Quando si pensa alla privacy della posta elettronica, di solito si pensa alla cifratura.
La cifratura è importante, ma è solo un pezzo del puzzle.
Una domanda che si fa molto meno spesso è: chi controlla concretamente l’infrastruttura su cui vive la tua posta, e che cosa comporta?
La risposta conta perché, nella maggior parte dei paesi, le aziende che gestiscono servizi di posta hanno l’obbligo di legge di rispondere a richieste valide provenienti da tribunali e autorità.
I governi chiedono dati degli utenti ogni giorno
Google è una delle poche aziende tecnologiche che pubblica statistiche dettagliate sulle richieste di informazioni sugli utenti avanzate dai governi.
Secondo l’ultimo Transparency Report di Google, i governi di tutto il mondo presentano oggi più di 300.000 richieste legali ogni sei mesi, che riguardano quasi 750.000 account. Google pubblica queste statistiche due volte l’anno, paese per paese, insieme alla propria percentuale di divulgazione.
Alcuni dati recenti dal Transparency Report globale di Google:
| Periodo di riferimento | Richieste dei governi | Account coinvolti | Google ha divulgato alcuni dati |
|---|---|---|---|
| lug–dic 2024 | 245.715 | 536.413 | 83% |
| gen–giu 2025 | 287.014 | 664.767 | 82% |
| lug–dic 2025 | 304.915 | 748.475 | 84% |
Sono totali globali ricavati dal dataset scaricabile del report stesso, sommati su tutti i paesi e su tutti i procedimenti legali. Le richieste di conservazione sono escluse, perché chiedono al provider di trattenere i dati anziché consegnarli; la percentuale di divulgazione è ponderata sul numero di richieste di ciascun paese.
Queste percentuali non significano che Google accolga automaticamente ogni richiesta. Indicano piuttosto che, dopo aver esaminato ciascuna richiesta, Google ha divulgato almeno una parte delle informazioni richieste in circa quattro casi su cinque.
Il segnale più chiaro è l’andamento nel tempo. Google pubblica questi dati ogni sei mesi dal 2009, e sia il numero di richieste sia il numero di account coinvolti sono cresciuti in quasi tutti i periodi di riferimento da allora:
I provider non danno ai governi un accesso diretto
Un equivoco diffuso è che i governi abbiano un accesso «dalla porta di servizio» ai provider di posta.
Google afferma esplicitamente che non è così.
Secondo la documentazione pubblicata da Google sui procedimenti legali:
- ogni richiesta viene esaminata da avvocati;
- le richieste devono essere conformi alla legge applicabile;
- le richieste eccessivamente ampie possono essere ridotte o contestate;
- i governi non ricevono accesso diretto agli account degli utenti.
Questo processo di verifica legale esiste per bilanciare le legittime esigenze investigative con il diritto alla riservatezza degli utenti.
Quali informazioni possono essere richieste?
La risposta dipende dall’autorità legale coinvolta.
Google spiega che procedimenti legali diversi consentono l’accesso a categorie diverse di informazioni, tra cui:
- dati dell’intestatario;
- indirizzi email di recupero;
- numeri di telefono;
- storico degli indirizzi IP;
- data e ora degli accessi;
- metadati dell’account;
- dati di fatturazione, ove applicabile;
- contenuto della posta, quando autorizzato per legge.
Non tutte le richieste autorizzano l’accesso a tutte le categorie di dati.
I report di trasparenza contano
I report di trasparenza offrono una visione insolitamente dettagliata di quanto spesso i governi cerchino informazioni sugli utenti.
Senza di essi, gli utenti avrebbero pochissima visibilità su:
- quanto frequentemente avvengano le richieste;
- quali paesi le presentino;
- quanti account siano coinvolti;
- come rispondano i provider.
Il Transparency Report di Google è uno dei dataset pubblici più completi disponibili, e molte altre aziende — tra cui Microsoft, Apple, Meta e GitHub — pubblicano report analoghi.
L’architettura conta
Quasi tutti scelgono un provider di posta in base allo spazio disponibile, al filtro antispam o al prezzo.
Una domanda più fondamentale da porsi è però: chi gestisce il server di posta?
- Tu
- Il provider di posta
- Infrastruttura del provider
Il provider possiede l'infrastruttura, gestisce il server di posta, conserva la tua casella ed è il soggetto giuridico che riceve le richieste dei governi.
- Tu
- Il tuo account cloud
- Il tuo server di posta
La macchina è noleggiata da un provider cloud, ma il sistema di posta che ci gira sopra è tuo: il tuo account, la tua configurazione, i tuoi dati. cripta.to automatizza installazione e gestione; non custodisce mai la tua casella.
Con un servizio di posta ospitato tradizionale, il provider possiede l’infrastruttura, gestisce il server di posta, conserva la tua casella ed è il soggetto giuridico che riceve le richieste dei governi.
Con cripta.to il modello è diverso.
cripta.to installa un server di posta pronto per la produzione nel tuo account cloud.
La macchina in sé non è tua: la noleggi da un provider cloud, come fa quasi ogni azienda. Tuo è tutto ciò che sta sopra quella linea: l’account, il software del server, la configurazione e la posta.
cripta.to è la piattaforma software che automatizza installazione e gestione; non è il gestore continuativo della tua infrastruttura di posta e non è mai depositaria della tua corrispondenza.
Questa distinzione cambia il modello operativo:
- le tue risorse cloud restano nel tuo account, sotto le tue credenziali;
- il tuo server di posta gira nel tuo ambiente, con una configurazione che puoi ispezionare e modificare;
- le connessioni tra i tuoi dispositivi e il server sono protette con TLS e, nei piani con volume dati dedicato, il disco che contiene la tua posta è cifrato a riposo;
- cripta.to non ospita la tua casella come farebbe un provider di posta centralizzato.
La differenza onesta è più circoscritta di «è tuo», ed è più utile: riguarda la custodia. Nessun provider di posta terzo sta in mezzo a custodire la tua casella, quindi c’è un soggetto in meno a cui la si può chiedere.
Perché abbiamo creato cripta.to
In cripta.to crediamo che gli utenti debbano capire non solo come viene cifrata la loro posta, ma anche dove è ospitata e chi la controlla.
Dove si trova l’infrastruttura, e chi controlla ciò che ci gira sopra, è un aspetto spesso trascurato nelle discussioni sulla privacy.
Per molte organizzazioni e molte persone, controllare l’ambiente in cui la posta viene elaborata e conservata è una scelta progettuale importante, perché garantisce maggiore indipendenza operativa e trasparenza.