Le multe GDPR arrivano a 6,11 miliardi di euro — "tenere tutto per sempre" è un rischio di conformità?

A marzo 2026 le multe GDPR cumulate nell'UE hanno raggiunto circa 6,11 miliardi di euro, distribuite su 2.685 casi di applicazione registrati, secondo il CMS GDPR Enforcement Tracker Report 2025/2026. I singoli casi in quell'insieme di dati arrivano fino a 1,2 miliardi di euro. Qualunque fosse il modello di rischio della tua organizzazione quando il GDPR era nuovo, nel 2018, otto anni dopo lo schema delle sanzioni non è più teorico — è un costo costante e ben documentato per le aziende che sbagliano il trattamento dei dati.

Quasi tutti i consigli sulla conservazione della posta si concentrano sul rischio sbagliato. Ti dicono per quanto tenere le varie categorie di email per motivi di conformità — sette anni per i documenti contabili, due anni per i ticket di assistenza — come se il rischio fosse sempre eliminare qualcosa troppo presto. Quel rischio è reale. Ma le autorità sono sempre più chiare sul fatto che l'errore opposto, tenere tutto a tempo indeterminato perché eliminare qualsiasi cosa sembra rischioso, è a sua volta una violazione.

Il principio che quasi tutte le policy di conservazione saltano

Il GDPR non ti consegna un periodo di conservazione fisso per la posta, ed è proprio quell'ambiguità che porta tante organizzazioni al "non cancellare mai niente, non si sa mai". Ma l'articolo 5(1)(e), il principio di limitazione della conservazione, richiede che i dati personali siano conservati "per un arco di tempo non superiore al necessario" rispetto alle finalità per cui sono stati raccolti — e l'articolo 5(1)(c), la minimizzazione dei dati, gli sta subito accanto. La conservazione a tempo indeterminato non è un'impostazione predefinita sicura sotto nessuno dei due principi. È proprio la cosa che sono stati scritti per vietare.

In pratica questo significa che un'organizzazione deve saper rispondere, per ogni categoria di email che detiene: perché la sto tenendo, e per quanto ancora. "Potrebbe servirci un giorno" non è una risposta che le autorità accettano, per quanto comprensibile sia l'istinto che c'è dietro.

Ora le autorità vogliono prove, non un documento di policy

L'altro cambiamento che vale la pena notare: una policy di conservazione scritta e riposta in una cartella di conformità non basta più, da sola, a soddisfare le aspettative delle autorità. Quello che chiedono sono prove verificabili che la policy sia davvero applicata — procedure di cancellazione documentate, calendari di conservazione applicati a livello di server invece che lasciati alla discrezione del singolo dipendente, e procedure di legal hold che sospendano correttamente la cancellazione ordinaria quando è ragionevolmente prevedibile un contenzioso.

Lo si vede anche nelle sanzioni collegate. La CNIL francese e il Garante italiano hanno pubblicato entrambi linee guida formali ad aprile 2026 che trattano la casella di posta come un'estensione della vita privata di una persona — le loro nuove regole sui pixel di tracciamento nelle email richiedono il consenso preventivo prima che qualcosa di invisibile riferisca che cosa succede dentro la casella di chi riceve. È un meccanismo diverso dalle sanzioni sulla conservazione, ma l'atteggiamento di fondo è lo stesso: le autorità guardano proprio a che cosa fanno le aziende con il contenuto della posta, non solo se da qualche parte esiste un documento di policy.

Un calendario di conservazione che regge davvero

Niente di tutto questo richiede strumenti esotici. Una struttura difendibile è fatta di poche categorie, ciascuna con una motivazione documentata e una durata:

Posta operativa di routine — coordinamento interno, appuntamenti, corrispondenza quotidiana senza un rilievo legale o finanziario autonomo. Di solito conservata per circa un anno, poi eliminata.

Corrispondenza con l'assistenza clienti — di norma tenuta più a lungo, spesso due anni, per coprire i termini di garanzia e di contestazione.

Documenti contabili e fiscalmente rilevanti — regolati da ciò che impongono le norme fiscali e di revisione del tuo ordinamento, spesso sette anni.

Tutto ciò che è sotto blocco legale attivo — conservato a prescindere dalla categoria finché il blocco non viene revocato, prevalendo su ogni altro piano di conservazione.

I numeri precisi variano per settore e per paese — non li stabilisce il GDPR, li stabiliscono la tua autorità o la tua stessa motivazione documentata. Quello che conta è che ogni categoria abbia un numero attaccato, e che il numero venga davvero applicato invece di restare un buon proposito.

Dove si inserisce un archivio personale

Qui c'è una tensione reale per i singoli e per i piccoli gruppi: la disciplina della conservazione spinge a eliminare la vecchia posta dal server, ma nessuno vuole perdere quindici anni di corrispondenza perché una regola di conformità dice che la casella attiva non deve più tenerla. La soluzione è la stessa che vale per il rischio sui backup — separare ciò che resta sul server da ciò di cui conservi una copia.

MailVault archivia ogni cartella del tuo account IMAP o OAuth come singoli file .eml sul tuo disco, del tutto indipendenti dalla casella di posta del tuo provider. Questo ti dà lo spazio per applicare davvero un piano di conservazione sull'account attivo — eliminando ciò che ha superato il periodo giustificato — senza perdere il documento sottostante, perché il documento vive già in un posto che controlli tu, in un formato che qualsiasi client può aprire. I backup manuali sono gratuiti e senza limiti; i backup pianificati, che tengono l'archivio aggiornato in automatico, sono una funzione premium da $4/mese o $25/anno, con 14 giorni di prova sul piano annuale.

Da leggere anche: come eliminare in sicurezza migliaia di vecchie email, archiviare la posta per i freelance e come conservare le email dopo averle eliminate dal server.