«Uso questo indirizzo da quindici anni, i clienti lo conoscono, funziona. Perché dovrei cambiare?» È una domanda giusta, e la risposta onesta è: forse non devi cambiare tutto domani. Ma prima conviene sapere chi decide su quella casella. Perché la posta della tua attività è piena di cose che non sono tue: i dati dei tuoi clienti.

Gmail e Bluewin sono insicuri?

Il problema non è la serratura: filtri contro spam e phishing e verifica in due passaggi ci sono su tutti e due (lo scrivono i due fornitori nelle loro pagine). Il problema è di chi è la casa, chi ha la chiave e da dove entrano davvero i ladri.

Sui server del fornitore la mia posta è in chiaro?

No, ma la chiave non ce l’hai tu: ce l’ha il fornitore. Chi rubasse un disco dai suoi server non leggerebbe le tue e-mail; il fornitore invece sì, con i suoi sistemi o quando un’autorità glielo ordina.

Google scrive nel suo Centro sicurezza che i messaggi di Gmail sono cifrati «at-rest», cioè mentre sono salvati sui server, e quando passano da un data center all’altro. Ma è una cifratura che gestisce lui: nelle norme sulla privacy scrive di analizzare i contenuti in automatico per riconoscere spam e programmi malevoli, e spiega che consegna i contenuti delle comunicazioni, Gmail compreso, a un’autorità che li chiede con un provvedimento valido.

Con la casella gratuita Google non offre una cifratura con una chiave che tieni solo tu: la prevede soltanto per alcune edizioni aziendali. Esistono standard per cifrare i messaggi per conto tuo, come PGP e S/MIME, ma sono scomodi e devono usarli sia tu sia il cliente.

Swisscom, nelle pagine di Bluewin e nelle condizioni che ho letto, non dice se la posta è salvata cifrata sui server; dice che i dati restano in Svizzera. Nella sua informativa sulla protezione dei dati scrive che, su disposizione dell’autorità competente, è tenuta per legge a consegnare per esempio le «e-mail lette» e gli altri dati che non sono (più) coperti dal segreto delle telecomunicazioni.

Allora il furto più facile da dove passa?

Dalla tua password. Nessuno ha bisogno di entrare in un data center: chi ti strappa la password con una finta e-mail («la casella è piena», «conferma il tuo account») entra dalla porta principale, e per il fornitore è come se fossi tu. Legge tutta la posta, anni di fatture, preventivi e dati dei clienti, e può scrivere ai tuoi clienti dal tuo indirizzo vero.

Nella mia esperienza è di gran lunga il caso più frequente, ed è anche quello che puoi fermare da solo: le e-mail che chiedono la password le riconosci con la guida al phishing, e se la password è già stata rubata ti salva la verifica in due passaggi.

Di chi è l’indirizzo della mia attività?

Del fornitore. Tu lo usi alle sue condizioni, e se l’account viene chiuso o bloccato perdi insieme l’indirizzo, la posta e i contatti. È scritto nelle condizioni di tutti e due i servizi.

Google, nei suoi Termini di servizio, si riserva di sospendere o interrompere l’accesso, o di eliminare l’account, per esempio in caso di violazioni gravi o ripetute delle regole. Promette un preavviso «quando è ragionevolmente possibile» e un ricorso dal Centro assistenza. Un account personale non usato per due anni può essere eliminato, dopo un avviso (norme di Google sugli account inattivi).

Swisscom è più chiara. Il servizio e-mail «è sviluppato per clienti privati» e il cliente lo può usare «solo per il normale uso proprio». E un account senza accessi per più di 12 mesi può essere cancellato senza preavviso: la cancellazione è irrevocabile, indirizzo compreso.

Swisscom, Condizioni di utilizzo per abbonamenti e-mail (giugno 2024)

Non è cattiveria: un servizio gratuito per milioni di persone ha regole automatiche. Ma il tuo indirizzo è stampato sui biglietti da visita, sull’insegna del negozio, sulle fatture, nelle rubriche dei tuoi clienti. Se domani non funziona più, non puoi portarlo altrove. E se vuoi cambiare fornitore, il vecchio indirizzo resta lì.

Se perdo l’accesso, chi chiamo?

Nessuno: con un account gratuito il recupero è una procedura automatica, e Google scrive che non puoi telefonare per farti aiutare. Rispondi alle domande del sistema; se non basta, la guida ufficiale suggerisce di creare un nuovo account.

