Un indirizzo PEC può essere un dato personale e, quando lo è, il suo utilizzo ricade nel GDPR. La regola pratica è semplice. Le PEC presenti in INI-PEC e negli altri elenchi pubblici si possono usare per le finalità per cui quegli elenchi esistono, cioè le comunicazioni con valore legale e amministrativo. Per inviare messaggi promozionali serve invece il consenso preventivo del destinatario. Di seguito si vedono la normativa, le decisioni del Garante per la protezione dei dati personali e le procedure operative per cercare, conservare e usare elenchi di indirizzi PEC in modo corretto.
In breve
- Il GDPR, cioè il Regolamento (UE) 2016/679, si applica direttamente in Italia dal 25 maggio 2018.
- La PEC di una persona fisica, di un professionista o di una ditta individuale è un dato personale; la PEC generica di una società di capitali, di norma, non lo è.
- INI-PEC e INAD esistono per le comunicazioni con valore legale: la presenza di un indirizzo in un registro pubblico non autorizza l’invio di pubblicità.
- Per il marketing via PEC serve il consenso informato preventivo; senza consenso il trattamento è illecito anche se il messaggio offre la cancellazione.
- Ricerca massiva e invio massivo sono conformi quando la finalità è legittima, documentata e coerente con quella del registro.
Indice
- Cosa prevede il GDPR e come si applica in Italia
- Quando un indirizzo PEC è un dato personale
- INI-PEC e INAD: a cosa servono i registri pubblici
- Comunicazioni legali e marketing: la distinzione decisiva
- Cosa ha stabilito il Garante sull’uso delle PEC
- Ricerca massiva di PEC: come procedere in modo conforme
- Informativa, sicurezza e conservazione degli elenchi
- Il nostro punto di vista
- Cercare e verificare le PEC ufficiali con TrovaPEC
- Domande frequenti
- Fonti
Cosa prevede il GDPR e come si applica in Italia
Il Regolamento generale sulla protezione dei dati tutela le persone fisiche rispetto al trattamento dei loro dati personali. Essendo un regolamento europeo, non richiede una legge di recepimento: è direttamente applicabile in tutti gli Stati membri, Italia compresa, dal 25 maggio 2018. In Italia l’autorità di controllo è il Garante per la protezione dei dati personali.
Il campo di applicazione è ampio. Secondo la sintesi ufficiale del GDPR su EUR-Lex, il regolamento vale anche per le imprese con sede fuori dall’Unione quando offrono beni o servizi a persone che si trovano nell’UE o ne monitorano il comportamento. Lo stesso testo descrive il meccanismo dello sportello unico, che permette alle imprese di rapportarsi con una sola autorità di controllo, quella dello Stato membro in cui hanno lo stabilimento principale.
Per chi gestisce indirizzi PEC, i punti del regolamento che contano di più sono tre:
- I principi del trattamento. Il testo del Regolamento (UE) 2016/679 chiede che i dati siano trattati in modo lecito, corretto e trasparente, raccolti per finalità determinate e limitati a quanto necessario per quelle finalità.
- La base giuridica. Ogni trattamento deve poggiare su una delle condizioni dell’articolo 6: consenso, esecuzione di un contratto, obbligo di legge, interesse pubblico, interesse legittimo del titolare o tutela di interessi vitali.
- La definizione di dato personale. L’articolo 4 considera dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile.
Quando un indirizzo PEC è un dato personale
La PEC, in sé, è uno strumento: una sorta di raccomandata elettronica che certifica l’invio e la consegna di un messaggio. Il fatto che sia certificata non cambia la sua natura dal punto di vista della privacy. Conta a chi si riferisce l’indirizzo.
Applicando la definizione dell’articolo 4, un indirizzo PEC è un dato personale quando permette di identificare, direttamente o indirettamente, una persona fisica. Il considerando 14 del regolamento chiarisce invece che il GDPR non disciplina il trattamento dei dati relativi alle persone giuridiche, come la denominazione, la forma giuridica e i recapiti dell’ente.
