Inoltrare una PEC a terzi: ecco quando è possibile senza violare la privacy

Lunedì mattina, casella PEC piena dopo un weekend di fiere e contatti. Il fondatore di una piccola startup mi chiama di corsa: un fornitore chiede di vedere una comunicazione arrivata da un ente pubblico, e la tentazione è quella di cliccare su inoltra e togliersi il pensiero. L’ho fatto anch’io, agli inizi, prima di occuparmi di digitalizzazione di archivi in uno studio e poi di formare team sull’uso degli strumenti per la gestione delle comunicazioni fiscali. Ma con la PEC si gioca su un filo sottile: è un documento con valore legale e, soprattutto, contiene dati personali. La domanda non è se si possa inoltrare, bensì quando, come e con quali cautele.

Perché inoltrare una PEC è diverso da inoltrare una mail qualsiasi

La PEC nasce come canale che certifica mittente, destinatario, data e ora, oltre all’integrità del contenuto. Il suo fascino sta tutto qui: fornisce prova della trasmissione. Al tempo stesso, però, questo pacchetto di certezze mette in circolo dati identificativi, indirizzi, riferimenti a pratiche, talvolta numeri di protocollo o importi. Non è solo il testo del messaggio a essere sensibile, ma anche i metadati custoditi nelle ricevute di accettazione e di avvenuta consegna. Chi riceve un inoltro potrebbe vedere più di quanto serva davvero.

Dal punto di vista della protezione dei dati, ogni inoltro è un nuovo trattamento. E come ogni trattamento richiede una base giuridica adeguata e il rispetto del principio di minimizzazione. Su questo terreno lo spartito è scritto dal Regolamento generale sulla protezione dei dati e dalle indicazioni del Garante per la protezione dei dati personali. Nella pratica quotidiana, la domanda diventa concreta: qual è la ragione per cui voglio inoltrare? È necessaria rispetto alla finalità? Sto esponendo più informazioni del necessario?

Potrebbe interessarti anche

Si può revocare una firma elettronica già apposta su un documento? L’aspetto legale che sorprende molti utentiÈ possibile inoltrare una PEC come una normale email? Scopri i limiti tecnici e le alternative corretteFattura elettronica tramite PEC: quando è obbligatorio conoscere questa regola ti salva da multeGestione documentale digitale: come ridurre il rischio di perdita dei documenti sensibili

Quando l’inoltro è lecito: l’ago della bilancia tra necessità e proporzionalità

Ci sono situazioni in cui inoltrare una PEC a terzi non solo è possibile, ma persino opportuno. Penso ai rapporti con consulenti esterni che operano su mandato, come commercialisti e legali. Se una comunicazione PEC è funzionale all’adempimento del contratto di consulenza o a un obbligo legale, l’inoltro trova la sua base giuridica nella necessità contrattuale o nell’obbligo normativo. È il caso tipico delle comunicazioni fiscali o di una notifica che richiede un adempimento contabile. In contesti del genere, l’esterno agisce come responsabile del trattamento, o come professionista autonomo, e riceve solo ciò che serve per svolgere l’incarico.

Esistono poi situazioni di tutela del diritto di difesa. Se una PEC è rilevante in una controversia o in un precontenzioso, condividerla con il legale è ordinariamente legittimo. Lo stesso vale per l’inoltro a un partner contrattuale quando la comunicazione incide direttamente su una fornitura o su una clausola, e non vi sono altre strade per adempiere. In questi casi la parola d’ordine resta proporzionalità: inoltro ciò che è necessario, non un messaggio in più per comodità.

Dove invece la bilancia pende verso la prudenza è nell’inoltro a soggetti che non hanno un ruolo chiaro rispetto alla finalità del messaggio. Mandare una PEC all’interno di una mailing list aziendale ampia, con ruoli indistinti, espone a rischi inutili. Inoltrare a un fornitore una PEC ricevuta da un’amministrazione pubblica, solo per “metterlo a conoscenza”, è spesso eccessivo se basta riassumere l’informazione o condividere un estratto anonimizzato. La stessa cautela vale per i dati particolari, come informazioni sanitarie o riferimenti a procedure disciplinari: laddove compaiono, l’inoltro a terzi richiede una necessità stringente e misure rafforzate.

Come inoltrare senza scivolare: riduzione dei dati e attenzione alle ricevute

Nel lavoro di tutti i giorni, la differenza la fa la cura. Prima di inoltrare verifico se a terzi basti conoscere un fatto e non l’intero contenuto. In molti casi è sufficiente trasmettere la ricevuta di avvenuta consegna, che prova il recapito della PEC senza svelare l’intero scambio. Quando, invece, serve il testo, valuto se oscurare porzioni che non riguardano il destinatario, eliminare riferimenti superflui, separare allegati irrilevanti e, se possibile, ricorrere a estratti firmati o a copie per immagine con campi ridotti.

