Indirizzi email visibili a tutti: la Federazione dei biologi paga 2mila euro

Due messaggi inviati nel luglio 2025 sono costati 2mila euro alla Federazione Nazionale degli Ordini dei Biologi. Una biologa aveva ricevuto comunicazioni nelle quali comparivano, oltre al suo, anche gli indirizzi di posta elettronica degli altri destinatari. Il Garante per la protezione dei dati personali ha ritenuto che quella scelta avesse reso accessibili informazioni personali a soggetti non autorizzati.

L’errore ammesso dalla Federazione

Nel corso dell’istruttoria, la Federazione ha confermato che gli indirizzi erano stati lasciati visibili. L’ente ha ricondotto l’accaduto a due episodi isolati e a un errore umano, escludendo che si trattasse di una modalità utilizzata abitualmente per le comunicazioni collettive.

La Fnob, organizzazione che dal 2022 ha preso il posto dell’Ordine nazionale dei biologi, ha inoltre spiegato che l’invio era avvenuto tramite posta elettronica certificata. Il sistema impiegato, secondo la ricostruzione fornita, non permetteva di utilizzare il campo CCN, cioè la funzione che impedisce ai destinatari di vedere gli indirizzi degli altri partecipanti.

I messaggi riguardavano comunicazioni istituzionali rivolte a professionisti della stessa categoria. La Federazione ha osservato che alcuni di loro avrebbero potuto conoscere già gli indirizzi reciproci, ma il Garante non ha considerato sufficiente questa circostanza per escludere la responsabilità.

Perché è scattata la sanzione

L’Autorità ha chiarito che la semplice appartenenza allo stesso ordine professionale non autorizza a mostrare a tutti gli indirizzi personali degli altri destinatari. La loro esposizione equivale a una comunicazione di dati personali a terzi, anche quando il contenuto della mail non contiene informazioni riservate e non viene dimostrato un danno concreto.

Secondo il provvedimento, la Federazione non disponeva di una base giuridica adeguata per rendere quegli indirizzi conoscibili agli altri professionisti coinvolti. Da qui la contestazione dei principi di liceità, correttezza e trasparenza previsti dal Regolamento generale sulla protezione dei dati.

Nel fissare l’importo, il Garante ha comunque tenuto conto di diversi elementi favorevoli alla Federazione. Gli episodi erano soltanto due, risultavano legati a una svista, non riguardavano dati appartenenti a categorie particolari e l’ente non aveva precedenti analoghi. La decisione è contenuta nel provvedimento n. 763 del 7 ottobre 2026.

Cosa devono fare gli altri mittenti

La vicenda interessa anche imprese, associazioni, amministrazioni e singoli professionisti che inviano lo stesso messaggio a più persone. Un indirizzo di posta elettronica può essere un dato personale quando consente di identificare direttamente o indirettamente il titolare.

Per questo, inserirlo nel campo destinato ai destinatari visibili può comportare una violazione se gli altri partecipanti non hanno il diritto di conoscerlo. La regola vale anche per comunicazioni dal contenuto ordinario o puramente organizzativo.

Con la posta elettronica tradizionale, il campo CCN consente di spedire un unico messaggio senza rivelare gli indirizzi degli altri destinatari. Nel caso della posta elettronica certificata, invece, non tutti i sistemi permettono di adottare questa soluzione: proprio per questo è necessario verificare in anticipo le funzioni disponibili e scegliere modalità che tutelino la riservatezza.