| Tipo di indirizzo PEC | Esempio indicativo | Dato personale? |
|---|---|---|
| PEC di un cittadino | nome.cognome@pec.example.it | Sì |
| PEC di un professionista iscritto a un albo | avv.cognome@pec.example.it | Sì |
| PEC di una ditta individuale | cognome.impresa@pec.example.it | Sì, perché l’impresa coincide con la persona |
| PEC di una società con nominativo di un referente | m.rossi@pec.societa.it | Sì, perché identifica il referente |
| PEC generica di una società di capitali | amministrazione@pec.societa.it | Di norma no |
| PEC istituzionale di un ente pubblico | protocollo@pec.ente.it | Di norma no |
Nella pratica, un elenco di indirizzi PEC ricavato da una lista di Partite IVA contiene quasi sempre entrambe le categorie: società, ma anche professionisti e imprese individuali. Per questo la scelta più prudente è trattare l’intero elenco con le regole del GDPR. Va ricordato, inoltre, che le decisioni del Garante sul marketing via PEC riguardano gli indirizzi estratti dai registri pubblici in generale, non solo quelli riferiti a persone fisiche.
INI-PEC e INAD: a cosa servono i registri pubblici
Per capire cosa è lecito fare con un indirizzo PEC bisogna partire dalla finalità del registro da cui proviene. Secondo il comunicato AgID e MIMIT sul trasferimento dei domicili digitali:
- l’iscrizione del domicilio digitale in INI-PEC è obbligatoria per imprese e professionisti;
- l’iscrizione in INAD è facoltativa per cittadini e professionisti, con la migrazione automatica in INAD dei domicili digitali dei professionisti iscritti in albi ed elenchi già presenti in INI-PEC;
- il domicilio digitale presente in INI-PEC è utilizzabile per comunicazioni con valore legale legate all’attività professionale del titolare.
Il registro, quindi, nasce per rendere raggiungibili imprese e professionisti nelle comunicazioni ufficiali: notifiche, diffide, disdette, richieste documentali, comunicazioni amministrative. Le regole di consultazione sono approfondite nella guida su privacy e dati di INI-PEC e in quella sui limiti di INI-PEC. Per le imprese che devono controllare il proprio indirizzo è utile anche la pagina sul domicilio digitale delle imprese.
Comunicazioni legali e marketing: la distinzione decisiva
Il cuore del rapporto tra PEC e GDPR sta qui. Lo stesso indirizzo, preso dallo stesso registro, può essere usato in modo pienamente lecito oppure illecito a seconda della finalità dell’invio.
| Finalità dell’invio | Esempi | Base giuridica tipica | Consenso necessario? |
|---|---|---|---|
| Comunicazioni con valore legale | Diffide, messe in mora, recessi, notifiche | Contratto, obbligo di legge, interesse legittimo | No |
| Gestione di un rapporto in corso | Variazioni contrattuali, comunicazioni a fornitori e clienti | Contratto | No |
| Adempimenti verso la PA o da parte della PA | Istanze, comunicazioni istituzionali | Obbligo di legge, interesse pubblico | No |
| Comunicazioni promozionali | Offerte, newsletter, inviti commerciali | Consenso | Sì, preventivo e informato |
| Propaganda politica o elettorale | Messaggi di candidati o liste | Consenso | Sì |
La base giuridica va valutata caso per caso dal titolare del trattamento: la tabella indica gli scenari più comuni, non una regola automatica. Per i casi dubbi, come un invio a una lista mista di clienti e potenziali clienti, è opportuno far verificare la finalità e l’informativa dal proprio DPO o da un consulente privacy prima di procedere.
Un esempio concreto. Un’azienda che deve comunicare a 3.000 fornitori una modifica delle condizioni contrattuali può reperire le loro PEC ufficiali partendo dalle Partite IVA e procedere con l’invio, perché la comunicazione rientra nel rapporto contrattuale. La stessa azienda non può usare lo stesso elenco, o un elenco di imprese con cui non ha rapporti, per presentare un nuovo prodotto senza aver prima raccolto il consenso. Le procedure per raccogliere e documentare i consensi sono descritte nella guida sulla gestione dei consensi PEC. Per le disdette in serie si può consultare la guida sulla PEC per il recesso dai contratti.
Cosa ha stabilito il Garante sull’uso delle PEC
Le indicazioni più chiare arrivano dai provvedimenti del Garante per la protezione dei dati personali.
L’invio di e-mail promozionali a PEC prese dai registri
Nel provvedimento sull’invio di e-mail promozionali a indirizzi PEC raccolti da registri pubblici, del 1° febbraio 2018, il Garante ha chiarito che la presenza di un indirizzo in INI-PEC o in un albo professionale non ne consente l’uso per finalità promozionali senza il consenso preventivo dell’interessato. L’estrazione massiva di indirizzi dai registri pubblici da parte di privati per finalità commerciali è stata considerata illecita, perché in contrasto con le finalità specifiche per cui i registri sono stati creati.
