Information Governance, la chiave per la resilienza digitale italiana

Avete presente la scena? Un tubo perde in bagno e chi ci abita tenta una serie di riparazioni improvvisate. Quando il tubo esplode e l’acqua arriva alle caviglie, viene finalmente chiamato l’idraulico. L’idraulico osserva il disastro, va all’ingresso, chiude il rubinetto centrale e dice con la sicurezza di chi sa dove intervenire: “Potevi iniziare da qui, no?”.

Nel panorama delle organizzazioni italiane, pubbliche e private, la gestione della posta elettronica e dei dati non strutturati si trova oggi nella stessa condizione: si investe massicciamente in storage, piattaforme cloud e strumenti di cybersecurity, ma si continua ad affrontare il problema come se fosse soltanto una questione infrastrutturale e tecnologica da contenere, anziché un processo informativo da curare alla radice attraverso competenze specializzate.

Ma sarebbe riduttivo affermare che il problema sia legato solo all’utilizzo della mail. In realtà si parla di un aspetto che, consolidandosi nel tempo, si è trasformato in una vera e propria passività crescente sul piano giuridico, operativo e della sicurezza con impatto su tutto il patrimonio informativo.

Si tratta di falle che derivano dalla mancanza di una disciplina capace di governare i flussi informativi e documentali dell’organizzazione attribuendo loro una struttura con responsabilità definite e regole operative: l’Information Governance.

Oltre IT e Data Governance: il ruolo strategico dell’Information Governance

La vera sfida che le organizzazioni pubbliche e private sono chiamate a raccogliere oggi non risiede nella quantità di tecnologia adottata, ma nella definizione di una governance strategica sulle informazioni e sulle dinamiche attraverso cui le informazioni generano valore e significato, trasformando i dati in patrimonio informativo.

Per guidare il lettore in questo percorso, vorrei per prima cosa chiarire la relazione tra IT Governance, Data Governance e Information Governance, tre ambiti distinti ma complementari. La Data Governance presidia i dati, garantendone qualità, coerenza e governo. L’IT Governance si occupa dell’infrastruttura tecnologica e dei sistemi che la supportano. L’Information Governance opera su un piano diverso: riguarda il contenuto informativo e ne governa l’intero ciclo di vita lungo i processi aziendali, definendone rilevanza strategica, requisiti di conformità e profili di rischio.

Non si tratta di ambienti stagni, ma di modelli operativi integrati in cui ogni livello è supportato reciprocamente dall’altro.

Finché la visione strategica rimarrà delegata alla sola gestione operativa dell’infrastruttura o dei dati in essa contenuti, il rischio rimarrà immutato: continuare a raccogliere l’acqua con il secchiello anziché governare il flusso alla fonte.

L’equivoco della posta elettronica usata come archivio

Questa tensione organizzativa traspare oggi con chiarezza nell’orientamento consolidato del Garante per la protezione dei dati personali, di cui il Provvedimento n. 165 del 12 marzo 2026¹ rappresenta l’ultima manifestazione.

Pur a fronte delle numerose riflessioni di estremo valore condivise da diversi esperti, è utile ribadire che l’applicabilità del diritto di accesso alla corrispondenza elettronica è un principio ormai ampiamente consolidato sia in Italia che nelle altre giurisdizioni europee.

L’intervento ha, quindi, attirato un’attenzione significativa nel dibattito di settore perché affronta in modo esplicito un problema pratico e quotidiano: come le organizzazioni pubbliche e private devono gestire le richieste di accesso ai dati contenuti nelle e-mail dei lavoratori ai sensi dell’art. 15 GDPR.

Rispondere a un interessato richiede attività di estrazione, selezione e ricostruzione dei dati che impongono alle organizzazioni framework maturi di eDiscovery e Records Management, senza i quali diventa materialmente impossibile sostenere la produzione di dati e le tempistiche definite dall’art. 12 del GDPR, che impone un riscontro senza ingiustificato ritardo ed entro un mese dalla ricezione della richiesta, prorogabile di ulteriori due mesi solo a fronte di una oggettiva complessità dell’istanza.

Eppure, una lettura del provvedimento focalizzata esclusivamente sulla gestione della richiesta di accesso rischia di oscurare la dimensione strutturale del problema — evidenziata con forza proprio dallo stesso Garante — ovvero l’assenza di un’architettura preventiva.