«Per motivi di sicurezza, non puoi chiamare Google per ricevere assistenza riguardo all’accesso al tuo account.»

↳ Fonte: Google, Come recuperare l'Account Google o Gmail[support.google.com]

Un centralino che riattiva gli account al telefono sarebbe un regalo per i truffatori (lo racconto in Mi ha chiamato il supporto di Google: è una truffa?). Ma per un’attività significa nessun contratto di assistenza e nessuno a cui chiedere conto. Se il numero di recupero è quello del telefono che hai cambiato tre anni fa, la porta può restare chiusa.

Nella mia posta ci sono i dati dei clienti: chi ne risponde?

Tu. Per la legge svizzera e per il GDPR chi tratta i dati per lavoro ne risponde anche quando li affida a un fornitore, e con quel fornitore ci vuole un accordo sul trattamento. Con una casella gratuita per privati, quell’accordo di solito non c’è.

Nella posta di un’attività ci sono nomi, indirizzi, numeri di telefono, preventivi, fatture, a volte documenti d’identità, certificati medici o la dichiarazione dei redditi di un cliente dello studio. Sono dati personali dei tuoi clienti.

In Svizzera, con la legge sulla protezione dei dati in vigore dal 1° settembre 2023 (la nLPD), l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT, l’autorità federale per la privacy) è chiaro: se affidi il trattamento a un fornitore, come un servizio cloud o un web host, rimani responsabile. Devi sceglierlo con cura, dargli istruzioni e sorvegliarlo. E se i dati finiscono su server fuori dalla Svizzera, la stessa pagina ricorda che il trasferimento non può avvenire in automatico: bisogna verificare che quel paese protegga i dati in modo adeguato, altrimenti servono garanzie in più.

«Rimanete responsabili della protezione dei dati anche se ne affidate il trattamento ad un subappaltatore.»

↳ Fonte: IFPDT, Outsourcing (affidamento del trattamento a un responsabile)[edoeb.admin.ch]

In Italia, con il GDPR, il Garante ricorda che con il fornitore che tratta i dati per tuo conto serve un contratto (o un altro atto giuridico) con i contenuti minimi previsti dal regolamento, che dimostri garanzie sufficienti.

Garante per la protezione dei dati personali, Doveri: come trattare correttamente i dati

E qui sta il punto, nero su bianco nelle condizioni ufficiali:

  • Google prevede un accordo sul trattamento dei dati solo nei contratti delle offerte a pagamento per le aziende: lì tratta i dati per conto del cliente. Per l’account gratuito, le norme sulla privacy indicano Google come titolare dei dati del tuo account, e nelle condizioni non ho trovato un accordo per i dati dei tuoi clienti. Per quelli il titolare resti tu.
  • Swisscom, come ho scritto sopra, sviluppa Bluewin per i clienti privati; per le aziende ha offerte separate.

Il mio consiglio: non serve diventare giuristi. Basta una domanda: «Se un cliente mi chiede dove sono i suoi dati e chi li tratta, cosa gli rispondo, e cosa posso mostrargli per iscritto?» Se la risposta è «le condizioni che ho accettato con un clic per la mia casella personale», manca qualcosa.

Se sei fiduciario, avvocato, medico o fai un’altra professione con il segreto professionale, il discorso è ancora più stretto: ti consiglio di parlarne con il tuo consulente prima di lasciare la posta dello studio su una casella gratuita.

Dove stanno i dati, e sotto quale legge?

Dipende dal fornitore: Swisscom scrive che i dati di Bluewin restano in Svizzera, Google che le informazioni possono essere trattate su server fuori dal tuo paese. Ma dove stanno i server è solo metà della risposta: conta anche quale legge può obbligare il fornitore ad aprirli.

Ne ho parlato per esteso, con il CLOUD Act americano e le cinque domande da fare al fornitore, in Dove stanno i tuoi dati, e sotto quale legge?. Vale per la posta come per tutto il resto.

Siete in tre o quattro sulla stessa casella?

Se la stessa casella la usate in tre o quattro con la stessa password, nessuno sa chi ha letto, cancellato o mandato cosa. E quando una persona se ne va, la password la porta con sé.

È la situazione più comune che vedo nelle attività: una casella gratuita aperta anni fa dal titolare, e oggi la usano lui, chi tiene la contabilità e un collaboratore; oppure le tre persone del salone che rispondono alle richieste di appuntamento. La password è su un post-it.

