L'Autorité italienne de protection des données a publié une décision d'admonestation à l'encontre de la société Ostilia S.r.l. pour des manquements en lien avec la communication non autorisée de données personnelles par courrier électronique. Cette affaire débute par une plainte signalant l'envoi, par la société, d'un courrier électronique à environ 37 destinataires sans masquer leurs adresses, révélant ainsi une potentielle situation de dette de la plaignante.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6, paragraphe 1, point a) du RGPD) : La société a envoyé un courrier électronique le 9 mai 2023 à 37 destinataires concernant le recouvrement de créances liées à la consommation d'eau. Cet envoi a révélé l'adresse électronique, le nom et la situation de débitrice présumée de la plaignante à tous les autres destinataires, sans avoir obtenu son consentement préalable ni pouvoir se fonder sur une autre base légale.

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : La communication a été effectuée en affichant en clair les adresses de tous les destinataires, au lieu d'utiliser la fonction de copie carbone invisible ou d'envoyer des messages individualisés. L'autorité a conclu que cette pratique constituait un défaut de mesures techniques et organisationnelles appropriées pour protéger les données contre une communication non autorisée, même si la société a qualifié l'incident d'erreur de saisie.

En conséquence, qualifiant la violation de mineure et tenant compte de plusieurs facteurs atténuants, notamment le caractère isolé de l'incident, la coopération de la société et sa situation de concordat préventif, l'autorité a adressé un avertissement à Ostilia S.r.l.

En outre, l’autorité a ordonné l'inscription de la violation dans son registre interne et la publication de la présente décision sur son site internet.