Nel caso esaminato nel 2026, che presenta per l’appunto elementi molto simili ad altri interventi del Garante sulla gestione delle mail, la dinamica fotografa una risposta adattiva comune a molte organizzazioni: alla cessazione del rapporto di lavoro, l’account individuale (nome.cognome@ente.it o @azienda.it) non viene disattivato o, se disattivato, i messaggi vengono conservati integralmente tramite backup, per legittime esigenze di tutela nel contenzioso o di continuità operativa.

Le organizzazioni si trovano spesso davanti a un bivio gravoso: la conservazione integrale e indistinta della mailbox (che viola il principio di minimizzazione) o l’impossibilità di una ricostruzione ex post dei contenuti.

Questo modello operativo entra inevitabilmente in tensione con i principi di minimizzazione, limitazione della conservazione e accountability previsti dal GDPR.

Per risolvere questo snodo, l’Autorità evidenzia chiaramente all’interno del testo che le informazioni rilevanti alla continuità del business non possono essere abbandonate alla stratificazione informale. Come ricordato testualmente nel Provvedimento:

“La legittima necessità di assicurare la conservazione di documentazione necessaria per l’ordinario svolgimento e la continuità dell’attività aziendale, anche in relazione ai rapporti intrattenuti con soggetti privati e pubblici, nonché in base a specifiche disposizioni dell’ordinamento, è assicurata, in primo luogo, dalla predisposizione di sistemi di gestione documentale con i quali — attraverso l’adozione di appropriate misure organizzative e tecnologiche — individuare i documenti che nel corso dello svolgimento dell’attività lavorativa devono essere via via archiviati con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile. I sistemi di posta elettronica, per loro stessa natura, non consentono di assicurare tali caratteristiche.”

Questa presa di posizione, in realtà, si inserisce in un solco tracciato da tempo. L’inidoneità della mailbox tradizionale come ambiente di conservazione documentale è un principio cardine che attraversa i provvedimenti del Garante almeno dal 2018 in poi². La casella di posta elettronica nasce come strumento di trasmissione e ricezione di corrispondenza, tutelata non solo dalla normativa sulla protezione dei dati ma da garanzie di segretezza anche di rango costituzionale³; per questo l’adozione di backup o la conservazione permanente della casella non costituisce un sistema strutturato di Records Management. Il provvedimento del 2026 è, quindi, solo la conferma di una traiettoria che l’Autorità sta delineando da quasi un decennio.

3. Il paradosso dei silos aziendali e l’integrazione interfunzionale

Le criticità derivanti da una gestione non conforme delle caselle di posta non sono figlie della negligenza, bensì di un paradosso: ogni funzione aziendale persegue il proprio obiettivo con rigore, ma in totale isolamento. In assenza di una visione d’insieme, l’eccellenza del singolo silo risulta in un cortocircuito di divergenze di obiettivi operativi:

● I dipartimenti IT limitano lo spazio delle caselle e-mail per garantire le performance dei sistemi e contenere i costi infrastrutturali, rispondendo a una legittima esigenza di esercizio tecnico.

● Gli utenti sul campo, per non interrompere l’operatività del business, reagiscono esportando la corrispondenza in archivi locali (file .pst) o trasferendo dati su canali non presidiati (Shadow IT e dispositivi personali BYOD).

● Le funzioni Legal, davanti allo spettro di un contenzioso, impongono strategie di conservazione totale, estendendo i tempi di data retention per non privare l’organizzazione di prove decisive.

● I DPO e i Risk Officer esigono una rigida applicazione della minimizzazione e scadenze di cancellazione perentorie, scontrandosi con l’impossibilità tecnica dell’IT di isolare selettivamente il dato personale soggetto a cancellazione.

Per superare questo stallo è necessario far convergere in un unico sistema di governo le diverse discipline che hanno un impatto sul governo dell’informazione (Records and Information Management, Privacy, Information Security ed eDiscovery).

Questa necessità trova il suo fondamento metodologico nel celebre Information Governance Reference Model (IGRM) di The Sedona Conference⁴, che dimostra come il valore del business, i vincoli legali e l’efficienza dell’IT possano coordinarsi standardizzando il flusso informativo in ogni suo aspetto.

Lungi dall’essere un’astrazione, questo modello di integrazione interfunzionale governa da anni alcuni dei contesti istituzionali più complessi in Europa. Ne è un esempio l’esperienza del Regno Unito con i framework di Information Governance dell’NHS⁵, un modello unificato — evolutosi in stretta sinergia con i requisiti del GDPR e dello UK GDPR — che spinge le strutture sanitarie a misurare la propria conformità su una matrice integrata capace di fondere la sicurezza dei sistemi, il segreto professionale e la disponibilità del dato.

