GDPR e fax

Trasmettere un fax contenente dati personali senza violare il regolamento europeo.

Il regolamento (UE) 2016/679 non menziona il fax in alcun punto : inquadra i trattamenti, e l'inoltro di un documento che consente di identificare una persona ne costituisce uno (articolo 4, punto 2). Concretamente, occorrono una base giuridica (articolo 6), un contenuto ridotto al strettamente necessario (articolo 5), tutele proporzionate al rischio (articolo 32) e, in caso di fax indirizzato in modo errato, una procedura già scritta (articoli 33 e 34). L'ultimo tratto di un fax sfugge a qualsiasi cifratura : l'essenziale della conformità si basa quindi sulla sua organizzazione — verifica dei numeri, preparazione delle pagine, discrezione alla ricezione.

Quattro punti di riferimento per un fax conforme

Il regolamento ragiona in termini di trattamenti e livelli di rischio, mai di tecnologie. Fax o messaggistica, i punti di riferimento qui sotto si applicano allo stesso modo.

  • Ogni fax è un trattamento di dati

    La « comunicazione mediante trasmissione » compare espressamente tra i trattamenti di cui all'articolo 4, punto 2. Spedire un preventivo nominativo, una busta paga o una ricetta via fax rientra quindi interamente nel regolamento.

  • Una base giuridica per ogni invio

    L'articolo 6 ne elenca sei : il consenso, l'esecuzione del contratto, l'obbligo legale, la salvaguardia degli interessi vitali, la missione di interesse pubblico e l'interesse legittimo. Il datore di lavoro che invia un'attestazione a un ente previdenziale si basa in genere sull'obbligo legale.

  • Nessun dato superfluo nelle pagine

    Stabilito dall'articolo 5, paragrafo 1, lettera c, il principio di minimizzazione consente di far circolare solo dati utili e proporzionati alla finalità perseguita. Prima di generare il PDF, alleggerisca il documento di tutto ciò di cui il destinatario può fare a meno.

  • Un destinatario al di fuori del SEE attiva il capitolo V

    Ogni invio verso un paese terzo rientra nel capitolo V, quello dei trasferimenti (articoli 44 a 49). Per quanto riguarda il Canada, la Commissione europea ha ritenuto la protezione sufficiente per le organizzazioni soggette a PIPEDA, la legge federale canadese (decisione 2002/2/CE) ; per gli altri destinatari canadesi — in particolare alcune amministrazioni provinciali —, verifichi le garanzie applicabili.

Articolo 32 : la sicurezza prevista per un invio via fax

Ai sensi dell'articolo 32, sia il titolare del trattamento sia l'incaricato devono adottare misure tecniche e organizzative che garantiscano una sicurezza adeguata al rischio, tenuto conto dello stato delle conoscenze, dei costi di attuazione e della natura delle informazioni trattate. Il testo cita la cifratura tra le misure possibili, affiancata dalla pseudonimizzazione e da processi regolarmente testati, da combinare secondo le esigenze.

Su un fax, la cifratura protegge solo una porzione del percorso. Presso Faxeroo, il PDF viaggia in HTTPS e viene eliminato automaticamente una volta trasmesso ; il tratto telefonico che conduce alla macchina del destinatario, invece, circola in chiaro, come su qualsiasi fax. La protezione passa quindi attraverso l'organizzazione : elenco di numeri verificati, seconda rilettura per gli invii delicati, chiamata preliminare al corrispondente, pagine anonimizzate quando possibile.

Tracci queste decisioni per iscritto. Il principio di responsabilità (articolo 5, paragrafo 2) obbliga a dimostrare la propria conformità : una nota che esponga le ragioni per preferire il fax per questo flusso e le precauzioni associate vale proprio come dimostrazione. Se la sua analisi conclude che una cifratura end-to-end sarebbe indispensabile, cambi canale.

Errore di destinatario : il protocollo da attuare

Una pagina nominativa arrivata presso un terzo : è una violazione dei dati come definita dall'articolo 4, punto 12 — l'intenzione e la buona fede non cambiano nulla. I riflessi qui sotto si susseguono in ordine.

  1. Limitare innanzitutto i danni

    Chiami il destinatario involontario, esiga che le pagine vengano distrutte e, se possibile, una conferma per iscritto. Questi accorgimenti limitano il rischio e alimenteranno la vostra documentazione interna.

