Gli indirizzi PEC di imprese e professionisti pubblicati su INI-PEC si possono consultare liberamente, ma questo non significa che si possano usare per qualsiasi scopo. Il GDPR e il Codice Privacy continuano a valere anche per un dato reperibile in un registro pubblico. Ogni utilizzo richiede una finalità chiara e una base giuridica adeguata. Bisogna poi trasmettere solo le informazioni necessarie e gestire con criterio i log e le ricevute che ogni invio genera. Questa guida spiega cosa contiene l’indice e quali usi sono coerenti con la sua funzione. Indica anche gli errori più frequenti, già esaminati dal Garante, e i controlli da fare prima di una campagna PEC su larga scala.
In sintesi
- INI-PEC è il registro ufficiale degli indirizzi PEC di imprese e professionisti. La consultazione è libera, ma il dato resta soggetto alle regole sulla protezione dei dati personali.
- Ottenere un indirizzo da un registro pubblico non dà automaticamente il diritto di usarlo per comunicazioni promozionali. Serve una base giuridica coerente con la finalità.
- Inviare dati personali a una PEC aziendale condivisa, consultata da più persone, può configurare un trattamento illecito. Lo ha stabilito il Garante in un caso del 2023.
- Anche i metadati della posta elettronica sono dati personali. Il Garante indica un periodo di conservazione breve, di norma non oltre 21 giorni, salvo esigenze documentate.
- Per gli invii massivi conviene partire da elenchi verificati su fonti istituzionali, documentare le scelte e tenere traccia dei ritorni.
Indice
- Cos’è INI-PEC e quali dati raccoglie
- Perché un indirizzo pubblico non è un indirizzo libero
- Il rischio delle PEC condivise
- Metadati e log: quanto conservarli
- Le regole generali su posta elettronica e lavoro
- Checklist prima di un invio massivo
- Il nostro punto di vista
- Ricerca e verifica delle PEC con TrovaPEC
- Domande frequenti
- Fonti
Cos’è INI-PEC e quali dati raccoglie
L’Indice Nazionale degli Indirizzi di Posta Elettronica Certificata è il registro pubblico che raccoglie gli indirizzi PEC delle imprese e dei professionisti presenti sul territorio italiano. È stato istituito dal Ministero competente in materia di imprese ed è disciplinato dall’articolo 6-bis del Codice dell’Amministrazione Digitale (CAD). Gli indirizzi arrivano dal Registro delle Imprese, per le aziende, e dagli ordini e collegi, per i professionisti iscritti.
La PEC ha un valore particolare. Secondo AgID è una email che attesta l’invio e l’avvenuta consegna di un messaggio e fornisce ricevute opponibili a terzi. Per questo viene spesso descritta come una raccomandata elettronica. La comunicazione del domicilio digitale è un obbligo per imprese e professionisti, rafforzato dal D.L. 76/2020 con scadenza fissata al 1° ottobre 2020.
INI-PEC non è l’unico elenco di domicili digitali. Esistono tre registri distinti, ognuno con destinatari e regole proprie:
| Registro | Chi contiene | Riferimento normativo | Uso tipico |
|---|---|---|---|
| INI-PEC | Imprese e professionisti | Art. 6-bis CAD | Comunicazioni con aziende e professionisti |
| INAD | Persone fisiche, professionisti non iscritti in albi, enti di diritto privato | Art. 6-quater CAD | Domicilio digitale eletto volontariamente dal cittadino |
| IPA (IndicePA) | Pubbliche amministrazioni e gestori di pubblici servizi | Art. 6-ter CAD | Comunicazioni verso uffici ed enti pubblici |
La distinzione conta anche ai fini della privacy. Il domicilio digitale di un cittadino su INAD è un dato personale in senso pieno ed è legato a un codice fiscale individuale. Le linee guida AgID su INAD descrivono in dettaglio identificazione, deleghe e gestione del domicilio. Su INI-PEC la situazione è più sfumata. La PEC di una società di capitali riguarda una persona giuridica. Quella di un professionista o di una ditta individuale, invece, identifica direttamente una persona fisica. Per un quadro del funzionamento dell’indice è disponibile la guida su come funziona il registro nazionale delle PEC.
