Articolo a cura di: Redazione - Studio Legale Calvello

Inviare un contratto, una busta paga, un documento di identità o un fascicolo contenente informazioni riservate tramite posta elettronica è un’operazione quotidiana per molte imprese. Quando gli allegati contengono dati personali di dipendenti, clienti o fornitori, però, l’azienda deve verificare che la trasmissione avvenga con misure di sicurezza adeguate al rischio. Un indirizzo digitato erroneamente, un documento non protetto o un collegamento accessibile a chiunque possono determinare una divulgazione non autorizzata e, in determinate circostanze, una violazione dei dati personali.

Il GDPR non vieta l’invio di documenti riservati tramite email e non impone indiscriminatamente la crittografia di ogni allegato. Richiede al titolare del trattamento di adottare misure tecniche e organizzative proporzionate alla natura delle informazioni, alle modalità di trasmissione e alle possibili conseguenze per gli interessati. Per un’impresa, questo significa stabilire quando sia sufficiente la posta elettronica ordinaria, quando occorrano protezioni aggiuntive e come documentare le precauzioni adottate. Nei casi più delicati, una valutazione professionale consente di individuare eventuali carenze prima che producano incidenti, contestazioni o richieste di risarcimento.

Quando l’invio di documenti tramite email può violare il GDPR

Il problema non riguarda esclusivamente i messaggi inviati al destinatario sbagliato. Anche una comunicazione indirizzata correttamente può presentare criticità quando il documento contiene informazioni particolarmente delicate, viene trasmesso attraverso sistemi non adeguatamente protetti oppure rimane accessibile a persone che non dovrebbero conoscerne il contenuto.

Consideriamo un ufficio amministrativo che invia periodicamente fatture, contratti, documenti fiscali e prospetti retributivi. I dati contenuti in questi file possono essere molto diversi: informazioni identificative, coordinate bancarie, retribuzioni, situazioni familiari o dati relativi alla salute. La scelta delle misure di protezione deve tenere conto del contenuto effettivo del documento e del rischio associato alla sua divulgazione, non soltanto del fatto che venga spedito tramite email.

L’articolo 5, paragrafo 1, lettera f), del Regolamento (UE) 2016/679 impone che i dati personali siano trattati in modo da garantirne un’adeguata sicurezza, compresa la protezione contro trattamenti non autorizzati o illeciti e contro la perdita, la distruzione o il danno accidentali. L’articolo 32 sviluppa questo principio richiedendo misure adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura del trattamento e delle possibili conseguenze per i diritti e le libertà delle persone.

Per l’azienda, quindi, utilizzare una casella email professionale non equivale automaticamente a garantire la conformità al GDPR. Occorre considerare la sicurezza del servizio, le credenziali di accesso, le autorizzazioni degli utenti, la protezione degli allegati e le modalità con cui il destinatario può consultare o conservare i documenti.

Un rischio frequente riguarda gli indirizzi email inseriti automaticamente dai programmi di posta elettronica. Un dipendente può selezionare un contatto omonimo o utilizzare un indirizzo precedentemente memorizzato senza accorgersi che appartiene a un soggetto diverso. Altre criticità derivano dall’invio di file Excel contenenti interi elenchi di clienti, dalla condivisione di cartelle tramite collegamenti pubblici o dall’utilizzo di caselle personali per trasmettere documentazione aziendale.

Quando le informazioni vengono comunicate a soggetti non autorizzati, può configurarsi una violazione della riservatezza dei dati personali. Non ogni errore comporta automaticamente una sanzione o l’obbligo di notifica al Garante: occorre valutare concretamente l’accaduto, le informazioni coinvolte e il rischio per gli interessati. Abbiamo approfondito le prime attività da svolgere nel caso di una email inviata al destinatario sbagliato, situazione che richiede una gestione distinta dalle misure preventive oggetto di questo articolo.

Come proteggere gli allegati e scegliere il sistema di trasmissione più adeguato

La prima valutazione riguarda la necessità di trasmettere effettivamente tutti i dati contenuti nel documento. Il principio di minimizzazione, previsto dall’articolo 5 del GDPR, richiede che le informazioni trattate siano adeguate, pertinenti e limitate a quanto necessario rispetto alla finalità perseguita. Prima dell’invio, quindi, può essere opportuno eliminare dati superflui, oscurare informazioni non pertinenti o predisporre una versione del documento destinata specificamente al soggetto che deve riceverlo.

