Två certifierade mejl med alla adresser synliga: 2 000 euro till det italienska biologförbundet

Avgiften är låg och Garante förklarar varför: en enstaka överträdelse som berodde på ett mänskligt misstag, bara e-postadresser och inga känsliga uppgifter, inga tidigare överträdelser, gott samarbete och korrigerande åtgärder redan vidtagna. Beslutet publicerades ändå, just på grund av det stora antalet mottagare, och principen det slår fast gäller alla.

Varför en synlig adress är ett utlämnande av uppgifter

En personlig e-postadress är en personuppgift. Att sätta den i fältet ”Till” eller ”Kopia” i ett gruppmejl innebär att lämna ut den till alla andra mottagare, alltså till tredje part. Det kräver en rättslig grund och, för en offentlig aktör enligt artikel 2-ter i den italienska lagen, en regel som föreskriver det. Det räcker inte att mottagarna har samma yrke, och inte heller att utskicket var ett misstag: misstaget förklarar allvarlighetsgraden, det gör inte behandlingen laglig.

• En teknisk begränsning i verktyget är ingen ursäkt: tillåter systemet inte hemlig kopia får man skicka på ett annat sätt.
• Alternativen är enkla: enskilda utskick, dokumentkoppling, en plattform för massutskick, en sändlista som inte visar adresserna.
• Personliga adresser väger tyngre än allmänna: fornamn.efternamn@ säger vem personen är, info@ gör det inte.
• Ett utskick med synliga mottagare är också ett brott mot konfidentialiteten: det ska bedömas som personuppgiftsincident och dokumenteras, även om det inte anmäls.
• Regeln måste skrivas ned och läras ut: den som skickar ut cirkulären är sällan den som skrev dataskyddsrutinerna.

Fallet är särskilt relevant för yrkessammanslutningar, föreningar, skolor, förvaltare av bostadsrättsföreningar och alla som regelbundet skriver till en lista med personer som inte känner varandra. Det är i de utskicken misstaget är lättast att göra, eftersom samma moment upprepas dussintals gånger och någon förr eller senare gör det i all hast.

I kundakten räcker tre rader: vilket verktyg som används för gruppmejl, om det hindrar att adresserna syns eller om det beror på vem som skriver, och när de som skickar senast fick utbildning. Är det andra svaret ”det beror på vem som skriver” är det där åtgärden ska sitta.