caselle e-mail istituzionali condivise GDPR

Linee guida, provvedimenti del Garante Privacy e modello di disposizione interna per gli enti

Introduzione

Spesso ci viene chiesto come gestire in modo conforme al Regolamento (UE) 2016/679 (GDPR) le caselle e-mail istituzionali condivise o di ruolo — come sindaco@, presidente@, segreteria@ o urp@.

Questo approfondimento fornisce agli enti pubblici (Comuni, Unioni, Consorzi, Aziende speciali, ecc.) linee guida operative e un fac-simile di disposizione interna aggiornato ai più recenti provvedimenti del Garante per la protezione dei dati personali, per garantire tracciabilità, sicurezza e tutela dei dati personali nelle comunicazioni elettroniche.

Quadro normativo di riferimento

Le regole sull’utilizzo della posta elettronica nei luoghi di lavoro si fondano su un insieme coordinato di provvedimenti del Garante e norme nazionali ed europee.

Principali provvedimenti del Garante

Lavoro: le linee guida del Garante per posta elettronica e internet – Registro delle deliberazioni n. 13 del 1° marzo 2007 (doc. web n. 1387522).
Ha introdotto i principi di correttezza, trasparenza, proporzionalità e necessità, prescrivendo l’adozione di regole interne sull’uso degli strumenti informatici e vietando controlli a distanza non proporzionati.
Provvedimento del 21 dicembre 2023 – Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” – Registro dei provvedimenti n. 642 del 21 dicembre 2023 (doc. web n. 9978728).
Definisce i criteri per il trattamento dei metadati (log tecnici) generati dai sistemi di posta elettronica, richiamando i principi di necessità, limitazione della conservazione e sicurezza informatica.
Provvedimento del 6 giugno 2024 – Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” – Registro dei provvedimenti n. 364 del 6 giugno 2024 (doc. web n. 10026277).
Aggiorna e integra il provvedimento del 2023, stabilendo che i metadati devono essere conservati “di norma per pochi giorni e, a titolo orientativo, non oltre ventuno giorni”, salvo esigenze tecniche motivate e documentate.
Provvedimento “Amministratori di sistema” – Registro dei provvedimenti n. 192 del 27 novembre 2008 (doc. web n. 1577499) e successive Modifiche del 25 giugno 2009 (doc. web n. 1626595).
Definisce gli obblighi di designazione, logging e verifica periodica degli Amministratori di Sistema (AdS), imponendo l’uso di credenziali personali, la tenuta di un elenco aggiornato e controlli periodici sugli accessi ai sistemi informativi.

Norme di riferimento

Regolamento (UE) 2016/679 (GDPR) – articoli 5, 24 e 32
Decreto legislativo 30 giugno 2003, n. 196 (Codice Privacy) – articoli 2-ter e 2-quaterdecies
Decreto legislativo 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale) – articolo 17
Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) – articolo 4

Caselle di ruolo e credenziali personali

Le caselle di ruolo (sindaco@, presidente@, segreteria@, urp@) sono strumenti essenziali per la continuità amministrativa ma richiedono rigore nella gestione.

Il Garante prescrive che ogni accesso avvenga con credenziali personali nominative, tramite funzioni di delega o casella condivisa; che sia vietato l’uso di password comuni o anonime; che le operazioni (invio, lettura, cancellazione) siano tracciate tramite log tecnici che registrano solo dati tecnici (data, ora, utente, indirizzo IP, identificativo messaggio), senza memorizzare i contenuti; e che i log siano conservati per il periodo strettamente necessario alla sicurezza informatica, di norma non oltre 21 giorni, salvo esigenze motivate (Provv. 6 giugno 2024, doc. web n. 10026277).

Continuità operativa e riservatezza

La Deliberazione n. 13 del 1° marzo 2007 (§ 5.2, lett. b) raccomanda di garantire la continuità dei servizi senza accessi indebiti alla posta dei lavoratori o degli amministratori.

Le misure operative raccomandate includono:

attivazione di un messaggio automatico di risposta (Out of Office) con recapiti alternativi;
delega fiduciaria per la gestione delle e-mail in caso di assenza prolungata;
disattivazione o archiviazione separata della casella alla fine del mandato o dell’incarico.

