In questo articolo Indice dei contenuti 2 sezioni
Lasciare gli indirizzi email in chiaro nel campo CC di un messaggio collettivo è un’abitudine diffusissima, spesso liquidata come una svista senza conseguenze. Il Garante della Privacy però non la vede affatto così e lo ha messo nero su bianco con una multa da 2.000 euro inflitta alla Federazione Nazionale degli Ordini dei Biologi (FNOB), che aveva mostrato a tutti i destinatari i recapiti degli altri iscritti.
La vicenda risale al luglio 2025, quando una biologa ha ricevuto dalla propria Federazione due comunicazioni tramite PEC. Il contenuto era ordinario, il problema stava altrove. Nell’elenco dei destinatari comparivano infatti gli indirizzi di posta di tutti gli altri professionisti che avevano ricevuto lo stesso messaggio. A prima vista nulla di clamoroso, eppure è bastato per attirare l’attenzione dell’Autorità.
La difesa della Federazione e la risposta del Garante
La FNOB ha provato a giustificarsi parlando di un errore umano occasionale e non di una prassi consolidata. A questo si aggiungeva una motivazione tecnica, visto che il sistema di posta certificata adottato non permetteva di inserire i destinatari nel campo CCN, la copia conoscenza nascosta che di solito serve proprio a celare gli indirizzi agli altri. La Federazione ha inoltre fatto notare che i messaggi contenevano soltanto informazioni istituzionali e che i destinatari, appartenendo alla stessa categoria professionale, con ogni probabilità si conoscevano già.
Argomentazioni sensate, ma non abbastanza convincenti. Secondo il Garante rendere visibili indirizzi personali a soggetti che non hanno titolo per conoscerli equivale a una comunicazione di dati personali a terzi. Poco importa che il testo sia innocuo o che chi riceve faccia parte dello stesso ambiente lavorativo. Il nodo, come si legge nel provvedimento n. 763 del 7 ottobre 2026, è che la Federazione non aveva alcuna base giuridica adeguata per giustificare quella condivisione. Ne deriva una violazione dei principi di liceità, correttezza e trasparenza fissati dal GDPR.
Nel calcolo della sanzione l’Autorità ha comunque considerato alcune attenuanti. Gli episodi erano isolati, non coinvolgevano categorie particolari di dati sensibili e l’ente non aveva precedenti rilevanti alle spalle. Per questo motivo l’importo si è fermato a 2.000 euro senza salire oltre.
Perché il caso riguarda aziende, enti e professionisti
La decisione rappresenta un precedente prezioso per chiunque gestisca invii di massa, dalle aziende alle associazioni, dagli enti pubblici ai singoli professionisti. Un recapito di posta elettronica è a tutti gli effetti un dato personale quando consente di identificare una persona, anche in modo indiretto. Esporlo a chi non dovrebbe vederlo può tradursi in una violazione della privacy, perfino se il messaggio tratta argomenti del tutto banali.
Il rimedio, almeno sulla carta, è alla portata di tutti. Basta usare il campo CCN, che tiene nascosti i vari indirizzi gli uni agli altri. Con la posta certificata però questa opzione non sempre esiste, ed è proprio l’aspetto che chi si affida alla PEC per le comunicazioni collettive dovrebbe controllare con cura prima di premere invio. Per il Garante la distrazione non funziona da esimente e le regole del GDPR valgono anche per gli sbagli più banali.
Fonte: TecnoAndroid