Una volta definito il contenuto, occorre scegliere il canale di trasmissione. L’email ordinaria può essere utilizzata per comunicare dati personali, purché le misure adottate siano adeguate al rischio del trattamento. Per documenti particolarmente riservati, la semplice protezione della connessione tra server di posta potrebbe non essere sufficiente, soprattutto quando non è possibile controllare le condizioni di sicurezza del sistema utilizzato dal destinatario.

La crittografia rappresenta una delle misure espressamente considerate dall’articolo 32 del GDPR. Può essere applicata al messaggio, al file allegato oppure al sistema attraverso cui il documento viene reso disponibile. Non esiste però una regola generale che imponga di proteggere con password ogni PDF contenente dati personali. La necessità di ricorrere alla cifratura dipende dalla valutazione del rischio, dalla sensibilità delle informazioni e dalle caratteristiche della comunicazione.

Quando si decide di utilizzare un allegato cifrato, è opportuno trasmettere la password attraverso un canale separato e verificare che il sistema impiegato offra una protezione effettiva. Inserire la password nello stesso messaggio che contiene il documento riduce sensibilmente l’utilità della misura, perché chi accede indebitamente all’email può ottenere contemporaneamente il file e la chiave per aprirlo.

Per lo scambio frequente di documentazione particolarmente delicata può risultare più appropriato un portale riservato, con autenticazione degli utenti, autorizzazioni differenziate e collegamenti con scadenza. Anche queste soluzioni richiedono verifiche: un link condivisibile senza autenticazione o una cartella cloud accessibile a un numero indeterminato di persone possono esporre le informazioni a rischi analoghi a quelli di un allegato email non protetto.

La posta elettronica certificata merita una valutazione specifica. La PEC offre determinate garanzie relative alla trasmissione e alla certificazione dell’invio e della consegna, ma non deve essere considerata automaticamente equivalente a un sistema di crittografia end-to-end del contenuto. L’utilizzo della PEC non esonera quindi l’impresa dal verificare se siano necessarie ulteriori misure di protezione per gli allegati riservati.

Un’attenzione particolare è necessaria per la documentazione del personale. L’invio di cedolini, certificazioni, contratti o documenti contenenti informazioni sanitarie richiede procedure coerenti con la riservatezza dei dati trattati. È opportuno verificare gli indirizzi utilizzati, limitare gli accessi alle informazioni e definire istruzioni specifiche per gli operatori autorizzati. Per gli aspetti organizzativi relativi al personale, si può consultare anche il nostro approfondimento sulla gestione della privacy e del GDPR nell’ufficio HR.

La scelta tra email ordinaria, PEC, allegato cifrato o piattaforma documentale dovrebbe essere formalizzata in istruzioni aziendali comprensibili e applicabili. Una procedura eccessivamente complessa rischia infatti di essere aggirata nella pratica, mentre indicazioni troppo generiche lasciano ai singoli dipendenti decisioni che dovrebbero essere assunte sulla base di criteri condivisi e verificabili.

Quali obblighi e responsabilità ha l’azienda quando invia documenti contenenti dati personali

La sicurezza nell’invio dei documenti non può essere affidata esclusivamente alla prudenza dei singoli dipendenti. Il titolare del trattamento deve organizzare le attività aziendali in modo che le informazioni personali siano trasmesse secondo procedure coerenti con il rischio. Gli articoli 24 e 32 del GDPR richiedono infatti di adottare misure tecniche e organizzative adeguate e di poter dimostrare le scelte effettuate. La responsabilità dell’azienda riguarda quindi anche l’organizzazione del processo di invio, la formazione del personale e la verifica periodica delle misure adottate.

Una procedura interna dovrebbe individuare chi è autorizzato a trasmettere determinate categorie di documenti, quali verifiche effettuare prima dell’invio e quando utilizzare sistemi di protezione aggiuntivi. Per esempio, l’ufficio amministrativo potrebbe essere autorizzato a inviare fatture e documentazione contabile attraverso la normale posta elettronica aziendale, mentre per fascicoli contenenti dati sanitari, documenti disciplinari o informazioni particolarmente riservate potrebbero essere richiesti allegati cifrati o piattaforme documentali con accesso autenticato. La distinzione deve derivare da una valutazione effettiva dei rischi e non da una classificazione puramente formale dei documenti.

