Una email per 18 persone, visibile a tutte e 18

La Metropolitan Police Service (MPS) ha inviato una email per avvisare 18 persone legate al Parlamento britannico di un cambio nella data di libertà su cauzione di un sospettato, rivelando così a ciascuna chi fossero già le altre 17.

I destinatari erano già stati presi di mira nel 2024 e nel 2025 da qualcuno che usava messaggi WhatsApp per raccogliere materiale compromettente su di loro, un caso che l'Information Commissioner's Office (ICO), l'autorità britannica per la protezione dei dati, definisce così il "caso Honeytrap". Un agente della MPS ha inserito però ogni indirizzo email nel campo "A" invece che in un campo nascosto, cosicché ognuno poteva vedere nome e indirizzo di tutti gli altri. Il testo dell'email non spiegava però esplicitamente il motivo del contatto, ma il solo contesto permetteva già di dedurre informazioni molto sensibili su ciascuna persona coinvolta.

La seconda violazione è stata peggiore: il nuovo indirizzo di una vittima di stalking

Un secondo errore della MPS, indagato nello stesso fascicolo, ha rimesso però in pericolo una vittima di stalking di fronte alla persona da cui era già fuggita.

Un agente che notificava documenti in un caso di Stalking Protection Order non ha però oscurato informazioni riservate di terzi prima di consegnarli all'imputato. I documenti rivelavano già il nuovo indirizzo e il numero di telefono della vittima, oltre a nomi e recapiti di tre testimoni. La vittima aveva cambiato entrambi proprio perché consapevole del rischio rappresentato dall'imputato. Questi l'ha poi contattata sul nuovo numero, dicendole di aver già ricevuto i suoi nuovi dati direttamente dalla MPS.

Non errori isolati: cosa ha trovato l'ICO dietro le quinte

L'indagine dell'ICO ha rilevato che entrambe le violazioni condividevano però la stessa causa di fondo: formazione carente, controllo debole e governance insufficiente, non due sfortunati errori isolati.

L'agente che ha inviato l'email di massa non aveva completato la formazione obbligatoria sulla protezione dei dati da oltre quattro anni, e perfino il responsabile che avrebbe dovuto individuare l'errore era senza formazione da quasi lo stesso periodo. La stessa MPS ha già riconosciuto che i tassi di completamento della formazione obbligatoria Managing Information erano troppo bassi in tutto il corpo. Nel caso di stalking, l'ICO ha inoltre riscontrato che gli agenti coinvolti non avevano ricevuto la formazione specialistica richiesta per i documenti di Stalking Protection Order, e che il processo di preparazione e verifica di quei documenti era perciò inadeguato.

La correzione che ogni azienda può copiare oggi

L'ICO ha ordinato alla MPS di correggere formazione, controllo e governance entro tre e dodici mesi, e la lezione più utile per qualsiasi altra organizzazione sta però in ciò che non ha fatto: non ha accettato un documento di policy come prova che il problema fosse già risolto.

La MPS aveva già introdotto uno strumento di allerta comportamentale che avvisa il personale quando una email sta per essere inviata a più destinatari esterni, esattamente il tipo di protezione che la maggior parte delle piattaforme email aziendali offre già agli amministratori e che semplicemente non viene attivata. Qualsiasi azienda che scriva a gruppi di clienti, pazienti o contatti di un caso, nelle risorse umane, in sanità, negli studi legali o nei servizi professionali, corre però lo stesso rischio appena dimostrato dalla MPS: una persona che dimentica di usare un campo nascosto, e un responsabile che non lo ha mai controllato. Vale un chiarimento per i lettori del settore privato, non per gli enti pubblici: qui l'ICO ha emesso un ammonimento e un'ordinanza, non una multa, coerentemente con il suo approccio dichiarato di sanzionare raramente con multe gli enti pubblici, perché una multa sposta soltanto denaro tra parti dello stesso Stato. Un'azienda privata con lo stesso errore non riceverebbe però lo stesso trattamento. In Italia, il Garante per la protezione dei dati personali applica già lo stesso principio di riservatezza dell'articolo 5, paragrafo 1, lettera f) del GDPR, sia il titolare un ente pubblico sia un'azienda privata.

Da leggere ora: L'UE sta riscrivendo il GDPR  |  Se La Tua Azienda Fallisce, Le Email Si Vendono