E la verifica in due passaggi arriva sul telefono di una persona sola. Se quella persona è in ferie o lascia l’attività, gli altri restano fuori; e se il codice gira fra colleghi per messaggio, la protezione non vale più molto.

Il mio consiglio: una casella per persona, con la sua password e la sua verifica in due passaggi, più eventuali indirizzi comuni (per esempio per le richieste dei clienti) a cui accedono in due o tre, ognuno con il proprio accesso. Così, se qualcosa va storto, sai da dove è partito, e quando qualcuno lascia l’attività chiudi il suo accesso senza cambiare tutto.

I miei clienti come fanno a riconoscere le mie e-mail vere?

Con un dominio tuo è più facile: un indirizzo che finisce con @gmail.com può aprirlo chiunque, anche un truffatore che si finge te. L’Ufficio federale della cibersicurezza (UFCS) lo ripete da anni nei suoi avvisi.

«Diffidate delle comunicazioni aziendali effettuate tramite grandi servizi di posta elettronica come Gmail, Hotmail o Bluewin.»

↳ Fonte: UFCS (nel 2021 si chiamava ancora NCSC), La settimana 42 in retrospettiva[bacs.admin.ch]

Pochi mesi dopo, nel marzo 2022, raccontando una finta richiesta di offerta finita con un sito che chiedeva la password della posta, l’UFCS ha ripetuto: «Siate particolarmente cauti quando le ditte hanno indirizzi e-mail di provider gratuiti quali Google, GMX o Hotmail.»

Rileggilo dal lato dei tuoi clienti: la tua e-mail vera assomiglia a quella del truffatore. Chi vuole farsi pagare una fattura falsa a nome tuo apre in due minuti un indirizzo con il nome della tua ditta seguito da @gmail.com, e il cliente non ha modo di distinguerlo dal tuo. Nell’aprile 2025 l’UFCS ha raccontato tentativi di truffa del CEO contro i Comuni svizzeri fatti proprio così, a volte con caselle gratuite che contenevano nome, cognome e Comune della persona imitata.

Con un dominio tuo (per esempio un indirizzo che finisce con @nomeditta.ch) puoi dire ai clienti una regola semplice: «Vi scriviamo solo da @nomeditta.ch.» Ma il dominio va configurato bene, altrimenti qualcuno può usarlo per mandare e-mail false a nome tuo. Ti consiglio di far attivare la verifica del mittente: SPF, DKIM e DMARC sono impostazioni del dominio che dicono quali server possono spedire a tuo nome, e le configura chi gestisce il dominio. È anche quello che l’UFCS chiede agli amministratori.

Cosa faccio, in ordine di sforzo?

Tre passi: oggi metti al sicuro la casella che hai, poi prendi un dominio tuo, poi passa a una posta professionale con un contratto. Non serve fare tutto in un giorno.

Oggi, in mezz’ora

  1. Attiva la verifica in due passaggi, con un’app o una chiave, non solo con l’SMS. Google ha una guida ufficiale; Swisscom la offre su tutte le versioni di Bluewin. Quale metodo scegliere è spiegato in Verifica in due passaggi: SMS, app o chiave?.
  2. Aggiorna i dati di recupero: il numero di telefono che usi oggi e un secondo indirizzo che controlli davvero. Salva i codici di emergenza su carta, in ufficio.
  3. Entra nella casella almeno una volta al mese se la usi poco: Bluewin può cancellare gli account senza accessi per oltre 12 mesi.

Questo mese: una copia della posta sul tuo computer

Fai una copia della posta e dei contatti sul computer dell’ufficio, come un rituale, per esempio il primo lunedì del mese. Swisscom stessa scrive che Bluewin «non è idoneo come sistema di archiviazione» e consiglia di fare il backup separatamente.

Il mio consiglio: un programma di posta sul computer che scarica tutto, poi una copia di quella cartella su un disco esterno cifrato che tieni scollegato. Non una seconda casella online: la copia deve stare su un apparecchio tuo. Come organizzarla e come provare che funziona è spiegato in Backup che funziona davvero: la regola 3-2-1 e la prova di ripristino.

Nei prossimi mesi: un dominio tuo

Registra un dominio con il nome della tua attività: l’indirizzo resta tuo anche se cambi fornitore di posta. Se domani il fornitore non ti va più bene, sposti le caselle e i clienti continuano a scriverti allo stesso indirizzo.