Nel contesto nazionale, la traiettoria d’avanguardia risulta, invece, dai documenti disponibili in consultazione pubblica, tracciata dalle disposizioni di Banca d’Italia⁶. Per l’Autorità con sede a Palazzo Koch, la frammentazione informativa rappresenta un rischio operazionale e reputazionale diretto; l’adozione di un’architettura integrata di IG diventa lo strumento per garantire la cyber resilience, la trasparenza dei processi decisionali e la compliance nativa rispetto ai requisiti di audit.

Sul versante interno, l’Istituto sembra aver tracciato la strada muovendosi d’anticipo proprio attraverso una forte sinergia interfunzionale. Fin dal 2021, infatti, la Relazione del Responsabile della Protezione dei Dati di Palazzo Koch evidenziava la maturità di questo approccio, certificando che sul versante aziendale erano state esaminate le implicazioni sul trattamento dei dati «relativi a tutte le informazioni trattate dalla Banca in un sistema integrato di Information Governance («Infogov»)». A consolidamento di questa visione, nel marzo 2022, è stato poi Alfredo Gigliobianco (esponente di rilievo nella gestione del patrimonio documentale dell’istituto) a portare questa esperienza sul tavolo dell’Incontro CIPA, illustrando al comparto interbancario come la governance integrata delle informazioni sia il presupposto indispensabile per superare la logica dei silos e garantire, di riflesso, la tutela della privacy e la corretta gestione dei flussi in un’organizzazione complessa.

Introdurre l’Information Governance significa dotare l’organizzazione di un linguaggio comune e di una cabina di regia centralizzata. Solo così è possibile trasformare la gestione dei flussi digitali da un costante esercizio di gestione della crisi a una leva di efficienza strategica.

4. Il Records Management come motore operativo dell’Information Governance

Per tradurre i precetti del Garante in flussi sostenibili, l’Information Governance utilizza un motore operativo concreto, il Records and Information Management (RIM), che nel nostro contesto coincide con la moderna gestione documentale. Secondo l’impostazione metodologica di The Sedona Conference⁷, il RIM rappresenta la spina dorsale esecutiva della strategia informativa: se l’IG definisce la visione globale e l’equilibrio tra i rischi, il RIM progetta i processi quotidiani di classificazione, selezione e conservazione delle informazioni contenute nei documenti.

Lo standard ISO 15489⁸ formalizza i principi cardine di questi processi. Come amava ricordare Stephen Clarke — tra i massimi esperti globali del comitato ISO/TC 46/SC 11, prematuramente scomparso — la gestione documentale è prevalentemente un problema organizzativo, non tecnologico. Quando l’asset tecnologico/informatico diventa l’unico riferimento, le informazioni si riducono a residui da accumulare nello storage. Al contrario, la gestione documentale spinge a considerare il valore funzionale e probatorio dell’informazione nel tempo, indipendentemente dalle piattaforme che la ospitano.

Sul piano dell’implementazione pratica, questa impostazione richiede alcune considerazioni.

Prima fra tutte, il fatto che un’efficiente gestione documentale non implica necessariamente il trasferimento fisico di ogni e-mail verso un software di protocollo e gestione documentale esterno.

Un’interpretazione organizzativa conforme potrebbe, infatti, essere soddisfatta attraverso architetture di in-place records management. In termini concreti, significa governare le informazioni e i documenti direttamente all’interno degli ambienti di produttività e collaborazione quotidiana (come Microsoft 365 o Google Workspace) in cui sono stati generati.

Questa strategia funziona a una condizione tassativa: l’infrastruttura non può essere lasciata a se stessa, ma deve essere configurata per rispondere ai requisiti formali di gestione documentale attraverso regole di classificazione automatica, tracciabilità totale e policy di retention immodificabili che sovrascrivono l’arbitrio del singolo utente.

L’altra considerazione è che in un ecosistema sommerso da dati non strutturati, l’approccio basato esclusivamente su tassonomie archivistiche può mostrare dei limiti.

In pratica, uno stesso documento e le informazioni in esso contenute sono contemporaneamente rilevanti sotto il profilo della privacy, della sicurezza, degli obblighi civilistici e della difesa in giudizio.

