È possibile inoltrare una PEC come una normale email? Scopri i limiti tecnici e le alternative corrette

La domanda ricorre spesso negli uffici e nei team legali: si può inoltrare una PEC come fosse una normale email, senza effetti collaterali? La risposta breve è no, o meglio: si può tecnicamente in alcuni casi, ma si perdono garanzie e si introducono rischi. Per decidere consapevolmente servono alcuni riferimenti tecnici e normativi, e una procedura operativa chiara.

PEC e posta ordinaria: differenze strutturali

La Posta Elettronica Certificata (PEC) non è solo un canale email con più sicurezza. È un sistema regolamentato che fornisce prova opponibile a terzi dell’invio e della consegna, mediante due ricevute: la ricezione di accettazione (RA) e la ricevuta di avvenuta consegna (RAC). Le ricevute sono emesse dai gestori accreditati e firmate digitalmente.

La consegna PEC utilizza una busta di trasporto firmata (tipicamente con standard S/MIME) che include metadati strutturati (ad esempio il file daticert.xml) e la firma del gestore (smime.p7s). Questi elementi garantiscono integrità, tracciabilità e data/ora certa.

Potrebbe interessarti anche

Inoltrare una PEC a terzi: ecco quando è possibile senza violare la privacyPEC scaduta: quali sono i rischi e come evitarli con un semplice controlloSi può cambiare provider di PEC senza perdere i messaggi? La risposta pratica che sorprendeCome si crea una struttura di cartelle efficace per i documenti digitali? Il metodo dei professionisti

Al contrario, la posta elettronica ordinaria trasmette messaggi senza un’infrastruttura di garanzia equivalente. Meccanismi come SPF, DKIM e DMARC migliorano l’autenticazione del dominio, ma non producono attestazioni legali della consegna.

Il quadro regolatorio è definito in Italia dal DPR 68/2005 e dal Codice dell’Amministrazione Digitale (D.Lgs. 82/2005), mentre a livello europeo il riferimento è il Regolamento eIDAS (UE 910/2014) sul servizio elettronico di recapito certificato. La differenza sostanziale è che la PEC opera in un perimetro chiuso e controllato; l’email ordinaria no.

Cosa succede quando si “inoltra” una PEC

Per inoltro si intendono due operazioni distinte:

• Inoltro in-linea: il contenuto del messaggio viene copiato in un nuovo corpo email. Gli allegati originali possono essere inclusi o meno, le intestazioni (header) vengono riscritte dal client del mittente.
• Inoltro come allegato (.eml): l’intero messaggio originale viene allegato come file EML, mantenendo header e struttura tecnica interna.

Nel primo caso, si perdono elementi essenziali: la busta di trasporto, la firma del gestore e i metadati. Il testo inoltrato diventa una semplice copia non certificata. Non esistono nuove ricevute RA/RAC perché l’invio tra mittente e destinatario dell’inoltro non avviene su canale PEC certificato.

Nell’inoltro come .eml, l’integrità tecnica del messaggio originale è meglio preservata. Tuttavia, anche qui non si generano le ricevute PEC relative al nuovo destinatario e l’allegato .eml può essere rimosso dai filtri o alterato da alcuni client. Alcuni gestori PEC e policy aziendali impediscono o sconsigliano l’auto-inoltro verso caselle non PEC per ridurre i rischi di perdita di valore probatorio e di data breach.

Inoltre, inoltrare a un indirizzo ordinario può essere bloccato da controlli di sicurezza: i grandi provider applicano filtri antiphishing e DMARC che cambiano le buste SMTP e possono rompere la validazione di firme S/MIME, anche solo per la ricodifica MIME operata dai gateway.

Valore legale: cosa resta e cosa si perde

Il valore probatorio della PEC si fonda sulle ricevute RA e RAC e sull’integrità della busta di trasporto firmata dal gestore. Un messaggio inoltrato, specie in-linea, non possiede questi requisiti. Non può sostituire le ricevute, non certifica né l’invio originario né la consegna al nuovo destinatario.

Il messaggio inoltrato può avere utilità organizzativa (presa visione interna), ma non rappresenta una prova legale dell’avvenuta comunicazione verso terzi. In giudizio o in una verifica amministrativa, il riferimento corretto restano le ricevute originali e i log dei gestori. In assenza, l’onere probatorio diventa più complesso e incerto.

L’inoltro come .eml conserva i metadati del messaggio originale; resta però un trasferimento non certificato. Può essere usato per attività interne o per una prima ricognizione tecnica, ma non produce le garanzie formali richieste nei procedimenti che esigono attestazioni opponibili.

Alternative corrette per condividere una PEC

Chi opera in amministrazione, legale o procurement deve garantire efficienza senza perdere la cinghia di sicurezza che la PEC assicura. Le soluzioni pratiche sono quattro.