Designazioni, registro e revoche

Gli utenti autorizzati devono essere designati formalmente ai sensi dell’articolo 2-quaterdecies del D.Lgs. 196/2003.
L’Ente deve mantenere un registro delle deleghe, aggiornato e documentato, e revocare immediatamente le credenziali al termine dell’incarico.

Coordinamento tra RPD, RTD e Amministratore di Sistema

La gestione della posta elettronica rientra tra le misure di sicurezza dell’articolo 32 GDPR e richiede coordinamento tra:

il Responsabile della Protezione dei Dati (RPD), che vigila sulla conformità normativa;
il Responsabile della Transizione Digitale (RTD), che assicura coerenza con le strategie digitali e informatiche;
l’Amministratore di Sistema (AdS), designato ai sensi del Provvedimento “Amministratori di sistema” del 27 novembre 2008 (doc. web n. 1577499) e delle Modifiche del 25 giugno 2009 (doc. web n. 1626595), responsabile della sicurezza tecnica, della tracciabilità e del controllo degli accessi.

Fac-simile di disposizione interna

DISPOSIZIONE INTERNA PER LA GESTIONE E L’UTILIZZO DELLE CASELLE E-MAIL ISTITUZIONALI CONDIVISE O DI RUOLO

(Approvata con determinazione n. … del …)

Art. 1 – Oggetto e finalità

La presente disposizione disciplina la gestione e l’utilizzo delle caselle di posta elettronica istituzionali condivise o di ruolo dell’Ente, al fine di:

– garantire la continuità amministrativa e la tracciabilità delle comunicazioni istituzionali;
– assicurare la conformità al Regolamento (UE) 2016/679 (GDPR) e al D.Lgs. 196/2003 (artt. 2-ter e 2-quaterdecies);
– rispettare i principi di liceità, necessità, minimizzazione e limitazione della conservazione (art. 5 GDPR);
– prevenire accessi non autorizzati, trattamenti eccedenti o conservazioni non giustificate, incluse quelle dei metadati di posta elettronica.

Art. 2 – Ambito di applicazione

Le presenti regole si applicano alle caselle non nominative riferite a funzioni o ruoli istituzionali (es. sindaco@, presidente@, segreteria@, urp@), accessibili a più soggetti formalmente autorizzati.
Si applicano altresì alle caselle nominative qualora, per necessità organizzative, siano gestite in modalità condivisa o sottoposte a gestione archivistica da parte di altri uffici, nel rispetto del principio di necessità.

Art. 3 – Ruoli e responsabilità

L’Ente è Titolare del trattamento dei dati personali e dei metadati generati dai sistemi di posta elettronica.
Il Responsabile della Protezione dei Dati (RPD/DPO) svolge funzioni di consulenza, monitoraggio e controllo della conformità al GDPR e ai provvedimenti del Garante.
L’Amministratore di Sistema (AdS), designato ai sensi del Provvedimento “Amministratori di sistema” – Registro n. 192 del 27 novembre 2008 (doc. web n. 1577499)e delle Modifiche del 25 giugno 2009 (doc. web n. 1626595), è responsabile della sicurezza tecnica, della tracciabilità e del controllo degli accessi ai sistemi informativi, assicurando in particolare:
– la gestione e la revoca tempestiva delle credenziali;
– la registrazione e la verifica dei log di accesso e di utilizzo;
– la limitazione della raccolta e della conservazione dei metadati ai soli fini di sicurezza;
– la verifica contrattuale con eventuali fornitori cloud e il rispetto dell’art. 28 GDPR.
Il Responsabile della Transizione Digitale (RTD), ai sensi dell’art. 17 del D.Lgs. 82/2005 (CAD), assicura il coordinamento tra la presente disposizione e le politiche di digitalizzazione dell’Ente, promuovendo misure tecniche e organizzative idonee.
Le persone autorizzate all’uso delle caselle sono designate con atto formale che individua nominativo, finalità, limiti e durata dell’autorizzazione (art. 2-quaterdecies D.Lgs. 196/2003).

Art. 4 – Modalità di utilizzo

Le caselle condivise o di ruolo sono utilizzate esclusivamente per finalità istituzionali; è vietato l’uso personale o estraneo ai compiti dell’Ente.
I messaggi e gli allegati devono essere gestiti secondo le regole di protocollazione, classificazione e archiviazione documentale vigenti.
In caso di trasmissione di dati appartenenti a categorie particolari o giudiziari, devono essere adottate modalità sicure (PEC, cifratura end-to-end o equivalenti).
L’accesso della segreteria o di altri incaricati a caselle di ruolo (es. presidente@, sindaco@) è ammesso solo se previsto da atto interno che ne definisca limiti, finalità e responsabilità.

