Il Garante privacy ha sanzionato di 2.000 euro la Federazione nazionale degli ordini dei biologi (Fnob) per aver inviato due pec con tutti i destinatari visibili nel campo "A", invece che in copia nascosta. Il provvedimento n. 763 del 7 ottobre 2026 si aggiunge a una serie di casi che negli ultimi due anni ha colpito anche scuole e atenei, e riporta a galla un nodo tecnico tutto italiano: la posta elettronica certificata non consente, per come è stata progettata, di nascondere la lista degli indirizzi.
Cosa è successo nel caso dei biologi
La vicenda parte da un reclamo. Una biologa iscritta all'ordine riceve il 21 e il 24 luglio 2025 due pec dalla Federazione: in entrambe gli indirizzi di tutti i colleghi destinatari sono in chiaro. Nelle controdeduzioni la Fnob riconosce l'errore, lo attribuisce a una svista materiale e sostiene che il proprio gestore pec non permette di usare il campo CCN, la copia conoscenza nascosta disponibile nella posta ordinaria. Aggiunge che i messaggi erano informativi, rivolti a professionisti dello stesso ambito, senza utilizzi impropri dei dati noti.
L'Autorità non ritiene sufficienti queste argomentazioni. Mostrare gli indirizzi personali agli altri destinatari è di per sé una comunicazione di dati personali a terzi, anche quando chi li riceve fa parte della stessa categoria. La Fnob non aveva una base giuridica per quella comunicazione: scattano gli articoli 5 e 6 del GDPR e l'articolo 2-ter del Codice privacy. Il carattere episodico dell'errore, la natura non sensibile dei dati e la collaborazione durante l'istruttoria sono considerati attenuanti e portano la sanzione a 2.000 euro, con pubblicazione del provvedimento sul sito del Garante vista la platea coinvolta (Provvedimento 763 del 7 ottobre 2026 sul sito del Garante privacy).
La pec italiana non ha il CCN, e non è un bug
Il punto che la Fnob prova a far valere ha una base reale. Le regole tecniche della posta elettronica certificata, fissate dal decreto ministeriale del 2 novembre 2005 e dalla RFC 6109 del 2011, impongono al punto di accesso di rifiutare i messaggi con destinatari inseriti in CCN: la ricevuta di consegna deve essere opponibile a terzi e per generarla il sistema ha bisogno di sapere, in modo trasparente, chi riceve. In Italia esistono circa 20 milioni di caselle pec attive e il traffico stimato per il 2026 è di 3,5 miliardi di messaggi, con il 60% della PA che la usa ogni giorno (Scheda AgID sulla posta elettronica certificata). Il risultato pratico è che chi deve scrivere a una lista nutrita si trova davanti a un bivio: inviare un messaggio singolo per ciascun destinatario, oppure accettare che la lista sia visibile. La prima strada è lenta e costosa, la seconda è quella che il Garante sanziona.
Non è il primo caso: ci sono già passate anche le scuole
Il caso Fnob non è isolato. Il 4 dicembre 2025, con il provvedimento n. 732, il Garante ha sanzionato un istituto comprensivo statale per una mail di sollecito sugli adempimenti vaccinali inviata a decine di famiglie con tutti gli indirizzi in chiaro. In febbraio 2024 un'azienda privata si era vista irrogare 250.000 euro per una fattispecie analoga, con numeri da migliaia di destinatari. Più indietro, un ateneo italiano è finito nel mirino per un ordine del giorno con dati sensibili recapitato in chiaro a quasi mille indirizzi. Il filo è sempre lo stesso: un errore umano con un sistema che non perdona, perché una volta partita la pec la lista è nelle caselle di tutti i riceventi.
Per la pubblica amministrazione la posta certificata è un obbligo normativo e il parallelo con i concorsi è immediato: ogni comunicazione collettiva a candidati, iscritti o dipendenti è un rischio concreto, soprattutto quando le liste si allungano. Chi gestisce un ente, una scuola o un ordine dovrebbe oggi dare per scontato che un invio massivo con la pec, senza accorgimenti, apre un fronte sanzionatorio. Vale per i solleciti su bandi e procedure concorsuali (Guida alla lettura di un bando di concorso pubblico), per le circolari interne e per le comunicazioni di sistema su misure straordinarie, dagli ammortizzatori sociali (Il caso ex Ilva e la cassa integrazione fino al 2027) alle convocazioni sindacali per gli scioperi del comparto (Lo sciopero scuola del 30 ottobre e i numeri OCSE sugli stipendi).
Cosa fare, in attesa della pec europea
Nel breve termine le strade sono due. La prima è operativa: usare gli strumenti di invio massivo offerti dai gestori pec, che spediscono un messaggio distinto a ciascun indirizzo, oppure appoggiarsi a piattaforme di posta ordinaria quando il valore legale non serve e si può ricorrere al CCN. La seconda è contrattuale: chiedere al proprio provider pec se è prevista un'opzione di invio singolo automatizzato, perché la responsabilità in caso di sanzione resta in capo al titolare del trattamento, non al fornitore. La terza strada, strutturale, passa dalla REM (Registered Electronic Mail), la pec europea definita dal regolamento eIDAS 2: lo standard ETSI punta a separare autenticazione del mittente e trattamento dei destinatari, e il 2027 è l'orizzonte in cui dovrebbe sostituire la pec così come la conosciamo. Fino ad allora, 2.000 euro è il prezzo di una svista che il sistema italiano, per com'è costruito, rende quasi inevitabile.