GDPR e fax

Trasmettere un fax contenente dati personali senza violare il regolamento europeo.

Nel testo del regolamento (UE) 2016/679 il fax non compare mai: esso inquadra i soli trattamenti, e l'invio di un documento idoneo a identificare una persona rientra in questa categoria (articolo 4, punto 2). In pratica, servono una base giuridica (articolo 6), i soli dati indispensabili (articolo 5), misure di tutela commisurate al rischio (articolo 32) e, se il fax giunge al destinatario sbagliato, una procedura già definita per iscritto (articoli 33 e 34). Il tratto finale di una telecopia non è cifrabile in alcun modo : la conformità si gioca dunque sull'organizzazione — controllo dei numeri, attenta preparazione delle pagine, discrezione in fase di ricezione.

Quattro punti di riferimento per un fax conforme

Il regolamento ragiona in termini di trattamenti e livelli di rischio, mai di tecnologie. Fax o messaggistica, i punti di riferimento qui sotto si applicano allo stesso modo.

  • Ogni fax è un trattamento di dati

    La « comunicazione mediante trasmissione » compare espressamente tra i trattamenti di cui all'articolo 4, punto 2. Spedire un preventivo nominativo, una busta paga o una ricetta via fax rientra quindi interamente nel regolamento.

  • Una base giuridica per ogni invio

    L'articolo 6 ne elenca sei : il consenso, l'esecuzione del contratto, l'obbligo legale, la salvaguardia degli interessi vitali, la missione di interesse pubblico e l'interesse legittimo. Il datore di lavoro che invia un'attestazione a un ente previdenziale si basa in genere sull'obbligo legale.

  • Nessun dato superfluo nelle pagine

    Stabilito dall'articolo 5, paragrafo 1, lettera c, il principio di minimizzazione consente di far circolare solo dati utili e proporzionati alla finalità perseguita. Prima di generare il PDF, alleggerisca il documento di tutto ciò di cui il destinatario può fare a meno.

  • Un destinatario al di fuori del SEE attiva il capitolo V

    Il capitolo V, dedicato ai trasferimenti (articoli 44 a 49), disciplina ogni invio verso un paese terzo. Per quanto riguarda il Canada, le organizzazioni soggette a PIPEDA — la legge federale canadese — beneficiano di una decisione di adeguatezza adottata dalla Commissione europea (decisione 2002/2/CE); per gli altri destinatari canadesi, in particolare alcune amministrazioni provinciali, verifichi le garanzie applicabili.

Articolo 32 : la sicurezza prevista per un invio via fax

Ai sensi dell'articolo 32, sia il titolare del trattamento sia l'incaricato devono adottare misure tecniche e organizzative che garantiscano una sicurezza adeguata al rischio, tenuto conto dello stato delle conoscenze, dei costi di attuazione e della natura delle informazioni trattate. Il testo cita la cifratura tra le misure possibili, affiancata dalla pseudonimizzazione e da processi regolarmente testati, da combinare secondo le esigenze.

Su un fax, la cifratura protegge solo una porzione del percorso. Presso Faxeroo, il PDF viaggia in HTTPS e viene eliminato automaticamente una volta trasmesso ; il tratto telefonico che conduce alla macchina del destinatario, invece, circola in chiaro, come su qualsiasi fax. La protezione passa quindi attraverso l'organizzazione : elenco di numeri verificati, seconda rilettura per gli invii delicati, chiamata preliminare al corrispondente, pagine anonimizzate quando possibile.

Tracci queste decisioni per iscritto. Il principio di responsabilità (articolo 5, paragrafo 2) obbliga a dimostrare la propria conformità : una nota che esponga le ragioni per preferire il fax per questo flusso e le precauzioni associate vale proprio come dimostrazione. Se la sua analisi conclude che una cifratura end-to-end sarebbe indispensabile, cambi canale.

Errore di destinatario : il protocollo da attuare

Una pagina nominativa arrivata presso un terzo : è una violazione dei dati come definita dall'articolo 4, punto 12 — l'intenzione e la buona fede non cambiano nulla. I riflessi qui sotto si susseguono in ordine.

  1. Limitare innanzitutto i danni

    Chiami il destinatario involontario, esiga che le pagine vengano distrutte e, se possibile, una conferma per iscritto. Questi accorgimenti limitano il rischio e alimenteranno la vostra documentazione interna.

