Se usi Outlook per lavoro o per la posta personale, probabilmente hai già visto l’invito a “passare al nuovo Outlook”. Dietro un’interfaccia più moderna, però, si nasconde un cambiamento tecnico importante: il modo in cui email, contatti e password vengono gestiti è completamente diverso da prima.
In questo articolo spieghiamo, in modo semplice e verificato punto per punto, cosa cambia davvero — senza allarmismi e senza minimizzare. Ogni affermazione qui sotto è supportata da una fonte verificabile, elencata in fondo all’articolo.
Cos’è il “Nuovo Outlook” e perché è diverso
Il Nuovo Outlook (chiamato anche “Outlook per Windows” o “New Outlook”) non è un semplice restyling. Tecnicamente è un’applicazione web “incapsulata”: ogni volta che apri o invii un’email, il traffico passa sempre attraverso i server cloud di Microsoft, anche se il tuo account di posta non è Microsoft.
Il vecchio Outlook, invece, si collegava direttamente al server del tuo provider di posta (Gmail, il server aziendale, ecc.), senza passare da un intermediario.
Perché è importante saperlo: questa differenza cambia dove vivono i tuoi dati, non solo come li vedi sullo schermo.
Le tue password finiscono su un server Microsoft
Questo è il punto più delicato, ed è confermato da più fonti indipendenti, tra cui test tecnici del sito XDA Developers e un’inchiesta del sito tedesco Heise ripresa da Cybernews.
Quando colleghi un account IMAP (il protocollo usato da molti provider di posta non Microsoft, incluse molte email aziendali) al Nuovo Outlook, il nome utente e la password vengono trasmessi e conservati sui data center di Microsoft. Da quel momento Microsoft accede al tuo account di posta al posto tuo, per tuo conto, in modo permanente — un ruolo tecnico chiamato “man in the middle” (intermediario).
Microsoft giustifica la scelta con la necessità di garantire notifiche rapide e un’esperienza coerente su più dispositivi. Resta però una domanda legittima: un’app di posta ha davvero bisogno di custodire le tue credenziali, invece di limitarsi a usarle per collegarsi?
Va detto, per completezza, che su alcune piattaforme (per esempio Outlook per Mac) è comparsa in passato un’opzione per scegliere la “sincronizzazione diretta” con il provider invece che tramite il cloud Microsoft. Su Outlook nuovo per Windows, però, diversi utenti e i forum ufficiali Microsoft segnalano che per gli account IMAP questa sincronizzazione cloud è obbligatoria, senza possibilità di disattivarla in fase di configurazione.
Una copia dei tuoi dati vive anche sui server Microsoft
Il Nuovo Outlook non si limita a “guardare” la tua casella di posta: ne crea una copia completa — email, calendario e contatti — e la conserva sui propri server.
Questo significa che, se usi ad esempio un server di posta aziendale interno, i tuoi dati esistono contemporaneamente in due posti: sul server originale dell’azienda e sull’infrastruttura Microsoft. Per un professionista soggetto a obblighi di riservatezza (avvocati, commercialisti, medici, consulenti), questo raddoppio non è un dettaglio tecnico: significa che informazioni riservate finiscono su un’infrastruttura terza, spesso senza che l’utente se ne accorga davvero.
Cosa sono i metadati e perché contano
Anche senza leggere il contenuto di un’email, chi gestisce l’infrastruttura può vedere quando scrivi, a chi, quanto spesso e con che ritmo. Questi dati si chiamano metadati, e permettono di ricostruire abitudini di lavoro, relazioni professionali e orari di attività — a volte in modo più rivelatore del contenuto stesso dei messaggi.
Instradando tutto il traffico attraverso i propri server, il Nuovo Outlook è nella posizione tecnica per raccogliere questi dati. Il problema non è la raccolta in sé (necessaria per far funzionare qualsiasi servizio cloud), ma la scarsa trasparenza su quanto a lungo vengano conservati e per quali scopi vengano effettivamente usati oltre all’assistenza tecnica.
Quante aziende terze possono accedere ai tuoi dati?
Secondo l’informativa privacy mostrata agli utenti europei (obbligatoria per il GDPR), Microsoft dichiara di condividere dati con un numero di “partner terzi” che è variato nel tempo tra 772 (dato riportato da Proton, Born’s Tech, Thurrott e mspoweruser tra gennaio 2024 e fine 2025) e 801 (dato più recente riportato da Proton).
Questi partner possono, secondo l’informativa stessa, personalizzare pubblicità e contenuti, misurarne l’efficacia, ottenere la posizione geografica precisa e identificare l’utente tramite la scansione del dispositivo. Gli utenti europei possono disattivare la condivisione con ciascun partner singolarmente (non con un interruttore unico); gli utenti americani, in assenza di una legge federale sulla privacy paragonabile al GDPR, spesso non ricevono nemmeno questa informativa.
Niente modalità “solo locale”
A differenza della versione classica, il Nuovo Outlook per Windows non offre un’opzione per lavorare esclusivamente in locale, senza passare dal cloud Microsoft. Chi cerca un client di posta che non trasmetta nulla ai server Microsoft, con questa versione non può ottenerlo: è un cambiamento di modello, da “programma installato sul tuo computer” a “servizio in abbonamento” (Software-as-a-Service).
