Ordinanza ingiunzione o revoca n. 419 del 28/05/2026

AgID – domiciliazione digitale INAD e informativa ai professionisti

Il provvedimento riguarda AgID, in qualità di gestore dell’INAD e titolare dei relativi trattamenti, con riferimento al riversamento automatico dei domicili digitali dei professionisti dall’INI-PEC all’INAD e alla conseguente pubblicazione online. Il procedimento è originato da reclami, segnalazioni e verifiche d’ufficio dell’Autorità.

Fatti e contesto normativo

Dal 6 giugno 2023 è stata consentita la facoltà di eleggere il domicilio digitale nell’INAD; per i professionisti già presenti in INI-PEC, l’indirizzo PEC è stato riversato automaticamente nell’INAD ai sensi dell’art. 6-quater, comma 2, CAD. Dal 6 luglio 2023 i domicili così formati sono stati pubblicati e resi consultabili da chiunque senza autenticazione, in base all’art. 6-quinquies CAD.

Le linee guida INAD adottate da AgID prevedevano che il Gestore INAD informasse gli interessati e rendesse l’informativa ex artt. 13-14 GDPR attraverso tutti i canali utilizzabili ai fini dell’elezione del domicilio digitale. Nel parere del Garante del 22 luglio 2021 era stata già evidenziata la necessità di misure idonee a evitare la pubblicazione immediata del domicilio professionale prima della possibilità per l’interessato di eleggere un domicilio diverso per uso personale.

Istruttoria svolta dal Garante

L’Autorità ha avviato accertamenti a seguito di reclami e segnalazioni, formulando richieste di informazioni ad AgID ex art. 157 Codice privacy. La questione principale ha riguardato la mancata informazione preventiva ai professionisti i cui indirizzi erano stati riversati da INI-PEC, con conseguente pubblicazione sull’INAD prima che gli interessati fossero messi in condizione di conoscere il trattamento e di esercitare la facoltà di modifica o cancellazione del domicilio digitale.

AgID ha rappresentato di avere inizialmente informato gli ordini e collegi professionali con una comunicazione del 21 giugno 2023 e un flyer informativo, per poi sviluppare ulteriori iniziative di comunicazione, incluso un comunicato congiunto con il Ministero delle imprese e del made in Italy diffuso nel 2025. Tuttavia, tali misure sono state ritenute tardive e non sufficientemente efficaci per garantire una trasparenza adeguata fin dall’avvio del trattamento.

Violazioni accertate

Il Garante ha ritenuto integrata la violazione dei principi di cui all’art. 5, parr. 1, lett. a) e b), e 2, GDPR, oltre agli artt. 12, 14 e 25 GDPR. In particolare:

• i dati dei professionisti, originariamente raccolti per finalità legate all’uso professionale in INI-PEC, sono stati pubblicati in INAD per una finalità diversa, senza adeguate garanzie informative;
• l’informazione tramite ordini e collegi non ha coperto in modo completo tutte le categorie professionali e non ha assicurato che tutti gli interessati fossero consapevoli del riversamento automatico;
• la misura informativa realmente efficace è stata attuata solo nell’estate 2025, a distanza di circa due anni dall’avvio del trattamento.

L’Autorità ha osservato che il mancato adempimento dell’obbligo informativo ha consentito che il domicilio digitale professionale divenisse di fatto utilizzabile anche per comunicazioni di carattere personale, con rischi aggiuntivi per i diritti e le libertà degli interessati, specialmente nei casi in cui la PEC professionale fosse accessibile anche a collaboratori di studio.

Profili archiviati

Sul tema dell’autenticazione SPID, AgID aveva indicato inizialmente UnionCamere come service provider. Il Garante ha ritenuto che, nel complesso, il contesto informativo del portale consentisse comunque di comprendere che il titolare e fornitore del servizio fosse AgID, e ha quindi archiviato la contestazione relativa all’art. 13 GDPR.

È stata archiviata anche la presunta violazione dell’art. 31 GDPR, poiché l’Autorità ha valorizzato le difficoltà organizzative e finanziarie rappresentate da AgID, ritenendo che non vi fosse un intento di sottrarsi alla cooperazione con il Garante, pur a fronte di riscontri talvolta tardivi.

Valutazioni del Garante sulla difesa di AgID

AgID aveva invocato l’esonero informativo ex art. 14, par. 5, lett. b) o, in alternativa, lett. c), GDPR. Il Garante ha escluso che tali esenzioni fossero applicabili, rilevando che la misura prevista dalle linee guida e suggerita dal parere del 2021 costituiva proprio una misura appropriata di tutela degli interessi degli interessati, non attuata tempestivamente.

Il Garante ha inoltre sottolineato che l’adozione, solo nel 2025, di un comunicato congiunto con il MIMIT e di ulteriori iniziative divulgative dimostrava che un’azione più efficace era possibile, smentendo la tesi dell’impossibilità o sproporzione della comunicazione informativa agli interessati.

Sanzione e criteri di quantificazione

Pur non disponendo misure correttive ulteriori, perché nel corso del procedimento AgID aveva già adottato iniziative per superare le criticità, il Garante ha irrogato una sanzione amministrativa pecuniaria di 55.000 euro per la violazione degli artt. 5, 12, 14 e 25 GDPR.

Nella quantificazione sono stati considerati:

• la platea molto ampia degli interessati coinvolti, ossia tutti i professionisti censiti in INI-PEC;
• la durata della violazione, protrattasi dal 2023 fino almeno all’estate 2025;
• il carattere colposo della condotta;
• la presenza di reclami e segnalazioni con pregiudizi concreti lamentati dagli interessati;
• l’assenza di precedenti violazioni pertinenti e l’esistenza di alcune iniziative, sebbene tardive, di mitigazione.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva ai sensi dell’art. 83 GDPR.

Dispositivo

Il provvedimento dichiara l’illiceità dei trattamenti nei limiti indicati in motivazione, applica la sanzione pecuniaria di 55.000 euro e dispone la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, nonché la pubblicazione del provvedimento sul sito dell’Autorità. È prevista anche l’annotazione nel registro interno del Garante.

Resta espressamente richiamato che, per i futuri riversamenti di domicili digitali da INI-PEC a INAD, dovranno essere adottate modalità informative efficaci e conformi alle linee guida e al GDPR, in modo da evitare il ripetersi delle criticità accertate.