Risposta breve: per il GDPR un fax è un trattamento di dati personali come gli altri. Il titolare mappa i flussi — in entrata e in uscita —, annota per ciascuno finalità, base giuridica e durata, li iscrive nel registro, vincola il servizio di invio online con un contratto ex art. 28 e sa rispondere a una richiesta di accesso o di cancellazione sui fax archiviati. Mezza giornata basta per una PMI: ecco il metodo, con una riga di registro pronta da copiare.
Mappare i flussi prima di compilare il registro
Il registro non descrive «il fax» in generale: descrive trattamenti reali, flusso per flusso. Partite da un inventario onesto:
- flussi in uscita: preventivi firmati, ordini, solleciti di pagamento, lettere ai collaboratori — partiti dal fax della segreteria o da un servizio di invio online;
- flussi in entrata: contratti restituiti, giustificativi, documenti ricevuti da colleghi o fornitori — stampati in un vassoio accessibile a tutti o consegnati in PDF in una casella condivisa.
Per ogni flusso, annotate i dati realmente trasportati: identità e contatti quasi sempre; busta paga, salute o dati bancari a volte. Mettete cifre per convincere la direzione: una PMI che scambia 40 fax al mese ne maneggia 480 l'anno; a cinque dati personali per pagina, sono 2 400 dati esposti ogni anno, da qualche parte tra un vassoio di carta e una cartella cliente. Questa mappa dei flussi — chi invia cosa, a chi, dove approda il documento, chi può riaprirlo — stabilisce cosa il registro debba dire. Il quadro generale è richiamato nella pagina sul RGPD applicato alla telecopia; il resto dell'articolo ne è la traduzione operativa.
Base giuridica e finalità: una risposta per flusso
Un flusso, una finalità, una base giuridica — mai una risposta unica per tutta l'apparecchiatura:
- esecuzione del contratto: preventivi, ordini, monitoraggio delle consegne tra voi e i vostri clienti;
- obbligo legale: scritture contabili, elementi di busta paga — la durata dipende allora dalla norma applicabile, non dalla vostra valutazione;
- interesse legittimo: solleciti commerciali, gestione di una controversia, con il test di bilanciamento documentato;
- consenso: quasi mai la base corretta per un flusso professionale, perché difficilmente provabile fax dopo fax.
I dati sanitari seguono un regime rafforzato: li giustificano solo i flussi necessari alla presa in carico di un paziente. La pagina su fax e dati sanitari dettaglia le precauzioni attese.
Minimizzare ciò che il fax trasporta
Il frontespizio è la minimizzazione più economica: nome del destinatario, riferimento della pratica — e nient'altro. Una diagnosi, un saldo bancario o l'importo di un preventivo non devono comparire sulla prima pagina, quella che tutta la segreteria vede. Il nostro modello di frontespizio del fax si compila in un minuto e non chiede dati superflui.
Due riflessi completano il frontespizio:
- faxare le pagine utili, non tutto il fascicolo: tre pagine mirate espongono meno dati di un riassunto di dieci;
- ricontrollare il numero a ogni spedizione: un invio diretto al numero sbagliato rivela dati a un terzo ignoto; la violazione va documentata e la notifica all'autorità può scadere entro 72 ore.
La riga di registro, in pratica
Una riga per flusso, non una riga per «il fax». Esempio copiabile per un flusso in uscita tipico:
| Campo del registro | Esempio: «invio dei preventivi firmati ai clienti» |
|---|---|
| Finalità | gestione commerciale, monitoraggio degli ordini |
| Base giuridica | esecuzione del contratto (fase precontrattuale) |
| Categorie di interessati | clienti, potenziali clienti |
| Dati trattati | identità, contatti, riferimento e importo del preventivo |
| Destinatari | il cliente; il servizio di invio online, come responsabile |
| Durata di conservazione | rapporto commerciale, poi il termine di prescrizione applicabile |
| Misure di sicurezza | trasmissione cifrata del fornitore, accesso solo all'ufficio commerciale |
Anche sotto i 250 dipendenti, la deroga dell'articolo 30 riguarda solo i trattamenti occasionali: flussi di fax settimanali non lo sono, e il registro si tiene. Per la colonna delle misure, la sicurezza delle telecopie descrive ciò che un flusso di fax può promettere seriamente.
Responsabili: il servizio di invio online ai sensi dell'articolo 28
Il fax acquistato sta nei vostri locali: nessun terzo, nessun responsabile. Un servizio online che trasmette i vostri documenti per vostro conto lo è — tratta dati su vostre istruzioni, esattamente come il vostro fornitore di posta elettronica.
Prima del primo invio, esigete quattro certezze:
- un contratto di responsabile del trattamento redatto secondo l'articolo 28 — una clausola dedicata, non tre righe sepolte in condizioni generali;
- la localizzazione dei server: un hosting nell'Unione evita le clausole contrattuali tipo richieste dai trasferimenti verso paesi terzi;
- la catena dei sub-responsabili, annunciata con diritto di opposizione;
- due impegni operativi: notifica rapida in caso di violazione e sorte dei dati a fine contratto.
Il nome del fornitore entra poi nella colonna dei destinatari del registro. Un servizio utilizzabile senza creare account limita da subito ciò che gli affidate: per trasmettere un documento, nessun fornitore ha bisogno dell'intero archivio dei vostri clienti.
Onorare i diritti sui fax archiviati
Arriva una richiesta di accesso: occorre ritrovare ogni fax riguardante la persona, ricevuta di trasmissione inclusa. Impossibile senza regole di archiviazione — una cartella per interlocutore, una nomenclatura uniforme, l'archiviazione dei fax documentata e con durate davvero rispettate.
La cancellazione segue un'altra logica: si distruggono i fax della persona, salvo obbligo legale di conservazione — una fattura contabile non si cancella prima della scadenza. Rispondete citando l'obbligo, eliminate le copie di lavoro prive di valore probatorio e tracciate la risposta. In ogni caso il termine è di un mese, prorogabile per richieste complesse: datatela, archiviatela, conservatela.
Checklist del DPO di PMI
- mappa dei flussi di fax in entrata e in uscita, aggiornata a ogni cambio di apparecchiatura;
- finalità e base giuridica annotate per flusso, test di bilanciamento documentato ove occorra;
- una riga di registro per flusso, durata di conservazione inclusa;
- frontespizio neutro applicato a ogni invio, senza dati sensibili superflui;
- contratto ex art. 28 firmato con il servizio di invio, localizzazione dei dati verificata;
- procedura di accesso e cancellazione testata una volta l'anno su fax reali;
- revisione annuale allineata alla politica di conservazione, distruzioni tracciate.
Con mezza giornata il fax è sistemato; il resto del registro segue la stessa logica, flusso dopo flusso. Il modulo di invio fax di Faxeroo funziona senza creare account e ogni trasmissione può portare una ricevuta PDF con marcatura temporale.
Tagfaxrgpdsecuritedocumentsorganisation
