Che cosa è successo
Il 21 e il 24 luglio 2025 la Federazione Nazionale degli Ordini dei Biologi ha inviato due messaggi di posta elettronica certificata a un gruppo numeroso di iscritti, con tutti gli indirizzi nel campo dei destinatari: ognuno vedeva quelli degli altri. Una biologa ha presentato reclamo. La Federazione ha spiegato che si era trattato di un errore materiale e che il sistema PEC usato non consentiva di inserire i destinatari in copia nascosta. Con il provvedimento n. 763 del 7 ottobre 2026, pubblicato il 20 ottobre, il Garante l'ha sanzionata per 2.000 euro, contestando gli artt. 5 e 6 del GDPR e l'art. 2-ter del Codice privacy.
La sanzione è bassa e il Garante lo spiega: violazione episodica, dovuta a errore umano, solo indirizzi email e nessun dato particolare, nessun precedente, buona collaborazione e misure correttive già adottate. Ma il provvedimento è stato pubblicato lo stesso, proprio per la platea ampia di destinatari, e il principio che afferma vale per tutti.
Perché un indirizzo visibile è una comunicazione di dati
Un indirizzo email nominativo è un dato personale. Metterlo nel campo «A» o «CC» di un messaggio collettivo significa comunicarlo a tutti gli altri destinatari, cioè a terzi. Per farlo serve una base giuridica, e per un ente pubblico, ai sensi dell'art. 2-ter del Codice, una norma che lo preveda. Non basta che i destinatari siano colleghi della stessa professione, né che l'invio sia stato un errore: l'errore spiega la gravità, non rende lecito il trattamento.
- Il limite tecnico dello strumento non è una giustificazione: se il sistema non permette la copia nascosta, si cambia modo di inviare.
- Le alternative sono semplici: invii singoli, stampa unione, una piattaforma di invio massivo, una lista di distribuzione che non espone gli indirizzi.
- Gli indirizzi nominativi pesano più di quelli generici: nome.cognome@ dice chi è la persona, info@ no.
- Un invio con i destinatari in chiaro è anche una violazione di riservatezza: va valutata come data breach e annotata nel registro delle violazioni, anche se non si notifica.
- La regola va scritta e insegnata: chi manda le circolari spesso non è chi ha scritto le procedure privacy.
Il controllo da fare oggi in ogni studio e in ogni ente
Chiedete a chi manda le comunicazioni collettive di mostrarvi l'ultimo invio a più di cinque persone. Guardate il campo dei destinatari. Se gli indirizzi sono in chiaro, il problema esiste già; se sono in copia nascosta, chiedete se è una regola scritta o un'abitudine di quella persona. Poi fate la stessa domanda per la PEC, che spesso passa da un altro programma e da un'altra persona.
Il caso interessa in particolare gli ordini professionali, le associazioni, le scuole, gli amministratori di condominio e chiunque scriva periodicamente a una lista di persone che non si conoscono fra loro. Sono gli invii in cui l'errore è più facile, perché la stessa operazione si ripete decine di volte e prima o poi qualcuno la fa con fretta.
Nel fascicolo del cliente bastano tre righe: quale strumento si usa per le comunicazioni collettive, se impedisce di esporre gli indirizzi o se dipende da chi scrive, e quando è stata fatta l'ultima formazione a chi invia. Se la seconda risposta è «dipende da chi scrive», è lì che va messa la misura.
Fonte ufficiale:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Fonte ufficiale:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei BiologiStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
