Ogni Conservatore o professionista esperto della materia si è sentito porre almeno una volta questa domanda: “Devo conservare le PEC?”. La risposta è affermativa, ma il dubbio è lecito, perché non c’è in effetti una norma dedicata alla Posta Elettronica Certificata che obblighi a farlo.
La PEC non è proprio una tipologia documentale (come lo sono per esempio contratti, fatture, referti) ma è un mezzo di trasporto di documenti, di diversa tipologia, con l’aggiunta di ricevute di avvenuta accettazione e consegna del messaggio da parte del Gestore.
Nel Decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, recante “disposizioni per l’utilizzo della posta elettronica certificata”, la PEC viene definita come “ogni sistema di posta elettronica nel quale è fornita al mittente documentazione elettronica attestante l’invio e la consegna di documenti informatici”. La trasmissione di questa tipologia di messaggi è valida agli effetti di legge. In particolare, il “messaggio di posta elettronica certificata” è definito come “un documento informatico composto dal testo del messaggio, dai dati di certificazione e dagli eventuali documenti informatici allegati”.
Indice degli argomenti
I dati sulla Conservazione Pec
È importante sottolineare anche quanto questo settore stia crescendo, con la possibile evoluzione verso la REM (Registered Electronic Mail) a livello europeo, l’avvio da parte di AgID di INAD (Indice Nazionale dei Domicili Digitali) e SEND (Servizio di Notifiche Digitali), l’utilizzo sempre più diffuso dell’AI (Artificial Intelligence) per identificare, raggruppare, categorizzare e smistare grandi quantità di messaggi.
Solo nell’ultimo quadrimestre 2024, in Italia avevamo 16.252.795 caselle attive e ci siamo scambiati 1.144.052.460 messaggi.
Quindi, chiedere “devo conservare le PEC?” è come chiedere “devo conservare le raccomandate?”: la risposta è “sì”, ma molto dipende da cosa è contenuto nelle raccomandate stesse.
Inoltre, in modo analogo a come avviene per le raccomandate (per cui si conservano le ricevute), per le PEC inviate è necessario conservare la ricevuta di avvenuta consegna, poiché contiene tutti gli elementi utili a garantirne la validità nel tempo.
In essa sono presenti il file postacert.eml, che rappresenta la busta con all’interno il messaggio originale, la ricevuta stessa, la firma elettronica e il file daticert.xml, che raccoglie le informazioni essenziali come l’ID del messaggio PEC, i dati di consegna e il mittente.
Per le PEC ricevute, invece, occorre conservare la busta di trasporto, che comprende il messaggio originale completo di testo e allegati, insieme al file daticert.xml, contenente tutte le informazioni relative all’invio.
Conservazione PEC: cosa dice la legge
L’obbligo di conservazione dei messaggi inviati tramite PEC deriva dalla lettura combinata del Codice civile e del CAD (Codice dell’Amministrazione Digitale).
Gli articoli 2214 e 2220 del Codice civile prevedono l’obbligo per l’imprenditore di “conservare ordinatamente per ciascun affare lettere, telegrammi…” per dieci anni. Gli articoli 43 e 44 del CAD, in riferimento alle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici (maggio 2021), prevedono anche per i privati l’obbligo di conservazione dei documenti informatici, con lo scopo di assicurare “autenticità, integrità, affidabilità, leggibilità e reperibilità”.
Oltre a queste regole di natura civilistica, entra in gioco anche la disciplina sulla protezione dei dati personali. Il Regolamento europeo sulla privacy (GDPR) impone, per esempio, che le e-mail aziendali siano gestite secondo il principio di proporzionalità: i messaggi devono essere conservati solo per il tempo strettamente necessario alle finalità per cui sono stati raccolti o ricevuti.
Inoltre, i dipendenti devono essere informati in modo chiaro sulle politiche di gestione e conservazione della posta elettronica, così da sapere quali dati vengono trattati e per quanto tempo. È vietato, infine, effettuare controlli invasivi o monitoraggi sistematici delle comunicazioni senza una base giuridica adeguata, poiché ciò costituirebbe una violazione dei diritti e delle libertà fondamentali dei lavoratori.
