Wat er is gebeurd
Op 21 en 24 juli 2025 stuurde de Italiaanse Nationale Federatie van Ordes van Biologen twee aangetekende e-mails (PEC, de Italiaanse e-mail met bewijskracht) naar een grote groep leden, met alle adressen in het ontvangersveld: iedereen zag die van de anderen. Een biologe diende een klacht in. De federatie legde uit dat het om een vergissing ging en dat het gebruikte PEC-systeem niet toeliet ontvangers in bcc te zetten. Met besluit nr. 763 van 7 oktober 2026, gepubliceerd op 20 oktober, legde de Garante een boete op van 2.000 euro wegens schending van artikel 5 en 6 AVG en artikel 2-ter van de Italiaanse privacycode.
De boete is laag en de Garante legt uit waarom: een eenmalige overtreding door een menselijke fout, alleen e-mailadressen en geen bijzondere persoonsgegevens, geen eerdere overtredingen, goede medewerking en al genomen corrigerende maatregelen. Toch is het besluit gepubliceerd, juist vanwege het grote aantal ontvangers, en het principe dat het vastlegt geldt voor iedereen.
Waarom een zichtbaar adres een verstrekking van gegevens is
Een e-mailadres op naam is een persoonsgegeven. Het in het veld 'Aan' of 'Cc' van een groepsbericht zetten betekent het verstrekken aan alle andere ontvangers, dus aan derden. Daarvoor is een grondslag nodig en, voor een overheidsorgaan volgens artikel 2-ter van de Italiaanse code, een wettelijke regeling die erin voorziet. Het is niet genoeg dat de ontvangers hetzelfde beroep uitoefenen, en ook niet dat het een vergissing was: de vergissing verklaart de ernst, ze maakt de verwerking niet rechtmatig.
- Een technische beperking van het hulpmiddel is geen rechtvaardiging: laat het systeem geen bcc toe, verstuur dan op een andere manier.
- De alternatieven zijn eenvoudig: losse berichten, samenvoegen, een platform voor massamail, een verzendlijst die de adressen niet toont.
- Adressen op naam wegen zwaarder dan algemene: voornaam.achternaam@ zegt wie iemand is, info@ niet.
- Een bericht met zichtbare ontvangers is ook een inbreuk op de vertrouwelijkheid: beoordeel het als datalek en leg het vast in het register, ook als melden niet nodig is.
- De regel moet op papier en worden uitgelegd: wie de rondzendbrieven verstuurt, is vaak niet degene die de privacyprocedures schreef.
De controle voor vandaag, in elk kantoor en elke organisatie
Vraag degene die groepsberichten verstuurt om de laatste verzending aan meer dan vijf mensen te laten zien. Kijk naar het ontvangersveld. Staan de adressen zichtbaar, dan bestaat het probleem al; staan ze in bcc, vraag dan of dat een vastgelegde regel is of een gewoonte van die persoon. Stel daarna dezelfde vraag over aangetekende e-mail, die vaak via een ander programma en een andere persoon loopt.
De zaak is vooral relevant voor beroepsorganisaties, verenigingen, scholen, VvE-beheerders en iedereen die regelmatig schrijft aan een lijst mensen die elkaar niet kennen. Juist bij die berichten is de fout het makkelijkst gemaakt, omdat dezelfde handeling tientallen keren terugkomt en iemand die vroeg of laat in haast uitvoert.
In het klantdossier volstaan drie regels: welk hulpmiddel wordt gebruikt voor groepsberichten, of het voorkomt dat adressen zichtbaar worden of afhangt van wie schrijft, en wanneer de verzenders voor het laatst zijn getraind. Is het tweede antwoord 'hangt af van wie schrijft', dan hoort daar de maatregel.
Officiële bron:Garante per la protezione dei dati personali — provvedimento n. 763 del 7 ottobre 2026 [doc. web 10309222]Officiële bron:Federprivacy — PEC con gli indirizzi dei destinatari in chiaro: il Garante multa la Federazione degli Ordini dei BiologiZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
