Lista di controllo per la verifica delle email conforme al GDPR

Un indirizzo email è un dato personale. Nel momento in cui lo passi a un servizio di verifica stai trattando dati personali sotto il GDPR, e se quel servizio è di un terzo hai ingaggiato un responsabile del trattamento. Niente di tutto questo è un motivo per rinunciare a verificare (anzi, verificare aiuta a rispettare il principio di esattezza), ma significa che conviene impostare la cosa con intenzione.

Questa lista di controllo ripercorre quello che un'azienda europea deve fare bene quando verifica indirizzi email, e che cosa chiedere a qualsiasi fornitore di verifica prima di mandargli anche un solo indirizzo.

Questo articolo è un orientamento generale, non consulenza legale. Per il tuo caso concreto, rivolgiti al tuo DPO o al tuo ufficio legale.

1. Stabilisci la tua base giuridica

La verifica è un'attività di trattamento, quindi deve poggiare su una base giuridica per il dato personale sottostante.

• Individua la base per trattare l'indirizzo email: di solito il legittimo interesse (ridurre frodi e bounce, tenere il dato esatto) oppure il consenso, a seconda del contesto.
• Mettila per iscritto. Se ti appoggi al legittimo interesse, lascia agli atti una valutazione breve che nomini la verifica come parte della finalità.
• Rivedi la tua informativa sulla privacy perché dica che i dati inviati possono essere validati quanto a esattezza e recapitabilità.

2. Firma un contratto di responsabile del trattamento

Se un terzo verifica indirizzi per conto tuo è un responsabile del trattamento ai sensi dell'articolo 28, e devi avere un DPA con lui.

• Firma un DPA con il fornitore di verifica prima di mandargli dati reali.
• Controlla che copra subresponsabili, misure di sicurezza, notifica delle violazioni e cancellazione o restituzione dei dati.
• Evita il «DPA su richiesta». Certi fornitori nascondono il DPA dietro la squadra commerciale. Mailbeam lo include in tutti i piani, anche in quello gratuito.

3. Valuta la posizione del dato e i trasferimenti

È qui che molti strumenti di verifica statunitensi generano lavoro alle aziende europee.

• Scopri dove vengono trattati i dati. Un verificatore ospitato negli USA comporta un trasferimento verso un paese terzo ai sensi del capo V.
• Se c'è un trasferimento, ti serve un meccanismo (clausole contrattuali tipo) e una valutazione d'impatto sul trasferimento.
• Preferisci il trattamento solo nell'UE per eliminare del tutto la questione. Mailbeam verifica tutto a Francoforte, in Germania, quindi non c'è alcun trasferimento del capo V da valutare.

4. Applica minimizzazione dei dati e limiti di conservazione

• Manda solo il necessario: l'indirizzo email, non l'intera scheda dell'utente.
• Controlla la conservazione. Il fornitore conserva gli indirizzi dopo averli verificati? È preferibile un trattamento al volo senza conservazione, così non resta una copia in più di dati personali da proteggere, da esibire davanti a un diritto di accesso o da cancellare.
• Mailbeam non conserva gli indirizzi una volta restituita la risposta di verifica.

5. Usa la verifica per sostenere il principio di esattezza

L'articolo 5.1.d) del GDPR chiede che i dati personali siano «esatti e, se necessario, aggiornati». La verifica è una delle poche attività di trattamento che per giunta aiuta a rispettarlo.

• Verifica al momento della raccolta, così gli indirizzi inesatti non entrano nemmeno nei tuoi archivi.
• Riverifica periodicamente per intercettare gli indirizzi diventati obsoleti: è questo che regge la parte «aggiornati».
• Registra questa finalità nel tuo registro delle attività di trattamento: rafforza la tua posizione sul legittimo interesse.

6. Aggiorna i tuoi registri e i processi sui diritti

• Aggiungi il fornitore al tuo registro dell'articolo 30 come responsabile, indicando dove avviene il trattamento.
• Rifletti la verifica nei tuoi diagrammi di flusso dei dati.
• Verifica che i diritti degli interessati funzionino ancora da un capo all'altro: è più facile quando il responsabile non conserva niente.

Che cosa chiedere a qualsiasi fornitore di verifica

Usa queste domande per valutare qualunque fornitore, non solo Mailbeam:

1. Dove vengono trattati e conservati i dati? (Solo-UE evita le valutazioni sui trasferimenti.)
2. Offrite un DPA, e su quali piani? (Dovrebbe essere su tutti.)
3. Conservate gli indirizzi che verifico? (Al volo e senza conservazione è l'ideale.)
4. Chi sono i vostri subresponsabili e dove si trovano?
5. Quali misure di sicurezza e quali certificazioni avete?
6. Come gestite la notifica delle violazioni dell'articolo 33?

Come Mailbeam risponde a questa lista

In sintesi

Verificare indirizzi email sotto il GDPR si riduce a una base giuridica, un DPA, una risposta chiara su dove sta il dato e la minimizzazione. Il modo più semplice per ridurre la superficie di conformità è scegliere un responsabile solo-UE che non conservi niente e che offra il DPA fin da subito: così le parti più dure — trasferimenti, conservazione, verifica del fornitore — diventano non-problemi.

Letture collegate

• Verifica delle email conforme al GDPR
• Verifica delle email e GDPR: quello che deve sapere una squadra europea
• Accordo sul trattamento dei dati
• Caso d'uso: sanità e GDPR