Responsabilità del titolare e dell’incaricato nella gestione della PEC: le mansioni da non trascurare mai

Chi deve fare cosa, quando, dove, perché. Negli ultimi mesi molte aziende italiane hanno rivisto la gestione della PEC per evitare ritardi, sanzioni e contenziosi: il titolare risponde della governance, l’incaricato presidia l’operatività quotidiana. Il punto critico? Non trascurare mai le mansioni chiave che assicurano tracciabilità, sicurezza e rispetto delle scadenze legali.

Perché ora: rischi e obblighi in aumento

La PEC è diventata il canale standard per notifiche, appalti, adempimenti fiscali e scambi con la PA. Un messaggio non letto può equivalere a una raccomandata non ritirata, con conseguenze economiche o processuali. Allo stesso tempo, la mole di comunicazioni cresce e gli accessi delegati si moltiplicano, aumentando l’esposizione ai data breach e agli errori procedurali.

Il quadro normativo non lascia margini di improvvisazione: il trattamento dei dati veicolati via PEC deve rispettare il GDPR, mentre protocollazione, fascicolazione e conservazione a norma trovano riferimento nel Codice dell’amministrazione digitale. In questo contesto, definire ruoli e mansioni diventa una misura di conformità, ma soprattutto di continuità operativa.

Potrebbe interessarti anche

Obblighi di conservazione delle comunicazioni PEC: la regola che ti tutela in caso di controlliPEC e tracciamento degli accessi: il controllo necessario per la conformità privacyDisattivare la PEC: quali rischi corri se non segui la procedura correttaPerché la fatturazione digitale è più sicura? 3 motivi concreti che cambiano la quotidiana gestione amministrativa

Chi fa cosa: ruoli e perimetro di responsabilità

Il titolare (impresa, ente o professionista) conserva la responsabilità delle decisioni su finalità e mezzi della gestione PEC, nonché sull’adozione di misure tecniche e organizzative adeguate. L’incaricato è la figura delegata alla gestione quotidiana della casella o del dominio PEC, con un mandato scritto e tracciato.

• Compiti del titolare: definire la policy PEC; nominare gli incaricati; stabilire criteri di accesso e revoca; approvare il piano di conservazione; monitorare audit periodici e indicatori di performance (presa in carico, tempi di risposta, errori).
• Compiti dell’incaricato: controllare la casella secondo un calendario; classificare e protocollare i messaggi; gestire ricevute ed esiti; segnalare anomalie; attuare le procedure di sicurezza; curare l’archiviazione e il passaggio di stato dei documenti nel gestionale.

Un consulente di compliance digitale sintetizza così: “La governance è del titolare, ma la prova della diligenza si costruisce nelle routine dell’incaricato: accessi, ricevute, protocolli e registri di controllo”.

Accessi, deleghe e tracciabilità: la catena del controllo

La “porta” della PEC è l’elemento più delicato. Gli accessi devono essere nominativi, autenticati a due fattori e limitati al minimo necessario. Ogni delega va formalizzata, con scadenza e motivazione, e revocata tempestivamente quando il ruolo cambia.

• Registro delle deleghe: documento aggiornato con elenco degli autorizzati, livello di permesso (lettura, invio, amministrazione), data di inizio e fine.
• Log degli accessi: verifica periodica dei tentativi anomali; allerta automatica su IP sospetti; rotazione credenziali ogni 90-180 giorni.
• Gestione sostituzioni: piano ferie e assenze con sostituti designati; passaggio di consegne con check dei messaggi pendenti.

Attenzione agli inoltri automatici verso caselle non PEC: possono compromettere la catena probatoria e la riservatezza. Meglio usare il gestionale documentale per smistare i contenuti, lasciando nella casella PEC gli originali con le rispettive buste e ricevute.

Ricevute, scadenze e prova legale: non perdere il filo

Le ricevute (accettazione e consegna) sono il cuore probatorio della PEC. L’incaricato deve verificarne l’esito, associare ogni messaggio al fascicolo digitale e calendarizzare eventuali adempimenti.

