la responsabilità in caso di violazione della sicurezza e quindi della privacy è proporzionale alle scelte di sicurezza attuate.
Un server non dedicato non mi sembra già una buona partenza... quasi direi che occorre una intranet.
Non saprei la legge cosa dice sulla spedizione dei documenti, nel qualcaso puoi vedere se la posta certificata ti risolve il problema
