo per i documenti che hai diritto di conservare e includila nei controlli di accesso e nelle scadenze di eliminazione. MailVault non fornisce politiche di conservazione imposte centralmente, blocchi per obblighi legali o certificazioni di conformità. I backup manuali sono gratuiti e senza limiti; i backup pianificati, che tengono l'archivio aggiornato in automatico, sono una funzione premium da $4/mese o $25/anno, con 14 giorni di prova sul piano annuale. Queste istruzioni sulla struttura dei file si riferiscono al formato predefinito Maildir. Impostazioni → Archiviazione offre anche l’archiviazione JMAP, che conserva i byte originali dei messaggi con record JSON e deduplica i messaggi identici.

Da leggere anche: come eliminare in sicurezza migliaia di vecchie email, archiviare la posta per i freelance e come conservare le email dopo averle eliminate dal server.