Indirizzo PEC e privacy: un dato personale da non esporre

Perché l'indirizzo PEC è un dato personale ma non sensibile, la multa del Garante per i destinatari in chiaro, gli invii multipli e gli usi degli elenchi

L'indirizzo di posta elettronica certificata di un professionista o di un privato è un dato personale comune: non ha le tutele rafforzate dei dati sanitari, politici o religiosi, ma resta soggetto alle regole del GDPR su liceità, finalità e sicurezza.

Il rischio più frequente è l'invio collettivo: in una PEC gli indirizzi dei campi A e Cc arrivano a tutti i destinatari, e il Garante privacy ha sanzionato con 2.000 euro un ente che li aveva resi visibili in due messaggi del luglio 2025.

Ricevute, valore legale e regole d'uso della casella sono raccolti nella guida alla posta elettronica certificata, dall'attivazione alle ricevute.

Takeaways - Punti chiave dell'articolo

• Dato non sensibile: L'indirizzo PEC non rientra nelle categorie particolari dell'art. 9 del GDPR, che comprendono salute, dati genetici e biometrici, opinioni politiche e appartenenza sindacale.
• Dato personale: Un indirizzo PEC riferito a una persona fisica identificabile è un dato personale (art. 4 GDPR); i dati di contatto delle persone giuridiche restano fuori dal regolamento.
• Multa da 2.000 euro: Con il provvedimento n. 763 del 7 ottobre 2026 il Garante ha sanzionato la Federazione dei Biologi per due PEC con gli indirizzi dei destinatari in chiaro.
• Niente Ccn nella PEC: Le regole tecniche del DM 2 novembre 2005 accettano il messaggio solo se il campo Ccn è vuoto, mentre gli indirizzi in A e Cc arrivano a tutti.
• Elenchi pubblici: Per il Garante (provvedimento n. 52 del 1° febbraio 2018) gli indirizzi presi da INI-PEC non si usano per messaggi promozionali senza consenso preventivo.

L'indirizzo email è considerato un dato personale?

Sì, l'indirizzo email è un dato personale quando si riferisce a una persona fisica identificata o identificabile, come prevede l'art. 4, n. 1, del GDPR. Vale anche per la PEC: un indirizzo composto da nome e cognome identifica direttamente il suo titolare.

Il GDPR cita tra gli identificativi il nome, i numeri di identificazione, i dati di ubicazione e gli identificativi online: basta che l'informazione permetta di risalire a una persona, da sola o insieme ad altre.

Il considerando 14 esclude invece i dati delle persone giuridiche, compresi nome, forma giuridica e dati di contatto. L'indirizzo PEC di una società resta quindi fuori dal regolamento, salvo che permetta di risalire a una persona fisica.

Chi decide finalità e mezzi di un invio è il titolare del trattamento (art. 4, n. 7): spetta a lui trattare gli indirizzi PEC dei destinatari con le stesse regole degli altri dati personali.

Indirizzi PEC in chiaro: cosa ha deciso il Garante

Per il Garante privacy, una PEC che mostra a tutti gli indirizzi dei destinatari è una comunicazione di dati personali a terzi, lecita solo con un'idonea base giuridica: lo ha stabilito il provvedimento n. 763 del 7 ottobre 2026 (doc. web 10309222).

Il caso riguarda la Federazione Nazionale degli Ordini dei Biologi, che il 21 e il 24 luglio 2025 aveva inviato due PEC a numerosi professionisti con i loro indirizzi email in chiaro. Il procedimento è partito dal reclamo di una biologa che le aveva ricevute entrambe.

La Federazione ha parlato di errore materiale, dovuto anche al fatto che la PEC non consente di inserire destinatari nel campo Ccn. Il Garante non ha ritenuto sufficienti le giustificazioni: la comunicazione a terzi c'è stata anche se i destinatari erano colleghi della stessa categoria.

Le norme violate sono l'art. 5, par. 1, lett. a), e l'art. 6 del GDPR e l'art. 2-ter del Codice privacy. La sanzione è di 2.000 euro, contenuta per la natura episodica dei fatti, l'assenza di dati di categorie particolari e la collaborazione dell'ente.

Il Garante ha disposto anche la pubblicazione del provvedimento sul proprio sito, data l'elevata numerosità dei destinatari coinvolti.

Cosa stabilisce l'articolo 6 del GDPR sulla liceità del trattamento?

L'art. 6 del GDPR stabilisce che un trattamento di dati personali è lecito solo se ricorre almeno una di sei condizioni, chiamate basi giuridiche:

• Consenso: l'interessato lo ha espresso per una o più finalità specifiche (lett. a).
• Contratto: il trattamento serve a eseguire un contratto o misure precontrattuali chieste dall'interessato (lett. b).
• Obbligo legale: il titolare deve adempiere un obbligo di legge (lett. c).
• Interessi vitali: serve a salvaguardare gli interessi vitali dell'interessato o di un'altra persona fisica (lett. d).
• Interesse pubblico: serve a un compito di interesse pubblico o all'esercizio di pubblici poteri (lett. e).
• Legittimo interesse: serve a un interesse legittimo del titolare o di terzi, se non prevalgono i diritti dell'interessato (lett. f).

