Un'e-mail inviata al destinatario sbagliato è una violazione dei dati?
Un'e-mail inviata per errore può essere una violazione dei dati
Un'e-mail inviata al destinatario sbagliato rientra nella definizione di violazione dei dati secondo il GDPR: si tratta di una violazione della sicurezza che porta alla divulgazione indesiderata di dati personali a chi non ha diritto di accedervi. Che si tratti di un CV, una fattura con un indirizzo o un memorandum interno con nomi — non appena i dati personali raggiungono la persona sbagliata, la qualificazione di "violazione dei dati" è in linea di massima applicabile.
Il fatto che qualcosa sia una violazione dei dati non significa automaticamente che debba essere segnalata. L'articolo 33 del GDPR collega l'obbligo di notifica all'autorità di vigilanza al rischio che la violazione comporta per i diritti e le libertà dell'interessato: quanto sono sensibili i dati, quante persone sono state colpite, e l'e-mail è stata richiamata o rimasta non aperta. Un'e-mail inviata per errore con solo un nome e un orario di appuntamento ha un peso diverso rispetto a un'e-mail contenente dati finanziari o informazioni sanitarie inviata a un gran numero di destinatari sbagliati. Questa valutazione viene effettuata dall'organizzazione che ha commesso l'errore, e anche loro decidono autonomamente se segnalare.
Questo è conforme all'articolo 33 del GDPR
La definizione di violazione della sicurezza dei dati personali e il collegamento con l'obbligo di notifica entro 72 ore sono contenuti nell'articolo 33 del GDPR; l'Autorità per la protezione dei dati personali spiega sulla sua pagina sulla segnalazione delle violazioni dei dati come effettuare tale valutazione del rischio nella pratica. Il GDPR si applica come regolamento direttamente in ogni Stato membro, quindi questo nucleo è lo stesso ovunque — ciò che varia è dove avviene la segnalazione. Nei Paesi Bassi è l'Autorità per la protezione dei dati personali, come unica autorità di vigilanza nazionale. In Germania è diverso: un'organizzazione segnala all'autorità di vigilanza dello Stato federato in cui ha sede, e ci sono sedici autorità di vigilanza statali oltre al BfDI federale.
Su cui si basa
- Articolo 33 GDPR — notificazione all'autorità di controllo
- Autorità per la protezione dei dati — notificare le violazioni dei dati
Il regolamento stesso si trova su EUR-Lex. Facciamo riferimento per ogni affermazione; non dovete crederci sulla parola.
Cosa deve fare concretamente
L'attuazione di ogni obbligo, con i termini applicabili e i modelli per documentarlo, è inclusa nell'abbonamento.
Visualizza l'abbonamento Prima la scansione rapida gratuitaQuesto non è un parere legale. Questa pagina fornisce informazioni generali sulla normativa su cui si basa questa piattaforma. Non conosciamo la vostra situazione. In caso di dubbi sul vostro caso specifico, consultate un avvocato o l'autorità di controllo competente.
Redatto con IA sulla base delle fonti di cui sopra, verificato da una persona il 2026-08-20. C'è qualcosa che non va? Fatemelo sapere — le correzioni hanno la priorità.