Quando lo Stato sanziona se stesso (e paghiamo noi): il caso INAD

Il provvedimento del Garante Privacy sull'INAD apre una riflessione sulle responsabilità nella PA. Confintesa FP ribadisce che innovazione e trasformazione digitale devono essere accompagnate da investimenti nelle competenze del personale e da un sistema di tutele che non scarichi sui dipendenti le conseguenze di scelte organizzative o progettuali delle amministrazioni

C'è un genere letterario tutto italiano che meriterebbe un premio a parte: il provvedimento sanzionatorio del Garante. Si comincia con un "VISTO", si prosegue con un "PREMESSO", e si finisce — dopo undici pagine di limpida prosa amministrativa — scoprendo che a noi, intanto, hanno cambiato la residenza.

La trama è semplice come una commedia degli equivoci. Dal 6 giugno 2023 lo Stato decide che la PEC con cui il professionista litigava con la cancelleria e riceveva le notifiche del proprio Ordine debba diventare anche il suo "domicilio digitale personale". Non lo chiede, non lo annuncia, lo fa: per "impostazione predefinita", che è la versione tecnologica del "si è sempre fatto così". Un giorno la tua casella di studio è un attrezzo da lavoro, il giorno dopo è il citofono di casa tua, pubblicato in un elenco consultabile da chiunque senza bisogno di autenticarsi. Privacy by default, recita il Regolamento; pubblicità by default, ha funzionato nei fatti. E come è stata informata la categoria di questo trasloco di massa? Con un capolavoro di comunicazione capillare: un flyer, spedito a sedici tra Ordini e Collegi su trentuno categorie censite. Una specie di volantino della pizzeria nuova infilato sotto la porta digitale di alcuni condomini sì e di altri no, con la cortese preghiera di "condividere con i vostri iscritti" — che poi è il modo istituzionale per dire: adesso è un problema vostro.

Il pezzo forte arriva sui tempi. Quando il Garante contesta che sarebbe stato il caso di avvisare uno per uno gli interessati, l'Agenzia invoca lo "sforzo sproporzionato": avvisare due milioni di persone? Impensabile. E poi — argomento di rara delicatezza — quei due milioni avrebbero potuto scambiare la comunicazione per phishing, sicché ci hanno risparmiato l'informativa per proteggerci dalla truffa di ricevere un'informativa. Peccato che, due anni dopo, l'Agenzia abbia poi effettivamente confezionato e diffuso una nota agli Ordini perché la girassero a tutti gli iscritti, cioè esattamente quella cosa che era "impossibile"; e il Garante lo annota con la signorile crudeltà del burocrate che ha ragione: l'avete fatto, dunque si poteva fare. Nel frattempo, per anni, chi accedeva al portale per salvare il salvabile si autenticava e trovava in cabina di comando un nome a sorpresa, UnionCamere — soggetto, dice il provvedimento, "del tutto estraneo" alla faccenda, un fantasma nella macchina comparso per "mero errore materiale" e rimasto lì imperterrito dal giugno 2023 all'agosto 2025 a fare da maggiordomo di una casa in cui non abitava.

La conseguenza più gustosa, se non fosse seria, la trovate nelle pieghe della motivazione: la PEC professionale, "talvolta priva di riferimenti immediati al nominativo del professionista", è spesso aperta dai collaboratori di studio. Significa che, da quel trasloco non richiesto, la posta privata di un professionista poteva finire sotto gli occhi del praticante — auguri di compleanno, certificati medici, lettere dell'ex, tutto recapitato all'indirizzo di lavoro e smistato dalla segreteria. Il domicilio "personale" più affollato della storia.

E arriviamo alla domanda che, a leggere il dispositivo, viene spontanea: chi paga? Il Garante accerta l'illiceità, qualifica la gravità come "media" e la condotta come "colposa" — tradotto: non l'hanno fatto apposta, l'hanno solo fatto — e commina 55.000 euro, con sconto del cinquanta per cento se si salda entro trenta giorni. Ventisettemilacinquecento, la sanzione sui diritti fondamentali in saldo come i piumini a gennaio. Ma a versarli è "l'AgID in persona del legale rappresentante pro-tempore", cioè l'ente, cioè un bilancio pubblico che paga un'altra autorità pubblica: lo Stato che multa un pezzo di se stesso e fa traslocare il denaro da una tasca all'altra. Chi ha materialmente deciso di pubblicare prima e informare (forse) poi non sfiora il portafoglio, perché la strada per arrivare alle persone fisiche — la responsabilità erariale davanti alla Corte dei conti — richiede il dolo o la colpa grave, e qui il Garante ha certificato una colpa di grado medio, con tanto di attenuanti. E volesse pure provarci qualcuno, troverebbe la strada sbarrata dalla legge Foti del gennaio 2026, che ha ridisegnato la colpa grave in termini così stretti da farne, ormai, una mosca bianca. E quand'anche quel margine residuo dovesse materializzarsi — per un dirigente come per qualunque dipendente pubblico chiamato a gestire risorse — chi è iscritto a Confintesa FP non resta scoperto: la Federazione garantisce ai propri aderenti le coperture assicurative pensate esattamente per questo rischio.

Resta, in fondo, la sensazione di un meccanismo che funziona benissimo a una sola condizione: che nessuno, mai, debba davvero risponderne. Lo Stato sanziona se stesso, sposta il denaro da una tasca pubblica all'altra e archivia la pratica. I due milioni di domicili restano dove sono stati messi senza chiedere permesso. E il diritto alla riservatezza, per una volta, ha persino un prezzo di listino: cinquantacinquemila euro, metà se paghi subito.

---

I fatti — provvedimento, importo, date, violazioni — sono quelli del provvedimento n. 419 del 28 maggio 2026 del Garante per la protezione dei dati personali, relativo all'INAD (Indice Nazionale dei Domicili Digitali); il quadro sulla responsabilità erariale è quello della L. 7 gennaio 2026 n. 1 (c.d. legge Foti).

Testo integrale del provvedimento: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10259701