Risposta breve: nel 2026 il fax non è né vietato dal GDPR, né conforme per natura. Il regolamento europeo non parla di telefax — parla di trattamenti di dati personali ed esige «misure tecniche e organizzative adeguate» (articolo 32). Un fax diventa un problema GDPR in tre punti precisi: in partenza (una cifra di troppo nel numero e il documento finisce a uno sconosciuto), durante il transito (la linea analogica e buona parte dei collegamenti VoIP non sono cifrati), all'arrivo (una vaschetta di ricezione posata in un corridoio equivale a una divulgazione a chiunque passi di lì). Tutti e tre si correggono, e nessuno richiede di abbandonare il fax: un numero di ricezione nominativo, una consegna via e-mail verso una casella controllata, una verifica sistematica dei numeri e un registro aggiornato bastano a fare di un fax un trattamento difendibile davanti al Garante.
Il tema è diventato sensibile perché il fax sopravvive proprio là dove circolano i dati più delicati: studi medici, laboratori, farmacie, studi notarili, assicurazioni, uffici HR, pubbliche amministrazioni. In altre parole, «dati sanitari» e «categorie particolari di dati» ai sensi dell'articolo 9 del GDPR, quelli la cui divulgazione costa di più — in termini di sanzioni come di reputazione. Le autorità di controllo hanno del resto pubblicato diversi richiami sugli invii errati di documenti medici, e il fax vi compare regolarmente accanto all'e-mail indirizzata male.
Che cosa richiede davvero il GDPR a un invio di fax
Nessun articolo del regolamento menziona il telefax. Ciò che si applica sono i principi generali, e tre di essi incidono in modo particolare sul fax.
La minimizzazione (articolo 5.1.c). Si devono trasmettere solo i dati necessari alla finalità. In pratica significa non inviare via fax un fascicolo completo quando basta una sola pagina, e oscurare ciò che non riguarda il destinatario. Un referto indirizzato a un collega non ha bisogno di riportare il codice fiscale per intero se il nome e la data di nascita sono sufficienti all'identificazione.
La sicurezza del trattamento (articolo 32). Il testo richiede misure «adeguate al rischio», citando esplicitamente la cifratura e la pseudonimizzazione tra le opzioni, senza renderle obbligatorie. È qui che si gioca tutto il dibattito: un fax analogico non è cifrato, ma viaggia su un circuito dedicato difficile da intercettare senza accesso fisico alla linea. Un fax trasmesso tramite un servizio online serio transita in TLS fino al fornitore, poi in T.38 su una rete operatore. Né l'uno né l'altro è cifratura end-to-end — ed è esattamente per questo che il canale alternativo conta: su dati ultrasensibili, una posta elettronica sanitaria sicura resta preferibile, come spiegavamo nel nostro confronto fax o messaggistica sicura.
La notifica delle violazioni (articoli 33 e 34). Un fax partito al numero sbagliato è una violazione di dati ai sensi del regolamento, non appena contiene dati personali. Il riflesso «richiamiamo il destinatario e non ne parliamo più» è esattamente ciò che l'autorità sanziona quando lo scopre durante un'ispezione.
I cinque punti di fuga di un invio via fax
1. Il numero digitato male
È, di gran lunga, la prima causa di incidenti. Un 3 al posto di un 8, un prefisso internazionale dimenticato, una scheda contatto mai aggiornata da quando lo studio ha traslocato. A differenza dell'e-mail, il fax non «rimbalza»: un numero assegnato a qualcun altro accetta la chiamata, stampa il documento, e voi ricevete una conferma di «trasmissione riuscita» perfettamente rassicurante.
Le contromisure si riassumono in tre abitudini:
- Una rubrica centralizzata invece di post-it e memorie del fax. I numeri vi vengono validati una volta, da una persona identificata, e corretti per tutti.
- La doppia digitazione per i destinatari occasionali: si digita il numero, si rilegge a voce alta cifra per cifra, si invia.
- Un invio di prova con una copertina vuota prima di una trasmissione voluminosa verso un nuovo corrispondente. Il rapporto di trasmissione conferma l'identificativo dell'apparecchio remoto (il CSID), spesso il nome dello studio o dell'azienda: una verifica gratuita che evita la maggior parte degli errori.
2. La copertina troppo loquace
Una copertina che riporta in chiaro «Risultati analisi HIV — Sig.ra Rossi, nata il 14/03/1978» divulga il dato sensibile ancor prima che qualcuno abbia aperto il fascicolo. Deve identificare il mittente, il destinatario per nome, il numero di pagine e recare una clausola di riservatezza — non riassumere il contenuto. Abbiamo dettagliato le diciture utili nel nostro modello di copertina.
