Log e metadati dei dispositivi: quanto conservarli
Metadati email, log di stampa, navigazione, badge e sessioni remote: per quanto tempo puoi tenerli davvero, con quali basi e quando serve l'accordo ex art. 4.
Scritto da Team ILTECPubblicato il 31 agosto 2026
Un dipendente si licenzia. L’ufficio HR ti chiede di recuperare la sua posta di due mesi fa. Il fornitore IT ha i log di stampa dell’ultimo anno “per sicurezza”. Il badge registra ogni ingresso da tre anni. Sembra tutto normale — finché non arriva una contestazione, e scopri che quei dati non avresti dovuto tenerli così a lungo, o non avresti potuto usarli.
Questa è una domanda diversa da “come metto in sicurezza la multifunzione”. Non parliamo di cifratura o pull printing (per quelli vedi le guide dedicate qui sotto). Parliamo di per quanto tempo puoi conservare i dati che i tuoi dispositivi generano da soli, e con quali basi.
In breve:
- I metadati email raccolti in modo generalizzato dal server di posta vanno tenuti per un tempo breve — pochi giorni — salvo giustificazione documentata: lo ha ribadito il Garante Privacy nel provvedimento sul tema.
- Log di stampa, log di navigazione, sessioni di supporto remoto e timbrature badge sono dati personali: richiedono base giuridica, informativa e un tempo di retention definito, non “finché serve”.
- Se lo strumento consente anche il controllo a distanza dell’attività dei lavoratori, scatta l’art. 4 dello Statuto: serve accordo sindacale o autorizzazione dell’Ispettorato, più informativa preventiva.
- La regola operativa è impostare la cancellazione automatica lato macchina: il log scade da solo, senza dipendere da chi si ricorda di cancellarlo.
- Un dato conservato oltre il dovuto non è solo un rischio-sanzione: spesso non è nemmeno utilizzabile come prova in un procedimento disciplinare.
Cosa cambia il provvedimento del Garante sui metadati email
Il punto di partenza è il provvedimento del Garante Privacy sui metadati della posta elettronica. La distinzione chiave è fra il contenuto delle email e i metadati — mittente, destinatario, oggetto, data/ora, dimensione, indirizzi IP — che i server di posta registrano automaticamente per ogni messaggio.
Il Garante ha chiarito che la raccolta generalizzata e sistematica di questi metadati, conservati a lungo, è un trattamento che va oltre la semplice necessità tecnica di far funzionare la posta. Per la conservazione entro un orizzonte breve (nell’ordine di pochi giorni) il datore può appoggiarsi alle esigenze tecniche del servizio. Oltre quella soglia, serve una giustificazione documentata e, quando i metadati permettono di ricostruire l’attività del lavoratore, l’applicazione dell’art. 4 dello Statuto.
Attenzione al caso concreto più frequente: l’accesso alla casella dopo la cessazione del rapporto. Come segnalato anche dalla dottrina di settore, mantenere attiva e consultabile la posta di un ex dipendente è un trattamento delicato: la prassi corretta è disattivare la casella, impostare un risponditore automatico che comunichi il nuovo contatto, e conservare l’account per un periodo limitato e definito, non a tempo indeterminato.
Non solo email: la mappa dei dati che i dispositivi generano
Il ragionamento sui metadati email vale, con proporzioni diverse, per quasi tutti i dispositivi d’ufficio. Ecco cosa producono, e le domande a cui rispondere per ciascuno.
| Dato | Chi lo genera | Cosa contiene | Nodo di retention |
|---|---|---|---|
| Metadati email | Server di posta | Mittente, destinatario, oggetto, data/ora, IP | Pochi giorni salvo giustificazione + art. 4 |
| Job di stampa/scansione | Multifunzione, gestionale di stampa | Utente, orario, nome file, n° pagine | Definire tempo breve; utile per contabilità stampe, non oltre |
| Log di navigazione | Firewall / proxy | Siti visitati, orari, volumi | Molto sensibile: raramente serve un dato individuale conservato a lungo |
| Sessioni di supporto remoto | Software di assistenza (es. TeamViewer) | Chi, quando, quale postazione, durata | Tenere il registro accessi; limitare il tempo |
| Timbrature badge | Sistema di controllo accessi | Ingressi/uscite, varchi, orari | Retention legata alla finalità (sicurezza vs presenze) |
La logica è sempre la stessa: prima la finalità, poi il tempo. Se conservi i log di stampa per addebitare i costi ai reparti, il dato ti serve fino alla chiusura del periodo contabile — non per anni. Se registri le sessioni di supporto remoto per tracciabilità della sicurezza, tieni chi-quando-cosa, non la ripresa dell’intera sessione a tempo indeterminato.
Quando scatta l’art. 4 dello Statuto dei lavoratori
Qui sta il ponte fra impostazione tecnica e obbligo del datore. L’art. 4 dello Statuto distingue:
- Strumenti di controllo (telecamere, sistemi il cui scopo è controllare) → serve accordo sindacale con RSA/RSU o, in mancanza, autorizzazione dell’Ispettorato del Lavoro.