Perché un indirizzo pubblico non è un indirizzo libero
Il malinteso più diffuso è questo: se un dato è pubblico, se ne può fare ciò che si vuole. Il GDPR non funziona così. La pubblicità di un registro risponde a una finalità precisa, cioè rendere possibili comunicazioni con valore legale tra imprese, professionisti e pubblica amministrazione. Chi preleva un indirizzo da INI-PEC e lo usa per altro avvia un nuovo trattamento, che deve reggersi su una propria base giuridica.
Il Registro Imprese presenta l’indice come uno strumento di consultazione libera, senza necessità di autenticazione. L’accesso è aperto, ma ciò non legittima ogni utilizzo successivo dei dati. In pratica valgono alcuni principi del GDPR:
- Limitazione della finalità: l’indirizzo va usato per scopi compatibili con quello per cui è pubblicato.
- Base giuridica: occorre individuare il presupposto del trattamento (contratto, obbligo di legge, legittimo interesse, consenso) prima dell’invio, non dopo.
- Minimizzazione: si raccolgono e si trasmettono solo i dati necessari allo scopo.
- Responsabilizzazione (accountability): il titolare deve poter dimostrare le proprie scelte, quindi le documenta.
Usi coerenti e usi da valutare con attenzione
La tabella che segue riassume in modo orientativo come si collocano gli utilizzi più frequenti. Non sostituisce una valutazione caso per caso. Per campagne di contenuto promozionale o per situazioni dubbie conviene coinvolgere il proprio DPO o un legale esperto di protezione dei dati prima di procedere.
| Finalità dell’invio | Valutazione privacy | Base giuridica tipica |
|---|---|---|
| Diffida, messa in mora, recesso da un contratto in essere | Coerente con la funzione della PEC | Contratto o tutela di un diritto |
| Comunicazioni obbligatorie verso clienti o fornitori | Coerente | Obbligo di legge o contratto |
| Comunicazioni amministrative a controparti già in rapporto | Generalmente coerente | Contratto o legittimo interesse documentato |
| Comunicazioni commerciali a nuovi contatti | Da valutare con cautela | Spesso richiede il consenso preventivo |
| Invio di dati personali di terzi (dipendenti, clienti) | Ad alto rischio se la casella è condivisa | Va verificato il destinatario effettivo |
Sul tema promozionale esiste un approfondimento dedicato agli obblighi e vantaggi della PEC per le comunicazioni commerciali. Per la raccolta e la conservazione delle autorizzazioni è utile la guida pratica sulla gestione dei consensi per gli invii massivi.
Il rischio delle PEC condivise
Molte aziende considerano la PEC un canale sicuro per definizione, proprio perché certificato. È un’idea fondata solo in parte. La PEC garantisce data certa, integrità del messaggio e prova della consegna. Non garantisce però chi leggerà il contenuto una volta arrivato nella casella del destinatario.
Il provvedimento del Garante del 16 novembre 2023 nasce dal reclamo di un interessato contro un avvocato. Il caso riguarda la trasmissione di dati personali a una PEC non riservata alla persona interessata. Ne emerge un principio chiaro: inviare informazioni personali a una casella aziendale accessibile a più persone può costituire un trattamento illecito. Il canale ufficiale, da solo, non basta a rispettare i principi di minimizzazione e sicurezza. Il mittente deve accertarsi che il messaggio raggiunga il destinatario previsto.
Alcuni accorgimenti riducono il rischio:
- verificare se la PEC di destinazione è la casella generale dell’impresa o un indirizzo riferibile a una persona;
- evitare di inserire nel corpo del messaggio o negli allegati dati personali non indispensabili;
- per contenuti delicati, come dati sanitari, retributivi o disciplinari, valutare canali riservati o la cifratura degli allegati;
- mantenere un registro degli invii che consenta di ricostruire chi ha ricevuto cosa.
Il tema riguarda da vicino gli uffici del personale, che comunicano spesso con dipendenti ed ex dipendenti. Per questo ambito è disponibile una guida su come reperire gli indirizzi ufficiali in massa per le risorse umane.
Metadati e log: quanto conservarli
Un aspetto spesso trascurato riguarda i dati che la posta elettronica genera in automatico: mittente, destinatario, data, ora, oggetto, dimensione dei messaggi. Con il documento di indirizzo del 6 giugno 2024, il Garante ha chiarito che questi metadati sono dati personali. Il loro trattamento nel contesto lavorativo è quindi soggetto alle regole del GDPR e dello Statuto dei lavoratori.