3. La vaschetta di ricezione ad accesso libero
Il classico punto cieco. L'azienda cifra i backup, blocca le sessioni… e lascia un fax stampare in continuazione in uno spazio aperto, talvolta accessibile a visitatori e ditte di pulizia. Sulla carta termica, i documenti si accumulano durante il fine settimana e nessuno sa quante pagine siano state prelevate.
Esistono due risposte. La prima consiste nel passare alla ricezione via e-mail: non si stampa più nulla, i documenti arrivano in una casella nominativa o in una casella di servizio con accessi tracciati — è il principio del fax-to-email. La seconda, quando la stampa resta necessaria, impone di spostare l'apparecchio in un locale chiuso e di affiancargli un distruggidocumenti a taglio incrociato per le pagine errate o obsolete, che nessuno deve gettare così come sono nel cestino.
4. Il fornitore e il suo hosting
Nel momento in cui vi affidate a un servizio di fax online, quel servizio diventa responsabile del trattamento per conto vostro (sub-responsabile) ai sensi dell'articolo 28 del GDPR. Tre verifiche sono d'obbligo prima di firmare:
| Punto da verificare | Che cosa occorre ottenere |
|---|---|
| Contratto di trattamento | Un accordo ex articolo 28 scritto (DPA), con finalità, durata e misure di sicurezza |
| Localizzazione dei dati | Hosting nell'UE, oppure garanzie adeguate documentate per qualsiasi trasferimento extra-UE |
| Periodo di conservazione | Per quanto tempo il PDF resta sui server, e come cancellarlo |
| Dati sanitari | Certificazione HDS (hosting di dati sanitari) se trattate cartelle di pazienti |
| Log | Registri di invio/ricezione consultabili in caso di ispezione o contenzioso |
La certificazione HDS non è un dettaglio di marketing: per uno studio medico, un laboratorio o un servizio di cura, l'hosting di dati sanitari presso terzi è disciplinato dalla normativa sanitaria. Un fornitore che non sa rispondere a questa domanda merita che si cerchi altrove.
5. Il fax a fine vita
Le multifunzione professionali integrano un disco rigido o una memoria flash che conserva le immagini dei documenti inviati e ricevuti, talvolta diverse migliaia di pagine. Rivendere o buttare l'apparecchio senza una cancellazione sicura equivale a esportare una banca dati. Prima di dismetterlo occorre avviare la funzione di cancellazione del costruttore (spesso chiamata «data overwrite» o «inizializzazione disco»), e per le macchine con disco estraibile, rimuoverlo fisicamente. Avevamo dedicato un intero articolo a questo passaggio in fine vita del fax.
Un fax partito al numero sbagliato: la procedura in 72 ore
Il conto alla rovescia dell'articolo 33 parte dal momento in cui venite a conoscenza della violazione, non dal momento in cui si è verificata. Ecco come procedere, nell'ordine.
Ora 0 — Qualificare. Annotate il numero digitato, il numero corretto, la marca temporale del rapporto di trasmissione, la natura dei dati (identità, recapiti, salute, dati bancari) e il numero di persone interessate. Conservate il rapporto: è la vostra prova.
Ora 1 — Contenere. Chiamate a voce il numero errato. Nella maggior parte dei casi qualcuno risponde; chiedete la distruzione del documento e annotate il nome della persona, la data e l'ora. Non è una garanzia giuridica, ma è una misura di attenuazione che pesa nella valutazione del rischio.
Ora 2 — Registrare. Ogni violazione, anche se non notificata, deve figurare nel registro delle violazioni previsto dall'articolo 33.5. Basta una semplice tabella datata, a condizione che vi compaiano i fatti, gli effetti e le misure adottate.
Entro 72 ore — Notificare se necessario. Se la violazione è suscettibile di presentare un rischio per i diritti e le libertà delle persone, va notificata all'autorità di controllo tramite il servizio online dedicato. Con dati sanitari o bancari, la risposta è quasi sempre sì. Se il rischio è elevato, l'articolo 34 impone inoltre di informare le persone interessate, individualmente e con un linguaggio chiaro.
Poi — Correggere la causa. Una violazione non seguita da una misura correttiva è una circostanza aggravante. Correggere la scheda contatto, attivare la doppia digitazione, formare il team: tre righe nel registro che cambiano tutto durante un'ispezione.
Organizzare la conformità senza appesantire il lavoro quotidiano
Inserire il fax nel registro dei trattamenti
Il registro dell'articolo 30 deve descrivere i trattamenti, non gli strumenti — ma se il fax è il vostro canale principale per trasmettere referti o fascicoli, deve comparire nelle voci «destinatari» e «misure di sicurezza» del trattamento interessato. Una riga: «trasmissione via fax tramite fornitore X, hosting UE, conservazione 30 giorni». È questa riga che un ispettore cercherà.