  2. Documentare la violazione nel registro

    L'articolo 33, paragrafo 5, impone di registrare ogni violazione: fatti, effetti subiti, misure correttive. L'obbligo vale anche se alla fine nessuna notifica è dovuta.

  3. Alertare la CNIL entro 72 ore, ove necessario

    A meno che non si ritenga, alla luce dei fatti, un rischio nullo o improbabile per le persone, la violazione va segnalata all'autorità di controllo — la CNIL per la Francia — senza ingiustificato ritardo e, per quanto possibile, entro 72 ore da quando viene scoperta (articolo 33, paragrafo 1). Se la segnalazione arriva più tardi, il ritardo va giustificato.

  4. Avvisare le persone interessate in caso di rischio elevato

    Rischio elevato — dati medici, coordinate bancarie, elementi che facilitano un'usurpazione di identità: le persone colpite vengono avvisate senza indugio, con un linguaggio chiaro (articolo 34). Il subappaltatore, dal canto suo, non scrive alle persone: allerta immediatamente il titolare del trattamento (articolo 33, paragrafo 2).

Cinque misure da adottare nella vostra struttura

Un repertorio di numeri verificati
Elabori, dopo verifica e con una data, i vostri corrispondenti abituali: casse, laboratori, cancellerie, assicuratori. Si compone il numero da questa lista, mai a memoria.
Due paia di occhi sugli invii sensibili
Fascicolo medico o bancario: faccia ricontrollare il numero e il contenuto da un terzo prima dell'invio. Due minuti di verifica eliminano la maggior parte degli errori.
Una pagina di copertina standard
Nome del destinatario, totale delle pagine, i vostri recapiti e l'istruzione da seguire se il fax finisce in mani sbagliate: posizionata all'inizio dell'invio, indica immediatamente a chi sono destinati i fogli e cosa fare in caso di errore.
Dispositivi di ricezione sotto controllo
Per quanto riguarda la ricezione, installi la macchina in una stanza ad accesso limitato oppure, sui modelli che lo prevedono, faccia passare i fax ricevuti attraverso una memoria protetta da codice. Prima di restituire un apparecchio noleggiato, cancelli disco e memoria.
La telecopia iscritta nel registro (articolo 30)
Se la telecopia irrigua i vostri flussi ordinari, iscrivila nel registro dell'articolo 30: per quale finalità, quali categorie di dati e di destinatari, verso quali paesi, per quanto tempo, con quali protezioni.

Domande e risposte

I dati medici possono essere inviati via fax?
Sì, nessun testo europeo lo vieta. Queste informazioni rientrano tra le categorie speciali dell'articolo 9: il loro trattamento presuppone una delle eccezioni previste dallo stesso articolo — l'assistenza sanitaria, ad esempio — e una prudenza rafforzata. In Francia si aggiungono il segreto professionale medico e le norme proprie delle professioni sanitarie. Per la vostra attività specifica, si rivolga al vostro DPO o al vostro ordine professionale.
È necessario un contratto con un servizio di fax?
Non appena un fornitore tratta dati personali per vostro conto, l'articolo 28 prevede che un contratto inquadri l'incarico: le istruzioni da seguire, la riservatezza, la sicurezza, la sorte riservata ai dati una volta terminata la prestazione. Per un uso regolare di Faxeroo per conto di un'organizzazione, scriva a contact@faxeroo.com per esaminare tale inquadramento.
Quanto a lungo i miei file restano presso Faxeroo?
Il PDF caricato serve solo per l'emissione, poi il nostro sistema lo cancella senza intervento. Il pagamento con carta, quando previsto, passa da Stripe. Fissate una durata per le copie e le ricevute di consegna conservate dal vostro lato (articolo 5, paragrafo 1, lettera e); presso il destinatario, si applica la sua politica specifica.
Le persone menzionate possono agire?
Sì: si tratti di accesso ai dati, di rettifica, di cancellazione o di opposizione, i diritti previsti dagli articoli 15-22 si rivolgono al titolare del trattamento, ovvero l'organismo che ha preso la decisione di inviare. La risposta deve essere fornita entro un mese, termine prolungabile di due mesi se la richiesta è complessa o voluminosa (articolo 12, paragrafo 3).

Dati e sicurezza

Questo dossier

Per approfondire

Pagine selezionate per preparare l'invio, monitorarlo o conservarne la prova.

Vedi anche