  2. Documentare la violazione nel registro

    Il paragrafo 5 dell'articolo 33 chiede di tenere traccia scritta di qualsiasi violazione — i fatti, le conseguenze, le contromisure — anche nei casi in cui, alla fine, la notifica non risulta necessaria.

  3. Alertare la CNIL entro 72 ore, ove necessario

    Salvo che, alla luce dei fatti, si ritenga il rischio nullo o improbabile per le persone, la violazione va notificata alla CNIL — in Francia l'organismo di vigilanza — senza ritardi ingiustificati e, quando possibile, entro 72 ore dalla scoperta (articolo 33, paragrafo 1). Se la segnalazione perviene oltre tale termine, il ritardo va giustificato.

  4. Avvisare le persone interessate in caso di rischio elevato

    Se il rischio è elevato — dati clinici, coordinate bancarie, elementi che agevolano una usurpazione di identità — gli interessati vengono avvisati senza indugio, in termini comprensibili (articolo 34). Il subappaltatore non scrive alle persone: avvisa subito il titolare del trattamento (articolo 33, paragrafo 2).

Cinque misure da adottare nella vostra struttura

Un repertorio di numeri verificati
Elabori, dopo verifica e con una data, i vostri corrispondenti abituali: casse, laboratori, cancellerie, assicuratori. Si compone il numero da questa lista, mai a memoria.
Due paia di occhi sugli invii sensibili
Fascicolo medico o bancario: faccia ricontrollare il numero e il contenuto da un terzo prima dell'invio. Due minuti di verifica eliminano la maggior parte degli errori.
Una pagina di copertina standard
Il nome del destinatario, il totale delle pagine, i vostri recapiti e le istruzioni da seguire qualora il fax finisca in mani sbagliate: posizionata in apertura dell'invio, questa intestazione indica subito a chi sono destinati i fogli e come reagire se le pagine vengono smarrite.
Dispositivi di ricezione sotto controllo
Per quanto riguarda la ricezione, installi la macchina in una stanza ad accesso limitato oppure, sui modelli che lo prevedono, faccia passare i fax ricevuti attraverso una memoria protetta da codice. Prima di restituire un apparecchio noleggiato, cancelli disco e memoria.
La telecopia iscritta nel registro (articolo 30)
Se la telecopia irrigua i vostri flussi ordinari, iscrivila nel registro dell'articolo 30: per quale finalità, quali categorie di dati e di destinatari, verso quali paesi, per quanto tempo, con quali protezioni.

Domande e risposte

I dati medici possono essere inviati via fax?
Sì, nessun testo europeo lo vieta. Queste informazioni rientrano tra le categorie speciali dell'articolo 9: il loro trattamento presuppone una delle eccezioni previste dallo stesso articolo — l'assistenza sanitaria, ad esempio — e una prudenza rafforzata. In Francia si aggiungono il segreto professionale medico e le norme proprie delle professioni sanitarie. Per la vostra attività specifica, si rivolga al vostro DPO o al vostro ordine professionale.
È necessario un contratto con un servizio di fax?
L'articolo 28 entra in gioco non appena i dati personali vengono trattati da un fornitore che opera per vostro conto: un contratto deve inquadrare l'incarico, precisando le istruzioni da seguire, la riservatezza, la sicurezza e la sorte dei dati al termine della prestazione. Se usate Faxeroo regolarmente per conto di un'organizzazione, scrivete a contact@faxeroo.com per esaminare tale inquadramento.
Quanto a lungo i miei file restano presso Faxeroo?
Il file PDF è utilizzato esclusivamente per la creazione del documento; successivamente il nostro sistema lo rimuove automaticamente, senza alcuna azione manuale. Il pagamento con carta, qualora previsto, avviene tramite Stripe. Stabilisci una conservazione per i fogli e le consegne, che restano sul tuo lato (articolo 5, paragrafo 1, lettera e); verso il destinatario, valgono le sue regole specifiche.
Le persone menzionate possono agire?
Sì: si tratti di accesso ai dati, di rettifica, di cancellazione o di opposizione, i diritti previsti dagli articoli 15-22 si rivolgono al titolare del trattamento, ovvero l'organismo che ha preso la decisione di inviare. La risposta deve essere fornita entro un mese, termine prolungabile di due mesi se la richiesta è complessa o voluminosa (articolo 12, paragrafo 3).

Dati e sicurezza

Questo dossier

Per approfondire

Pagine selezionate per preparare l'invio, monitorarlo o conservarne la prova.

Vedi anche