Een groepsmail versturen met Bcc

De AVG-tekst verlangt dat de verwerkingsverantwoordelijke een inbreuk zonder onredelijke vertraging bij de toezichthouder meldt en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen⁶. De CNIL voegt toe dat deze termijn ingaat wanneer de verantwoordelijke een redelijke mate van zekerheid heeft dat er een incident heeft plaatsgevonden en dat persoonsgegevens zijn getroffen¹.

Het risiconiveau bepaalt de verplichtingen¹. Zonder risico documenteert de organisatie het incident intern in een register. Bij een risico documenteert ze het en meldt ze het aan de CNIL. Bij een hoog risico documenteert ze het, meldt ze het aan de CNIL en informeert ze ook de betrokken personen. Het risico wordt geval per geval beoordeeld, naar de aard en de gevoeligheid van de gegevens, het gemak waarmee personen te identificeren zijn en de mogelijke gevolgen voor hen¹. Een los adres en een adres dat het lidmaatschap van een gevoelige groep verraadt, worden niet op dezelfde manier beoordeeld, maar die beoordeling is aan de organisatie, niet aan de afzender.

Voordat u een bericht naar meerdere externe personen verstuurt:

• Zet de externe ontvangers in het veld Bcc, niet in Aan of Cc.
• Controleer alle drie de velden voor het verzenden: er mag geen extern adres in Aan of Cc blijven staan.
• Als het bericht vaak wordt herhaald (nieuwsbrief, uitnodiging), vraag het IT-team dan om een verzendtool die hiervoor bedoeld is, in plaats van de handeling telkens met de hand te herhalen.

Na een fout:

• Waarschuw onmiddellijk de DPO of de IT-afdeling, met het onderwerp van het bericht, het tijdstip van verzending en het aantal ontvangers.
• Probeer de kwestie niet alleen op te lossen door de ontvangers te schrijven: de organisatie moet eerst het risico beoordelen.
• Bewaar het verzonden bericht. Bij phishing raadt Cybermalveillance.gouv.fr aan het bewijs te bewaren⁴. Dezelfde reflex dient hier als basis voor de documentatie van het incident.

Aan de kant van de organisatie vraagt de CNIL het incident te documenteren: aard van de inbreuk, categorieën en bij benadering het aantal betrokken personen, waarschijnlijke gevolgen, genomen of overwogen maatregelen⁵. Bij twijfel of de betrokkenen moeten worden geïnformeerd, adviseert de CNIL het incident aan haar te melden, en zij geeft dan aan of zij moeten worden geïnformeerd⁵. De melding gebeurt via een online dienst voor organisaties⁵. Als niet alle informatie binnen de termijn van 72 uur beschikbaar is, kan op een eerste melding een aanvullende melding volgen⁵.

• Bcc vergeten: één ontvanger in Aan zetten, de anderen uit gewoonte in Cc typen, of de hele lijst in het verkeerde veld plakken. De velden vóór het verzenden nalezen is het tegengif.
• Doorsturen of allen beantwoorden: controleer voordat u een bericht doorstuurt of aan allen antwoordt welke adressen in de velden staan.
• Denken dat het incident geen gevolgen heeft: de adressen zijn al bij derden, en het NCSC wijst erop dat oplichters beschikbare informatie gebruiken om hun berichten geloofwaardiger te maken³. De ontvangers kunnen daarna dus verdachte berichten krijgen: de organisatie kan hun aanraden niet te reageren op twijfelachtige berichten en die te melden bij Signal Spam⁴.

De hier aangehaalde bronnen melden geen gedateerd geval van een groepsmail met zichtbare adressen: deze pagina presenteert er dus geen.