La propaganda elettorale via PEC
Con il provvedimento del 1° ottobre 2020 il Garante ha dichiarato illecito l’uso di PEC estratte da albi ed elenchi professionali per inviare propaganda politica o elettorale senza consenso. Nella stessa decisione l’Autorità ha osservato che l’invio di messaggi promozionali tramite PEC è più grave perché può interferire maggiormente con l’attività professionale dei destinatari. La casella PEC, infatti, è quella in cui un professionista attende notifiche e comunicazioni con scadenze.
Il link di cancellazione non basta
Nell’ordinanza ingiunzione del 21 aprile 2021 il Garante ha ribadito che, in assenza di consenso, il trattamento della PEC per fini promozionali è illecito anche quando le e-mail contengono un meccanismo per la cancellazione dalla mailing list. Il provvedimento mostra anche gli strumenti a disposizione dell’Autorità: il divieto di ulteriore utilizzo degli indirizzi acquisiti senza idoneo consenso, l’ordine di cancellarli dai database aziendali e le sanzioni amministrative pecuniarie previste dal GDPR. Per le violazioni più gravi, l’articolo 83 del regolamento fissa un massimo di 20 milioni di euro o del 4% del fatturato mondiale annuo, se superiore.
Ricerca massiva di PEC: come procedere in modo conforme
Cercare in massa le PEC ufficiali di aziende e professionisti è un’attività legittima quando serve a inviare comunicazioni coerenti con la finalità dei registri. Queste sono le fasi operative consigliate:
- Definire la finalità prima della ricerca. Va indicato per iscritto perché servono gli indirizzi: recesso, diffida, comunicazione contrattuale, adempimento verso enti pubblici. La finalità guida tutte le scelte successive.
- Individuare la base giuridica. Per le comunicazioni legali e contrattuali la base è di norma il contratto, l’obbligo di legge o l’interesse legittimo; per qualsiasi contenuto promozionale serve il consenso.
- Partire da dati già in proprio possesso. Un elenco di Partite IVA o Codici Fiscali di clienti, fornitori o controparti è il punto di partenza corretto: si recupera la PEC ufficiale di soggetti con cui esiste già una relazione.
- Usare fonti ufficiali e aggiornate. Un indirizzo non aggiornato espone a mancate consegne e a comunicazioni prive di effetto. Verificare anche che la Partita IVA sia attiva evita invii a soggetti cessati.
- Limitare i dati raccolti. Si conservano solo i campi necessari alla finalità: identificativo fiscale, ragione sociale, PEC, esito della ricerca.
- Aggiornare il registro dei trattamenti e l’informativa. Il trattamento va documentato, con fonte dei dati, finalità e tempi di conservazione.
- Conservare le ricevute. Le ricevute di accettazione e consegna della PEC provano l’invio e sono la documentazione da tenere a fascicolo.
Chi deve scrivere a molte amministrazioni trova un approfondimento dedicato nella guida alla ricerca PEC degli enti pubblici. Per gli aspetti privacy specifici delle spedizioni in serie c’è la guida sulla privacy negli invii massivi di PEC.
Informativa, sicurezza e conservazione degli elenchi
Una volta ottenuto l’elenco, gli obblighi del GDPR proseguono per tutta la durata del trattamento.
- Informativa. Quando i dati non sono raccolti presso l’interessato, il titolare deve informarlo sulla fonte, sulle finalità e sui diritti esercitabili. Spesso l’informativa può essere inserita nella prima comunicazione inviata.
- Sicurezza. Gli elenchi vanno conservati in sistemi con accessi limitati al personale autorizzato, evitando copie su fogli di calcolo condivisi senza controllo.
- Conservazione. I dati si tengono per il tempo necessario alla finalità; le ricevute degli invii con valore legale possono richiedere tempi più lunghi, legati alla possibile contestazione della comunicazione.
- Esattezza. Gli indirizzi cambiano: una PEC dismessa o variata va aggiornata. Per le modifiche del proprio domicilio digitale si può seguire la guida su come aggiornare la PEC da INI-PEC.
- Diritti degli interessati. Professionisti e titolari di ditte individuali possono chiedere accesso, rettifica o opposizione: serve una procedura interna per rispondere nei tempi previsti.