- Strumenti di lavoro (posta, stampanti, PC, badge) usati per rendere la prestazione → non richiedono l’accordo per il loro uso, ma se producono dati che permettono anche un controllo a distanza dell’attività, il loro utilizzo a fini disciplinari richiede comunque informativa preventiva e rispetto delle regole privacy.
In pratica: una stampante è uno strumento di lavoro. Ma un log di stampa conservato un anno e usato per contestare a un dipendente cosa e quanto ha stampato diventa controllo a distanza. Senza informativa adeguata e senza il quadro dell’art. 4, quel log non è utilizzabile — e la contestazione cade.
Come si imposta la retention, in concreto
La parte buona: quasi tutto si governa lato macchina, e va fatto in fase di configurazione, non dopo.
- Definisci la finalità di ogni log prima di attivarlo. Se non sai perché lo conservi, non conservarlo.
- Imposta la rotazione automatica: la maggior parte di multifunzione, firewall e software di gestione permette di fissare un periodo massimo dopo il quale i log vengono cancellati o sovrascritti.
- Scrivi i tempi nel registro dei trattamenti e nell’informativa al personale. Un tempo dichiarato e rispettato vale più di qualsiasi difesa a posteriori.
- Separa i ruoli: chi amministra i dispositivi non deve poter estrarre dati individuali senza una procedura autorizzata.
Sul nostro territorio l’abbiamo visto da vicino: uno studio di commercialisti a Biella — settore per definizione sensibile ai dati dei clienti — ha ordinato prima le finalità (fascicoli, backup, stampa centralizzata) e poi impostato di conseguenza retention e accessi sulle macchine. È l’ordine giusto: la tecnica segue la finalità, non il contrario.
Questo discorso si aggancia ai requisiti privacy delle multifunzione e al controllo degli accessi in stampa, che trattiamo altrove: qui l’obiettivo era il tempo e la base, non l’hardware.
Un limite onesto
Niente in questa guida sostituisce il parere del tuo DPO o del consulente del lavoro. I tempi “giusti” dipendono dalla tua organizzazione, dai contratti applicati e dagli accordi eventualmente in essere. Quello che possiamo garantire è la parte tecnica: che i dispositivi siano configurati per conservare solo quello che serve, per il tempo che hai deciso — e che alla scadenza il dato sparisca da solo.
Se vuoi mettere ordine nei log e nella retention dei tuoi dispositivi d’ufficio — stampanti, postazioni, accessi remoti — prenota un sopralluogo gratuito: verifichiamo insieme cosa registrano oggi le tue macchine e come impostare tempi e accessi coerenti con le tue finalità. Senza vendere nulla che non ti serva.
Approfondimenti collegati: GDPR e stampanti multifunzione: i requisiti, stampa sicura con PIN, badge e cifratura, cybersecurity per PMI: il kit minimo.
Domande frequenti
- Per quanto tempo posso conservare i metadati delle email aziendali?
- Il Garante Privacy indica un orizzonte breve — nell'ordine di pochi giorni — per i metadati raccolti in modo generalizzato dai server di posta. Oltre quella soglia serve una giustificazione documentata (esigenze organizzative, di sicurezza o di tutela del patrimonio) e, di norma, la procedura dell'art. 4 dello Statuto dei lavoratori.
- I log di stampa contengono dati personali?
- Sì. Un job di stampa registra tipicamente utente, data e ora, nome del file e numero di pagine: è un dato personale che, se collegato a una persona identificabile, può rivelare abitudini e volumi di lavoro. Va trattato con base giuridica, informativa e un tempo di retention definito, non conservato a tempo indeterminato.
- Quando serve l'accordo sindacale ex art. 4 dello Statuto dei lavoratori?
- Quando gli strumenti di lavoro (posta, stampanti, badge, navigazione, supporto remoto) permettono anche un controllo a distanza dell'attività dei dipendenti, oltre alla loro funzione. In quel caso serve accordo con le RSA/RSU o autorizzazione dell'Ispettorato del Lavoro, più informativa preventiva. La sola funzione operativa dello strumento non basta a legittimare qualsiasi conservazione.
- Posso impostare la cancellazione automatica dei log sulla macchina?
- Nella maggior parte dei casi sì. Multifunzione, gestionali di stampa, firewall e software di supporto remoto permettono di definire una rotazione o una purge automatica dei log. È la via più solida per rispettare il principio di limitazione della conservazione: il dato sparisce da solo alla scadenza, senza dipendere da un intervento manuale.
- Cosa rischio se conservo log e metadati troppo a lungo senza base?
- Una conservazione sproporzionata viola il principio di minimizzazione (GDPR, Regolamento UE 2016/679) ed espone a contestazioni del Garante e a impugnazioni in caso di uso disciplinare del dato. Il rischio non è solo la sanzione: un log raccolto senza le garanzie dell'art. 4 spesso non è nemmeno utilizzabile come prova.