L'elenco di distribuzione delle e-mail in CC invece che in BCC porta ad una multa

di A. Navidy / J. Baeck

Se una mailing list aperta viene utilizzata per inviare e-mail in un ambiente commerciale, c'è il rischio che venga riconosciuta dalle autorità di vigilanza come una violazione della protezione dei dati e che venga sanzionata con una multa. Fine è occupato.

Il responsabile regionale per Protezione dei dati Harald von Bose, della Sassonia-Anhalt, nel febbraio 2019 ha inflitto diverse sanzioni pecuniarie a un uomo di Merseburg. Quest’ultimo aveva inviato in diverse occasioni e-mail con centinaia di indirizzi e-mail personali in copia aperta (CC).

Il contenuto di queste e-mail comprendeva denunce, dichiarazioni, denigrazioni, ma anche accuse penali nei confronti di rappresentanti dell'economia, della politica e della stampa.

Secondo quanto affermato dal signor von Bose, il contenuto di tali e-mail sarebbe sì legittimo e, in linea di principio, tutelato dall’art. 5, comma 1, della Costituzione tedesca (libertà di espressione), ma non lo sarebbe invece il trattamento di ben 1.600 indirizzi e-mail, utilizzati quasi quotidianamente. L’uomo di Merseburg, nel corso della controversia con la Autorità di vigilanza invocare l'articolo 5 (1) della Legge fondamentale. Tuttavia, questo diritto fondamentale non giustifica l'uso di liste di distribuzione di posta elettronica aperte.

Il Elaborazione dei dati personali (indirizzi e-mail) non può essere giustificato, né per quanto riguarda il puro utilizzo per l'invio delle e-mail, né per il legittimo interesse ai sensi dell'art. 6 par. 1 frase 1 lit. f) GDPR (espressione di opinioni) del mittente. Per quanto riguarda la pubblicazione degli indirizzi e-mail da parte della lista di distribuzione aperta, tuttavia, la decisione di bilanciamento è a favore degli interessati, in quanto tale pubblicazione interferisce con i loro diritti fondamentali alla privacy. Autodeterminazione informativa eingreift. Auch der sog. Schrankenvorbehalt in Art. 5 Abs. 2 GG unterstützt diese Abwägungsentscheidung.

Le diverse sanzioni dovrebbero essere calcolate ai sensi dell’art. 83, comma 1, del RGPD, del § 22, comma 2a, n. 1, della DSG LSA e del § 43, comma 2, della BDSG e ammontano complessivamente a 2.628,50 €.
Non si può escludere che vengano comminate ulteriori sanzioni pecuniarie, poiché l’uomo avrebbe continuato a violare le norme sulla protezione dei dati anche dopo l’emissione delle sanzioni.

In ambito aziendale, in futuro occorrerà prestare ancora maggiore attenzione alla corretta indicazione dei destinatari nell’invio di e-mail esterne, poiché l’eccezione relativa alle liste di distribuzione aperte è prevista solo in ambito privato, dove il GDPR, ai sensi dell’art. 2, comma 2, lett. c) non si applica “da parte di persone fisiche nell’esercizio di attività esclusivamente personali o familiari“.

Ulteriori informazioni:

• mz-web.de/merseburg/hunderte-adressen-im-verteiler-merseburger-muss-fuer-wut-mails-ueber-2-000-euro-zahlen-32033308