Art. 5 – Accesso, tracciabilità e metadati

5.1 Accesso tecnico alle caselle condivise

Ogni accesso avviene con credenziali personali nominative, tramite funzioni di delega o condivisione che consentano di identificare l’operatore.
È vietato l’utilizzo di credenziali comuni o anonime.
Tutte le operazioni (invio, lettura, cancellazione) devono essere tracciate tramite log di sistema, conservati per il periodo strettamente necessario alla sicurezza informatica, in conformità al Documento di indirizzo del Garante del 6 giugno 2024 – Registro n. 364/2024 (doc. web n. 10026277).
L’Ente mantiene un registro aggiornato delle persone autorizzate e verifica periodicamente la coerenza tra deleghe attive e accessi registrati.

5.2 Natura e limiti della tracciatura (log)

I log di sistema registrano esclusivamente informazioni tecniche (data, ora, utente, IP, identificativo messaggio) senza memorizzare il contenuto delle comunicazioni.
I log sono trattati solo per finalità di sicurezza informatica e integrità dei sistemi (art. 32 GDPR) e non per controlli individuali, salvo quanto previsto dall’art. 4 della L. 20 maggio 1970, n. 300.
La conservazione dei log è limitata a pochi giorni e, a titolo orientativo, non superiore a ventuno giorni, come previsto dal Documento del Garante del 6 giugno 2024. Decorso tale periodo, i log sono automaticamente cancellati o sovrascritti, salvo esigenze eccezionali documentate.

5.3 Metadati di posta elettronica

La raccolta e la conservazione dei metadati sono ammesse nei soli limiti necessari a garantire il corretto funzionamento e la sicurezza del sistema.
La conservazione è limitata, di norma, a pochi giorni e non superiore a ventuno giorni; eventuali estensioni devono essere tecnicamente motivate, documentate e approvate dal Titolare, con adeguate misure di sicurezza (art. 32 GDPR).
I metadati non possono essere utilizzati per finalità di controllo individuale, salvo i presupposti previsti dall’art. 4 dello Statuto dei lavoratori.

Art. 6 – Conservazione e cancellazione dei messaggi

I messaggi e gli allegati sono conservati per il tempo strettamente necessario al perseguimento delle finalità amministrative, secondo il piano di conservazione e il protocollo informatico dell’Ente.
Decorso tale termine, i messaggi devono essere cancellati o anonimizzati, salvo obblighi di legge.
I backup devono essere protetti da accessi impropri e gestiti con misure di cifratura e integrità (art. 32 GDPR).

Art. 7 – Continuità operativa

In caso di assenza programmata, l’utente attiva un messaggio automatico di risposta (Out of Office) con recapiti alternativi e, se necessario, delega la gestione della casella.
In caso di assenza improvvisa e prolungata, il responsabile dell’ufficio può autorizzare, per improrogabili esigenze di servizio, la gestione fiduciaria della casella da parte di persona designata, con verbale delle operazioni svolte e informativa all’interessato alla prima occasione utile.
Alla cessazione dell’incarico o del mandato (es. Sindaco o Presidente), la password deve essere modificata e l’archivio della casella trasferito in area separata, accessibile solo per esigenze di continuità amministrativa.

Art. 8 – Sicurezza e misure tecniche

L’Ente adotta misure tecniche e organizzative adeguate (art. 32 GDPR), comprendenti:
– gestione sicura delle credenziali e loro revoca tempestiva;
– sistemi di cifratura, backup protetti e logging conforme al principio del minimo privilegio;
– audit interni periodici e verifica degli accessi da parte dell’Amministratore di Sistema;
– verifica dei fornitori cloud e clausole contrattuali conformi all’art. 28 GDPR;
– coordinamento tra RPD, RTD e AdS per garantire coerenza tra sicurezza informatica e tutela dei dati personali.

