OneDrive cambia le regole: i dati ora possono avere una scadenza

Per anni molte imprese hanno considerato lo spazio cloud Microsoft come un archivio quasi permanente: una volta caricati documenti, file di progetto, immagini e backup, la permanenza delle informazioni sembrava garantita salvo interventi manuali. Oggi la situazione cambia: Microsoft ha infatti introdotto nuove regole che associano cicli di conservazione, archiviazione e cancellazione automatica agli account OneDrive non più coperti da licenza, con conseguenze dirette per aziende, enti e professionisti che utilizzano Microsoft 365.

La questione assume particolare rilevanza se si considera che OneDrive rappresenta uno dei servizi cloud più diffusi al mondo e che gran parte dei dati aziendali moderni transita attraverso SharePoint Online e Microsoft 365.

Perché Microsoft sta modificando la gestione dei dati in OneDrive

La crescita delle piattaforme cloud ha creato un problema poco visibile agli utenti: l’accumulo di enormi quantità di dati associati ad account non più utilizzati o privi di licenza attiva. Mantenere queste informazioni online comporta costi infrastrutturali, attività di gestione e obblighi legati alla sicurezza.

Microsoft aveva già avviato una revisione delle politiche di conservazione degli account OneDrive sprovvisti di licenza introducendo procedure di archiviazione automatica.

Microsoft non intende un account personale OneDrive gratuito, ma un account utente all’interno di un tenant Microsoft 365 che ha perso la licenza necessaria per utilizzare OneDrive for Business. Facciamo un esempio pratico: un dipendente dispone di un account Microsoft 365 aziendale (es. mario.rossi@azienda.it), una licenza Microsoft 365 E3, E5, Business Premium o equivalente, uno spazio OneDrive for Business associato.

Quando il dipendente lascia l’azienda, spesso l’amministratore rimuove la licenza Microsoft 365 per risparmiare sui costi. Da quel momento l’utente esiste ancora in Microsoft Entra ID (ex Azure AD), ma il suo OneDrive non è più coperto da una licenza valida. È questa la situazione che Microsoft definisce “unlicensed OneDrive account“.

La nuova fase prevede una scansione temporale più precisa e una progressiva eliminazione delle situazioni indefinite che in passato consentivano a molti tenant Microsoft 365 di conservare dati per periodi molto lunghi senza un piano di licenza associato.

Nasce così il concetto di “data expiry“, cioè una vera e propria data di scadenza applicata alle informazioni archiviate su OneDrive.

La nuova sequenza temporale per gli account senza licenza

Le modifiche interessano principalmente gli account OneDrive che perdono la licenza Microsoft 365 associata. In base alle informazioni diffuse da Redmond, il ciclo di vita dei dati segue diverse fasi ben definite.

Dopo la rimozione della licenza, l’account continua inizialmente a funzionare. Successivamente entra in una modalità limitata e, trascorsi circa 60 giorni, il contenuto passa in sola lettura.

Al raggiungimento del 93esimo giorno, il contenuto dell’account OneDrive può essere archiviato automaticamente oppure trasferito verso processi di eliminazione, a seconda delle policy configurate dall’organizzazione.

La parte più significativa riguarda però il periodo successivo. I dati archiviati non rimangono necessariamente disponibili per sempre: se l’organizzazione non assegna una nuova licenza o non attiva le opzioni previste per la conservazione, Microsoft può procedere alla cancellazione definitiva dei contenuti dopo il periodo massimo previsto dalle nuove regole.

Le implicazioni per gli amministratori Microsoft 365

Chi gestisce ambienti aziendali Microsoft 365 deve prestare particolare attenzione ai processi di offboarding degli utenti. In passato era frequente rimuovere una licenza senza affrontare immediatamente il tema della conservazione dei dati personali associati all’utente.

Con le nuove regole, un approccio di questo tipo può trasformarsi in un rischio concreto: file di progetto, documentazione tecnica, archivi amministrativi e materiale condiviso potrebbero finire in uno stato di archiviazione automatica (resi inaccessibili a tutti gli utenti) e successivamente essere eliminati.

Gli amministratori dovrebbero verificare regolarmente la presenza di account senza licenza, controllare le impostazioni di retention, analizzare le policy applicate ai siti personali OneDrive e valutare l’adozione di piattaforme di backup dedicate.

Come abbiamo spesso ricordato, infatti, la responsabilità per la conservazione e il recupero delle informazioni non ricade su Microsoft ma sull’organizzazione che utilizza la piattaforma. Il modello di responsabilità condivisa adottato da Microsoft prevede che l’azienda garantisca l’affidabilità dell’infrastruttura cloud, la disponibilità dei servizi e la protezione dei sistemi sottostanti; spetta invece al cliente definire le politiche di conservazione, configurare gli strumenti di conformità e assicurarsi che esistano procedure adeguate per il ripristino dei dati in caso di cancellazioni accidentali, errori amministrativi, compromissioni degli account o attacchi ransomware.