Envoyer un courriel groupé avec Cci

Le texte du RGPD demande au responsable du traitement de notifier une violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes⁶. La CNIL ajoute que ce délai commence lorsque le responsable a un degré de certitude raisonnable qu'un incident a eu lieu et a touché des données personnelles¹.

Le niveau de risque détermine les obligations¹. Sans risque, l'organisme documente l'incident en interne dans un registre. Avec un risque, il documente et notifie la CNIL. Avec un risque élevé, il documente, notifie la CNIL et informe aussi les personnes concernées. Le risque s'apprécie au cas par cas, selon la nature et la sensibilité des données, la facilité d'identifier les personnes et leurs conséquences possibles¹. Une adresse seule et une adresse qui révèle l'appartenance à un groupe sensible ne se jugent pas de la même façon, mais cette appréciation revient à l'organisme, pas à l'expéditeur.

Avant l'envoi d'un message à plusieurs personnes extérieures :

• Placez les destinataires externes dans le champ Cci, et non dans À ou Cc.
• Relisez les trois champs avant d'envoyer : aucune adresse externe ne doit rester dans À ou Cc.
• Si le message est répété souvent (lettre d'information, convocation), demandez à l'équipe informatique un outil d'envoi prévu pour cet usage plutôt que de refaire la manipulation à la main.

Après une erreur :

• Prévenez immédiatement le DPO ou le service informatique, avec l'objet du message, l'heure d'envoi et le nombre de destinataires.
• Ne cherchez pas à régler seul la question en écrivant aux destinataires : l'organisme doit d'abord évaluer le risque.
• Conservez le message envoyé. Pour le phishing, Cybermalveillance.gouv.fr recommande de conserver les preuves⁴. Le même réflexe sert ici de base à la documentation de l'incident.

Côté organisme, la CNIL demande de documenter l'incident : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou envisagées⁵. En cas de doute sur la nécessité d'informer les personnes, la CNIL conseille de lui notifier l'incident, et elle indiquera s'il faut les informer⁵. La notification se fait par un téléservice dédié aux organismes⁵. Si toutes les informations manquent dans le délai de 72 heures, une notification initiale peut être suivie d'une notification complémentaire⁵.

• Oublier Cci : mettre un seul destinataire dans À, saisir les autres en Cc par habitude, ou coller toute la liste dans le mauvais champ. La relecture des champs avant l'envoi est la parade.
• Transférer ou répondre à tous : avant de transférer un message ou de répondre à tous, vérifiez quelles adresses apparaissent dans les champs.
• Croire l'incident sans conséquence : les adresses sont déjà chez des tiers, et le NCSC rappelle que les escrocs exploitent les informations disponibles pour rendre leurs messages plus crédibles³. Les destinataires peuvent donc recevoir ensuite des messages suspects : l'organisme peut leur conseiller de ne pas répondre aux messages douteux et de les signaler à Signal Spam⁴.

Les sources citées ici ne rapportent aucun cas daté d'envoi groupé avec adresses visibles : cette fiche n'en présente donc pas.