In sintesi, anche la conservazione delle e-mail non è un obbligo assoluto e indistinto, ma dipende dal contenuto e dal contesto: irrilevante per i messaggi personali di uso quotidiano, diventa invece necessaria quando le comunicazioni hanno valore legale o probatorio, e deve sempre rispettare i principi di correttezza, proporzionalità e trasparenza stabiliti dalla normativa vigente.
Su questo tema è importante ricordare il Provvedimento del Garante per la protezione dei dati personali del 6 giugno 2024 – Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati, a cui Assintel ha avuto anche modo di contribuire in consultazione.
PEC ed Europa: eIDAS 2, REM e valore legale
A livello europeo, però, la PEC tradizionale non è automaticamente riconosciuta con lo stesso valore. Il Regolamento eIDAS 2024/1183 (eIDAS 2), che disciplina i servizi fiduciari qualificati nell’Unione Europea, prevede infatti una categoria specifica chiamata Qualified Electronic Registered Delivery Service (QERDS), ossia il recapito elettronico certificato qualificato. In quest’ultima categoria rientrerebbe la sopracitata REM.
Per essere riconosciuto come tale, un servizio deve rispettare requisiti tecnici e di sicurezza più stringenti, tra cui l’identificazione certa del titolare e l’interoperabilità transfrontaliera.
La PEC italiana, pur avendo caratteristiche simili, non soddisfa ancora pienamente questi requisiti e quindi oggi il suo valore legale è pienamente valido solo entro i confini nazionali. Negli altri Paesi UE può essere utilizzata, ma non ha automaticamente lo stesso riconoscimento giuridico.
La PEC, quindi, sta evolvendo in una versione “qualificata” e conforme agli standard europei. Questa evoluzione la renderebbe un vero e proprio QERDS, garantendo così valore legale uniforme e riconosciuto in tutta l’Unione Europea.
È importante sottolineare anche che il citato Regolamento europeo (il cosiddetto eIDAS 2) introduce un nuovo servizio fiduciario: l’eArchiving, l’archiviazione elettronica, definito come “un servizio che consente la ricezione, la conservazione, la consultazione e la cancellazione di dati elettronici e documenti elettronici al fine di garantirne la durabilità e leggibilità nonché di preservarne l’integrità, la riservatezza e la prova dell’origine per tutto il periodo di conservazione”, completando quindi il quadro normativo europeo con un servizio molto simile a quello che in Italia è da sempre la conservazione a norma.
Come è composta la PEC
Come stabilito dall’Allegato al Decreto 2 novembre 2005, recante “Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata”, il sistema di PEC genera i messaggi (ricevute, avvisi e buste) in formato MIME.
I messaggi sono composti da una parte di testo descrittivo (per l’utente) e da una serie di allegati (messaggio originale, dati di certificazione, ecc.), variabili a seconda della tipologia del messaggio.
Il messaggio è quindi inserito in una struttura S/MIME v3 in formato CMS, firmata con la chiave privata del Gestore di Posta Elettronica Certificata. Il certificato associato alla chiave usata per la firma deve essere incluso in tale struttura.
Il formato S/MIME usato per la firma dei messaggi generati dal sistema è il “multipart/signed” (formato .p7s), così come descritto nella RFC 2633 §3.4.3.
La PEC di fatto è una busta di trasporto elettronica, un contenitore in un formato particolare EML (Electronic Mail Format) che può trasportare diverse tipologie di informazioni.
La busta di trasporto solitamente contiene, a sua volta, tre tipologie di oggetti:
- il “body” o testo del messaggio;
- i documenti eventualmente allegati (potenzialmente di qualsiasi formato e contenuto);
- il file daticert.xml con le evidenze sintetiche dell’invio del messaggio (mittente, destinatario, ora e oggetto).
Per svariati motivi, soprattutto per evitare di avere una copia analogica dal valore legale inferiore rispetto all’originale digitale da cui è tratta, i documenti informatici non dovrebbero essere stampati o salvati nella casella o nel PC, ma conservati in un sistema di conservazione a norma, conforme ai requisiti previsti dal CAD e dalle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici.
