--- id: CP-564 slug: courriel-groupe-copie-cachee-cci lang: fr title: Envoyer un courriel groupé avec Cci description: "Écrire à plusieurs destinataires externes sans exposer leurs adresses : le réflexe Cci, les pièges courants et la marche à suivre après une erreur." canonical_url: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Envoyer un courriel groupé avec Cci », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-041 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ en: https://startbrain.io/cyberpedia/en/articles/bulk-email-bcc-hidden-recipients/ de: https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/ es: https://startbrain.io/cyberpedia/es/articles/correo-grupal-copia-oculta-cco/ sources: - "n": 1 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: Que faire en cas de phishing ou hameçonnage ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 5 title: Notifier une violation de données personnelles publisher: CNIL url: https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles published: "2018-05-24" accessed: "2026-11-03" - "n": 6 title: CHAPITRE IV - Responsable du traitement et sous-traitant publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 accessed: "2026-11-03" --- # Envoyer un courriel groupé avec Cci Avant d'envoyer un courriel à trente clients, partenaires ou participants d'une formation, la règle de conduite est de vérifier dans quel champ chaque destinataire est placé. Une fois le message parti, les adresses sont déjà arrivées chez les destinataires. Cette fiche décrit le geste à faire avant l'envoi : placer les destinataires externes dans le champ Cci (copie cachée). Elle décrit aussi les pièges habituels, ce que les adresses exposées permettent à un escroc, et la marche à suivre après une erreur. Les sources citées ici ne décrivent pas le fonctionnement des champs À, Cc et Cci : cette fiche donne donc la conduite à tenir, sans développer la mécanique du logiciel de messagerie. ## En 30 secondes - Où ça arrive : à l'envoi d'un message à plusieurs personnes extérieures à l'entreprise (clients, candidats, participants, partenaires). - Ce que veut l'attaquant : utiliser les informations disponibles sur vous pour rendre ses messages d'hameçonnage plus convaincants [3]. - Le réflexe : mettre les destinataires externes en Cci, puis relire les champs À, Cc et Cci avant de cliquer sur Envoyer. - Si c'est déjà fait : prévenir sans attendre la personne chargée de la protection des données (DPO) ou, à défaut, le service informatique, qui évaluera s'il faut notifier la CNIL [1][5]. ## Questions directes ### Pourquoi une liste d'adresses visible pose-t-elle problème ? Le RGPD définit la violation de données comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, notamment la « divulgation non autorisée de données à caractère personnel » [1]. La CNIL précise qu'il s'agit de tout incident de sécurité, malveillant ou non, intentionnel ou non [1]. Un envoi où tous les destinataires apparaissent à la vue des autres peut donc relever de cette définition, même sans aucune attaque. La CNIL cite un cas proche : un tiers informe le responsable du traitement qu'il a reçu un courriel contenant des informations concernant une autre personne, et en fournit la preuve. Le responsable doit alors être considéré comme informé de la violation [1]. ### À quoi servent les adresses récupérées ? Les sources citées ici décrivent l'usage fait par les attaquants des informations de ce genre. Le NCSC britannique écrit que les criminels utilisent des informations disponibles en ligne pour rendre leurs messages de phishing plus convaincants [3]. MITRE décrit le « phishing for information » : des messages envoyés pour obtenir des informations utilisables ensuite pour cibler une victime [2]. Selon MITRE, le groupe Kimsuky a utilisé des courriels d'hameçonnage ciblés pour recueillir des informations sur ses victimes, dont des listes de contacts, afin d'identifier d'autres cibles [2]. L'hameçonnage consiste à se faire passer pour un tiers de confiance afin d'obtenir des données personnelles ou bancaires [4]. ### Qui est responsable de l'erreur ? Les obligations du RGPD pèsent sur le responsable du traitement, c'est-à-dire l'organisme, qu'il soit public ou privé et quelle que soit sa taille [1]. Pour un salarié, le point utile est ailleurs : dès qu'il constate l'erreur, il la signale en interne, car c'est l'organisme qui décide de la suite. ## Comment ça marche Le texte du RGPD demande au responsable du traitement de notifier une violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes [6]. La CNIL ajoute que ce délai commence lorsque le responsable a un degré de certitude raisonnable qu'un incident a eu lieu et a touché des données personnelles [1]. Le niveau de risque détermine les obligations [1]. Sans risque, l'organisme documente l'incident en interne dans un registre. Avec un risque, il documente et notifie la CNIL. Avec un risque élevé, il documente, notifie la CNIL et informe aussi les personnes concernées. Le risque s'apprécie au cas par cas, selon la nature et la sensibilité des données, la facilité d'identifier les personnes et leurs conséquences possibles [1]. Une adresse seule et une adresse qui révèle l'appartenance à un groupe sensible ne se jugent pas de la même façon, mais cette appréciation revient à l'organisme, pas à l'expéditeur. ## Ce que vous faites Avant l'envoi d'un message à plusieurs personnes extérieures : - Placez les destinataires externes dans le champ Cci, et non dans À ou Cc. - Relisez les trois champs avant d'envoyer : aucune adresse externe ne doit rester dans À ou Cc. - Si le message est répété souvent (lettre d'information, convocation), demandez à l'équipe informatique un outil d'envoi prévu pour cet usage plutôt que de refaire la manipulation à la main. Après une erreur : - Prévenez immédiatement le DPO ou le service informatique, avec l'objet du message, l'heure d'envoi et le nombre de destinataires. - Ne cherchez pas à régler seul la question en écrivant aux destinataires : l'organisme doit d'abord évaluer le risque. - Conservez le message envoyé. Pour le phishing, Cybermalveillance.gouv.fr recommande de conserver les preuves [4]. Le même réflexe sert ici de base à la documentation de l'incident. Côté organisme, la CNIL demande de documenter l'incident : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou envisagées [5]. En cas de doute sur la nécessité d'informer les personnes, la CNIL conseille de lui notifier l'incident, et elle indiquera s'il faut les informer [5]. La notification se fait par un téléservice dédié aux organismes [5]. Si toutes les informations manquent dans le délai de 72 heures, une notification initiale peut être suivie d'une notification complémentaire [5]. ## Les pièges - Oublier Cci : mettre un seul destinataire dans À, saisir les autres en Cc par habitude, ou coller toute la liste dans le mauvais champ. La relecture des champs avant l'envoi est la parade. - Transférer ou répondre à tous : avant de transférer un message ou de répondre à tous, vérifiez quelles adresses apparaissent dans les champs. - Croire l'incident sans conséquence : les adresses sont déjà chez des tiers, et le NCSC rappelle que les escrocs exploitent les informations disponibles pour rendre leurs messages plus crédibles [3]. Les destinataires peuvent donc recevoir ensuite des messages suspects : l'organisme peut leur conseiller de ne pas répondre aux messages douteux et de les signaler à Signal Spam [4]. Les sources citées ici ne rapportent aucun cas daté d'envoi groupé avec adresses visibles : cette fiche n'en présente donc pas. ## Sources 1. CNIL, « Violations de données personnelles : les règles à suivre », 19 juin 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026) 3. NCSC (Royaume-Uni), « Phishing scams: how to spot and report them », 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consulté le 3 novembre 2026) 4. Cybermalveillance.gouv.fr, « Que faire en cas de phishing ou hameçonnage ? », 10 janvier 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (consulté le 3 novembre 2026) 5. CNIL, « Notifier une violation de données personnelles », 24 mai 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consulté le 3 novembre 2026) 6. CNIL, « CHAPITRE IV - Responsable du traitement et sous-traitant ». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/courriel-groupe-copie-cachee-cci/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.