Doch selbst Unternehmen, die den betriebseigenen Internetzugang für Privatzwecke geöffnet haben, handeln nicht immer juristisch sicher. Dies gilt vor allem dann, wenn Beschäftigte das Firmenpostfach für die private Kommunikation nutzen. Denn infolge der Privatnutzung werden die Unternehmen zu einem geschäftsmäßigen Anbieter von Telekommunikationsdiensten. Sie unterliegen daher rechtlichen Pflichten aus dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikationsgesetz (TKG). Demzufolge sind Überwachung und Speicherung privater E-Mails unzulässig. Eine zentrale Archivierung des gesamten E-Mail-Verkehrs, etwa zur Erfüllung von Compliance-Anforderungen, ist somit nicht erlaubt. Zuvor müssten die geschäftlichen von den privaten E-Mails technisch aufwändig getrennt werden. Unternehmen, die deshalb nicht gleich die private Nutzung verbieten wollen, können beispielsweise der Belegschaft freie E-Mail-Accounts anbieten, separate Privatadressen zur Verfügung stellen oder Betriebsvereinbarungen anstreben, in der die Mitarbeiter einer zentralen Archivierung zustimmen.
An der Studie nahmen 468 IT-Manager und IT-Sicherheitsverantwortliche aus Deutschland teil. Die Befragung wurde in Form elektronischer Interviews von der Informationweek durchgeführt und mit Unterstützung von Steria Mummert Consulting ausgewertet.