1) Accesso condiviso o deleghe alla casella PEC

Quasi tutti i gestori consentono deleghe e accessi multiutente con tracciamento. È la soluzione più pulita per permettere a colleghi e ufficio protocollo di leggere e lavorare le PEC senza duplicare messaggi né perdere metadati. Richiede policy di sicurezza (autenticazione a due fattori, separazione dei ruoli, logging).

2) Inoltro verso un’altra PEC

L’inoltro tra caselle PEC mantiene il canale certificato. Il destinatario riceve un nuovo messaggio PEC e le relative ricevute RA/RAC riferite a questa nuova consegna. Attenzione: le nuove ricevute certificano il tratto tra mittente dell’inoltro e nuova casella PEC, non l’invio originario. È comunque una pratica corretta per trasferire responsabilmente la comunicazione.

3) Esportazione del messaggio originale in .eml

L’esportazione del messaggio completo (.eml) conterrà busta di trasporto, metadati e firme. È utile per archiviazione, verifica tecnica o workflow documentale interni. Va accompagnata da procedure di conservazione a norma e da un registro che attesti chi ha operato l’esportazione e dove il file è stato depositato.

4) Attestazione di conformità e conservazione digitale

Quando occorre portare fuori dal perimetro PEC una comunicazione mantenendone il valore legale, entra in gioco l’attestazione di conformità redatta da soggetti abilitati (ad esempio avvocati, notai, pubblici ufficiali) ai sensi del CAD. Combined con un sistema di conservazione a norma, consente di cristallizzare il contenuto e i metadati in modo opponibile.

Confronto operativo: cosa usare e quando

Impatto su privacy e sicurezza

La PEC veicola spesso dati personali, talvolta particolari. Inoltrare verso caselle non presidiate o provider esteri può violare principi di minimizzazione e sicurezza del trattamento. Occorre verificare basi giuridiche, misure tecniche e accordi con i responsabili del trattamento. Le DLP (Data Loss Prevention) dovrebbero monitorare auto-inoltri e invii massivi.

Dal punto di vista della sicurezza, la conservazione di file .eml in condivisioni di rete o su dispositivi locali espone a rischi di alterazione o perdita. Meglio utilizzare repository documentali con versioning, hashing e controllo degli accessi, integrati nel sistema di protocollazione.

Linee guida operative per uffici e team

• Definire una policy di gestione PEC: chi legge, chi assegna, chi inoltra, con SLA chiari.
• Implementare accessi delegati alla casella PEC principale, evitando inoltri verso email personali.
• Usare l’inoltro verso altra PEC solo per consegne intenzionali e tracciate, annotando il motivo sul gestionale.
• Esportare .eml solo quando necessario e depositarli in un sistema di conservazione con evidenze di integrità (impronte hash, marca temporale).
• Per trasferimenti a terzi fuori dal perimetro PEC, valutare attestazione di conformità e canali sicuri di consegna.
• Formare il personale su RA/RAC, busta di trasporto e limiti dell’email ordinaria.

Verso REM e l’allineamento europeo

L’evoluzione naturale della PEC italiana è l’allineamento al Servizio elettronico di recapito certificato qualificato previsto dal Regolamento eIDAS, spesso indicato come REM (Registered Electronic Mail). L’obiettivo è interoperabilità transfrontaliera, standard tecnici ETSI e requisiti uniformi di identità, integrità e tracciabilità.

Nel nuovo scenario, inoltri e reindirizzi dovranno rispettare profili tecnici che mantengano la catena di fiducia lungo tutto il percorso. Le organizzazioni farebbero bene a prepararsi già oggi, adottando processi che separano comunicazione certificata, condivisione interna e archiviazione, evitando soluzioni improvvisate.

La posizione operativa: efficienza senza scorciatoie

Dal punto di vista di chi ha gestito flussi documentali e ticketing digitale, l’inoltro “alla vecchia maniera” è una scorciatoia che costa cara: fa risparmiare pochi secondi, ma brucia garanzie legali, introduce vulnerabilità e confonde i ruoli. La soluzione efficace è progettare il processo: caselle di servizio, deleghe, regole di smistamento, integrazione con il protocollo, conservazione a norma e una guida pratica per chi opera ogni giorno.

In sintesi: inoltrare una PEC come una comune email è possibile solo a prezzo di perdere il valore che rende la PEC utile. Se la comunicazione deve restare certificata, usare un’altra PEC o un accesso condiviso. Se deve diventare un documento condivisibile, esportare in .eml e conservarlo correttamente, oppure procedere con un’attestazione di conformità. La precisione del processo è l’unico modo per coniugare tempi di gestione e tutela giuridica.