Qué ha pasado
El 21 y el 24 de julio de 2025 la Federación Nacional de Colegios de Biólogos de Italia envió dos correos certificados (PEC, el correo con valor legal italiano) a un grupo numeroso de colegiados, con todas las direcciones en el campo de destinatarios: cada uno veía las de los demás. Una bióloga presentó una reclamación. La Federación explicó que fue un error material y que el sistema PEC utilizado no permitía poner destinatarios en copia oculta. Con la resolución n.º 763 de 7 de octubre de 2026, publicada el 20 de octubre, el Garante la sancionó con 2.000 euros por infringir los arts. 5 y 6 del RGPD y el art. 2-ter del Código italiano de privacidad.
La sanción es baja y el Garante explica por qué: infracción aislada, debida a un error humano, solo direcciones de correo y ningún dato de categoría especial, sin precedentes, buena colaboración y medidas correctoras ya adoptadas. Aun así, la resolución se ha publicado, precisamente por el elevado número de destinatarios, y el principio que establece vale para todos.
Por qué una dirección visible es una comunicación de datos
Una dirección de correo nominativa es un dato personal. Ponerla en el campo «Para» o «CC» de un mensaje colectivo es comunicarla a todos los demás destinatarios, es decir, a terceros. Para ello hace falta una base jurídica y, para un organismo público según el art. 2-ter del Código italiano, una norma que lo prevea. No basta con que los destinatarios sean de la misma profesión ni con que el envío fuera un error: el error explica la gravedad, no hace lícito el tratamiento.
- Un límite técnico de la herramienta no es una justificación: si el sistema no permite copia oculta, se cambia la forma de enviar.
- Las alternativas son sencillas: envíos individuales, combinación de correspondencia, una plataforma de envío masivo, una lista de distribución que no muestre las direcciones.
- Las direcciones nominativas pesan más que las genéricas: nombre.apellido@ dice quién es la persona, info@ no.
- Un envío con destinatarios visibles es también una brecha de confidencialidad: hay que evaluarla como brecha de datos y anotarla en el registro, aunque no se notifique.
- La regla debe escribirse y enseñarse: quien envía las circulares no suele ser quien redactó los procedimientos de privacidad.
La comprobación que hacer hoy en cada despacho y cada entidad
Pida a quien envía las comunicaciones colectivas que le muestre el último envío a más de cinco personas. Mire el campo de destinatarios. Si las direcciones están a la vista, el problema ya existe; si están en copia oculta, pregunte si es una norma escrita o una costumbre de esa persona. Luego haga la misma pregunta sobre el correo certificado, que a menudo pasa por otro programa y otra persona.
El caso interesa en especial a colegios profesionales, asociaciones, centros educativos, administradores de fincas y a cualquiera que escriba periódicamente a una lista de personas que no se conocen entre sí. Son los envíos en los que el error es más fácil, porque la misma operación se repite decenas de veces y tarde o temprano alguien la hace con prisa.
En el expediente del cliente bastan tres líneas: qué herramienta se usa para las comunicaciones colectivas, si impide exponer las direcciones o depende de quien escribe, y cuándo se formó por última vez a quien envía. Si la segunda respuesta es «depende de quien escribe», ahí es donde va la medida.
Fuente oficial:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Fuente oficial:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei Biologi¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