Il legittimo interesse non vale per le autorità pubbliche nell'esecuzione dei loro compiti. Per i trattamenti di interesse pubblico l'art. 2-ter del Codice privacy aggiunge che la base giuridica è costituita esclusivamente da una norma di legge o di regolamento o da atti amministrativi generali.

Per questo nel caso della Federazione dei Biologi il Garante ha richiamato le lettere c) ed e): l'invio delle comunicazioni istituzionali aveva una base, la condivisione degli indirizzi tra i destinatari no.

Cosa succede quando invio una PEC in modo massivo?

Quando una PEC parte verso più destinatari, il gestore la consegna a ciascuno e rilascia una ricevuta di avvenuta consegna per ogni destinatario, come prevedono le regole tecniche allegate al DM 2 novembre 2005 (par. 5).

Gli indirizzi viaggiano però insieme al messaggio: la busta di trasporto eredita senza modifiche le intestazioni A e Cc del messaggio originale, che vi è allegato per intero (par. 6.3.4). Ogni destinatario vede così gli indirizzi di tutti gli altri.

Come si comporta ciascun campo dell'invio:

Il messaggio è accettato solo se nel campo Ccn non ci sono destinatari (par. 6.3.1); se non supera i controlli, il mittente riceve un avviso di non accettazione (par. 6.3.2).

L'uso dei campi A e Cc nelle PEC con più destinatari è approfondito nell'articolo su come indirizzare la stessa PEC a più persone.

Che tipo di sanzioni può applicare il Garante privacy?

Il Garante privacy può applicare sanzioni amministrative pecuniarie e le misure correttive dell'art. 58, par. 2, del GDPR, scelte in base alle circostanze del caso:

• Avvertimenti e ammonimenti: per trattamenti che rischiano di violare il regolamento o che lo hanno già violato (lett. a e b).
• Ingiunzioni: per conformare i trattamenti o soddisfare le richieste dell'interessato (lett. c e d).
• Limitazione o divieto: provvisorio o definitivo del trattamento (lett. f).
• Sanzione pecuniaria: ai sensi dell'art. 83, in aggiunta o al posto delle altre misure (lett. i).

Le sanzioni devono essere effettive, proporzionate e dissuasive. Per la violazione dei principi e delle basi giuridiche (artt. 5, 6, 7 e 9) arrivano fino a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo, se superiore (art. 83, par. 5).

Chi ritiene violati i propri dati può rivolgersi al Garante: i passaggi sono descritti nell'articolo su come revocare il consenso e presentare reclamo al Garante.

Indirizzi PEC negli elenchi pubblici: quali usi sono ammessi

Un indirizzo PEC pubblicato in un elenco come INI-PEC si può usare solo per le finalità della pubblicazione, non per qualsiasi scopo: lo ha chiarito il Garante privacy con il provvedimento n. 52 del 1° febbraio 2018 (doc. web 7810723).

Secondo il Garante, la finalità dell'INI-PEC indicata dall'art. 6-bis del Codice dell'amministrazione digitale è favorire la presentazione di istanze, dichiarazioni e dati tra pubbliche amministrazioni, imprese e professionisti.

Per inviare messaggi promozionali a quegli indirizzi serve il consenso preventivo dell'interessato (art. 130 del Codice privacy). Un link per cancellarsi inserito nel messaggio non sana l'invio, perché il consenso va chiesto prima.

Le differenze tra l'elenco di professionisti e imprese e quello delle amministrazioni sono spiegate nell'articolo su quando consultare INI-PEC e quando l'Indice PA.

È possibile inviare un'e-mail a un numero elevato di destinatari senza divulgare i loro indirizzi?

Sì: con la PEC il modo per non divulgare gli indirizzi è inviare un messaggio separato a ogni destinatario, perché il campo Ccn non è accettato dal sistema e i campi A e Cc arrivano a tutti.

Ogni invio separato ha la propria ricevuta di consegna, riferita a un solo destinatario.

Con SuperPEC di LetteraSenzaBusta il costo non cambia tra un invio unico e invii separati: la pagina del servizio indica 1,97 € IVA inclusa per ogni destinatario, che sia un indirizzo PEC o un'email ordinaria.

Ricevere è sempre gratis e non ci sono canone né rinnovo. La casella, emessa da Intesi Group, gestore autorizzato da AgID, si attiva con la firma digitale cheFIRMA!, gratis con la CIE di livello 3.

Prima di un invio collettivo conviene chiedersi se i destinatari devono conoscere gli indirizzi degli altri: se non serve, gli indirizzi non vanno messi insieme.

Conclusione

L'indirizzo PEC non è un dato sensibile, ma quando appartiene a una persona fisica è un dato personale e segue le regole del GDPR: serve una base giuridica per comunicarlo e una finalità coerente per usarlo.

Il provvedimento del Garante del 7 ottobre 2026 mostra che una PEC collettiva con gli indirizzi in chiaro può costare una sanzione, e le regole tecniche escludono il Ccn: con molti destinatari restano gli invii separati.

Per scrivere a più persone senza esporne gli indirizzi si può usare una PEC con costo a destinatario e senza canone.