La rendicontazione degli invii PEC è il report tecnico che ricostruisce, a partire da ricevute e log, l’esito reale di ogni comunicazione certificata inviata: chi l’ha ricevuta, quando e con quale esito. Questo report è opponibile a terzi perché si basa su fonti ufficiali dei gestori. La prima azione da compiere è verificare che il proprio gestore PEC o il sistema di integrazione conservi i log e offra un’API per estrarli.
In breve:
- È fondamentale verificare che il proprio gestore PEC conservi i log degli invii per il periodo minimo previsto dalla normativa e abbia un accordo scritto sulle modalità di estrazione.
- La rendicontazione completa si basa su ricevute di accettazione, consegna e avvisi di errore, tutte correlate tramite Message-ID e altri dati chiave nei log.
- Per evitare rimbalzi e semplificare la rendicontazione, è consigliabile normalizzare gli indirizzi PEC tramite INI-PEC prima degli invii massivi.
- La conservazione dei log deve essere conforme alla normativa, con un processo di archiviazione a norma e l’applicazione di hash e marca temporale per garantirne l’integrità.
- La corretta gestione degli accessi ai metadati e la limitazione delle privilege, secondo le linee guida del Garante privacy, sono indispensabili per tutelare la privacy dei dati personali.
Indice
- Che dati compongono la rendicontazione: ricevute, avvisi e campi chiave nei log
- Normativa e vincoli temporali rilevanti per la rendicontazione PEC
- Formati tecnici e pacchetti: busta, XML delle ricevute e pacchetto di versamento
- Come ottenere i dati per la rendicontazione: estrazione, API e normalizzazione
- Metriche e struttura del report: cosa misurare e come organizzarlo
- Sicurezza e privacy dei log: accessi limitati e minimizzazione dei metadati
- Checklist operativa per produrre la rendicontazione in 5 passi
- Errori comuni nella rendicontazione a scala: la prospettiva di un tecnico
- Come semplificare ricerca PEC e rendicontazione con un unico flusso
- Domande frequenti
- Fonti
Che dati compongono la rendicontazione: ricevute, avvisi e campi chiave nei log
Un report completo nasce dall’incrocio di più documenti tecnici, ciascuno con una funzione precisa.
La ricevuta di accettazione viene generata dal gestore del mittente nel momento in cui il messaggio entra nel sistema PEC: attesta che l’invio è partito, non che è arrivato. La ricevuta di avvenuta consegna, invece, certifica che il messaggio è stato depositato nella casella del destinatario, e secondo quanto riportato da AgID vale come prova anche se il destinatario non apre mai la posta. Esiste in tre varianti: completa, breve e sintetica, con contenuto informativo decrescente.
Quando qualcosa va storto arrivano gli avvisi: di non accettazione (il messaggio non è valido), di mancata consegna (il destinatario non è raggiungibile) o di rilevazione virus. Ogni evento, per essere tracciabile nel report, deve riportare nei log almeno questi campi:
- identificativo univoco del messaggio (Message-ID)
- data e ora dell’evento
- indirizzo del mittente e del destinatario
- tipologia dell’evento registrato
- identificativo delle ricevute correlate
Normativa e vincoli temporali rilevanti per la rendicontazione PEC
Il quadro normativo italiano fissa obblighi precisi su cosa registrare, per quanto tempo conservarlo e in che termini avvisare in caso di problemi.
Il DM 2 novembre 2005 stabilisce le regole tecniche della PEC, inclusi i dati minimi da registrare nei log e le tempistiche di emissione degli avvisi: un primo avviso entro le 12 ore successive all’evento, un secondo entro le 12 ore seguenti se il problema persiste. Questo doppio termine condiziona direttamente quando un report può considerarsi definitivo.
Sul fronte della conservazione, le istruzioni AgID impongono ai gestori di mantenere i log dei messaggi per un periodo minimo previsto dalla normativa, producendo pacchetti di versamento che il conservatore trasforma in rapporti identificabili.
Punti operativi da verificare subito:
- il gestore PEC conserva i log per il periodo previsto dalla normativa
- gli indirizzi utilizzati sono aggiornati tramite INI-PEC prima dell’invio massivo
- esiste un accordo scritto su modalità e tempi di estrazione dei log in caso di contenzioso
Formati tecnici e pacchetti: busta, XML delle ricevute e pacchetto di versamento
Ogni messaggio PEC viaggia dentro una busta di trasporto che racchiude il messaggio originale, i dati di certificazione e un allegato XML con i metadati dell’invio. Questo allegato è la fonte primaria da cui un sistema di rendicontazione estrae automaticamente gli esiti.
