Email inviata alla persona sbagliata: è un data breach? Cosa fare subito

Nella prima ora: cosa fare, in ordine

1. Fermati e annota l’ora

   Scrivi quando è partita l’email e quando te ne sei accorto. Se poi dovrai notificare, le 72 ore partono da quando hai la ragionevole certezza dell’errore.

2. Prova il richiamo, se possibile

   Se il destinatario è un collega della tua organizzazione e usate lo stesso sistema di posta aziendale, il richiamo può funzionare. Verso indirizzi esterni o caselle personali quasi mai: non contarci.

3. Contatta il destinatario

   Telefona se lo conosci, poi scrivigli: chiedi di non aprire gli allegati, di cancellare il messaggio anche dal cestino e dalle copie inoltrate, e di confermarlo per iscritto. Se i destinatari sono più di uno, scrivi a tutti in copia nascosta.

4. Salva le prove

   Conserva una copia dell’email inviata, l’elenco dei destinatari, la tua richiesta e la conferma di cancellazione. Ti servono per il registro e per dimostrare cosa hai fatto.

5. Valuta il rischio

   Che dati c’erano, di quante persone, chi li ha ricevuti, se l’allegato era protetto. Da qui dipende se basta il registro o se serve la notifica.

6. Decidi e scrivi

   Annota la violazione nel registro con la decisione presa e i motivi. Se il rischio non è improbabile, prepara la notifica al Garante; se è elevato, avvisa anche le persone coinvolte.

Quando un’email sbagliata è un data breach

Per il GDPR c’è una violazione ogni volta che dati personali vengono comunicati a chi non era autorizzato a riceverli, anche per errore e anche se il destinatario non li usa. Nell’invio sbagliato succede in molti modi:

• il destinatario sbagliato, spesso per il completamento automatico dell’indirizzo (Marco Rossi al posto di Marco Russo);
• l’allegato sbagliato: la persona è giusta, ma il file è quello di un altro cliente, o un foglio di calcolo contiene altre schede nascoste;
• i destinatari in “A” o “Cc” invece di “Ccn”, così ognuno vede gli indirizzi degli altri;
• un inoltro con tutta la conversazione sotto, compresi dati che il nuovo destinatario non doveva vedere;
• la PEC mandata all’indirizzo di un’altra persona o azienda.

Non è una violazione se l’email non conteneva dati di persone (un listino prezzi, un documento aziendale senza nomi) oppure se è finita a un collega che quei dati poteva già vedere per il suo lavoro. Anche in questo caso, se hai dubbi, annotalo.

Il quadro generale, cioè cosa conta come violazione e quali obblighi scattano, è nella guida sul data breach.

Come si valuta il rischio di un invio sbagliato

La domanda non è “è grave l’errore?”, ma “cosa può succedere alle persone i cui dati sono usciti?”. Guarda quattro cose:

Le linee guida europee (EDPB) chiariscono che un destinatario “fidato”, che conferma di aver cancellato senza usare i dati, può rendere il rischio improbabile: in quel caso non serve notificare. La violazione però c’è stata e va scritta nel registro. Negli esempi europei, una lista di 15 partecipanti a un corso mandata per errore a ex corsisti, con due intolleranze alimentari, richiede solo il registro; un allegato con i dati e i numeri di previdenza di oltre 60.000 persone richiede notifica e avviso a tutti.

Come si fanno la notifica sul portale del Garante e la comunicazione alle persone, e cosa scrivere nel registro, è spiegato passo per passo in data breach: cosa fare nelle prime 72 ore.

Il richiamo del messaggio: quando funziona davvero

Molti pensano che basti “richiamare” l’email. Nella pratica:

• il richiamo dei sistemi di posta aziendali funziona di regola solo se mittente e destinatario sono nella stessa organizzazione e se il messaggio non è ancora stato aperto. Alcuni sistemi stanno estendendo il richiamo verso altre aziende, ma solo se il destinatario lo ha autorizzato;
• verso caselle personali o di altri fornitori di posta il richiamo non funziona, e a volte il destinatario riceve anche un secondo messaggio che attira l’attenzione sul primo;
• l’annullamento dell’invio offerto da molti servizi trattiene l’email per pochi secondi: funziona solo se te ne accorgi subito e se lo hai attivato prima;
• la PEC non si può richiamare: una volta consegnata, la ricevuta prova che è arrivata.

Per questo la mossa che conta davvero è il contatto diretto con il destinatario e la sua conferma scritta di cancellazione. Il destinatario non è obbligato a rispondere: se non lo fa, il rischio va valutato come se avesse ancora i dati.