Le vulnerabilità di sicurezza recenti
Tra il 2025 e il 2026 sono state effettivamente scoperte e corrette diverse falle critiche in Outlook, confermate dal Microsoft Security Response Center:
- CVE-2025-47171 (giugno 2025): un problema di convalida dei dati in ingresso che permetteva l’esecuzione di codice, legato ai moduli personalizzati di Outlook.
- CVE-2026-45458 e CVE-2026-47635 (giugno 2026): due vulnerabilità critiche di tipo “type confusion”/”use after free”, corrette nel Patch Tuesday di giugno 2026. Secondo l’analisi di CrowdStrike, il vettore d’attacco per entrambe è proprio il riquadro di anteprima di Outlook classico: basta che l’email malevola venga visualizzata, senza nemmeno aprirla.
Non è chiaro se l’architettura cloud del Nuovo Outlook riduca o aumenti il rischio complessivo: da un lato permette patch più rapide lato server, dall’altro centralizza l’autenticazione e amplia la superficie d’attacco. Su questo punto specifico non esistono, al momento, dati comparativi indipendenti conclusivi.
Le università che hanno detto no
Non si tratta di allarmismo isolato: diverse istituzioni hanno preso posizioni ufficiali e verificabili.
- Università di Lipsia (dicembre 2025): ha vietato formalmente l’uso del Nuovo Outlook e delle app Outlook mobile per gli account di posta istituzionali, definendolo un “grave problema di sicurezza e protezione dei dati”.
- TU Wien (Vienna, 2024): ha sconsigliato il passaggio e ha distribuito una chiave di registro per impedire l’aggiornamento automatico sui computer dell’ateneo.
- Università di Vienna (ZID): ha invitato gli utenti a non usare la versione gratuita del nuovo Outlook con gli indirizzi email dell’università, e a cambiare immediatamente password chi lo avesse già fatto.
Per un’azienda o un libero professionista italiano soggetto al GDPR, il tema non è teorico: se dati personali di clienti o pazienti finiscono, tramite il Nuovo Outlook, su server fuori dall’Unione Europea senza un adeguato inquadramento contrattuale, la responsabilità resta in capo al titolare del trattamento — cioè all’azienda, non a Microsoft.
Pubblicità nella posta in arrivo
Il Nuovo Outlook gratuito mostra pubblicità direttamente nella cartella “Posta in arrivo – Altro”, con annunci che possono somigliare a email vere. Microsoft dichiara di non usare il contenuto di email, chat e documenti per pubblicità mirata, ma ammette di usare interessi, posizione e comportamento dell’utente nell’ecosistema Microsoft per personalizzare gli annunci.
Cosa fare, in pratica
- Utente privato senza particolari esigenze di riservatezza: il Nuovo Outlook offre sincronizzazione comoda tra dispositivi; il compromesso privacy può essere accettabile, a patto di conoscerlo.
- Professionisti con obblighi di riservatezza (avvocati, commercialisti, sanitari, consulenti): valutare di restare sul client classico o su alternative con crittografia end-to-end, e verificare le impostazioni di sincronizzazione prima di collegare account IMAP aziendali.
- PMI e aziende soggette al GDPR: verificare con il proprio responsabile della protezione dei dati (o consulente privacy) se l’uso del Nuovo Outlook per la posta aziendale richiede un aggiornamento del registro dei trattamenti o accordi contrattuali specifici con Microsoft.
In sintesi
Il Nuovo Outlook non è un prodotto “cattivo” per definizione: è il riflesso di un modello industriale — il cloud come infrastruttura centrale — che porta vantaggi reali di comodità, ma anche una cessione di controllo sui propri dati che va conosciuta, non subita. La scelta tra vecchio e nuovo Outlook non è più solo estetica: è una scelta su chi ha accesso alla tua corrispondenza digitale.
Fonti citate in questo articolo
- XDA Developers, Privacy implications of the new Microsoft Outlook (ott. 2024)
- Cybernews, New Outlook copies user emails from other accounts to Microsoft cloud (nov. 2023)
- Proton, Outlook is Microsoft’s new data collection service (gen. 2024, aggiornato)
- Thurrott.com, New Outlook Decried as a “Surveillance Tool for Targeted Advertising” (gen. 2024)
- Microsoft Q&A (learn.microsoft.com), thread su sincronizzazione IMAP obbligatoria nel Nuovo Outlook per Windows
- Universität Leipzig, avviso IT-Sicherheits-Warnung (dic. 2025)
- TU Wien, Warnung vor der neuen Outlook App für Windows e Kein Wechsel auf das “Neue Outlook” empfohlen (2024)
- Universität Wien (ZID), Warnung vor der Gratis-Version von Outlook (mar. 2024)
- Microsoft Security Response Center (MSRC), schede CVE-2025-47171, CVE-2026-45458, CVE-2026-47635
- CrowdStrike, June 2026 Patch Tuesday: Updates and Analysis
- Runbox, Outlook stores email in Microsoft Cloud – what you need to know (mag. 2025)
Nota: alcune cifre (come il numero di partner terzi) cambiano nel tempo perché derivano da informative privacy aggiornate periodicamente da Microsoft. Verifica sempre la data della fonte quando incontri numeri simili altrove.