L’Information Governance risolve questa complessità superando la catalogazione sulla base di un unico parametro ed introducendo una matrice di contesto unica: gli interessi dei diversi stakeholder del ciclo di vita dell’informazione vengono associati direttamente ai metadati di contesto del documento, mappandone il significato in modo dinamico.

Tutti questi requisiti coordinati, tra cui privacy, obblighi civilistici e vincoli di sicurezza, devono quindi confluire in uno strumento operativo unitario, che The Sedona Conference definisce la Information Governance Matrix. Sostituendo la frammentazione di policy nate in silos separati — che generano una cacofonia procedurale paralizzante — questa matrice si configura come l’evoluzione dei piani di conservazione dei documenti e delle griglie di sicurezza dei dati. Il suo scopo è integrare tutte le regole stabilite dall’organizzazione in un unico punto di riferimento, traducendo le linee guida giuridiche e i vincoli aziendali in regole applicabili lungo tutto il ciclo di vita dell’informazione. Una bussola chiara che assegna ruoli e responsabilità precisi per governare i flussi digitali alla fonte, impedendo la stratificazione di “dati orfani” capaci di far lievitare a dismisura i costi e i rischi di un’eventuale eDiscovery.

Conclusioni

Affrontare la gestione dei dati non strutturati e della posta elettronica con gli strumenti dell’Information Governance non è un esercizio di stile accademico, ma una necessità di compliance, economica e di business. L’approccio puramente emergenziale di gestire il dato solo quando scoppia la crisi — che sia una complessa richiesta di accesso ex art. 15 o un attacco ransomware — ha esaurito la sua efficacia: comporta costi operativi, legali e reputazionali non più sostenibili.

Il trade-off attuale è netto: le organizzazioni possono continuare a investire risorse nell’estrazione manuale e urgente di dati pregressi o nel tentativo di difendersi ex post, oppure possono scegliere la via della governance preventiva.

Senza un’architettura di Information Governance, l’informazione cessa di essere uno strumento di produttività e si trasforma in una passività fuori controllo, un’evidenza probatoria incontrollabile e una superficie d’attacco cyber permanentemente esposta. Intervenire alla fonte non è più un’opzione di compliance, ma la condizione essenziale per garantire la resilienza operativa dell’impresa e della pubblica amministrazione moderna.

6. Note

1. In memoria di Stephen Clarke. Cfr. l’approccio strutturale dello standard ISO 15489-1:2016. Per un focus sulla sua visione della gestione documentale indipendente dalle piattaforme tecnologiche, si veda la sua ultima intervista rilasciata a Digeat Magazine, n. 1/2025. ↩

2. Garante per la protezione dei dati personali, Provvedimento del 12 marzo 2026 [doc. web n. 10233328]. ↩

3. Cfr. anche i precedenti provv.ti del Garante: n. 732 del 27 novembre 2024 [doc. web n. 10101221], n. 263 del 22 giugno 2023 [doc. web n. 9920814], n. 214 del 29 ottobre 2020 [doc. web n. 9518890] e n. 53 del 1 febbraio 2018 [doc. web n. 8159221], nei quali l’Autorità richiama la necessità di adottare sistemi di gestione documentale in alternativa all’uso improprio della posta elettronica. ↩

4. Garante per la protezione dei dati personali, “Linee guida del Garante per posta elettronica e internet” del 1 marzo 2007 [doc. web n. 1387522]. ↩

5. The Sedona Conference, “The Information Governance Reference Model (IGRM)”, Public Comment Draft. ↩

6. Cfr. NHS England / Department of Health and Social Care, Data Security and Protection Toolkit (DSPT), evoluzione dello storico Information Governance Toolkit. ↩

7. Per la validazione interna del sistema «Infogov» sotto il profilo della tutela dei dati, si veda: Banca d’Italia, “Relazione del Responsabile della Protezione dei Dati – Anno 2021”, p. 5. Per l’articolazione metodologica del framework nel contesto interbancario, cfr. A. Gigliobianco, “Trattamento di dati e data governance: profili di tutela della privacy” (Slide: “Integrare l’informazione: Information Governance”), Intervento all’Incontro CIPA, 15 marzo 2022. ↩

8. The Sedona Conference, Commentary on Information Governance, Second Edition (2019), con particolare riferimento al Principle 2 (sull’indipendenza e la trasversalità delle funzioni di governance) e al Principle 6 (sul concetto di Defensible Disposition). ↩