Quello che differenzia la conservazione dal semplice salvataggio è che l’oggetto della conservazione è inserito all’interno di un pacchetto, che viene sigillato e marcato temporalmente dal Conservatore, che ne garantisce negli anni leggibilità, reperibilità, integrità e sicurezza, e quindi anche autenticità e affidabilità.
Conservazione PEC in casella e gestione documentale
Oggi diversi gestori PEC offrono servizi integrati che permettono di conservare a norma i messaggi PEC direttamente dalla casella, senza dover ricorrere a sistemi esterni. A riguardo, il quesito da porsi è relativo all’oggetto della conservazione: la busta in formato EML o l’allegato in essa contenuto?
Se si attiva il servizio di conservazione direttamente nella casella, l’oggetto conservato è la busta di trasporto (file .EML), ossia il documento informatico che contiene il messaggio di Posta Elettronica Certificata.
Quest’ultimo, a sua volta, è costituito da un documento informatico composto dal testo del messaggio, dai dati di certificazione e dagli eventuali documenti informatici allegati, con una certa standardizzazione e un’elevata astrazione in merito ai formati, ai contenuti e ai metadati degli allegati.
Questa soluzione consente di garantire la tutela e la validità legale nel tempo di tutti i messaggi e dei relativi allegati inviati o ricevuti.
Scegliendo di conservare tutti i messaggi ricevuti, si accetta il fatto che alcune PEC conservate potrebbero contenere documenti che non necessiterebbero della conservazione a lungo termine, come per esempio pubblicità o inviti non richiesti, non potendo dirimere in base al contenuto.
Il vantaggio di assicurare la conservazione a norma delle comunicazioni di rilievo supera ampiamente l’eventuale inconveniente di conservare anche messaggi di scarso interesse o indesiderati. In un contesto in cui la corrispondenza elettronica certificata assume sempre più valore probatorio e amministrativo, la conservazione a norma rappresenta uno strumento essenziale per la corretta gestione e protezione dei documenti informatici.
In alternativa si può decidere di conservare separatamente l’allegato trasmesso tramite PEC, che può essere per esempio un contratto, una fattura, una circolare o qualsiasi altra tipologia documentale.
Le Pubbliche Amministrazioni generalmente seguono questa procedura. Le caselle PEC istituzionali, iscritte all’Indice dei domicili digitali della Pubblica Amministrazione e dei Gestori di Pubblici Servizi (IPA), sono collegate a un Protocollo Informatico che ne governa il flusso documentale.
Il sistema di Protocollo, infatti, provvede ad aprire i messaggi PEC, estrarre gli allegati e trasformarli in un documento protocollato. A quest’ultimo vengono associate, come suoi allegati, le ricevute di accettazione e consegna.
In questa fase vengono generati e registrati i metadati fondamentali (numero di protocollo, data, classificazione, mittente, destinatario e altre informazioni descrittive) che consentono di garantire tracciabilità e corretta gestione amministrativa.
Successivamente, i documenti vengono assegnati e smistati ai responsabili e agli uffici competenti, secondo i flussi organizzativi interni e fascicolati. Solo al termine di questo processo di gestione documentale, i documenti e i relativi allegati vengono versati nel sistema di conservazione a norma, assicurandone la validità legale e la reperibilità nel tempo.
Conservazione delle fatture
Come già segnalato precedentemente, l’obbligo di conservazione dei documenti trasmessi tramite PEC non è generalizzato, ma dipende strettamente dal contenuto del messaggio.
Un caso emblematico è rappresentato dalla fatturazione elettronica: le fatture, veicolate in formato XML attraverso il Sistema di Interscambio (SdI) e talvolta recapitate via PEC, devono essere oggetto di un processo di conservazione a norma conforme alla normativa vigente.
In questo contesto, il versamento in conservazione dovrebbe essere integrato con il servizio di fatturazione elettronica stesso, così da garantire coerenza e tracciabilità lungo l’intero ciclo di vita del documento.
È infatti preferibile che le fatture vengano conservate all’interno di una tipologia documentale dedicata e a valle del processo di gestione, piuttosto che insieme a tutti gli altri messaggi genericamente inviati o ricevuti tramite PEC.
