Enviar um email em grupo com Bcc

O texto do RGPD exige que o responsável pelo tratamento notifique uma violação à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento dela, salvo se a violação não for suscetível de implicar risco para os direitos e liberdades das pessoas⁶. A CNIL acrescenta que este prazo começa quando o responsável tem um grau razoável de certeza de que ocorreu um incidente e de que este afetou dados pessoais¹.

O nível de risco determina as obrigações¹. Sem risco, a organização documenta o incidente internamente, num registo. Com risco, documenta-o e notifica a CNIL. Com risco elevado, documenta-o, notifica a CNIL e informa também as pessoas em causa. O risco avalia-se caso a caso, consoante a natureza e a sensibilidade dos dados, a facilidade de identificar as pessoas e as suas possíveis consequências¹. Um endereço isolado e um endereço que revela a pertença a um grupo sensível não se julgam da mesma maneira, mas essa avaliação cabe à organização, não a quem enviou a mensagem.

Antes de enviar uma mensagem a várias pessoas externas:

• Coloque os destinatários externos no campo Bcc, e não em Para ou Cc.
• Releia os três campos antes de enviar: nenhum endereço externo deve ficar em Para ou Cc.
• Se a mensagem se repete com frequência (boletim informativo, convocatória), peça à equipa informática uma ferramenta de envio concebida para esse fim, em vez de repetir a operação à mão.

Depois de um erro:

• Avise imediatamente o DPO ou o serviço informático, indicando o assunto da mensagem, a hora de envio e o número de destinatários.
• Não tente resolver o assunto sozinho escrevendo aos destinatários: a organização tem primeiro de avaliar o risco.
• Guarde a mensagem enviada. No caso do phishing, a Cybermalveillance.gouv.fr recomenda guardar as provas⁴. O mesmo reflexo serve aqui de base à documentação do incidente.

Do lado da organização, a CNIL pede que o incidente seja documentado: natureza da violação, categorias e número aproximado de pessoas em causa, consequências prováveis, medidas tomadas ou previstas⁵. Em caso de dúvida sobre a necessidade de informar as pessoas, a CNIL aconselha a notificá-la do incidente, e ela indicará se é preciso informá-las⁵. A notificação faz-se através de um serviço em linha destinado às organizações⁵. Se nem todas as informações estiverem disponíveis dentro do prazo de 72 horas, uma notificação inicial pode ser seguida de uma notificação complementar⁵.

• Esquecer o Bcc: pôr um único destinatário em Para, escrever os outros em Cc por hábito, ou colar a lista inteira no campo errado. Reler os campos antes de enviar é a defesa.
• Reencaminhar ou responder a todos: antes de reencaminhar uma mensagem ou responder a todos, verifique que endereços aparecem nos campos.
• Achar que o incidente não tem consequências: os endereços já estão na posse de terceiros, e o NCSC lembra que os burlões exploram as informações disponíveis para tornar as suas mensagens mais credíveis³. Os destinatários podem, assim, receber depois mensagens suspeitas: a organização pode aconselhá-los a não responder a mensagens duvidosas e a denunciá-las ao Signal Spam⁴.

As fontes aqui citadas não referem nenhum caso datado de envio em grupo com endereços visíveis: esta ficha não apresenta, por isso, nenhum.