• Presidio esiti: in caso di mancata consegna, diagnosi immediata (casella piena, indirizzo errato, problemi lato destinatario) e tentativi ripetuti tracciati.
• Tempi e termini: i conteggi delle scadenze devono partire dal timbro temporale della consegna; un calendario condiviso riduce il rischio di decadenze.
• Prova completa: archiviazione del messaggio originale, busta di trasporto, firme e marche temporali; esportazione in formato .eml/.msg quando richiesto.

Ogni anomalia (ricevuta mancante, allegato corrotto, errore del provider) va annotata in un registro incidenti, con le azioni intraprese e i tempi di ripristino.

Conservazione e integrazione nei processi aziendali

La PEC non è un’isola: deve dialogare con protocollo, gestione documentale, CRM e sistemi di ticketing. L’obiettivo è evitare duplicazioni, versioni divergenti e “colli di bottiglia” sull’operatore.

• Classificazione: schemi di oggetto standard, tag per tipologia (fornitore, PA, legale), fascicolo digitale di riferimento.
• Protocollazione: numero, data e responsabile; collegamento automatico tra PEC e registro di protocollo.
• Conservazione a norma: piano di conservazione con metadati, formato di lungo periodo e politica di esibizione; prova periodica di ripristino dai backup.

Il titolare approva il piano, l’incaricato lo esegue e segnala eventuali scostamenti (ad esempio, archivi locali non conformi o allegati pesanti non indicizzati).

Sicurezza, continuità e formazione: le tre difese

Phishing su domini simili, malware negli allegati e saturazione delle caselle sono minacce concrete. La difesa si fonda su tre pilastri.

• Sicurezza: MFA obbligatoria, filtri antispam dedicati alla PEC, limitazione dei download su dispositivi non gestiti, data loss prevention su inoltri sensibili.
• Continuità operativa: monitoraggio della capienza casella, alert H24 su incidenti, canali di fallback documentati (ad esempio, casella PEC secondaria per emergenza), SLA con il provider.
• Formazione: manuali rapidi aggiornati, esercitazioni trimestrali su casi reali, checklist di presa in carico e risposta, simulazioni di phishing.

Dal campo emerge una regola semplice: poche procedure, chiare e ripetibili. Nelle realtà con più sedi, standardizzare riduce tempi e ambiguità.

Errori tipici da evitare e checklist minima

Gli errori ricorrenti hanno un filo comune: mancano tracce verificabili.

• Un’unica password condivisa tra più utenti.
• Inoltri automatici verso email ordinarie con dati personali o atti sensibili.
• Assenza di registro deleghe e di log controllati.
• Nessuna associazione tra PEC ricevuta e fascicolo/commessa.
• Backup non testati o conservazione affidata a cartelle locali.

Checklist minima da non trascurare mai:

• Policy PEC approvata e comunicata; deleghe nominative con scadenza.
• MFA attiva, rotazione credenziali e monitoraggio capienza casella.
• Controllo giornaliero casella con presa in carico tracciata.
• Protocollazione e fascicolazione entro 24 ore dalla ricezione.
• Gestione ricevute con verifica esiti e calcolo scadenze.
• Conservazione a norma con metadati; test di ripristino trimestrale.
• Registro incidenti e audit periodici con azioni correttive.

La direzione ha bisogno di indicatori sintetici: tempo medio di lettura, tasso di esiti negativi, numero di anomalie risolte entro SLA. Non è burocratese: è la cintura di sicurezza che fa la differenza nei contenziosi.

In conclusione, la linea tra titolare e incaricato è netta ma complementare: governance e controllo da una parte, esecuzione diligente e tracciata dall’altra. Con poche mosse chiare – deleghe corrette, gestione rigorosa delle ricevute, integrazione con i processi e una conservazione a prova di audit – la PEC torna a essere un alleato dell’operatività e non un rischio latente.