Secondo il documento, la conservazione dei metadati deve di norma limitarsi a un periodo breve, non superiore a 21 giorni. Un periodo più lungo è ammesso solo in presenza di specifiche esigenze di sicurezza, adeguatamente motivate e documentate. Per chi gestisce invii massivi questo comporta due conseguenze pratiche:
- Distinguere le ricevute dai log tecnici. Le ricevute di accettazione e di consegna hanno valore probatorio e si conservano come documenti dell’invio. I log di sistema seguono invece la regola della conservazione breve.
- Configurare la cancellazione automatica. Va verificato con il fornitore della piattaforma di posta quale sia il periodo di conservazione predefinito. Se supera i limiti indicati, va modificato oppure giustificato per iscritto.
Il principio di responsabilizzazione è il filo conduttore. Il titolare deve essere in grado di spiegare perché conserva certi dati, per quanto tempo e con quale motivazione. Quando si trattano elenchi di grandi dimensioni, scegliere tempi di conservazione brevi e motivati è il modo più sicuro per restare conformi.
Le regole generali su posta elettronica e lavoro
Il documento del 2024 si inserisce in un quadro già delineato dalle linee guida del Garante per posta elettronica e internet. Secondo questo testo spetta al datore di lavoro definire le modalità d’uso degli strumenti nell’organizzazione. I controlli devono essere il meno invasivi possibile. Le misure organizzative e tecniche preventive, come filtri, regole d’accesso e dati aggregati, vanno preferite ai controlli individuali.
Per le caselle PEC aziendali, queste indicazioni si traducono in alcune scelte concrete:
- un regolamento interno che stabilisca chi può accedere alla PEC generale e per quali attività;
- l’assegnazione di caselle dedicate alle funzioni che trattano dati delicati;
- un’informativa chiara ai dipendenti sull’uso e sull’eventuale controllo degli strumenti;
- la nomina e la formazione delle persone autorizzate al trattamento.
Checklist prima di un invio massivo
Quando gli indirizzi sono centinaia o migliaia, gli errori si moltiplicano. Un processo ordinato riduce sia il rischio legale sia quello operativo. Questa è la sequenza consigliata:
- Definire la finalità. Va messo per iscritto perché si scrive ai destinatari e quale base giuridica sostiene l’invio.
- Verificare l’anagrafica di partenza. Partite IVA errate, cessate o sospese generano indirizzi sbagliati o assenti. Controllarle prima evita di inviare comunicazioni a soggetti che non esistono più.
- Recuperare le PEC da fonti ufficiali. Gli indirizzi presi da elenchi non istituzionali o da vecchie anagrafiche possono essere obsoleti. INI-PEC, INAD e IndicePA restano i riferimenti corretti, ciascuno per il proprio ambito.
- Distinguere le tipologie di destinatario. Imprese, professionisti e pubbliche amministrazioni vanno cercati nel registro giusto. Per gli enti pubblici è utile la guida all’invio di PEC alla PA senza rimbalzi.
- Ridurre il contenuto al necessario. Vanno esclusi i dati personali non indispensabili, soprattutto se il destinatario usa una casella generale.
- Fornire l’informativa. Se l’invio comporta un trattamento nuovo, il destinatario va informato su titolare, finalità, base giuridica e diritti.
- Rendicontare gli esiti. Ricevute di consegna, mancate consegne e caselle piene vanno registrate. Gli indirizzi non validi si correggono, invece di ritentare l’invio all’infinito.
- Applicare i tempi di conservazione. Si conservano le ricevute che servono come prova e si cancellano i log tecnici secondo la policy interna.
Per conoscere i vincoli tecnici dell’indice prima di pianificare una campagna è utile la pagina sui limiti di INI-PEC. Se un indirizzo risulta errato, la guida per aggiornare la PEC su INI-PEC o modificarla su INAD spiega come intervenire. Gli aspetti normativi specifici degli invii su larga scala sono raccolti nell’approfondimento sulla privacy negli invii massivi di PEC.
Il nostro punto di vista
Ogni giorno lavoriamo con aziende, studi professionali e uffici pubblici che devono trasformare un elenco di Partite IVA o di Codici Fiscali in indirizzi PEC utilizzabili. L’esperienza ci ha insegnato che i problemi di privacy nascono raramente dalla malafede. Più spesso derivano da dati vecchi, raccolti male o usati senza aver chiarito prima lo scopo.