Questa distinzione consente non solo di rispettare gli obblighi normativi, ma anche di assicurare una gestione più ordinata ed efficiente, riducendo il rischio di dispersione delle informazioni.
Metadati e conservazione PEC
Un altro elemento fondamentale del servizio di conservazione a norma sono i metadati, cioè i dati che descrivono il contesto, il contenuto e la struttura dell’oggetto da conservare, che diventano poi delle chiavi di ricerca per permetterne la gestione e il recupero a distanza di tempo.
Le citate Linee Guida di AgID dedicano l’intero Allegato n. 5 ai metadati del documento informatico, del documento amministrativo informatico (documento protocollato) e delle aggregazioni documentali (fascicoli e serie).
Se intendiamo la PEC, o più specificamente la busta di trasporto in formato EML, come l’oggetto vero e proprio della conservazione, i metadati potranno essere, semplificando:
- Identificativo del documento, cioè il messaggeID
- Impronta hash del file .EML e algoritmo SHA utilizzato
- Modalità di formazione “a”, cioè tramite strumenti software
- Tipologia documentale: “PEC”
- Dati di registrazione: tipologia di flusso in uscita o in entrata (a seconda se è inviato o ricevuto), data e numero di registrazione coincidenti con quelle del messaggio
- Oggetto della PEC
- Mittente e destinatario come ruoli dei soggetti coinvolti
- Numero degli allegati
- Riservato: true
- Firma digitale: true (considerando la firma apposta dal Gestore PEC)
- Formato: EML
- Nome file: per es. postacert.eml
- Versione: sempre 1, perché non si prevedono modifiche
Lo scenario
Conservare a norma i messaggi PEC non significa semplicemente salvarli nella casella di posta, sul computer o in un sistema di gestione documentale: si tratta di un processo regolamentato che assicura valore legale e validità nel tempo alle comunicazioni digitali.
Stampare le PEC, oltre a generare sprechi di carta e inchiostro, non è una soluzione efficace: la copia cartacea ha infatti un valore probatorio inferiore rispetto all’originale digitale.
Per questo è importante distinguere tra contenuto e contenitore: identificare l’oggetto della conservazione e capire quali documenti devono essere conservati, in quale fase del processo effettuare il versamento e con quali modalità.
Definire fin dall’inizio formati, metadati e processi permette di valorizzare al meglio i propri dati e garantire la conformità normativa.
FAQ: conservazione pec
Cosa si intende per conservazione PEC a norma di legge?
La conservazione PEC a norma di legge è il processo che garantisce il mantenimento del valore legale dei messaggi di posta elettronica certificata nel corso del tempo. Non si tratta di un semplice salvataggio o archiviazione, ma di un sistema digitale appositamente creato per mantenere inalterate tutte le caratteristiche della PEC, apponendo anche la marca temporale. Questo processo assicura l’immutabilità, l’integrità e il valore probatorio dei documenti, permettendo di utilizzarli in caso di richiesta da parte dell’autorità giudiziaria o di contenzioso tra privati. La conservazione a norma è regolamentata dal Codice dell’Amministrazione Digitale (CAD) e dalle Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici.
Perché è obbligatorio conservare le PEC?
La conservazione delle PEC è obbligatoria per legge per aziende, professionisti, studi professionali e Pubbliche Amministrazioni. Questo obbligo deriva dalla lettura combinata del Codice Civile e del CAD. Gli articoli 2214 e 2220 del Codice Civile prevedono l’obbligo per l’imprenditore di conservare ordinatamente per ciascun affare lettere e telegrammi per dieci anni, principio estendibile alle comunicazioni elettroniche. Gli articoli 43 e 44 del CAD, in riferimento alle Linee Guida AgID, prevedono anche per i privati l’obbligo di conservazione dei documenti informatici per assicurarne autenticità, integrità, affidabilità, leggibilità e reperibilità. La PEC è equiparata a una raccomandata con ricevuta di ritorno in formato digitale, quindi deve essere conservata proprio come si conserverebbero le raccomandate cartacee.
