Enviar un correo a varias personas con Cco

El texto del RGPD exige que el responsable del tratamiento notifique una violación a la autoridad de control sin dilación indebida y, si es posible, a más tardar 72 horas después de haber tenido conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y libertades de las personas⁶. La CNIL añade que este plazo empieza cuando el responsable tiene un grado razonable de certeza de que se ha producido un incidente y de que ha afectado a datos personales¹.

El nivel de riesgo determina las obligaciones¹. Sin riesgo, la organización documenta el incidente internamente en un registro. Con riesgo, lo documenta y lo notifica a la CNIL. Con riesgo elevado, lo documenta, lo notifica a la CNIL e informa además a las personas afectadas. El riesgo se valora caso por caso, según la naturaleza y la sensibilidad de los datos, la facilidad para identificar a las personas y sus posibles consecuencias¹. Una dirección sola y una dirección que revela la pertenencia a un grupo sensible no se juzgan igual, pero esa valoración corresponde a la organización, no a quien envía el mensaje.

Antes de enviar un mensaje a varias personas externas:

• Coloque a los destinatarios externos en el campo Cco, y no en Para ni en Cc.
• Revise los tres campos antes de enviar: no debe quedar ninguna dirección externa en Para ni en Cc.
• Si el mensaje se repite con frecuencia (boletín informativo, convocatoria), pida al equipo de informática una herramienta de envío pensada para ese uso, en lugar de repetir la operación a mano.

Después de un error:

• Avise de inmediato al DPO o al departamento de informática, indicando el asunto del mensaje, la hora de envío y el número de destinatarios.
• No intente resolver la cuestión por su cuenta escribiendo a los destinatarios: la organización debe evaluar primero el riesgo.
• Conserve el mensaje enviado. En caso de phishing, Cybermalveillance.gouv.fr recomienda conservar las pruebas⁴. El mismo reflejo sirve aquí de base para documentar el incidente.

Por parte de la organización, la CNIL pide documentar el incidente: naturaleza de la violación, categorías y número aproximado de personas afectadas, consecuencias probables, medidas adoptadas o previstas⁵. Si hay dudas sobre la necesidad de informar a las personas, la CNIL aconseja notificarle el incidente, y ella indicará si hay que informarlas⁵. La notificación se hace mediante un servicio en línea destinado a las organizaciones⁵. Si falta información en el plazo de 72 horas, a una notificación inicial puede seguir una notificación complementaria⁵.

• Olvidar el Cco: poner a un solo destinatario en Para, escribir a los demás en Cc por costumbre o pegar toda la lista en el campo equivocado. La revisión de los campos antes del envío es la defensa.
• Reenviar o responder a todos: antes de reenviar un mensaje o de responder a todos, compruebe qué direcciones aparecen en los campos.
• Creer que el incidente no tiene consecuencias: las direcciones ya están en manos de terceros, y el NCSC recuerda que los estafadores aprovechan la información disponible para que sus mensajes resulten más creíbles³. Los destinatarios pueden recibir después mensajes sospechosos: la organización puede aconsejarles que no respondan a los mensajes dudosos y que los comuniquen a Signal Spam⁴.

Las fuentes citadas aquí no recogen ningún caso fechado de envío grupal con direcciones visibles: por eso esta ficha no presenta ninguno.