GDPR e email aziendali: cinque verifiche utili

GDPR ed email: parti dai dati che tratti

Una casella aziendale può contenere nomi, contatti, fatture, documenti e altre informazioni che identificano persone fisiche. Il Regolamento (UE) 2016/679 definisce quando queste informazioni sono dati personali e quali responsabilità derivano dal loro trattamento. Non ogni messaggio contiene necessariamente dati personali: valuta contenuto e contesto.

Le cinque verifiche qui sotto sono un punto di partenza. Le misure appropriate dipendono dai rischi e dall'organizzazione; un servizio email non rende conforme un'azienda da solo.

Cinque verifiche per la posta aziendale

1. Sicurezza dei dati in transito e conservati: articolo 32

L'articolo 32 richiede misure tecniche e organizzative adeguate al rischio. Per la posta puoi valutare controllo degli accessi, autenticazione a più fattori, backup, gestione degli account e protezione del trasporto. La norma non prescrive una configurazione TLS identica per ogni trattamento.

Chiedi al provider quali connessioni sono cifrate, come sono protetti backup e archivi, e quali impostazioni devi gestire tu. Controllare i record DNS è utile per l'autenticazione del dominio, ma non dimostra da solo che tutti i messaggi viaggino cifrati.

2. Gestione delle violazioni: articoli 33 e 34

Un accesso non autorizzato a una casella può essere una violazione di dati personali. Devi accertare quali dati siano coinvolti e valutare il rischio per le persone.

L'articolo 33 prevede la notifica all'autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. L'articolo 34 richiede la comunicazione agli interessati quando il rischio è elevato, salve le eccezioni previste. Non ogni phishing o account compromesso produce automaticamente una notifica.

Prepara una procedura per individuare, documentare e valutare gli incidenti. Coinvolgi il referente privacy nella decisione e registra il ragionamento.

3. Rapporto con i fornitori: articolo 28

Se un fornitore tratta dati personali per tuo conto, verifica il suo ruolo e il contratto richiesto dall'articolo 28. Il ruolo di un servizio email dipende dal trattamento concreto; non presumere che ogni provider sia responsabile per ogni attività.

Controlla istruzioni, misure di sicurezza, eventuali sub-responsabili e assistenza nella gestione delle violazioni. Conserva la documentazione contrattuale applicabile.

4. Trasferimenti fuori dallo SEE: articoli 44–49

Se dati personali vengono trasferiti fuori dallo Spazio economico europeo, individua il Paese, il meccanismo giuridico applicabile e le eventuali misure supplementari. Gli articoli 44–49 regolano questi trasferimenti. Un data center nell'UE non basta, da solo, a descrivere tutti i trattamenti; nemmeno l'uso di un servizio internazionale implica automaticamente una violazione.

Chiedi al provider documentazione aggiornata su localizzazione, accessi, subfornitori e garanzie per i trasferimenti. Valuta le risposte con il tuo referente privacy.

5. Diritti degli interessati: articoli 17 e 20

I dati personali nelle email possono rientrare nelle richieste degli interessati. L'articolo 17 disciplina la cancellazione con condizioni ed eccezioni; l'articolo 20 riguarda la portabilità solo quando ricorrono i suoi presupposti. Non esiste un obbligo generale di cancellare ogni messaggio su richiesta senza valutare conservazione, altri diritti e basi giuridiche.

Definisci chi cerca i dati, chi valuta la richiesta e come sono trattate copie e backup. Evita eliminazioni automatiche prima della valutazione.

Sanzioni e casi: usa solo prove verificabili

Il GDPR prevede diverse fasce di sanzioni nell'articolo 83, in funzione della violazione e delle circostanze. I massimali non sono una previsione della sanzione per un singolo incidente. Per casi concreti e importi, consulta i provvedimenti pubblicati dal Garante: senza numero e testo del provvedimento, un esempio non è verificabile.

La NIS2 riguarda alcune organizzazioni e misure di gestione del rischio cyber. Va valutata separatamente: né il GDPR né la NIS2 prescrivono l'acquisto di MailSniper.

Dove la protezione email può aiutare

Un gateway email può aggiungere controlli su messaggi, allegati e link in base a configurazione e funzioni contrattuali. MailSniper può essere valutato come una misura tecnica nel quadro dell'articolo 32. Resta necessario definire ruoli, configurazione, formazione, risposta agli incidenti e trattamento dei dati con il fornitore.

Non attribuire al prodotto una sede esclusiva di trattamento, un esito certo contro il phishing o la prevenzione automatica di violazioni e sanzioni senza documentazione contrattuale e prove tecniche. Chiedi queste informazioni durante la valutazione.

Checklist prima di decidere

1. Hai identificato quali dati personali passano nelle caselle e chi può accedervi?
2. Hai verificato ruoli, contratto e subfornitori del provider email?
3. Sai come sono protetti account, archivi, backup e trasporto dei messaggi?
4. Sai chi valuta una violazione, quando decorrono i termini e come documentare la decisione?
5. Hai una procedura per rispondere alle richieste degli interessati sui dati contenuti nella posta?

Se emerge un punto da approfondire, coinvolgi i referenti IT e privacy. Per esaminare le misure tecniche disponibili, richiedi una prova MailSniper e verifica con il team cosa copre nel tuo ambiente. Questa guida è informativa e non sostituisce una valutazione legale del caso concreto.