Ordinanza ingiunzione o revoca n. 763 del 07/10/2026

Comunicazione di indirizzi e-mail dei destinatari in due invii PEC

Il provvedimento del 7 ottobre 2026 riguarda la Federazione Nazionale degli Ordini dei Biologi (FNOB) e l’invio di comunicazioni istituzionali a più professionisti con gli indirizzi e-mail personali visibili agli altri destinatari. L’istruttoria è stata avviata a seguito di un reclamo presentato ai sensi dell’art. 77 GDPR.

Fatti e istruttoria

La reclamante ha riferito che il 21 e il 24 luglio 2025 la Federazione aveva inviato messaggi di posta elettronica certificata a lei e a numerosi altri professionisti, rendendo visibili gli indirizzi personali dei destinatari.

In risposta alla richiesta di informazioni formulata ai sensi dell’art. 157 del Codice privacy, la FNOB ha descritto gli episodi come occasionali e dovuti a un errore materiale nell’uso dello strumento: secondo la Federazione, la PEC utilizzata non consentiva di inserire i destinatari in copia nascosta, funzione invece disponibile nella posta elettronica ordinaria. Ha precisato che i messaggi contenevano informazioni istituzionali ordinarie ed erano rivolti a biologi appartenenti a un contesto professionale circoscritto. Ha inoltre riferito che gli unici dati resi visibili erano gli indirizzi e-mail e che, per quanto a sua conoscenza, non si erano verificate conseguenze dannose o diffusioni successive.

La Federazione ha dichiarato di avere richiamato internamente il personale sull’uso dei campi di indirizzamento e di avere programmato attività formative sui principi di riservatezza e minimizzazione. Nelle difese presentate dopo l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, ha ribadito che la condotta era colposa, non deliberata, e riconducibile a una lacuna formativa prontamente affrontata.

Valutazioni sulla liceità del trattamento

Il Garante ha ricordato che, per i trattamenti svolti da soggetti pubblici sulla base dell’art. 6, par. 1, lett. c) o e), GDPR, la base giuridica deve essere stabilita dal diritto dell’Unione o dello Stato membro e soddisfare i requisiti dell’art. 6, par. 2 e 3, GDPR. La disciplina nazionale richiamata è l’art. 2-ter del Codice, che individua la base giuridica in una norma di legge o di regolamento o in atti amministrativi generali e disciplina la comunicazione di dati personali in ambito pubblico.

Il titolare deve inoltre rispettare i principi dell’art. 5, par. 1, GDPR, compresi liceità, correttezza e trasparenza, nonché minimizzazione. Richiamando il punto 5 delle Linee guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, il Garante ha ribadito che l’invio di e-mail con una mailing list in chiaro costituisce comunicazione a terzi dei dati relativi agli indirizzi degli altri destinatari.

Nel caso concreto, gli invii del 21 e 24 luglio 2025 hanno permesso a ciascun destinatario di conoscere gli indirizzi e-mail personali degli altri. Il fatto che la condotta fosse dovuta a un errore materiale non ha escluso l’avvenuta comunicazione né la sua illiceità. Le difese e le misure dichiarate dalla Federazione non hanno superato i rilievi dell’Ufficio.

Il Garante ha quindi dichiarato illecito il trattamento per violazione dell’art. 5, par. 1, lett. a), e dell’art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, nonché dell’art. 2-ter del Codice privacy. Poiché la condotta aveva esaurito i propri effetti, non sono state ritenute necessarie ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta o da trattamenti tra loro collegati, il Garante ha applicato l’art. 83, par. 3, GDPR; le violazioni considerate rientrano nella fascia sanzionatoria dell’art. 83, par. 5.

Nel determinare l’importo ai sensi dell’art. 83, par. 2, GDPR, l’Autorità ha valutato la natura episodica della condotta, dovuta a un errore umano nell’invio di una PEC a professionisti della stessa categoria, e il fatto che fossero stati comunicati soltanto indirizzi e-mail, senza dati appartenenti a categorie particolari. In base alle Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie, adottate il 24 maggio 2023, punto 60, il livello di intensità della violazione è stato ritenuto basso.

Sono stati inoltre considerati l’assenza di precedenti violazioni pertinenti, la buona cooperazione della FNOB durante l’istruttoria e le iniziative dichiarate per ridurre il rischio di episodi analoghi. Valutati complessivamente tali elementi e i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR, il Garante ha irrogato una sanzione di 2.000 euro.

Dispositivo e termini

Il Garante ha ordinato alla Federazione il pagamento di 2.000 euro. In mancanza di definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, l’importo deve essere pagato entro 30 giorni dalla notificazione, a pena dell’avvio degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. È fatta salva la possibilità di definire la controversia pagando la metà della sanzione entro il termine previsto per proporre ricorso, secondo l’art. 166, comma 8, del Codice e l’art. 10, comma 3, del d.lgs. n. 150/2011.

È stata disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante, nonché l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità. Il provvedimento è opponibile davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, elevati a 60 giorni per chi risiede all’estero.