Sanzioni per e-mail spedite a destinatari sbagliati

Le sanzioni comminate dal Garante privacy per informazioni spedite a soggetti diversi dai legittimi destinatari, come riportate sulla newsletter n. 473 del 19 febbraio 2021, induce, per estensione, ad una riflessione sulle diciture che vengono spesso inserite in calce alle e-mail su presunti reati addebitabili agli ignari ricevitori di messaggi ad essi non destinati.

Normalmente l’avviso, che viene apposto in calce alla corrispondenza spedita, ha un contenuto similare.
“Il testo e gli eventuali documenti trasmessi contengono informazioni riservate appartenenti alla Società ed al mittente sopra indicati. La presente e-mail è confidenziale e la sua riservatezza è tutelata legalmente dal Regolamento Ue n. 679/2016 e da leggi civili e penali in materia.”

Sembra quasi che si pensi di poter ribaltare la responsabilità in capo a chi riceve un messaggio non desiderato oppure a chi legge dati personali riportati su un messaggio che, per errore del mittente, gli è stato spedito. 

Premesso che:
1. l’invio di una e-mail e la sicurezza che gli eventuali dati personali in esso contenuti vengano recapitati al legittimo destinatario deve essere assicurata dal sistema di comunicazione utilizzato e dalla diligenza dell’operatore addetto alla spedizione;
2. l’eventuale dicitura costituisce una autodenuncia che dimostra, da parte del titolare del trattamento, l’ammissione di non aver messo in atto tutte le misure di sicurezza per la protezione dei dati personali e, quindi, di non essere affidabile, non avendo applicato il principio della privacy by design;
3. l’eventuale situazione di recapito a soggetto diverso dal destinatario non si esaurirebbe nella distruzione del messaggio erroneamente ricevuto, comunque non verificabile, ma comporterebbe una situazione di data breach, accesso illecito ai dati personali, che, nei casi più gravi, richiederebbe la comunicazione al Garante Privacy;

Ben ha fatto il Garante a ricodare alle strutture sanitarie, ma vale per tutte le organizzazioni, che devono adottare tutte le misure tecniche e organizzative necessarie ad evitare errori nella comunicazione di dati personali a persone diverse dai legittimi destinatari.

Lo ha ribadito il Garante per la privacy sanzionando due ospedali e una Asl per le violazioni di dati personali causati non da attacchi informatici esterni, ma da procedure inadeguate e da semplici errori materiali del personale.

Un ospedale toscano ha ricevuto la sanzione di 10.000 euro per aver spedito via posta, al paziente sbagliato, una relazione medica contenente le informazioni sulla salute e la vita sessuale di un’altra coppia.

Anche un ospedale dell’Emilia-Romagna ha ricevuto la sanzione di 10.000 euro per aver consegnato a dei pazienti cartelle cliniche contenenti dati e referti riferibili ad altre persone, incluso un minore.

In entrambi i casi le sanzioni sono state calcolate tenendo conto che le strutture sanitarie hanno immediatamente dimostrato un elevato grado di cooperazione con il Garante e che gli episodi sono risultati isolati e non volontari.

Le due strutture hanno anche pianificato ulteriori misure tecniche e organizzative per ridurre al minimo l’errore umano.

Dott. Igino Addari

DPO