La sanzione del Garante ad AgID per 55.000 euro chiarisce che il trasferimento di dati tra registri pubblici — anche se tra banche dati statali — richiede una base giuridica distinta per ogni finalità e non può avvenire per default senza informativa adeguata. Chi gestisce PEC professionali deve verificare se i propri dati di contatto siano stati riversati in INAD senza consenso informato e se i propri clienti siano stati correttamente notificati. Il provvedimento del Garante dell’8 maggio 2025 fissa uno standard di accountability applicabile a qualsiasi titolare pubblico che aggreghi archivi di indirizzi digitali.
Punti chiave
- Punto 1 — AgID ha ricevuto una sanzione di 55.000 euro per il trasferimento non conforme delle PEC da INI-PEC a INAD.
- Punto 2 — Le violazioni accertate coprono trasparenza, limitazione della finalità, privacy by default e accountability ex GDPR.
- Punto 3 — Ogni studio legale iscritto a INI-PEC deve verificare la propria posizione nel registro INAD e i relativi flussi di dati.
Se la tua PEC professionale è finita in INAD senza che tu abbia ricevuto un’informativa chiara, hai già vissuto sulla tua pelle la violazione che il Garante ha appena sanzionato. Per gli studi legali il punto non è solo difendere i propri diritti di interessato: è capire che lo stesso schema — riversamento di dati tra archivi pubblici senza basi giuridiche distinte — può colpire anche chi gestisce dati di contatto per conto di clienti.
Il Garante per la protezione dei dati personali ha sanzionato l’Agenzia per l’Italia Digitale (AgID) con 55.000 euro per la gestione del trasferimento delle PEC professionali da INI-PEC a INAD, il domicilio digitale persone fisiche. Il provvedimento, adottato nel maggio 2025, ha accertato violazioni su quattro fronti: trasparenza, limitazione della finalità, privacy by default e accountability. La notizia è riportata da Agenda Digitale.
Il contesto normativo
Il GDPR — Regolamento UE 2016/679 — all’art. 5, par. 1, lett. b) fissa il principio di limitazione della finalità: i dati raccolti per uno scopo non possono essere riutilizzati per uno scopo incompatibile senza una nuova base giuridica. L’art. 25 GDPR impone invece la privacy by design e by default, obbligando il titolare a configurare i trattamenti in modo che, per impostazione predefinita, vengano trattati solo i dati necessari. L’art. 5, par. 2 — pilastro dell’accountability — carica il titolare della prova del rispetto di tutti questi principi. Sul versante domestico, il d.lgs. 82/2005 (Codice dell’Amministrazione Digitale), agli artt. 6-bis e 6-quater, disciplina INAD e i domicili digitali delle persone fisiche, ma non autorizza automaticamente il trasferimento di PEC già raccolte in altri registri con finalità diverse.
Cosa cambia per lo studio
- Verifica la tua posizione in INAD. Accedi al portale INAD e controlla se la tua PEC professionale risulta registrata e con quale data di inserimento. Se l’iscrizione risale al periodo del riversamento da INI-PEC, potresti essere interessato dalla violazione accertata dal Garante.
- Distingui finalità tra INI-PEC e INAD nei tuoi atti. Quando citi un domicilio digitale in un atto processuale o in una notifica, specifica se proviene da INAD o da INI-PEC: le due banche dati hanno basi giuridiche e finalità diverse, e confonderle può esporre a eccezioni di nullità della notifica.
- Aggiorna le informative per i clienti professionisti. Se gestisci dati di PEC di clienti persone fisiche o professionisti, la sanzione ad AgID rafforza l’obbligo di informativa specifica ogni volta che trasferisci o aggeggi indirizzi digitali tra archivi, anche interni allo studio.
- Rivedi i contratti con fornitori di servizi digitali pubblici. Se il tuo studio usa piattaforme che attingono a INI-PEC o INAD per l’invio automatico di comunicazioni, chiedi al fornitore la documentazione sulla base giuridica del trattamento: la responsabilità solidale del titolare non scompare per delega contrattuale.
- Conserva la prova dell’accountability. Il Garante ha contestato ad AgID proprio la mancanza di documentazione interna sulle scelte di trattamento. Tieni un registro aggiornato delle decisioni privacy dello studio, comprese quelle sui domicili digitali usati per le comunicazioni con la controparte.
Attenzione a
Notifiche telematiche basate su dati INAD non verificati. Se usi INAD per estrarre la PEC del destinatario e quella PEC è frutto del riversamento contestato, la notifica resta valida sul piano processuale (il registro è pubblico e ufficiale), ma potresti trovarti a gestire eccezioni del destinatario che lamenta di non aver mai aderito consapevolmente a INAD. Documenta sempre la fonte e la data dell’estrazione.
Effetto domino sulla tua veste di titolare del trattamento. La logica del provvedimento — nessun trasferimento di dati tra registri senza base giuridica autonoma — vale anche per gli studi legali. Chi raccoglie PEC dei clienti per la gestione del mandato e poi le usa per mailing list o comunicazioni commerciali dello studio, senza un’informativa separata, replica esattamente la condotta sanzionata ad AgID.
Domande frequenti
La mia PEC è finita in INAD senza che io l’abbia inserita: posso chiederne la cancellazione?
Sì. Puoi esercitare il diritto di cancellazione ai sensi dell’art. 17 GDPR direttamente sul portale INAD, oppure presentare istanza scritta ad AgID come titolare del trattamento. Il provvedimento del Garante rafforza la tua posizione: il trasferimento da INI-PEC è avvenuto senza adeguata informativa, quindi la base giuridica è contestabile. Conserva copia della richiesta e dell’eventuale risposta per usi probatori.
Una notifica inviata alla PEC risultante da INAD è valida se il destinatario contesta di non essersi mai iscritto?
Sul piano processuale la notifica alla PEC estratta da INAD è valida: il registro è pubblico e fa fede ai sensi del CAD. La contestazione del destinatario sulla regolarità del suo inserimento nel registro non inficia la notifica già avvenuta, ma può rilevare in sede di opposizione se il destinatario dimostra di non aver mai avuto accesso alla casella. Documenta data e ora dell’estrazione dal registro.
Il provvedimento AgID-INAD cambia qualcosa per i professionisti obbligati all’iscrizione a INI-PEC?
L’obbligo di iscrizione a INI-PEC per avvocati e commercialisti rimane invariato: il provvedimento del Garante non tocca INI-PEC come registro di settore. Cambia invece la valutazione del flusso successivo: AgID non poteva riversare automaticamente quelle PEC in INAD senza base giuridica distinta e informativa. Chi si trovasse iscritto a INAD senza averlo richiesto può agire per la rettifica o cancellazione.
Fonte di riferimento: AgendaDigitale