La scelta tra ricevuta completa, breve o sintetica incide direttamente sul contenuto disponibile per il report: una ricevuta sintetica, ad esempio, riporta solo i dati essenziali e richiede di essere correlata al Message-ID per ricostruire l’intero percorso dell’invio.
Per l’opponibilità a norma entra in gioco il pacchetto di versamento (PdV), che raccoglie log e ricevute da trasferire al conservatore, e il pacchetto di archiviazione (PdA) che il conservatore restituisce come prova definitiva. Hash e marca temporale applicati a questi pacchetti garantiscono che i dati non siano stati alterati dopo l’acquisizione, un requisito che separa un semplice export da un vero processo di conservazione a norma.
Come ottenere i dati per la rendicontazione: estrazione, API e normalizzazione
Raccogliere i dati necessari richiede un processo ripetibile, non un controllo manuale caso per caso.
- Richiedere al gestore PEC l’estrazione formale dei log quando serve ricostruire un invio specifico o rispondere a una contestazione.
- Integrare un sistema di API PEC per automatizzare il recupero degli esiti sugli invii massivi, evitando controlli ricevuta per ricevuta.
- Normalizzare le anagrafiche trasformando Partite IVA o Codici Fiscali in indirizzi PEC aggiornati tramite INI-PEC, la fonte ufficiale gestita dal Registro Imprese.
- Costruire una pipeline che trasformi l’XML delle ricevute in record tabellari, estraendo Message-ID, codice esito, timestamp e impronta dell’allegato.
Un consiglio: prima di ogni invio massivo, verificate gli indirizzi contro INI-PEC: riduce i rimbalzi e semplifica enormemente la rendicontazione successiva.
Metriche e struttura del report: cosa misurare e come organizzarlo
Un report operativo utile a team tecnici e ufficio legale si costruisce attorno a poche metriche chiare, non a un elenco grezzo di righe di log.
Le metriche essenziali comprendono: invii totali, consegne confermate, avvisi di mancata consegna, distribuzione degli errori per codice, percentuale di retry e tempo medio tra invio e consegna. Da qui si costruisce la struttura del report:
- un riepilogo esecutivo con i totali e gli scostamenti rispetto alla norma
- una tabella eventi organizzata per Message-ID, con ricevuta e log correlati
- aggregati temporali per individuare picchi di errore o rallentamenti dei gestori
- un dettaglio degli errori con codice, causa probabile e azione correttiva
Per la distribuzione interna, CSV o JSON si adattano bene a strumenti di business intelligence, mentre un PDF firmato digitalmente resta la forma più solida quando il report deve avere valore probatorio. Collegare ogni riga della tabella al relativo pacchetto di versamento rende l’intero processo verificabile in sede di audit.
Sicurezza e privacy dei log: accessi limitati e minimizzazione dei metadati
I metadati degli invii PEC, come indirizzi, orari e identificativi dei messaggi, sono dati personali a tutti gli effetti e vanno trattati secondo il principio di minimizzazione.
In pratica questo significa definire ruoli autorizzati alla consultazione dei log, registrare chi accede e quando, e fornire agli interessati un’informativa chiara sui tempi di conservazione. Il Garante per la protezione dei dati personali ha richiamato nel 2026 l’attenzione su questi obblighi, sottolineando la necessità di informative trasparenti e di limiti precisi sull’accesso ai metadati di posta elettronica. I periodi di conservazione interni dovrebbero restare coerenti con il periodo minimo previsto dalla normativa, superato il quale valutare l’anonimizzazione dei dati non più necessari.
Checklist operativa per produrre la rendicontazione in 5 passi
Una pipeline di rendicontazione affidabile si costruisce in cinque passaggi sequenziali:
- Verificare i requisiti normativi e gli accordi contrattuali con il proprio gestore PEC sulla conservazione dei log.
- Automatizzare l’estrazione dei dati tramite API e normalizzare gli indirizzi partendo da Partita IVA o Codice Fiscale.