Un indirizzo sbagliato non è solo un rimbalzo. Può significare che una comunicazione con dati personali arriva a un soggetto diverso da quello previsto, o che una diffida non produce effetti perché inviata a una casella non più attiva. Per questo riteniamo che la qualità del dato faccia parte della conformità. Recuperare gli indirizzi dall’Indice Nazionale degli Indirizzi PEC, verificare lo stato delle Partite IVA e tenere traccia dei ritorni sono passaggi che proteggono sia chi invia sia chi riceve.
C’è poi un aspetto organizzativo. Automatizzare la ricerca non vuol dire rinunciare al controllo, anzi. Un processo ripetibile produce documentazione: quali fonti sono state consultate, quando, con quali esiti. È proprio la traccia che il principio di responsabilizzazione richiede. Il nostro consiglio è chiedersi prima di tutto perché si scrive a quei destinatari. Solo dopo conviene pensare a come trovarli in modo rapido e affidabile.
— Alessandro
Ricerca e verifica delle PEC con TrovaPEC
Per chi deve gestire grandi elenchi di contatti, TrovaPEC offre la ricerca PEC massiva a partire da Partite IVA o Codici Fiscali, con dati aggiornati tramite l’Indice Nazionale degli Indirizzi PEC. Per le verifiche occasionali è disponibile anche un servizio gratuito di ricerca singola. Accanto alla ricerca sono disponibili alcuni servizi complementari:
- la verifica massiva delle Partite IVA, anche su VIES, per escludere dall’elenco i soggetti non più attivi prima dell’invio;
- la normalizzazione, la verifica e la correzione delle anagrafiche;
- l’invio massivo di PEC con rendicontazione dei ritorni;
- i web services per la ricerca PEC, per integrare la ricerca nei gestionali aziendali tramite API.
L’elaborazione viene quotata in base all’elenco da trattare. Per un preventivo basta partire dal file di Partite IVA o Codici Fiscali già in proprio possesso.
Domande frequenti
Qual è l’indirizzo PEC del Garante della Privacy?
L’indirizzo di posta certificata del Garante per la protezione dei dati personali è protocollo@pec.gpdp.it. L’Autorità precisa che questa casella riceve soltanto messaggi provenienti da altre PEC. Per le comunicazioni da posta ordinaria è attivo l’indirizzo protocollo@gpdp.it.
Qual è la differenza tra dati personali e dati sensibili?
È dato personale qualsiasi informazione che riguarda una persona fisica identificata o identificabile, compresi nome, codice fiscale o indirizzo PEC personale. I dati che il linguaggio comune chiama “sensibili” sono, nel GDPR, le categorie particolari di dati. Tra questi rientrano la salute, l’origine etnica, le convinzioni religiose e l’appartenenza sindacale. Il loro trattamento è vietato salvo eccezioni specifiche e richiede tutele più elevate, anche quando vengono trasmessi via PEC.
Cosa prevede l’articolo 167 del Codice della Privacy?
L’articolo 167 del D.Lgs. 196/2003 disciplina il reato di trattamento illecito di dati. Riguarda chi, per trarne profitto o per arrecare danno all’interessato, tratta dati personali in violazione di determinate norme e causa un danno. È una sanzione penale, che si aggiunge alle sanzioni amministrative del GDPR. In caso di dubbio su un trattamento specifico conviene rivolgersi a un avvocato esperto di protezione dei dati.
Si possono usare gli indirizzi di INI-PEC per inviare offerte commerciali?
Il fatto che un indirizzo sia pubblicato su INI-PEC non autorizza da solo l’invio di comunicazioni promozionali. Serve una base giuridica adeguata, che per i messaggi commerciali a nuovi contatti è spesso il consenso preventivo. Prima di una campagna di questo tipo è opportuno sentire il proprio DPO.
La ricerca di una singola PEC è gratuita?
Sì. La consultazione di INI-PEC è libera e anche TrovaPEC mette a disposizione un servizio gratuito di ricerca singola. Per elenchi numerosi la ricerca massiva consente di elaborare in un’unica operazione l’intero file di Partite IVA o Codici Fiscali.
Fonti
- Registro Imprese: INI-PEC
- AgID: Posta elettronica certificata
- AgID: Piattaforma PEC
- AgID: Linee guida INAD
- Garante Privacy: provvedimento del 16 novembre 2023
- Garante Privacy: documento di indirizzo del 6 giugno 2024 sui metadati
- Garante Privacy: linee guida per posta elettronica e internet
- Garante Privacy: contatti dell’Autorità