Che un’autorità di controllo sanzioni un ente governativo è un evento raro. Ma se l’ente sanzionato è l’AgID (Agenzia per l’Italia Digitale) – ovvero il motore istituzionale della trasformazione digitale e della regolamentazione dell’Intelligenza Artificiale nel nostro Paese – la notizia impone una seria riflessione.
Con il provvedimento n. 419 del 28 maggio 2026, il Garante per la Privacy ha accertato l’illiceità dei trattamenti di dati personali effettuati dall’Agenzia, infliggendole una sanzione di 55.000 euro. Un campanello d’allarme che dimostra come la compliance normativa sia uno scoglio complesso persino per chi guida l’innovazione nazionale.
Il “pasticcio” delle PEC e dell’INAD
Al centro del mirino dell’Authority c’è stata la gestione dell’INAD (Indice Nazionale dei Domicili Digitali). L’AgID ha effettuato un trasferimento automatico e in blocco degli indirizzi PEC dei professionisti italiani all’interno del nuovo registro. L’errore fatale? Averlo fatto senza fornire adeguata informazione ai diretti interessati.
Di conseguenza, migliaia di professionisti si sono ritrovati, a loro insaputa, la propria PEC lavorativa impostata come domicilio digitale per le comunicazioni personali con valore legale da parte della Pubblica Amministrazione (alla stregua di una tradizionale raccomandata con ricevuta di ritorno). Tutto questo senza avere avuto il tempo di esercitare la facoltà di scegliere un indirizzo alternativo prima della pubblicazione.
I rischi pratici e i principi violati
L’analisi del Garante ha evidenziato diverse criticità che rappresentano un caso studio fondamentale per qualsiasi azienda o ente:
-
Promiscuità dei dati: La PEC professionale è diventata, di fatto, un recapito per la sfera privata. Questo crea un rischio enorme per la riservatezza, considerando che spesso collaboratori, dipendenti o praticanti di studio sono autorizzati ad accedere alle caselle professionali.
-
Violazione dei cardini del GDPR: Il trasferimento massivo ha fatto saltare i principi di trasparenza, correttezza, limitazione della finalità, accountability e privacy by design.
-
Il cortocircuito normativo: Il rilievo forse più paradossale mosso dal Garante è che AgID ha omesso di applicare le sue stesse Linee Guida INAD. Le regole redatte dalla stessa Agenzia, infatti, prevedevano esplicitamente di informare i professionisti e di concedere loro una finestra temporale per modificare il domicilio prima di renderlo pubblico.
L’osservazione sollevata da Federprivacy nel commentare la notizia è condivisibile: “non siamo messi bene” se l’amministrazione pubblica che guida l’innovazione digitale subisce una sanzione proprio sul terreno della protezione dei dati.
In Globalsystem leggiamo questo episodio come la conferma di un principio che applichiamo quotidianamente nei nostri progetti: la tecnologia e la privacy non possono viaggiare su binari separati. Non esiste automazione di processi, migrazione di database o adozione dell’IA che possa prescindere da una solida architettura di Privacy by Design. Se persino un’agenzia governativa di vertice inciampa nel trattamento dei dati per la fretta di digitalizzare, per le PMI e le aziende private l’attenzione deve essere assoluta.
L’innovazione non è solo una questione di efficienza software, ma di rispetto e tutela delle persone che quegli strumenti andranno a utilizzarli.
