In questo periodo complicato dovuto all’emergenza coronavirus abbiamo rivalutato l’uso delle email, che ci permettono di comunicare in modo semplice ed efficace. Anche a scuola questo strumento è sempre più utilizzato per inviare notifiche o avvisi ai docenti, o per contattare le famiglie.
Ma non solo. Gli istituti, infatti, dialogano tramite email anche con ASL, medici, comuni ed enti pubblici. È importante sottolineare come queste ultime comunicazioni spesso contengano dati relativi alla salute e altre informazioni sensibili.
Il nostro consiglio, dunque, per ciò che riguarda l’invio di questo tipo di email, è quello di utilizzare la PEC (posta elettronica certificata), più sicura rispetto alla classica PEO (posta elettronica ordinaria).
Non tutti i destinatari, però, hanno un indirizzo PEC, e quindi non sempre si può utilizzare questo strumento.
Come scambiarsi quindi le informazioni in modo sicuro?
Come condividere informazioni in modo sicuro
Una soluzione può essere quella di inoltrare i documenti tramite email, ma inserendoli in un file ZIP protetto da password.
La chiave d’accesso dovrà poi essere inviata per mezzo di un diverso canale di comunicazione (per esempio via sms), o via email, ma su un altro indirizzo.
Altra soluzione può essere quella di utilizzare i sistemi “in cloud”. La scuola, ad esempio, nell’ambito degli spazi previsti per la posta ministeriale nel sistema Microsoft, ha una disponibilità residuale tramite la quale può condividere un documento con un singolo destinatario.
Ciò aumenta notevolmente la sicurezza nella trasmissione delle informazioni.
È inoltre possibile impostare il download del file in maniera tale che avvenga in un tempo limitato, per esempio entro 24 o 48 ore.
I sistemi più efficaci sono quelli basati su FTP/SFTP, ma occorre valutare con i sistemisti della scuola la possibilità di integrare di questo tipo di tecnologie.
In sostanza, tutte queste modalità di condivisione sono pensate per rendere più sicuro lo scambio dei documenti.
Per essere efficaci devono essere tuttavia condivise e accettate da entrambe le parti, destinatario e mittente.
email e violazione dei dati
Quando si invia un’email, poi, non bisogna stare solo attenti alle misure di sicurezza implementate per lo scambio delle informazioni.
È altresì importante fare attenzione ai destinatari e alle modalità di inoltro dei messaggi agli stessi.
Occorre dunque controllare di avere inserito il corretto nominativo del soggetto a cui inviare l’email, oppure, in caso di invio a più soggetti, di aver protetto adeguatamente l’indirizzo di ciascuno di essi.
Anche perché un’email inviata a un destinatario errato potrebbe comportare una violazione di dati e costare caro all’istituto in termini di sanzioni.
Ad oggi è ormai consolidata la presa di posizione del Garante, che considera l’indirizzo email un dato personale.
Ai sensi del GDPR, infatti, per dato personale si intende: “Qualsiasi informazione riguardante una persona fisica identificata o identificabile”.
Uso dei campi “CC” e “CCN”
L’invio massivo di email a indirizzi personali utilizzando il campo “CC” (anziché “CCN”) può causare un “data breach”, in quanto comporta la diffusione di un dato senza consenso dell’interessato.
Solitamente quando si spedisce un’email si utilizza il campo “A” (destinatario). Quando però la comunicazione dev’essere inviata a più soggetti, in genere si usa “CC” (copia carbone).
Questo campo serve fondamentalmente a indicare al destinatario che l’email verrà inoltrata anche ad altri utenti.
Ma inserendo in “CC” tutti gli indirizzi email, ciascun destinatario verrà a conoscenza dei recapiti di tutti i soggetti a cui è stato inviato il messaggio.
Per non rendere pubblica questa informazione, considerata appunto “dato personale”, occorre utilizzare uno strumento più specifico.
Il campo “CCN” (copia carbone nascosta) consente di inviare un’email a una o più persone senza che il destinatario e gli eventuali utenti in copia possano vedere gli indirizzi di posta elettronica altrui.
Chiunque si trovi a inoltrare un messaggio a più destinatari dovrebbe dunque valutare con attenzione l’opportunità di utilizzare il campo “CCN” (piuttosto che “CC”), onde evitare spiacevoli inconvenienti.
Il consiglio, quindi, è quello di utilizzare sempre il campo “CCN”.
Questa può sembrare una soluzione banale, ma in tal modo non vengono diffusi indirizzi email personali, si evitano conseguenze pregiudizievoli per la scuola, e soprattutto si tutela il diritto alla riservatezza degli interessati.
Il caso
All’inizio di quest’anno il Garante per la privacy si è pronunciato in un caso di errato invio di un’email.
Nello specifico, il caso riguardava una dipendente della Provincia Autonoma di Trento, che per mero errore aveva inviato un’email in modalità “CC” agli indirizzi di posta elettronica di sedici genitori, al fine di informarli che, in vista dell’inizio dell’anno scolastico, avrebbero dovuto adempiere all’obbligo di vaccinazione dei rispettivi figli ai sensi della normativa di settore.
L’invio cumulativo dell’email in questione ha comportato che più persone venissero a conoscenza dei destinatari e delle informazioni contenute nel messaggio.
Il Garante ha affermato che queste informazioni sono qualificabili come “dati relativi alla salute di minori, poiché tra i soggetti non in regola potrebbero essere ricompresi minori rientranti nei casi di esonero, omissione o differimento connesse a situazioni di morbilità, pregresse o attuali – temporanee o permanenti (art. 4, par. 1, n.15 del Regolamento)”.
Il Garante ha quindi riconosciuto una violazione di dati personali relativi alla salute, poiché sono stati comunicati illecitamente dati di minori, in assenza di specifica base giuridica, e senza rispettare il principio di minimizzazione (che si sarebbe potuto soddisfare inviando email separate o in modalità “CCN”).
La formazione del personale della scuola
Alla luce di quanto detto, appare evidente come il personale della scuola debba essere adeguatamente formato sulle modalità di invio delle email.
Infine, ricordiamo che il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).
Una delle misure da adottare per il rispetto di questi principi è proprio l’utilizzo della modalità “CCN” per l’invio di messaggi email a più destinatari.
