GDPR: Utilizarea corectă a e-mailului în contextul protecției datelor personale

Regulamentul (UE) 2016/679 prevede faptul că operatorii de date și persoanele împuternicite de aceștia au obligația de a implementa măsuri tehnice și organizatorice adecvate pentru asigurarea securității datelor cu caracter personal.

Aceste măsuri trebuie să țină cont de mai mulți factori, precum nivelul actual al tehnologiei, costurile de implementare, natura și scopul prelucrării datelor, precum și riscurile potențiale la adresa drepturilor și libertăților persoanelor fizice.

Măsurile de securitate necesare includ pseudonimizarea (o tehnică de prelucrare a datelor cu caracter personal care face ca aceste date să nu mai poată fi atribuite unei anumite persoane vizate fără a se utiliza informații suplimentare) și criptarea datelor personale, asigurarea confidențialității, integrității și disponibilității continue a sistemelor de prelucrare, capacitatea de recuperare rapidă a datelor în cazul incidentelor tehnice sau fizice, precum și implementarea unui proces de testare și evaluare periodică a eficacității acestor măsuri de securitate.

Nerespectarea caracterului confidențial al unui e-mail poate atrage sancțiuni a căror valoare poate varia între 2.000 euro și 15.000 euro (articole referitoare la astfel de cazuri pot fi citite aici și aici).

O companie care nu a stabilit și comunicat clar angajaților săi niște proceduri de lucru clare poate risca efectele nedorite menționate mai sus în momentul în care transmiterea datelor unor clienți se face fie către o entitate externă, fie interdepartamental. 

Operarea unor informații ca nume, prenume, adrese de e-mail, CNP, cod client și adresa client sau chiar transmiterea unor date înscrise pe o factură către o terță persoană pot însemna tot atâtea încălcări ale GDPR, pentru că înseamnă divulgarea și accesul neautorizat la datele cu caracter personal ale persoanei vizate.

Trebuie știut faptul că, în situația în care o adresă de e-mail este asociată cu informații suplimentare despre o persoană, precum adresa de domiciliu sau adresa IP, aceasta devine un element de identificare personală și intră în categoria datelor cu caracter personal care necesită protecție conform reglementărilor în vigoare.

Probabil că cea mai întâlnită eroare este aceea în care, de exemplu, unor clienți ai unor companii li se transmit, simultan, anumite înștiințări cu privire la un serviciu al firmei. 

În cazul descris, s-a produs o încălcare a securității datelor prin două modalități distincte: mai întâi, prin divulgarea neautorizată a informațiilor personale, și apoi prin permiterea accesului neautorizat la datele clienților. Acest incident de securitate constă în aceea că fiecare persoană care a primit e-mailul a putut vedea adresele de e-mail ale tuturor celorlalți destinatari incluși în câmpurile "To" și "Cc", fără a avea dreptul sau autorizarea necesară pentru accesul la aceste informații personale.

O soluție tehnică simplă pentru evitarea acestui tip de incident este utilizarea câmpului "Bcc" (Blind Carbon Copy) în e-mailuri. Această funcție permite trimiterea mesajului către mai mulți destinatari simultan, păstrând confidențialitatea adreselor de e-mail ale acestora - fiecare destinatar va vedea doar propria adresă și pe cea din câmpul "To", fără a avea acces la adresele celorlalți destinatari.

Câmpul "Cc" (Carbon Copy) permite trimiterea unei copii a mesajului către destinatari secundari, pentru informare. Caracteristica principală a acestui câmp este transparența - toți destinatarii pot vedea cine a primit copia mesajului prin Cc.

În schimb, câmpul "Bcc" (Blind Carbon Copy) oferă o metodă discretă de a trimite copii ale mesajului. Destinatarii incluși în Bcc primesc mesajul, dar numele și adresele lor de e-mail rămân ascunse față de toți ceilalți destinatari ai mesajului, inclusiv față de alți destinatari din Bcc. Această funcție este esențială pentru protejarea confidențialității adreselor de e-mail atunci când se trimite un mesaj către mai mulți destinatari care nu trebuie să știe unul de celălalt.