Scrivere una procedura di una pagina
La conformità GDPR di un fax non si gioca in un documento di quaranta pagine, ma in un promemoria affisso vicino all'apparecchio: chi è autorizzato a inviare, come si verifica un numero, cosa si scrive sulla copertina, cosa si fa in caso di errore, dove si archiviano i rapporti. Un raccoglitore ad archivio con leva per i rapporti cartacei e una cartella datata sul server per i PDF fanno il resto. I tempi di conservazione, invece, dipendono dalla natura del documento e non dal canale — argomento che abbiamo affrontato nella nostra guida all'archiviazione.
Formare, brevemente ma davvero
Gli incidenti con il fax non derivano quasi mai da un attacco: derivano da un gesto di routine fatto troppo in fretta. Venti minuti di sensibilizzazione all'anno, con due o tre casi concreti, riducono gli errori più di qualsiasi apparecchiatura. Per le strutture prive di DPO, una guida pratica al GDPR per PMI e microimprese in edizione recente fornisce il quadro sufficiente per tenere un registro corretto.
Proteggere la postazione di consultazione
Se i fax arrivano ormai via e-mail, il rischio si sposta sullo schermo. In una segreteria medica o a uno sportello aperto al pubblico, un filtro privacy per schermo impedisce la lettura laterale, e il blocco automatico della sessione dopo tre minuti fa il resto. Su una postazione mobile, una chiavetta USB con cifratura hardware evita che un fascicolo esportato per una riunione finisca in chiaro in una tasca.
Domande frequenti
Il fax è più sicuro dell'e-mail per inviare dati sanitari?
Né più né meno, semplicemente in modo diverso. L'e-mail ordinaria attraversa più server e lascia copie ovunque; il fax segue un percorso più diretto ma non è cifrato end-to-end. Per i dati sanitari tra professionisti, una posta elettronica sanitaria sicura resta il riferimento. Il fax conserva la sua utilità con i corrispondenti che non vi sono collegati — in particolare all'estero.
Serve il consenso del paziente per inviare la sua cartella via fax?
Il consenso è solo una delle sei basi giuridiche. Tra professionisti sanitari coinvolti nella presa in carico, la trasmissione si fonda generalmente su un'altra base e sul segreto professionale condiviso. Ciò che resta obbligatorio: informare l'interessato sui destinatari dei suoi dati e trasmettere solo il necessario.
Una conferma di trasmissione prova l'effettiva ricezione?
Prova che un apparecchio remoto ha risposto e accettato le pagine, con una marca temporale e spesso un identificativo CSID. Non prova che il destinatario giusto le abbia lette. È per questo che va archiviata insieme al documento trasmesso, e non separatamente.
Per quanto tempo un fornitore di fax online conserva i miei documenti?
Dipende dal contratto, ed è proprio una domanda da porre prima di sottoscrivere. Una durata breve, configurabile, con cancellazione effettiva alla scadenza, è il segnale giusto. Pretendete che questo punto figuri nel DPA.
Un fax inviato all'estero cambia qualcosa ai fini del GDPR?
Il trasferimento di dati fuori dall'Unione europea è disciplinato dal capo V del regolamento. In pratica, l'invio occasionale a un destinatario identificato in un paese terzo può rientrare in una deroga, ma un flusso regolare richiede un inquadramento documentato. Verificate al contempo l'elenco delle destinazioni compatibili prima di organizzare un flusso ricorrente.
Da ricordare
- Il GDPR non parla di fax: parla di rischio, di minimizzazione e di sicurezza adeguata. Il fax resta utilizzabile, a certe condizioni.
- Le tre zone di fuga sono il numero digitato, la vaschetta di ricezione e il fornitore. Nessuna è tecnica in senso stretto: si affrontano con l'organizzazione.
- Un fax indirizzato male è una violazione di dati: qualificare, contenere, annotare nel registro, notificare all'autorità entro 72 ore se il rischio esiste.
- Un servizio di fax online deve fornire un DPA, un hosting UE, un periodo di conservazione configurabile — e una certificazione HDS non appena si tratta di dati sanitari.
- Un fax dismesso senza cancellazione della memoria porta con sé mesi di documenti: la cancellazione sicura fa parte della procedura di smaltimento.
- La ricezione via e-mail elimina la vaschetta ad accesso libero, ma sposta il rischio sullo schermo e sulla casella condivisa: accessi nominativi, blocco sessione, filtro privacy.
Per le questioni pratiche su invio e ricezione, le nostre domande frequenti completano questa guida; e se volete semplicemente testare una trasmissione fatta bene prima di rivedere le vostre procedure, tutto parte dalla pagina di invio.
Tagfaxsecuritypaperless