Art. 9 – Informativa e trasparenza

Gli utenti e i soggetti autorizzati ricevono informativa preventiva (artt. 12 e 13 GDPR) sul trattamento dei dati personali e dei metadati connessi all’uso della posta elettronica.
L’informativa specifica: finalità, basi giuridiche, tempi di conservazione, tipologia dei controlli, misure di sicurezza, diritti dell’interessato e contatti del RPD.

Art. 10 – Revisione e aggiornamento

La presente disposizione è oggetto di revisione periodica in caso di:
– nuovi provvedimenti del Garante o modifiche legislative;
– innovazioni tecnologiche o organizzative rilevanti;
– variazioni dei fornitori o delle modalità di gestione del servizio di posta elettronica.

Fonti normative e provvedimenti di riferimento

– Lavoro: le linee guida del Garante per posta elettronica e internet – Deliberazione n. 13 del 1° marzo 2007 (doc. web n. 1387522)
– Provvedimento del 21 dicembre 2023 – Documento di indirizzo “Programmi e servizi informatici …” – Registro n. 642 del 21 dicembre 2023 (doc. web n. 9978728)
– Provvedimento del 6 giugno 2024 – Documento di indirizzo “Programmi e servizi informatici …” – Registro n. 364 del 6 giugno 2024 (doc. web n. 10026277)
– Provvedimento “Amministratori di sistema” – Registro n. 192 del 27 novembre 2008 (doc. web n. 1577499) e Modifiche del 25 giugno 2009 (doc. web n. 1626595)
– Regolamento (UE) 2016/679 (GDPR) – artt. 5, 6, 24, 28, 32, 37–39
– D.Lgs. 30 giugno 2003, n. 196 (Codice Privacy) – artt. 2-ter, 2-quaterdecies
– D.Lgs. 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale) – art. 17
– Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori) – art. 4

Tabella di sintesi

Aspetto	Regola e riferimento normativo esteso
Accesso alle caselle di ruolo	Ogni accesso deve avvenire con credenziali personali nominative e tracciabili – Regolamento (UE) 2016/679, articolo 32; Lavoro: le linee guida del Garante per posta elettronica e internet – Registro delle deliberazioni n. 13 del 1° marzo 2007 (doc. web n. 1387522), paragrafi 3.1–3.3
Password comuni	L’uso di password condivise o anonime è vietato – Regolamento (UE) 2016/679, articoli 5 e 32
Log e metadati	I log devono contenere solo dati tecnici e possono essere conservati per un periodo limitato, di norma non superiore a 21 giorni – Provvedimento del 6 giugno 2024 – Documento di indirizzo “Programmi e servizi informatici …” – Registro n. 364/2024 (doc. web n. 10026277); Provvedimento del 21 dicembre 2023 – Registro n. 642/2023 (doc. web n. 9978728)
Finalità dei log	I log possono essere trattati esclusivamente per finalità di sicurezza informatica, non per controlli a distanza – Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), articolo 4; Lavoro: le linee guida del Garante per posta elettronica e internet – Deliberazione n. 13 del 1° marzo 2007, paragrafi 4 e 6.1
Continuità operativa	È necessario attivare un messaggio automatico di assenza e predisporre procedure di delega fiduciaria – Lavoro: le linee guida del Garante per posta elettronica e internet – Deliberazione n. 13 del 1° marzo 2007, paragrafo 5.2 (b)
Amministratore di Sistema (AdS)	L’Amministratore di Sistema deve essere formalmente designato, con tracciamento e verifica periodica degli accessi – Provvedimento del Garante per la protezione dei dati personali “Amministratori di sistema”, Registro dei provvedimenti n. 192 del 27 novembre 2008 (doc. web n. 1577499) e Modifiche del 25 giugno 2009 (doc. web n. 1626595)
Designazioni e registro deleghe	Le persone autorizzate devono essere designate per iscritto e le deleghe documentate – Decreto legislativo 30 giugno 2003, n. 196 (Codice Privacy), articolo 2-quaterdecies
Coordinamento interno	RPD, RTD e Amministratore di Sistema devono operare in sinergia – Decreto legislativo 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale), articolo 17; Regolamento (UE) 2016/679, articolo 24

Supporto operativo

Il team iSimply è a disposizione per assistere gli enti pubblici nella configurazione tecnica delle caselle di ruolo, nell’adozione della disposizione interna e nell’aggiornamento dei registri dei trattamenti ai sensi del GDPR.
Per informazioni o supporto: dpo@isimply.it