Un altro snodo spesso dimenticato sono i metadati. La busta di trasporto della PEC e le intestazioni tecniche raccontano molto di più di quanto si creda. Condividerle in blocco con chi non ne ha necessità è una porta aperta. Se la finalità è provare che un certo contenuto esisteva in una certa data, la consegna delle ricevute ufficiali, accompagnata da un riepilogo, offre un equilibrio migliore. Laddove occorra una verifica tecnica, la condivisione integrale ha senso, ma solo con figure che hanno un mandato chiaro a trattarle.

Infine, la sicurezza del canale conta. Inoltrare una PEC a un indirizzo email ordinario di terzi espone i dati a un livello di protezione potenzialmente inferiore. Se il destinatario non dispone di PEC, concordare una consegna tramite condivisione sicura di documenti o con password separata può evitare di degradare il livello di tutela garantito all’origine.

Organizzazione interna: ruoli, istruzioni e tracciabilità

Nelle giovani imprese il confine tra chi legge e chi inoltra è spesso labile. È qui che entra in gioco la governance. Definire chi, in azienda, può interagire con la PEC non è burocrazia, ma prevenzione. Le istruzioni devono essere semplici: quando coinvolgere il consulente, quando utilizzare un estratto, come oscurare dati non pertinenti, a chi chiedere in caso di dubbio. Una casella PEC di funzione, gestita con deleghe nominali e registri di accesso, riduce improvvisazioni e malintesi.

Anche i rapporti con gli esterni vanno messi nero su bianco. Nei contratti con consulenti e fornitori che ricevono comunicazioni via PEC, l’incarico deve specificare finalità, limiti e misure di sicurezza attese. Non è formalismo: significa allineare le aspettative e circoscrivere l’uso delle informazioni. Allo stesso modo, una policy interna che scoraggi il fai-da-te su smartphone personali o inoltri da client non protetti evita incidenti che nascono da comodità momentanee.

Prova, conservazione e valore legale: il filo della continuità

Chi lavora con la PEC sa che ogni messaggio costruisce una linea del tempo. Conservare correttamente la ricevuta di accettazione e quella di avvenuta consegna è tanto importante quanto il testo. Quando inoltro a terzi per finalità di prova, mi assicuro di preservare l’originale nel sistema di conservazione e di indicare che quanto condiviso è copia o estratto. Questo evita che, a distanza di mesi, emerga il dubbio su eventuali manipolazioni.

La conservazione a norma, prevista dal quadro del CAD e dalle regole tecniche, non è un lusso per grandi organizzazioni. Anche una startup può adottare un sistema semplice che mantenga integrità, leggibilità e reperibilità nel tempo. In questo modo, se un giorno servirà esibire lo scambio PEC, l’azienda potrà mostrare la catena completa senza affidarsi a inoltri sparsi nelle caselle personali dei dipendenti.

Tre scene di vita reale per orientarsi

Arriva una PEC dall’Agenzia che chiede documenti integrativi. Invece di inoltrarla a tutta l’area amministrazione, la giro solo al commercialista incaricato, che ha titolo a trattare i dati per finalità fiscali. Nel testo, evidenzio la scadenza e allego esattamente ciò che serve, senza trasferire l’intero carteggio pregresso.

Un fornitore chiede prova che abbiamo inviato la contestazione entro i termini. Non inoltro il messaggio integrale con riferimenti a trattative interne, ma condivido la ricevuta di avvenuta consegna e un estratto della PEC con le parti pertinenti. Se il fornitore necessita di dettagli, li fornisco in un documento riepilogativo, firmato digitalmente.

Un dipendente riceve via PEC una lettera che contiene dati sanitari della propria assenza. Blocchiamo l’istinto di inoltrarla al responsabile di reparto. Centralizziamo la gestione in HR, che tratta i dati con misure rafforzate e informa solo chi deve sapere l’informazione organizzativa, senza diffondere il contenuto sensibile.

La domanda giusta prima di cliccare su inoltra

Ogni volta che il cursore si ferma sul tasto inoltra, la domanda da farsi è sempre la stessa: a cosa serve davvero che questa persona legga tutto? Se la risposta è precisa, legata a un obbligo, a un incarico o a una difesa, allora l’inoltro si può fare, con attenzione e parsimonia. Se invece si apre il terreno delle abitudini, della comodità o del “non si sa mai”, conviene fermarsi e riformulare. Spesso basta un estratto, una ricevuta, un riepilogo chiaro.

Ripenso a quel lunedì mattina. Non abbiamo cliccato su inoltra alla cieca. Abbiamo selezionato le parti necessarie, oscurato il superfluo e usato un canale adeguato. Il fornitore ha avuto ciò che gli serviva, l’azienda ha rispettato la privacy e, soprattutto, ha imparato una routine che vale più di mille correzioni in emergenza. Perché nella gestione delle PEC, come in tutte le buone pratiche amministrative, la differenza la fa la cura con cui si costruiscono i gesti quotidiani.