Il mio consiglio: intesta il dominio all’attività, con un tuo indirizzo di contatto, non a chi te lo ha registrato. E annota da qualche parte, su carta, dove l’hai registrato e quando scade.

Quando sei pronto: una posta professionale

Scegli una posta a pagamento che ti dia per iscritto tre cose: un accordo sul trattamento dei dati, dove stanno i dati e sotto quale legge, e caselle personali per ogni persona. Con le offerte professionali i fornitori firmano di solito un accordo sui dati: fattelo mostrare prima di firmare.

Quando confronti le offerte, chiedi anche:

  • chi ti risponde se perdi l’accesso, e come;
  • come esporti tutta la posta se un giorno vuoi andartene;
  • se la verifica in due passaggi si può rendere obbligatoria per tutti.

Per i privati vale lo stesso?

In parte. Per la posta personale una casella gratuita ben protetta va bene: le regole sono pensate proprio per te. Restano valide la verifica in due passaggi e la copia della posta importante sul tuo computer.

Il discorso cambia quando nella casella entrano dati di altri: l’associazione di cui tieni l’elenco dei soci, la squadra di cui raccogli i certificati medici, il lavoretto che fai la sera per qualche cliente. Lì non sei più solo un privato che scrive ai parenti, e le domande di questo articolo tornano a riguardarti.

Domande frequenti

Usare Gmail per la mia ditta è vietato?

No. I Termini di servizio di Google prevedono anche gli utenti commerciali. Il punto non è il divieto: con la casella gratuita Google è titolare dei dati del tuo account, ma per i dati dei tuoi clienti di solito manca un accordo sul trattamento, e se l'account viene bloccato non hai nessuno da chiamare. Per Bluewin le condizioni sono diverse: vedi la domanda qui sotto.

Uso Bluewin per le fatture: cosa rischio?

Le condizioni di Swisscom dicono che Bluewin è sviluppato per clienti privati, solo per il normale uso proprio, e che se l'uso se ne discosta Swisscom può prendere misure, fino a bloccare l'account senza preavviso. Non dicono che chiudono la casella a chi manda fatture. Il rischio concreto è un altro: nessun accordo sui dati dei clienti, un servizio «non idoneo come sistema di archiviazione» e la cancellazione dopo 12 mesi senza accessi.

Se cambio indirizzo, perdo i clienti?

Non se lo fai con calma. Tieni attiva la vecchia casella per qualche mese, con una risposta automatica che indica il nuovo indirizzo, e aggiorna biglietti da visita, sito e fatture. Il mio consiglio: scegli un dominio a nome della tua attività, così sarà l'ultima volta che cambi indirizzo, anche se un giorno cambierai fornitore di posta.

Google o Swisscom leggono le mie e-mail?

I loro sistemi sì, in automatico: la cifratura sui server la gestisce il fornitore, con una chiave sua. Google scrive che analizza i contenuti per riconoscere spam e programmi malevoli e che li consegna se un'autorità lo ordina; Swisscom che per legge consegna, su disposizione dell'autorità, per esempio le «e-mail lette». Il rischio più concreto però è un altro: chi ti ruba la password legge tutto.

Ho perso l'accesso alla casella della ditta: cosa faccio?

Usa la procedura ufficiale di recupero e rispondi con calma alle domande, possibilmente dal computer o dal telefono che usi di solito. Google scrive che non puoi chiamarlo per ricevere assistenza: chi ti telefona dicendo di essere Google è un truffatore. Avvisa i clienti da un altro canale che, finché non rientri, non devono fidarsi delle e-mail che arrivano da quell'indirizzo.

Tutte le fonti di questo articolo

Stasera entra nella tua casella e controlla due cose: se la verifica in due passaggi è attiva e se il numero di recupero è quello del telefono che hai in tasca. Ci vogliono cinque minuti, e il giorno in cui perdi l’accesso non manda un preavviso.

Se la casella è quella della tua attività e vuoi una posta con i dati in Svizzera, la soluzione della mia azienda è Akomodix: la sua pagina dichiara hardware proprio in datacenter svizzeri e messaggi e allegati salvati cifrati con una chiave diversa per ogni azienda. Apre su invito, a poche aziende alla volta; le domande da fare sono le stesse che faresti a qualunque fornitore.