Indirizzi in copia visibile: Cc invece di Ccn

Mandare un’email a molte persone con gli indirizzi visibili a tutti è una comunicazione di dati personali: lo dice da anni il Garante, che considera la mailing list in chiaro una comunicazione degli indirizzi a terzi. Se basta il registro o serve la notifica dipende dal contesto:

• pochi indirizzi, nessun dato delicato, contesto neutro (l’invito a un evento, un avviso ai fornitori): di regola basta il registro;
• molti destinatari, oppure un contesto che rivela qualcosa di delicato (i pazienti di uno psicologo, i clienti di uno studio legale per una causa, i genitori sollecitati per le vaccinazioni dei figli), oppure dati in più nel testo: di regola serve la notifica, e a volte l’avviso alle persone.

Con la PEC il problema è più frequente, perché molti gestori non consentono la copia nascosta: per comunicazioni a più persone usa invii separati o uno strumento di invio massivo.

Se hai sbagliato, manda un secondo messaggio in Ccn a tutti: scusati, chiedi di cancellare il primo e ricorda che gli indirizzi visti non possono essere usati.

Cosa ha deciso il Garante su email e PEC sbagliate

Due lezioni. La notifica non cancella la sanzione, perché il Garante punisce la comunicazione dei dati e le misure carenti; però collaborazione, rapidità e misure correttive la riducono molto. E per il Garante non serve un danno concreto: basta che i dati siano arrivati a chi non doveva.

Come evitare che succeda di nuovo

• Ritardo d’invio: imposta 30-60 secondi prima che l’email parta davvero. È la misura più semplice ed efficace.
• Completamento automatico: disattivalo o ripulisci la cache degli indirizzi, soprattutto se hai clienti con nomi simili.
• Avviso per destinatari esterni: molti sistemi aziendali mostrano un banner o chiedono conferma quando scrivi fuori dall’organizzazione o a più persone.
• Ccn predefinito per gli invii multipli, oppure un programma per newsletter che manda un’email a ciascuno.
• Allegati cifrati: buste paga, referti e documenti in PDF protetti da password, con la password comunicata per SMS o di persona. Ancora meglio un’area riservata da cui il cliente scarica i file.
• Controllo a quattro occhi per gli invii delicati o massivi.
• Strumenti di prevenzione della perdita di dati (DLP): nelle realtà più strutturate bloccano o segnalano email con codici fiscali, IBAN o documenti verso l’esterno.
• Una procedura scritta su cosa fare in caso di errore, e un po’ di formazione: è anche quello che il Garante si aspetta di trovare. Vedi GDPR per piccole aziende.

Un esempio concreto: la busta paga al cliente sbagliato

Lo studio di Chiara, commercialista con tre collaboratori, elabora le buste paga per alcune piccole imprese. Giovedì alle 17.40 il collaboratore Matteo manda il cedolino di ottobre di Sara, dipendente della pasticceria di Paolo, a Luca, titolare di un’officina: il completamento automatico ha proposto l’indirizzo sbagliato. Il cedolino contiene codice fiscale, IBAN, stipendio e due giorni di malattia.

• 17.55: Luca risponde «credo non sia per me». Matteo annota l’ora. Il richiamo non funziona, perché Luca usa una casella personale.
• 18.05: Chiara telefona a Luca, cliente dello studio da anni, che cancella l’email e lo conferma per iscritto, dichiarando di non averla inoltrata.
• 18.30: per le buste paga lo studio lavora per conto della pasticceria, che è il titolare dei dati di Sara. Chiara avvisa subito Paolo per iscritto, con tutti i dettagli, come prevede il contratto di nomina.
• Venerdì: Paolo, aiutato dallo studio, valuta il rischio come improbabile: una sola persona, destinatario conosciuto e affidabile, cancellazione confermata in meno di mezz’ora. Annota la violazione nel registro con le prove e le ragioni. Pur non essendo obbligato, informa Sara con un breve messaggio.
• Dopo: lo studio attiva il ritardo d’invio e manda i cedolini solo come PDF protetti da password.

Se lo stesso file fosse finito a uno sconosciuto che non risponde, o se fossero partiti i cedolini di tutti i dipendenti, la valutazione sarebbe cambiata: notifica al Garante entro 72 ore e probabilmente avviso alle persone.

Cosa fa il consulente privacy su Intervento

Descrivi cosa è partito, a chi, quando e cosa hai già fatto; allega se puoi l’email inviata con i dati oscurati. L’orientamento gratuito ti dice se sembra servire la notifica e quanto tempo hai. Con l’Analisi ottieni una lettura automatica dei documenti che carichi. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: valutazione del rischio, se notificare, cosa scrivere al destinatario, nel registro e alle persone coinvolte. Con il livello Soluzione, su preventivo, prepara la procedura interna e le impostazioni per evitare nuovi errori.