Lasci in “cc” gli indirizzi dei destinatari di una mail? Per il garante può essere una violazione della privacy: ecco perché rischi una multa

La Federazione Nazionale degli Ordini dei Biologi ha ricevuto una multa da 2mila euro del Garante per la privacy per aver inviato due Pec a un gruppo di professionisti, lasciando visibili a tutti gli indirizzi email dei destinatari. La vicenda è emersa nel luglio 2025, quando una biologa ha ricevuto due comunicazioni mail dalla Federazione: in copia, oltre al suo indirizzo, c’erano quelli di tutti gli altri destinatari.

La difesa della Federazione: «Un errore materiale»

Durante l’istruttoria la Federazione ha riconosciuto l’accaduto, spiegando che si era trattato di due episodi occasionali dovuti a un errore umano, non di una prassi abituale. In particolare, la Fnob (che dal 2022 ha sostituito l’Ordine nazionale dei biologi) ha attribuito il problema all’utilizzo della posta elettronica certificata al posto di quella ordinaria: il sistema Pec utilizzato non consentiva infatti di inserire i destinatari nel campo CCN, quello che permette di nascondere gli indirizzi agli altri partecipanti alla comunicazione.

I messaggi “incriminati” contenevano informazioni istituzionali ed erano stati inviati a professionisti appartenenti alla categoria. Secondo la Federazione, quindi, era presumibile che alcuni destinatari conoscessero già gli indirizzi degli altri. Ma questa difesa non ha evitato la multa.

Perché il Garante ha deciso di multare la Federazione

Secondo il Garante, rendere visibili gli indirizzi email personali a destinatari che non sono autorizzati a conoscerli costituisce una comunicazione di dati personali a terzi. E questo vale anche quando i destinatari appartengono alla stessa categoria professionale o quando non si verifica alcun danno concreto.

Il punto centrale è che la Federazione dei biologi non «disponeva di una base giuridica idonea a giustificare» la comunicazione degli indirizzi personali degli iscritti agli altri destinatari. L’Autorità ha così confermato la violazione dei principi di liceità, correttezza e trasparenza previsti dal Regolamento generale sulla protezione dei dati (Gdpr).

Nello stabilire l’importo della sanzione, il Garante – nel provvedimento n. 763 del 7 ottobre 2026 – ha comunque considerato alcune circostanze attenuanti: gli episodi erano isolati, erano riconducibili a un errore umano, non avevano coinvolto categorie particolari di dati personali e la Federazione non aveva precedenti violazioni pertinenti.

Quando una mail con i destinatari in chiaro viola la privacy

Il caso rappresenta un precedente utile anche per aziende, associazioni, enti pubblici e professionisti che inviano abitualmente comunicazioni collettive. Gli indirizzi email sono dati personali quando permettono di identificare direttamente o indirettamente una persona. Di conseguenza, mostrarli a soggetti che non hanno titolo per conoscerli può costituire una violazione della privacy, anche se il contenuto del messaggio è del tutto innocuo. Nella posta elettronica ordinaria, il campo CCN (copia conoscenza nascosta) consente di inviare lo stesso messaggio a più persone senza rendere visibili gli altri destinatari. Per le Pec, invece, questa modalità non è sempre possibile.