È legale inoltrare email PEC di altri? L’errore che mette a rischio la privacy dei tuoi clienti

Inoltrare una PEC ricevuta da altri è lecito solo se esiste una base giuridica chiara e un bisogno reale. In caso contrario è una comunicazione illecita di dati personali. Il rischio: data breach, segnalazioni e sanzioni del Garante.

Cosa dice la legge, senza giri di parole

La PEC non rende i contenuti “pubblici”. È comunicazione di dati. Vale il principio di minimizzazione e il bisogno documentato. La base giuridica può essere: esecuzione di un contratto, obbligo di legge, legittimo interesse bilanciato, consenso quando davvero necessario. Per dati particolari servono garanzie rafforzate.

Questi criteri discendono dal Regolamento generale sulla protezione dei dati e dal principio di responsabilizzazione del titolare. La violazione può comportare sanzioni e l’obbligo di notificare un data breach.

Potrebbe interessarti anche

Obblighi di conservazione delle comunicazioni PEC: la regola che ti tutela in caso di controlliNotifica di violazione privacy sulla PEC: come reagire tempestivamente minimizzando i danniInoltrare una PEC a terzi: ecco quando è possibile senza violare la privacyDisattivare la PEC: quali rischi corri se non segui la procedura corretta

PEC: cos’è e cosa non è

La Posta elettronica certificata attesta invio, consegna, integrità. Non garantisce da sola la riservatezza verso terzi. È paragonabile a una raccomandata digitale. I contenuti (testo, allegati, metadati) restano dati personali. Inoltrarli a soggetti non autorizzati equivale a divulgarli.

Dentro l’azienda: quando si può inoltrare

Inoltro ammesso a personale autorizzato, con necessità di conoscere, per finalità coerenti con l’attività e con le istruzioni del titolare. Meglio usare caselle condivise con profili e log, invece di caselle personali. Le policy interne devono chiarire chi vede cosa, come si protocolla, chi conserva.

Se un collega deve agire su un reclamo arrivato via PEC, l’inoltro è lecito. Se è semplice “per conoscenza” a un gruppo generico, no. Evitare inoltri a mailing list. Evitare copie a caselle private.

Verso fornitori e consulenti: le condizioni

Inoltro lecito se il fornitore è nominato responsabile del trattamento e il contratto copre lo scopo (es. gestione ticket, contabilità, legale). Allegare solo ciò che serve. Oscurare dati non pertinenti. Per invii a liberi professionisti, verificare il ruolo privacy (responsabile, contitolare o autonomo). Se c’è un obbligo di legge (es. autorità), l’inoltro è giustificato e va tracciato.

Errori tipici che costano caro

• Inoltro automatico dalla PEC aziendale a caselle personali: fuga di dati e perdita di controllo.
• Inoltro “per conoscenza” a gruppi interni ampi: principio di minimizzazione violato.
• Catene di inoltri con dati sanitari o giudiziari: rischio di data breach aggravato.
• Screenshoot degli allegati e condivisione su chat non presidiate: tracciamento nullo.
• Protocollo tardivo: documenti che “circolano” senza fascicolo e senza custodia.

Come farlo in modo corretto: checklist operativa

• Valutare lo scopo: perché serve inoltrare? C’è altra via (estratto, nota interna)?
• Base giuridica: indicarla nel registro dei trattamenti e nelle istruzioni operative.
• Minimizzazione: inviare solo porzioni necessarie, oscurando dati estranei.
• Canale: preferire sistemi documentali con link a file controllati, non allegati vaganti.
• Sicurezza: cifrare gli allegati riservati; inviare la password su canale separato.
• Tracciabilità: protocollare prima di inoltrare; annotare chi riceve e perché.
• Ruoli privacy: condividere solo con soggetti inquadrati (responsabili nominati, personale autorizzato).
• Conservazione: applicare i tempi di retention; evitare archivi personali duplicati.
• Formazione: includere l’uso corretto della PEC nei moduli per nuovi assunti e nelle revisioni periodiche.

Un caso HR concreto

Una PEC contiene un certificato di malattia inviato per errore all’ufficio amministrativo. Errore comune: inoltrarla “così com’è” al fornitore software paghe. Corretto: protocollare, segnare l’errore, informare il dipendente, trasferire solo il dato minimo necessario (assenza e periodo) al personale autorizzato e al responsabile paghe già nominato, evitando di diffondere il certificato. Se serve assistenza tecnica, aprire ticket senza allegare dati sanitari; descrivere il problema in forma anonima.

Nel contenzioso e con i legali

Se un avvocato difende l’azienda, l’inoltro degli atti ricevuti via PEC è inquadrato nello scopo di difesa in giudizio. Restano validi minimizzazione e sicurezza. Meglio usare repository riservate, controllo accessi per pratica, e marcature temporali per tracciabilità.

Disclaimers e “avvertenze” non bastano

Le note in calce alle email non sono una base giuridica. Non proteggono da una comunicazione illecita. Conta la sostanza: ruoli, finalità, istruzioni, misure tecniche e organizzative.

Quando l’inoltro è doveroso

Se un’autorità richiede copia via PEC, l’inoltro è obbligo di legge. Limitare l’invio a quanto richiesto. Tracciare operazione, destinatari e tempi. Conservare le ricevute PEC nel fascicolo elettronico.

Il metodo che adotto in azienda

Nelle unità HR che seguo, tratto ogni PEC come un documento d’ufficio: protocollo, fascicolo, ruoli chiari. Per inoltrare, uso estratti con dati ridotti e link a repository con permessi. Formo i colleghi su errori tipici e sui passaggi della checklist. Risultato: meno inoltri inutili, meno rischi, tempi certi.

In sintesi

Inoltrare PEC altrui è legale solo se necessario, giustificato e tracciato. Il resto è esposizione. Con regole chiare e strumenti giusti, la PEC diventa alleata della compliance, non una trappola.