La PEC e il GDPR operano su piani diversi. La PEC garantisce l’opponibilità del messaggio, cioè la prova di invio e consegna, come spiegato nella guida su quando una PEC ha valore legale. Il GDPR, invece, stabilisce se e come quell’indirizzo può essere trattato. Una PEC consegnata correttamente resta un trattamento illecito se la finalità è sbagliata. Allo stesso modo, una finalità legittima non basta se l’indirizzo è errato e il messaggio non arriva.
Il nostro punto di vista
Ogni giorno lavoriamo con aziende, studi professionali e pubbliche amministrazioni che devono raggiungere centinaia o migliaia di destinatari con comunicazioni certificate. La domanda che riceviamo più spesso non è come trovare le PEC, ma come usarle senza rischi. La nostra risposta parte sempre dalla finalità.
Riteniamo che la ricerca massiva di PEC sia uno strumento di conformità, non un rischio. Chi recupera a mano gli indirizzi da più fonti lavora con dati incompleti, li copia in fogli non protetti e spesso non sa più da dove provengano. Un processo automatizzato, che parte dalle Partite IVA o dai Codici Fiscali già in possesso del cliente e restituisce le PEC ufficiali dall’Indice Nazionale degli Indirizzi PEC, produce invece un elenco tracciabile, aggiornato e limitato ai soggetti con cui esiste un motivo reale per comunicare.
Per questo consigliamo ai nostri clienti di usare i nostri servizi per le comunicazioni con valore legale e operativo, come recessi, diffide, aggiornamenti contrattuali e richieste alle amministrazioni, e di gestire il marketing solo su liste con consenso documentato. È la stessa linea indicata dal Garante, ed è anche quella che rende le comunicazioni più efficaci: un messaggio atteso e pertinente viene letto, uno indesiderato in una casella PEC no.
— Alessandro
Cercare e verificare le PEC ufficiali con TrovaPEC
TrovaPEC consente di trovare in modo automatizzato gli indirizzi PEC ufficiali di aziende, professionisti ed enti partendo da elenchi di Partite IVA o Codici Fiscali, con dati aggiornati tramite l’Indice Nazionale degli Indirizzi PEC. Per un singolo indirizzo è disponibile la ricerca PEC singola gratuita; per gli elenchi c’è la ricerca PEC massiva da Partita IVA o Codice Fiscale.
Al servizio di ricerca si affiancano diversi servizi: la verifica massiva delle Partite IVA, anche su VIES, la normalizzazione e correzione delle anagrafiche, l’invio massivo di PEC con rendicontazione dei ritorni e i web services per la ricerca PEC, che integrano il processo nei gestionali aziendali senza limiti di volume.
Domande frequenti
L’indirizzo PEC di un’azienda è protetto dal GDPR?
Dipende dal tipo di azienda. La PEC generica di una società di capitali di norma non è un dato personale, perché il GDPR tutela le persone fisiche. La PEC di una ditta individuale, di un professionista o di un referente con nome e cognome nell’indirizzo, invece, lo è.
Si può inviare pubblicità a una PEC trovata su INI-PEC?
No, non senza il consenso preventivo e informato del destinatario. Il Garante ha chiarito che la presenza in un registro pubblico non autorizza l’uso promozionale. L’invio resta illecito anche se il messaggio offre la cancellazione dalla lista.
Serve il consenso per inviare una disdetta o una diffida via PEC?
Di norma no. Le comunicazioni con valore legale legate a un rapporto contrattuale o a un obbligo di legge si basano su condizioni diverse dal consenso, come il contratto o l’interesse legittimo. Restano da rispettare i principi di minimizzazione, sicurezza e trasparenza.
Cosa rischia chi usa elenchi PEC per il marketing senza consenso?
Il Garante può vietare l’ulteriore utilizzo degli indirizzi, ordinarne la cancellazione dai database e applicare sanzioni amministrative pecuniarie. Per le violazioni più gravi il GDPR prevede fino a 20 milioni di euro o il 4% del fatturato mondiale annuo.
Fonti
- Regolamento generale sulla protezione dei dati, Minori.it
- Sintesi del GDPR, EUR-Lex
- Regolamento (UE) 2016/679, EUR-Lex
- Garante privacy, invio di e-mail promozionali a indirizzi PEC raccolti da registri pubblici
- Garante privacy, provvedimento del 1° ottobre 2020
- Garante privacy, ordinanza ingiunzione del 21 aprile 2021