Si può usare la PEC per inviare dati sensibili? La risposta che chiarisce i limiti legali

La PEC è uno strumento legale affidabile per provare invio e consegna. Ma per i dati sensibili la domanda vera è: basta alla privacy? La risposta richiede di distinguere tra tracciabilità e riservatezza, e di applicare misure aggiuntive dove serve.

La risposta breve

• Sì, puoi usare la PEC per trasmettere dati sensibili solo se adotti misure tecniche e organizzative adeguate (cifratura degli allegati, canale separato per le chiavi, verifica del destinatario).
• No, la PEC da sola non basta a garantire la riservatezza richiesta per le “categorie particolari di dati” ai sensi del GDPR. Offre prova legale, non cifratura end-to-end del contenuto.
• Valuta il rischio: per dati sanitari o giudiziari usa preferibilmente piattaforme sicure dedicate allo scambio documentale.

Che cosa garantisce la PEC (e cosa no)

La PEC, regolata dal Codice dell’amministrazione digitale, è un servizio di recapito certificato con valore probatorio.

• Garantisce: prova di invio e consegna, integrità del messaggio, marca temporale delle ricevute.
• Non garantisce: cifratura end-to-end dei contenuti; impedire l’accesso ai dati da parte di soggetti autorizzati dei provider; l’assenza di errori umani (es. destinatario sbagliato).

In pratica: ottima per la tracciabilità, insufficiente per la segretezza se usata “in chiaro”.

Potrebbe interessarti anche

Obblighi di conservazione delle comunicazioni PEC: la regola che ti tutela in caso di controlliÈ legale inoltrare email PEC di altri? L’errore che mette a rischio la privacy dei tuoi clientiDisattivare la PEC: quali rischi corri se non segui la procedura correttaPerché la fatturazione digitale è più sicura? 3 motivi concreti che cambiano la quotidiana gestione amministrativa

Cosa chiede il GDPR per i dati sensibili

Per le “categorie particolari di dati” (salute, origine razziale o etnica, opinioni politiche, religione, dati biometrici, ecc.) il Regolamento (UE) 2016/679 impone standard elevati.

• Base giuridica e necessità: tratta e invia solo ciò che è necessario, con base lecita chiara.
• Art. 32: adotta misure tecniche e organizzative adeguate al rischio (cifratura, resilienza, test periodici).
• Minimizzazione: riduci campi e allegati; evita dati superflui nel corpo o nell’oggetto del messaggio.

Quando la PEC basta e quando no

PEC “sufficiente” (con cautele)

• Dati personali non altamente sensibili e limitati (es. anagrafiche con poche informazioni) con allegati cifrati e password separata.
• Comunicazioni puntuali a un destinatario noto, per cui esiste un rapporto e finalità documentata.

PEC “non sufficiente”

• Dati sanitari o giudiziari, dossier HR completi, perizie dettagliate, referti: meglio portali sicuri o scambio file cifrato con gestione chiavi.
• Invii multipli o a mailing list: rischio elevato di errore e di esposizione non necessaria.

Come inviare in modo corretto via PEC

1. Valuta il rischio: classifica il contenuto; se alto, prediligi piattaforme sicure (portali documentali con autenticazione forte).
2. Cifra gli allegati: usa ZIP con AES-256 o strumenti di cifratura file; mai inviare la password nella stessa PEC.
3. Canale separato per la chiave: comunica la password via SMS, telefonata o altro canale concordato.
4. Oggetto neutro: niente riferimenti a patologie, condanne o categorie sensibili.
5. Verifica destinatario: controllo incrociato dell’indirizzo PEC; attiva white-list interne.
6. Firma digitale (opzionale, consigliata): garantisce autenticità del documento, distinta dalla cifratura.
7. Registro e log: conserva ricevute e log; definisci tempi di retention coerenti con la finalità.

Esempio operativo

Per un referto: cifri il PDF, invii via PEC l’allegato cifrato con oggetto generico (“Documentazione richiesta”), condividi la password via SMS, archivi le ricevute in una cartella di pratica con scadenza definita.

Alternative più sicure: pro e contro

Errori comuni da evitare

• Allegati in chiaro con dati sanitari o giudiziari.
• Password nella stessa PEC dell’allegato cifrato.
• Oggetti espliciti che rivelano dati sensibili.
• Invii a più destinatari non necessari.
• Nessuna policy di retention e archiviazione delle ricevute.

Conservazione e responsabilità

La responsabilità del titolare resta centrale: devi poter dimostrare le scelte (principio di accountability) del Regolamento (UE) 2016/679.

• Conservazione: tratta e conserva solo per il tempo necessario; valuta conservazione a norma per documenti probatori.
• Nomine: se un fornitore gestisce caselle o archiviazione, nominarlo responsabile del trattamento e regolare le istruzioni.
• Test periodici: verifica che cifratura, procedure e controlli funzionino davvero.

Dal fax all’automazione: una prassi sostenibile

L’esperienza insegna: come per il passaggio dal fax alla gestione documentale, serve procedura prima che tecnologia. La PEC resta un tassello utile, ma il disegno di processo — strumenti, ruoli, controlli — fa la differenza tra conformità e rischio.