Ce qui s'est passé
Les 21 et 24 juillet 2025, la Fédération nationale des ordres des biologistes italienne a envoyé deux courriels certifiés (PEC, l'équivalent italien de la lettre recommandée électronique) à un grand nombre d'inscrits, avec toutes les adresses dans le champ des destinataires : chacun voyait celles des autres. Une biologiste a déposé plainte. La Fédération a expliqué qu'il s'agissait d'une erreur matérielle et que le système PEC utilisé ne permettait pas de mettre les destinataires en copie cachée. Par la décision n° 763 du 7 octobre 2026, publiée le 20 octobre, le Garante l'a sanctionnée de 2 000 euros pour violation des articles 5 et 6 du RGPD et de l'article 2-ter du Code italien de la vie privée.
La sanction est faible et le Garante explique pourquoi : manquement ponctuel dû à une erreur humaine, uniquement des adresses électroniques et aucune donnée sensible, pas d'antécédents, bonne coopération et mesures correctrices déjà prises. La décision a pourtant été publiée, justement en raison du grand nombre de destinataires, et le principe qu'elle pose vaut pour tous.
Pourquoi une adresse visible est une communication de données
Une adresse électronique nominative est une donnée personnelle. La placer dans le champ « À » ou « Cc » d'un message groupé revient à la communiquer à tous les autres destinataires, c'est-à-dire à des tiers. Il faut pour cela une base légale et, pour un organisme public selon l'article 2-ter du Code italien, un texte qui le prévoit. Il ne suffit pas que les destinataires exercent la même profession, ni que l'envoi soit une erreur : l'erreur explique la gravité, elle ne rend pas le traitement licite.
- Une limite technique de l'outil n'est pas une justification : si le système ne permet pas la copie cachée, on change de mode d'envoi.
- Les alternatives sont simples : envois individuels, publipostage, plateforme d'envoi en masse, liste de diffusion qui n'expose pas les adresses.
- Les adresses nominatives pèsent plus que les adresses génériques : prenom.nom@ dit qui est la personne, info@ non.
- Un envoi avec destinataires visibles est aussi une violation de confidentialité : il faut l'évaluer comme violation de données et l'inscrire au registre, même sans notification.
- La règle doit être écrite et enseignée : la personne qui envoie les circulaires n'est souvent pas celle qui a rédigé les procédures RGPD.
La vérification à faire aujourd'hui dans chaque cabinet et chaque organisme
Demandez à la personne qui envoie les messages groupés de vous montrer le dernier envoi à plus de cinq personnes. Regardez le champ des destinataires. Si les adresses sont visibles, le problème existe déjà ; si elles sont en copie cachée, demandez s'il s'agit d'une règle écrite ou d'une habitude de cette personne. Posez ensuite la même question pour le courriel recommandé, qui passe souvent par un autre logiciel et une autre personne.
L'affaire concerne en particulier les ordres professionnels, les associations, les écoles, les syndics de copropriété et tous ceux qui écrivent régulièrement à une liste de personnes qui ne se connaissent pas. Ce sont les envois où l'erreur est la plus facile, parce que la même opération se répète des dizaines de fois et qu'un jour quelqu'un la fait dans l'urgence.
Dans le dossier du client, trois lignes suffisent : quel outil sert aux envois groupés, s'il empêche d'exposer les adresses ou si cela dépend de la personne qui écrit, et quand les personnes qui envoient ont été formées pour la dernière fois. Si la deuxième réponse est « cela dépend de qui écrit », c'est là qu'il faut placer la mesure.
Source officielle:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Source officielle:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei BiologiVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
