MondialFax

Fax e GDPR

Che cosa impone il regolamento e che cosa non dice da nessuna parte.

Il GDPR non vieta il fax né lo autorizza: non parla di canali, parla di rischio. Inviare un documento con dati personali è un trattamento, qualunque sia il mezzo, e gli obblighi sono gli stessi di un'e-mail: ridurre al minimo ciò che si trasmette, proteggere la trasmissione in modo proporzionato al rischio e saper reagire quando qualcosa finisce nel posto sbagliato. La particolarità del fax è soltanto che la cifratura non è disponibile, il che sposta lo sforzo sulle misure organizzative.

Quattro punti che risolvono l'essenziale

Nessuno di essi è specifico del fax, ed è proprio questo che va capito per primo.

  • Inviare un fax è un trattamento

    Trasmettere dati personali è un'operazione di trattamento ai sensi del regolamento, esattamente come raccoglierli o conservarli. La scelta del canale non fa uscire l'operazione dall'ambito di applicazione: cambia soltanto quali misure la rendono accettabile.

  • Il regolamento non classifica i canali

    Non troverà da nessuna parte un elenco di mezzi consentiti o vietati. Il testo richiede misure «adeguate al rischio», il che significa che la valutazione dipende dalla sensibilità dei dati, dal volume e dalle conseguenze di una divulgazione — non da un'etichetta apposta alla tecnologia.

  • La minimizzazione riguarda la pagina stessa

    Il principio di minimizzazione riguarda i dati che trasmette, non solo quelli che conserva. Una pagina con un codice fiscale completo dove sarebbero bastati un'iniziale e il numero di pratica è eccessiva, anche se la trasmissione riesce perfettamente.

  • Un destinatario fuori dallo Spazio economico europeo è un trasferimento

    Inviare un fax verso un Paese terzo ricade nelle regole sui trasferimenti internazionali, esattamente come un invio elettronico. Che il dato viaggi su una linea telefonica non cambia nulla.

L'assenza di cifratura e ciò che comporta

Il regolamento richiede misure tecniche e organizzative adeguate e cita la cifratura tra gli esempi — come esempio, non come obbligo generale. Su un fax la questione è decisa in partenza: il protocollo non la prevede e l'ultimo tratto fino all'apparecchio viaggia in chiaro sulla rete telefonica. Nessun fornitore può porvi rimedio.

Questo non rende il fax non conforme; sposta lo sforzo. Restano disponibili le misure organizzative: verificare il numero secondo una procedura scritta anziché a memoria, avvisare il destinatario perché la pagina non sosti su un apparecchio accessibile, ridurre ciò che compare sulla pagina e conservare il rapporto di trasmissione come prova di che cosa è partito e verso dove. Sono queste misure a documentare la sua valutazione del rischio.

Vale altrettanto il ragionamento inverso: se i dati sono tanto sensibili che andrebbe bene solo un canale cifrato e autenticato, e il destinatario ne accetta uno, allora il fax non è la scelta giusta — anche se nessuno lo vieta.

Il fax partito al numero sbagliato

È lo scenario GDPR più frequente legato al fax, e quello in cui contano i riflessi. Una divulgazione a un terzo non autorizzato è una violazione di dati personali, anche senza intenzione e anche se chi riceve è in buona fede.

  1. Documentare, in ogni caso

    Il regolamento impone di registrare internamente ogni violazione — i fatti, gli effetti e le misure adottate — indipendentemente dal fatto che vada notificata. È quel registro la prima cosa che l'autorità di controllo chiede.

  2. Valutare il rischio per le persone

    Il criterio non è la gravità dell'errore ma il rischio per gli interessati: quali dati, quante persone, quali conseguenze possibili e chi ha effettivamente ricevuto la pagina.

  3. Notificare all'autorità entro 72 ore se c'è un rischio

    La notifica all'autorità di controllo avviene senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui si è venuti a conoscenza della violazione — salvo che sia improbabile che comporti un rischio per i diritti e le libertà delle persone.

  4. Informare le persone se il rischio è elevato

    Quando è probabile che la violazione comporti un rischio elevato, anche gli interessati devono esserne informati, in termini chiari e con le misure che possono adottare.

Che cosa un'organizzazione può mettere in atto

Una procedura di verifica del numero
Scritta, e applicata da una persona diversa da chi compone quando l'invio è sensibile. È la misura che affronta la causa più frequente delle violazioni legate al fax.
Una copertina standard
Con il destinatario indicato e una nota su come comportarsi in caso di ricezione errata. Non vincola nessuno, ma viene letta e limita la lettura accidentale del resto.
Un punto di ricezione presidiato
Un apparecchio fax in un'area ad accesso limitato anziché in un corridoio. Sul lato ricezione è la misura che cambia di più.
La cancellazione degli apparecchi
Le multifunzione conservano le pagine in memoria e stampano un registro. Prevedere la cancellazione prima di ogni rivendita, riparazione o dismissione.
Il trattamento iscritto nel registro
Se l'invio di fax fa parte dei suoi processi correnti, compare nel registro delle attività di trattamento come qualsiasi altro flusso, con finalità, destinatari e tempi di conservazione.

Domande frequenti

Il GDPR vieta di inviare dati sanitari via fax?
No, nessuna disposizione lo vieta. I dati sanitari rientrano però nelle categorie particolari, il cui trattamento è soggetto a condizioni più stringenti e la cui divulgazione comporta un rischio più elevato: l'asticella delle misure di accompagnamento si alza, e spesso il destinatario è proprio l'ente che impone questo canale. Che cosa la sua struttura possa fare si decide con il responsabile della protezione dei dati.
Un fax inviato al numero sbagliato è una violazione di dati?
Sì, non appena contiene dati personali: è una divulgazione non autorizzata. Va registrata internamente in ogni caso, notificata all'autorità di controllo se esiste un rischio per le persone e comunicata agli interessati se tale rischio è elevato.
Serve un contratto con il servizio di fax online utilizzato?
Se un fornitore tratta dati personali per suo conto, il rapporto ricade nelle regole applicabili ai responsabili del trattamento e richiede un inquadramento contrattuale. È un punto da verificare con il servizio che utilizza prima di farne uno strumento professionale abituale.
Che cosa conserva MondialFax dei miei invii?
Il documento viene eliminato dai nostri server una volta conclusa la trasmissione: non è archiviato, né indicizzato, né analizzato. Il servizio non chiede alcuna registrazione, quindi non esiste un'area personale che raccolga i suoi invii passati. Ciò che resta dopo l'invio si trova presso il destinatario, fuori dalla nostra portata.

Per approfondire

Le pagine più utili per proseguire l'invio del tuo fax.