- Mappare ogni ricevuta e avviso al relativo Message-ID per costruire un database eventi coerente.
- Predisporre la conservazione a norma di log e ricevute, dal pacchetto di versamento fino al conservatore accreditato.
- Generare report periodici e impostare alert automatici su anomalie come rimbalzi ricorrenti o rilevazioni di virus.
Un consiglio: consultate anche la lista di controllo per l’invio PEC prima di avviare il primo invio massivo della campagna.
Errori comuni nella rendicontazione a scala: la prospettiva di un tecnico
Negli invii massivi, l’errore più frequente resta la mancata correlazione tra Message-ID e ricevute sintetiche: senza quella chiave, ricostruire un singolo evento su migliaia di invii diventa quasi impossibile. Il secondo errore riguarda la conservazione fatta “a mano”, su archivi locali non certificati, che vanifica l’opponibilità del log in caso di contestazione.
Le priorità che vale la pena affrontare prima: integrare un controllo su INI-PEC per evitare invii ripetuti verso indirizzi obsoleti, e definire da subito un flusso verso un conservatore accreditato invece di rincorrerlo dopo un contenzioso. Coinvolgere l’ufficio legale e il responsabile privacy non è un passaggio burocratico: serve a stabilire, prima che il problema si presenti, chi può accedere ai log e per quanto tempo vanno tenuti.
— Alessandro
Come semplificare ricerca PEC e rendicontazione con un unico flusso
Buona parte del lavoro di rendicontazione dipende dalla qualità degli indirizzi usati in partenza: se le PEC sono obsolete o errate, i log si riempiono di rimbalzi inutili da analizzare. Il nostro servizio di ricerca PEC massiva da Partita IVA o Codice Fiscale risolve questo problema a monte, restituendo indirizzi aggiornati tramite le fonti ufficiali prima ancora che l’invio parta.
Per chi gestisce comunicazioni verso grandi elenchi di destinatari, il servizio di invio PEC massivo si integra con la normalizzazione delle anagrafiche e con la rendicontazione dei ritorni, utile sia per alimentare pipeline di business intelligence interne sia per produrre report da condividere con l’ufficio legale o con una pubblica amministrazione destinataria, e può trarre vantaggio da una strategia di email marketing aziendale per PMI. Chi deve collegare questi flussi ai propri sistemi può partire dalla pagina dedicata ai web services per la ricerca PEC e richiedere un preventivo su misura.
Domande frequenti
Cosa deve contenere obbligatoriamente un report di rendicontazione PEC?
Deve correlare ogni Message-ID alle relative ricevute di accettazione e consegna, agli eventuali avvisi di errore e ai timestamp associati. Senza questa correlazione il report perde valore probatorio in caso di contestazione.
Per quanto tempo vanno conservati i log degli invii PEC?
I gestori sono tenuti a conservare i log dei messaggi per un periodo minimo previsto dalla normativa, secondo le istruzioni AgID sulla conservazione dei log. Superato questo termine, l’azienda può valutare l’anonimizzazione dei dati non più necessari.
Qual è la differenza tra ricevuta completa, breve e sintetica?
Le tre tipologie differiscono per quantità di informazioni incluse: la completa riporta il messaggio originale per intero, la breve solo alcuni dati, la sintetica il minimo indispensabile. Per la rendicontazione, la versione sintetica richiede sempre di essere ricollegata al Message-ID per ricostruire l’evento completo.
Come si ottengono gli indirizzi PEC aggiornati per invii massivi?
La fonte ufficiale è INI-PEC, l’Indice Nazionale degli Indirizzi PEC gestito dal Registro Imprese, che raccoglie gli indirizzi di imprese e professionisti. Normalizzare le liste contro questo indice prima dell’invio riduce sensibilmente i rimbalzi da gestire nella rendicontazione.
Chi può accedere ai log e ai metadati degli invii PEC in azienda?
L’accesso va limitato a ruoli autorizzati e tracciato, perché i metadati di posta elettronica sono dati personali soggetti al principio di minimizzazione. Il Garante privacy ha richiamato nel 2026 l’esigenza di informative chiare e di limiti precisi su chi può consultare questi dati.
Fonti
- Posta elettronica certificata | Agid
- Provvedimento del 14 luglio 2026 – Garante Privacy
- INI-PEC | Registro Imprese