Nel contesto delle organizzazioni italiane, pubbliche e private, la mancanza di governance informativa sta diventando una critica emergente. E-mail, dati non strutturati e archivi digitali rappresentano una passività crescente per molte organizzazioni. L’Information Governance permette infatti di superare i problemi legati ai silos aziendali, ai rischi GDPR e alla gestione emergenziale di archivi informatici, trasformando l’informazione in un patrimonio governabile, tracciabile e resiliente.
Immaginate questo scenario: un tubo perde in bagno, chi abita in casa tenta riparazioni momentanee. Quando il tubo esplode e l’acqua arriva alle caviglie, viene finalmente chiamato l’idraulico. L’idraulico osserva il disastro, va all’ingresso, chiude il rubinetto centrale e dice con la sicurezza di chi sa dove intervenire: “Potevi iniziare da qui, no?”. Questo è lo stesso tipo di logica che molti applicano alla gestione delle informazioni nella vita aziendale.
Nel panorama italiano, si investe in infrastrutture, storage e cybersecurity, ma continua ad affrontare questi problemi come questioni infrastrutturali anziché processi informativi da governare alla radice attraverso professionalità dedicate. Il problema non riguarda solo l’utilizzo della mail, ma il sistema organizzativo che non riesce a far fronte al complesso e dinamico patrimonio informativo.
La crescente passività digitale
Si tratta di un aspetto che consolidandosi diventa una vera passività: giuridica, operativa e di sicurezza, con impatto sull’intero patrimonio informativo. Le falle derivano in gran parte dalla mancanza di una disciplina in grado di stabilire una struttura di flussi informativi e documentali, con procedure trasparenti, ruoli definiti e tracciabilità.
Questa situazione non è gestibile solo attraverso tecnologie, ma richiede un piano chiaro di Information Governance. La grande sfida che le organizzazioni italiane devono affrontare non è più solo sulle tecnologie da adottare, ma sull’implementazione di una governance strategica che trasformi i dati in un vero e proprio patrimonio informativo.
La relazione tra IT Governance, Data Governance e Information Governance
Per comprendere al meglio questo panorama, è utile delineare la relazione tra gli ambiti di IT Governance, Data Governance e Information Governance. Questi tre percorsi operativi sono distinti ma complementari. La Data Governance si occupa dei dati, garantendone la qualità, la coerenza e il governo. L’IT Governance gestisce invece i sistemi tecnologici e l’infrastruttura digitale.
L’Information Governance, invece, va al cuore del contenuto informativo: governa l’intero ciclo di vita della documentazione lungo i processi aziendali, definendo la rilevanza strategica, i requisiti di conformità e i profili di rischio.
Non si tratta di modelli isolati, ma di una costruzione integrata in cui ogni livello si appoggia e si alimenta reciprocamente. Fino a quando la strategia rimarrà separata nella gestione operativa o dei dati tecnologici, i vecchi problemi e i rischi rimarranno immutati.
L’orientamento del Garante per la protezione dei dati
Le criticità evidenziate sono state riconosciute anche dall’Autorità Garante. Il Provvedimento n. 165 del 12 marzo 2026 ha rappresentato un altro esempio concreto di come si possa andare a fondo nei problemi di governance delle informazioni.
Il diritto di accesso alla corrispondenza elettronica è già oggi un principio consolidato in Italia e in molte giurisdizioni europee. Il provvedimento del Garante ha acceso dibattiti importanti, soprattutto perché affronta direttamente un problema quotidiano: l’accesso alle informazioni richiesto ai sensi dell’articolo 15 del GDPR.
Rispondere a una richiesta di accesso ai dati, ad esempio in un mailbox elettronica, richiede processi maturi di eDiscovery e Records Management. Senza questi strumenti, il rispetto dei tempi definiti dall’articolo 12 del GDPR (un mese risposta, prorogabile a due mesi solo nei casi di complessità oggettiva) diventa quasi impossibile.
Un modello operativo non più sostenibile
Purtroppo, una lettura esterna al quadro strutturale rischia di oscurare la dimensione preventiva del problema. La dinamica messa in luce dal Garante nel provvedimento del 2026 evidenzia un modello operativo condiviso da molte organizzazioni: alla cessazione di un rapporto di lavoro, invece di disattivare definitivamente l’account email, si effettuano backup per conservare i messaggi con obiettivi legati alla continuità operativa o alla tutela nel contenzioso.
Questa pratica esporre le aziende a due scelte critiche: la conservazione indistinta di informazioni nella mailbox, violando il principio GDPR di minimizzazione, oppure l’incapacità di ricostruire a posteriori i contenuti richiesti in modo conforme.
L’approccio indicato dal Garante
Il Garante sottolinea in modo chiaro che le informazioni rilevanti per la continuità aziendale non possono affidarsi all’informalità del sistema postale. Come si legge nel testo del provvedimento, la conservazione deve avvenire attraverso strumenti strutturati, in grado di assicurare autenticità, integrità, affidabilità, leggibilità e reperibilità. I sistemi di posta elettronica non riescono a fornire tali garanzie.
Una traiettoria consolidata
Questo punto di vista fa parte di una traiettoria ormai abbastanza lunga. Fin dal 2018, i provvedimenti del Garante mettono in luce le problematiche relative all’utilizzo non strutturale delle mailbox. La casella di posta elettronica, infatti, nasce come strumento di comunicazione: non è progettata per la conservazione permanente di documenti, nonostante spesso venga adoperata in questo modo.
Il problema non è tanto un errore, ma un paradosso sistemico. Ogni funzione aziendale ha le sue priorità, ma opera in isolamento. Ne risulta un cortocircuito di divergenze:
- I dipartimenti IT limitano la quantità di caselle e-mail per mantenere la performance e ridurre costi tecnologici
- Gli utenti business, per non compromettere l’operatività, salvano la corrispondenza in archivi locali o canali non autorizzati
- Il legale cerca di garantire continuità documentativa ma senza un sistema documentale chiaro
- L’IT cerca di limitare lo storage senza considerare che i dati sono documenti legali e strategici
Un modello di questo tipo non è sostenibile né dal punto di vista giuridico né da quello organizzativo.
L’urgente bisogno di una visione integrata
Per superare questa frammentazione, l’organizzazione deve adottare un piano integrato di Information Governance. Questo processo permette di strutturare in modo coerente il management delle informazioni a ogni livello. La governance non si limita a contenere il rischio: lo prevede, lo misura e lo trasforma in valore.
Senza una logica strategica che colpisca