Qual è la differenza tra salvataggio e conservazione a norma delle PEC?
Esiste una differenza sostanziale tra il salvataggio delle PEC da parte del provider e la conservazione a norma. Il provider può salvare i messaggi per un periodo limitato (circa due anni e mezzo per i log), ma può anche cancellarli, quindi questa opzione non garantisce l’immutabilità e il valore legale delle PEC nel tempo. Inoltre, spesso vengono conservati solo i log e non i messaggi completi con i loro allegati. La conservazione a norma, invece, prevede l’inserimento delle PEC in un sistema digitale che mantiene inalterate nel tempo tutte le caratteristiche del messaggio, apponendo anche la marca temporale. L’oggetto della conservazione viene inserito all’interno di un pacchetto sigillato e marcato temporalmente dal Conservatore, che ne garantisce negli anni leggibilità, reperibilità, integrità, sicurezza, autenticità e affidabilità.
Cosa bisogna conservare esattamente di una PEC?
Per le PEC inviate, è necessario conservare la ricevuta di avvenuta consegna, poiché contiene tutti gli elementi utili a garantirne la validità nel tempo. Questa ricevuta include il file postacert.eml (la busta con il messaggio originale), la ricevuta stessa, la firma elettronica e il file daticert.xml, che raccoglie informazioni essenziali come l’ID del messaggio PEC, i dati di consegna e il mittente. Per le PEC ricevute, occorre conservare la busta di trasporto, che comprende il messaggio originale completo di testo e allegati, insieme al file daticert.xml. In alternativa, è possibile conservare separatamente l’allegato trasmesso tramite PEC (come un contratto o una fattura), procedura generalmente seguita dalle Pubbliche Amministrazioni che collegano le caselle PEC istituzionali a un Protocollo Informatico.
Quali sono i tempi di conservazione delle PEC?
I tempi di conservazione delle PEC dipendono dal contenuto del messaggio e dal contesto normativo applicabile. Per i documenti con rilevanza fiscale, il DMEF 17/6/2014 prevede che il processo di conservazione debba essere effettuato entro tre mesi dalla scadenza del termine di presentazione annuale delle dichiarazioni dei redditi. Secondo l’articolo 2220 del Codice Civile, i documenti e le scritture contabili devono essere conservati per dieci anni dalla data dell’ultima registrazione. Al di fuori dell’ambito tributario, per i soggetti diversi dalle Pubbliche Amministrazioni, non sono previsti termini specifici entro cui effettuare la conservazione dei documenti informatici, ma è consigliabile definire criteri di organizzazione dell’archivio che includano i tempi di conservazione in base alle esigenze dell’organizzazione e alla rilevanza dei documenti.
È necessario conservare tutte le PEC ricevute?
Non è necessario conservare indistintamente tutte le PEC ricevute. Occorre verificare caso per caso la rilevanza fiscale o legale della corrispondenza. Ad esempio, se si riceve un documento d’offerta, potrebbe essere necessario conservarlo, ma non necessariamente busta e ricevute. Se si ricevono documenti relativi a un bando di gara dove la data/ora di spedizione sono fondamentali, è consigliabile conservare tutto, incluse buste e ricevute. Per pubblicità non richiesta o spam, non è necessaria la conservazione. Il Regolamento europeo sulla privacy (GDPR) impone che le e-mail aziendali siano gestite secondo il principio di proporzionalità: i messaggi devono essere conservati solo per il tempo strettamente necessario alle finalità per cui sono stati raccolti o ricevuti.
Come si implementa un sistema di conservazione PEC in azienda?
Per implementare un sistema di conservazione PEC in azienda, è consigliabile adottare una soluzione integrata nei propri processi documentali. Questo approccio consente di gestire la conservazione in modo automatizzato, semplice e sicuro. È importante ripensare i propri processi documentali in chiave digitale per avere un workflow efficiente e snello. Esistono soluzioni che permettono di integrare la conservazione delle PEC nel flusso di gestione documentale aziendale, senza stravolgimenti del modo di lavorare. Queste piattaforme possono scaricare le PEC con la frequenza scelta dall’utente e provvedere a immettere nel sistema di conservazione sia i messaggi che i loro documenti. Molti gestori PEC offrono servizi integrati che permettono di conservare a norma i messaggi PEC direttamente dalla casella, senza dover ricorrere a sistemi esterni, semplificando notevolmente il processo.
