Mitä tapahtui
Italian biologijärjestöjen kansallinen liitto lähetti 21. ja 24. heinäkuuta 2025 kaksi varmennettua sähköpostia (PEC, Italian todistusvoimainen sähköposti) suurelle jäsenjoukolle niin, että kaikki osoitteet olivat vastaanottajakentässä: jokainen näki muiden osoitteet. Eräs biologi teki valituksen. Liitto selitti, että kyse oli virheestä ja että käytetty PEC-järjestelmä ei sallinut vastaanottajien lisäämistä piilokopioon. Garante määräsi 7. lokakuuta 2026 annetulla ja 20. lokakuuta julkaistulla päätöksellä nro 763 liitolle 2 000 euron maksun GDPR:n 5 ja 6 artiklan sekä Italian tietosuojalain 2-ter pykälän rikkomisesta.
Maksu on pieni, ja Garante perustelee sen: yksittäinen rikkomus inhimillisen virheen vuoksi, vain sähköpostiosoitteita eikä erityisiä henkilötietoryhmiä, ei aiempia rikkomuksia, hyvä yhteistyö ja korjaavat toimet jo tehty. Päätös kuitenkin julkaistiin juuri vastaanottajien suuren määrän vuoksi, ja sen periaate koskee kaikkia.
Miksi näkyvä osoite on tietojen luovuttamista
Nimetty sähköpostiosoite on henkilötieto. Sen laittaminen ryhmäviestin Vastaanottaja- tai Kopio-kenttään tarkoittaa sen luovuttamista kaikille muille vastaanottajille eli kolmansille osapuolille. Siihen tarvitaan oikeusperuste ja julkisyhteisöllä Italian lain 2-ter pykälän mukaan säännös, joka sen sallii. Ei riitä, että vastaanottajat ovat samaa ammattikuntaa, eikä se, että lähetys oli virhe: virhe selittää vakavuuden, se ei tee käsittelystä lainmukaista.
- Työkalun tekninen rajoitus ei ole peruste: jos järjestelmä ei salli piilokopiota, lähetystapaa on muutettava.
- Vaihtoehdot ovat yksinkertaisia: yksittäiset viestit, joukkokirje, joukkopostitusalusta, jakelulista joka ei näytä osoitteita.
- Nimetyt osoitteet painavat enemmän kuin yleiset: etunimi.sukunimi@ kertoo kuka henkilö on, info@ ei.
- Viesti, jossa vastaanottajat näkyvät, on myös luottamuksellisuuden loukkaus: se on arvioitava tietoturvaloukkauksena ja kirjattava, vaikka siitä ei ilmoitettaisi.
- Sääntö on kirjattava ja opetettava: kiertokirjeiden lähettäjä on harvoin se, joka kirjoitti tietosuojamenettelyt.
Tarkistus tänään jokaisessa toimistossa ja organisaatiossa
Pyydä ryhmäviestejä lähettävää henkilöä näyttämään viimeisin yli viidelle henkilölle lähetetty viesti. Katso vastaanottajakenttää. Jos osoitteet näkyvät, ongelma on jo olemassa; jos ne ovat piilokopiossa, kysy onko se kirjattu sääntö vai kyseisen henkilön tapa. Kysy sitten sama kysymys turvapostista, joka kulkee usein eri ohjelman ja eri henkilön kautta.
Tapaus koskee erityisesti ammattijärjestöjä, yhdistyksiä, kouluja, isännöitsijöitä ja kaikkia, jotka kirjoittavat säännöllisesti toisilleen tuntemattomien ihmisten listalle. Juuri näissä lähetyksissä virhe on helpoin tehdä, koska sama toimenpide toistuu kymmeniä kertoja ja ennen pitkää joku tekee sen kiireessä.
Asiakkaan kansioon riittää kolme riviä: mitä työkalua ryhmäviesteihin käytetään, estääkö se osoitteiden näkymisen vai riippuuko se kirjoittajasta, ja milloin lähettäjät on viimeksi koulutettu. Jos toinen vastaus on ”riippuu kirjoittajasta”, toimenpide kuuluu juuri sinne.
Virallinen lähde:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Virallinen lähde:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei BiologiEtsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