Un altro aspetto riguarda i rapporti con i soggetti esterni. Quando l’impresa trasmette dati personali a consulenti, fornitori informatici o società incaricate di svolgere determinate attività, occorre verificare il ruolo privacy del destinatario e la legittimità della comunicazione. Se il soggetto tratta dati personali per conto dell’azienda, nei casi previsti dall’articolo 28 del GDPR deve essere regolato il rapporto mediante un contratto o altro atto giuridico conforme alla normativa. La presenza di un accordo di riservatezza, da sola, non sostituisce gli adempimenti richiesti quando il destinatario opera come responsabile del trattamento. Non tutti i professionisti esterni, però, assumono automaticamente tale qualifica: il ruolo deve essere individuato sulla base delle attività concretamente svolte.

La formazione del personale assume particolare rilievo perché numerosi incidenti derivano da comportamenti apparentemente ordinari. La selezione di un indirizzo suggerito automaticamente dal programma di posta, l’invio di un file contenente colonne nascoste con informazioni non pertinenti o l’utilizzo di una casella personale per lavorare da remoto possono provocare divulgazioni non autorizzate. Le istruzioni dovrebbero quindi riguardare operazioni concrete e ricorrenti, con controlli proporzionati alla sensibilità dei dati. Per approfondire gli obblighi organizzativi abbiamo dedicato un articolo alla formazione privacy dei dipendenti e alla sua documentazione.

Quando l’azienda dispone di un Responsabile della protezione dei dati, il DPO può essere coinvolto nella valutazione delle procedure, nell’individuazione delle criticità e nella verifica dell’osservanza del GDPR, secondo i compiti previsti dall’articolo 39. La sua presenza non trasferisce però al professionista la responsabilità del titolare per le misure di sicurezza. Anche nelle imprese che non sono tenute a nominare un DPO, può essere opportuno richiedere una valutazione specialistica quando vengono trasmessi sistematicamente grandi quantità di documenti personali o informazioni particolarmente delicate.

Se si verifica un invio errato, l’azienda deve valutare tempestivamente se l’episodio costituisca una violazione dei dati personali ai sensi dell’articolo 4, punto 12, del GDPR. Occorre identificare i documenti coinvolti, accertare a chi siano stati comunicati, verificare le possibilità di contenimento e valutare le conseguenze per gli interessati. L’articolo 33 prevede la notifica al Garante, ove possibile entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione, salvo che sia improbabile che questa presenti un rischio per i diritti e le libertà delle persone fisiche. Nei casi di rischio elevato può rendersi necessaria anche la comunicazione agli interessati secondo l’articolo 34, ferme le eccezioni previste dalla norma.

Non ogni invio errato comporta una notifica, ma le violazioni dei dati personali devono essere documentate dal titolare anche quando non ricorrono i presupposti per comunicarle al Garante. La valutazione deve essere motivata e conservata, in modo da consentire la verifica delle circostanze e delle misure correttive adottate. Abbiamo approfondito separatamente quando notificare un data breach al Garante Privacy.

In presenza di una contestazione, l’Autorità può esaminare l’adeguatezza delle misure di sicurezza, le procedure interne, le istruzioni impartite agli autorizzati e le modalità con cui l’impresa ha affrontato l’incidente. Le eventuali conseguenze dipendono dalla violazione concretamente accertata e dai criteri previsti dal GDPR. Per questa ragione, una documentazione privacy formalmente completa non è sufficiente se le procedure di trasmissione dei documenti non vengono effettivamente applicate. La verifica delle misure adottate dovrebbe rientrare nei controlli periodici di conformità, soprattutto quando cambiano i sistemi informatici, i fornitori o le categorie di informazioni trattate.

Un esempio pratico: l’invio di documenti riservati da parte dell’ufficio amministrativo

Consideriamo il caso ipotetico di un’azienda che trasmette regolarmente documentazione relativa ai dipendenti a consulenti esterni. L’ufficio amministrativo utilizza la posta elettronica ordinaria per inviare prospetti retributivi, documenti identificativi e altri allegati contenenti dati personali. Le comunicazioni vengono gestite da più operatori, senza criteri uniformi per la verifica dei destinatari e senza una procedura che distingua i documenti ordinari da quelli che richiedono maggiori precauzioni.