Quali sono i rischi di non conservare correttamente le PEC?
Non conservare correttamente le PEC comporta diversi rischi significativi. Innanzitutto, la mancata conservazione può compromettere il valore probatorio dei messaggi in caso di contenzioso. Come evidenziato da sentenze della Cassazione, senza una corretta conservazione potrebbe essere difficile fornire la prova dell’avvenuta notifica nei modi e nelle forme previste dalla normativa. Inoltre, si rischiano sanzioni da parte di organi di controllo come il Garante per la Protezione dei Dati Personali e l’Agenzia delle Entrate. Un documento mal conservato potrebbe essere considerato inesistente dal punto di vista legale. La pratica di stampare le PEC, oltre a generare sprechi, non è efficace poiché la copia cartacea ha un valore probatorio inferiore rispetto all’originale digitale. Infine, la conservazione inadeguata può portare nel tempo alla perdita di leggibilità dei documenti o all’impossibilità di verificare l’autenticità delle firme digitali scadute.
Quali sono i metadati da conservare con le PEC?
I metadati sono dati che descrivono il contesto, il contenuto e la struttura dell’oggetto da conservare, e diventano poi delle chiavi di ricerca per permetterne la gestione e il recupero a distanza di tempo. Per la PEC, considerando la busta di trasporto in formato EML come l’oggetto della conservazione, i metadati principali possono includere: identificativo univoco del messaggio, mittente, destinatario, oggetto, data e ora di invio, data e ora di ricezione, presenza di allegati, dimensione del messaggio, hash del messaggio per garantirne l’integrità. Le Linee Guida di AgID dedicano l’intero Allegato n. 5 ai metadati del documento informatico, del documento amministrativo informatico e delle aggregazioni documentali. È importante definire correttamente questi metadati fin dall’inizio per valorizzare al meglio i propri dati e garantire la conformità normativa.
Qual è il valore legale di una PEC conservata a norma?
Una PEC conservata a norma mantiene pieno valore legale nel tempo, equivalente a quello di una raccomandata con ricevuta di ritorno, con l’aggiunta dell’attestazione dell’orario esatto di spedizione. La conservazione a norma garantisce l’opponibilità a terzi del messaggio in caso di contenzioso. Il processo di conservazione assicura che le PEC mantengano le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità richieste dall’articolo 44 del CAD. La Corte di Cassazione ha chiarito il valore probatorio degli allegati trasmessi via PEC, sottolineando l’importanza della corretta conservazione per mantenere la validità legale di questi documenti. La conservazione a norma permette di dimostrare che una firma digitale è stata apposta prima della scadenza del certificato, costituendo un riferimento temporale opponibile ai terzi come stabilito nel DPCM 22 febbraio 2013.
Come si sta evolvendo la normativa sulla conservazione delle PEC?
La normativa sulla conservazione delle PEC sta evolvendo in direzione di una maggiore integrazione europea. A livello europeo, la PEC tradizionale non è automaticamente riconosciuta con lo stesso valore in tutti i paesi UE. Il Regolamento eIDAS 2024/1183 (eIDAS 2), che disciplina i servizi fiduciari qualificati nell’Unione Europea, prevede una categoria specifica chiamata Qualified Electronic Registered Delivery Service (QERDS), ossia il recapito elettronico certificato qualificato, in cui rientrerebbe la REM (Registered Electronic Mail). La PEC italiana sta quindi evolvendo verso una versione “qualificata” e conforme agli standard europei, che la renderebbe un vero e proprio QERDS, garantendo valore legale uniforme in tutta l’UE. Inoltre, eIDAS 2 introduce un nuovo servizio fiduciario: l’eArchiving, l’archiviazione elettronica, definito come un servizio che consente la conservazione di dati e documenti elettronici garantendone durabilità, leggibilità, integrità, riservatezza e prova dell’origine per tutto il periodo di conservazione.
