Vietate le spam agli indirizzi PEC degli avvocati estratti da pubblici elenchi

Il caso. Nel mese di ottobre 2016, sono pervenute al Garante della Privacy numerose segnalazioni circa la ricezione di email promozionali indesiderate inviate da una Società agli indirizzi PEC di avvocati, commercialisti, consulenti del lavoro e contabili. Dagli accertamenti svolti, è risultato che le operazioni di raccolta dei dati erano state eseguite da alcuni collaboratori volontari di un'associazione collegata alla società mittente, nonché da una società terza, tramite l'estrazione degli indirizzi PEC dal registro INI-PEC, dal sito www.registroimprese.it e dagli elenchi dei professionisti pubblicati da alcuni ordini provinciali all'interno dei loro siti istituzionali.

Vietato l'invio di spam agli indirizzi PEC dei liberi professionisti. Alla luce degli elementi acquisiti in atti, il Garante rileva che le modalità utilizzate per raccogliere i dati personali degli interessati, per il tramite di soggetti terzi, si pongono in violazione dei principi di liceità, correttezza e finalità di cui all'art. 11, comma 1, lett. a e b, Codice Privacy, con conseguente illiceità del trattamento dei dati così effettuato. In particolare, tale sistema di raccolta dati si pone in contrasto con:

• l'art. 6-bis CAD che individua quale scopo del registro INI-PEC quello di favorire la presentazione di istanze e lo scambio di informazioni e documenti tra la PA e i professionisti in modalità telematica. Tale finalità viene considerata anche nelle Linee Guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, con cui il Garante ha precisato che «senza il consenso preventivo degli interessati non è lecito utilizzare per inviare e-mail promozionali gli indirizzi PEC contenuti nell'Indice nazionale degli indirizzi PEC» (limitazione richiamata anche presso la sezione “Note legali” del sito web INI-PEC);
• l'art. 16, comma 10, d.l. n. 185/2008, in base al quale l'estrazione di elenchi di indirizzi PEC è consentita alle sole pubbliche amministrazioni per le comunicazioni relative agli adempimenti amministrativi, con conseguente illiceità della medesima operazione effettuata da parte di soggetti privati.

Pertanto, il Garante vieta l'ulteriore trattamento dei dati personali raccolti disponendone la cancellazione entro 30 giorni dalla ricezione del provvedimento.