Fax e protezione dei dati

Il quadro in quattro principi

Il GDPR ragiona per trattamenti e rischi, mai per tecnologie. Questi quattro punti fermi valgono per il fax come per qualsiasi altro mezzo di invio.

• Inviare è trattare

  L'articolo 4, punto 2, include espressamente la «comunicazione mediante trasmissione» tra le operazioni di trattamento. Mandare via fax una scheda cliente, una busta paga o una ricetta rientra quindi in pieno nell'ambito del Regolamento.

• Ogni fax ha bisogno di una base giuridica

  L'articolo 6 ne prevede sei: consenso, esecuzione di un contratto, obbligo legale, interessi vitali, interesse pubblico, legittimo interesse. Un datore di lavoro che trasmette una certificazione a un ente previdenziale adempie di solito a un obbligo legale.

• Viaggia solo il necessario

  Il principio di minimizzazione, sancito dalla lettera c) del paragrafo 1 dell'articolo 5, richiede che i dati trasmessi siano adeguati, pertinenti e limitati alla finalità. Prima di generare il PDF, elimina le pagine e le informazioni che al destinatario non servono.

• Fuori dallo Spazio economico europeo valgono regole aggiuntive

  Un fax diretto a un Paese terzo configura un trasferimento disciplinato dal capo V (articoli da 44 a 49). Per il Canada, la Commissione europea ha riconosciuto un livello di protezione adeguato alle organizzazioni soggette alla legge federale PIPEDA (decisione 2002/2/CE); per altri destinatari canadesi, come alcune amministrazioni provinciali, verifica le garanzie applicabili.

Fax inviato al destinatario sbagliato: come procedere

Una pagina con dati personali che finisce a un estraneo costituisce una violazione dei dati personali ai sensi dell'articolo 4, punto 12, anche se l'errore è involontario e il terzo è in buona fede. Ecco i passi da seguire, in quest'ordine.

1. 1

   Contenere l'incidente

   Contatta chi ha ricevuto il fax per errore, chiedi di distruggere le pagine e, se possibile, una conferma scritta. Questi passi riducono il rischio e vanno riportati nella tua documentazione.

2. 2

   Annotare la violazione nel registro interno

   L'articolo 33, paragrafo 5, impone di documentare ogni violazione: fatti, conseguenze, rimedi adottati. L'obbligo vale anche quando la notifica non è dovuta.

3. 3

   Segnalare al Garante entro 72 ore, se serve

   Salvo che non presenti verosimilmente alcun rischio per le persone coinvolte, la violazione va comunicata all'autorità di controllo (in Italia, il Garante privacy) al più presto e, se fattibile, non oltre 72 ore da quando l'hai scoperta (articolo 33, paragrafo 1). Oltre tale termine, la notifica deve motivare il ritardo.

4. 4

   Avvisare gli interessati quando il rischio è elevato

   Se il rischio è elevato (dati sanitari, coordinate bancarie, informazioni che consentono un furto d'identità), le persone coinvolte vanno informate senza ingiustificato ritardo e con un linguaggio chiaro (articolo 34). Un responsabile del trattamento, dal canto suo, deve avvertire il titolare senza ingiustificato ritardo (articolo 33, paragrafo 2).

Misure da adottare nella tua organizzazione

Una rubrica di numeri verificati

I contatti abituali (cassa sanitaria, laboratorio, cancelleria, assicurazione) stanno in un elenco controllato e datato. Si compone da quell'elenco, mai a memoria.

Doppio controllo per gli invii sensibili

Per una pratica medica o finanziaria, un collega rilegge numero e contenuto prima dell'invio. Due minuti che evitano la maggior parte degli errori.

Un modello di copertina

Destinatario nominato, numero di pagine, recapiti del mittente e istruzioni in caso di ricezione per errore. Posto in testa a ogni trasmissione, orienta subito chi trova il fax.

Apparecchi fax sotto controllo

In ricezione, metti l'apparecchio in un locale chiuso o attiva la ricezione in memoria protetta da PIN, se il modello lo consente. Cancella disco o memoria prima di restituire un'apparecchiatura a noleggio.

Una voce nel registro dei trattamenti

Se il fax fa parte dei tuoi flussi abituali, descrivilo nel registro previsto dall'articolo 30: finalità, categorie di dati e di destinatari, eventuali trasferimenti, tempi di conservazione, misure di sicurezza.

Le tue domande

È consentito trasmettere dati sanitari via fax?

Sì, il GDPR non lo vieta. Questi dati rientrano nelle categorie particolari dell'articolo 9: il loro trattamento richiede una delle eccezioni previste da quell'articolo, ad esempio l'assistenza sanitaria, e un livello di cautela più alto. A questo si aggiungono norme nazionali come il segreto professionale e i codici deontologici. Il tuo DPO o il tuo ordine professionale possono dirti cosa si applica alla tua attività.

Serve un accordo con un fornitore di servizi fax?

Quando un fornitore agisce per tuo conto su dati personali, l'articolo 28 richiede un contratto che ne fissi gli obblighi: istruzioni, riservatezza, sicurezza, restituzione o cancellazione dei dati al termine del servizio. Se pensi di usare FaxTelecom con regolarità per un'organizzazione, scrivi a contact@faxtelecom.com per valutare questo aspetto.

Per quanto tempo vengono conservati i miei documenti?

Da FaxTelecom il PDF caricato serve solo per l'invio e viene cancellato automaticamente subito dopo; il pagamento con carta, quando c'è, è gestito da Stripe. Da parte tua, stabilisci un periodo di conservazione per le copie e le ricevute che tieni (principio di limitazione della conservazione, art. 5, par. 1, lett. e). Presso il destinatario, la conservazione dipende dalla sua politica.

Una persona citata in un fax può esercitare i propri diritti?

Sì. Accesso, rettifica, cancellazione, opposizione: i diritti degli articoli da 15 a 22 si esercitano nei confronti del titolare del trattamento, cioè l'organizzazione che ha deciso di inviare il documento. La risposta va data entro un mese, prorogabile di altri due mesi per richieste complesse o numerose (articolo 12, paragrafo 3).