In una situazione del genere, il nostro intervento professionale potrebbe partire dall’esame delle modalità di trasmissione, delle categorie di dati coinvolte e dei rapporti con i destinatari esterni. Particolare attenzione dovrebbe essere riservata alla necessità di condividere effettivamente tutte le informazioni contenute nei file e alla possibilità di adottare sistemi di trasmissione più adeguati per i documenti maggiormente riservati.

Sulla base delle criticità individuate, l’azienda potrebbe definire istruzioni operative differenziate, introdurre controlli sugli indirizzi dei destinatari, prevedere l’utilizzo di allegati cifrati nei casi appropriati e organizzare una formazione mirata per il personale. La soluzione dovrebbe essere proporzionata alle dimensioni dell’impresa, ai trattamenti effettuati e alle caratteristiche degli strumenti utilizzati, evitando procedure inutilmente complesse che rischierebbero di non essere rispettate nell’attività quotidiana.

Domande frequenti sull’invio di documenti con dati personali tramite email

È obbligatorio proteggere con password tutti i documenti contenenti dati personali inviati via email?

No. Il GDPR non prevede un obbligo generalizzato di proteggere ogni allegato con una password. L’articolo 32 richiede misure di sicurezza adeguate al rischio. Per documenti contenenti informazioni particolarmente delicate, come dati sanitari o documentazione riservata del personale, la cifratura può essere una misura appropriata. L’azienda deve valutare la natura dei dati, le modalità di trasmissione e le possibili conseguenze di un accesso non autorizzato.

La PEC è sufficiente per inviare documenti riservati nel rispetto del GDPR?

Non necessariamente. La PEC offre garanzie relative all’invio e alla consegna dei messaggi, ma non assicura automaticamente la riservatezza del contenuto attraverso una crittografia end-to-end. Quando vengono trasmessi documenti particolarmente delicati, può essere necessario adottare ulteriori protezioni, indipendentemente dall’utilizzo della posta elettronica certificata.

Un’azienda può inviare buste paga e documenti dei dipendenti tramite email ordinaria?

Sì, purché la trasmissione avvenga nel rispetto del GDPR e con misure adeguate alla riservatezza delle informazioni. È necessario verificare che il destinatario sia corretto, limitare i dati comunicati a quelli necessari e valutare eventuali protezioni aggiuntive. La presenza di informazioni particolarmente delicate può rendere opportuno l’utilizzo di allegati cifrati o sistemi documentali con accesso riservato.

Chi risponde se un dipendente invia per errore documenti personali a un soggetto non autorizzato?

Il titolare del trattamento deve valutare l’incidente e gli eventuali obblighi previsti dal GDPR. La circostanza che l’errore sia stato materialmente commesso da un dipendente non esclude automaticamente la responsabilità dell’azienda, soprattutto quando risultano carenti le istruzioni, la formazione o le misure organizzative. L’accertamento delle responsabilità richiede comunque l’esame delle circostanze concrete, delle procedure adottate e della condotta dei soggetti coinvolti.

Quando è opportuno richiedere una consulenza GDPR sulle procedure di invio dei documenti?

Una valutazione professionale può essere particolarmente utile quando l’azienda trasmette frequentemente documenti contenenti dati riservati, utilizza più sistemi di posta elettronica o servizi cloud, condivide informazioni con numerosi fornitori oppure non dispone di procedure interne aggiornate. L’assistenza diventa particolarmente rilevante quando emergono errori ricorrenti, accessi non autorizzati, reclami degli interessati o dubbi sull’adeguatezza delle misure di sicurezza.

Invio di documenti riservati via email: richiedi una valutazione delle procedure GDPR aziendali

Se la tua azienda invia regolarmente documenti contenenti dati personali di dipendenti, clienti o fornitori, è opportuno verificare che le modalità di trasmissione siano coerenti con gli obblighi del GDPR e con i rischi effettivi delle attività svolte. L’assenza di procedure adeguate, la protezione insufficiente degli allegati o la mancata verifica dei destinatari possono esporre l’impresa a violazioni della riservatezza, contestazioni e responsabilità.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi privacy, nell’esame delle procedure aziendali e nell’individuazione delle misure organizzative necessarie per una gestione più sicura dei dati personali. Possiamo intervenire anche quando l’azienda deve affrontare un incidente, verificare una possibile violazione del GDPR o riorganizzare le modalità di trasmissione della documentazione riservata.

Per sottoporci la situazione della tua impresa, richiedi una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche giuridiche e organizzative che richiedono un approfondimento professionale.