El artículo 5 del RGPD establece los principios relativos al tratamiento de los datos, y entre ellos menciona el de integridad y confidencialidad. f) “serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

• El mero hecho de remitir un correo electrónico sin copia oculta a decenas de destinatarios ya constituye una infracción contra lo dispuesto en el señalado artículo 5.1f) del RGPD.

Por otra parte, en virtud del artículo 32 del RGPD “Seguridad del tratamiento”, cabe señalar que:

1. El responsable y el encargado del tratamiento han de aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, siempre teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas; y que incluya entre otros:
2. a) la seudonimización y el cifrado de datos personales;
3. b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
4. c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
5. d) un proceso de verificación (que no auditoría), evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
6. Al evaluar la adecuación del nivel de seguridad se han de tener en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales.

En esta misma línea, el Considerando 83 del RGPD señala que “el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse”.

• Aunque los preceptos mencionados anteriormente no establecen un listado de las medidas de seguridad que son aplicables en relación con los datos que son objeto de tratamiento, parece claro el hecho de que estamos ante una brecha de seguridad, entendida esta como “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos” (artículo 4.12 RGPD).

Por todo lo anteriormente expuesto y en virtud del artículo 72.1a) de la LOPDGDD, la AEPD decidió iniciar procedimiento sancionador contra el despacho de abogados, al encontramos por un lado ante una infracción considerada muy grave y tipificada en el artículo 83.5 a) RGPD, al verse vulnerados los principios establecidos en el artículo 5.1f), y, por otro lado, por infringirse el artículo 32 RGPD tipificado en el artículo 83.4 a) como grave.

Para la infracción del artículo 32 la sanción que correspondería únicamente sería la de apercibimiento, sin embargo, por la infracción del artículo 5.1f), la AEPD impuso una sanción de importe 10.000 euros.

         AGRAVANTES

Además, la AEPD considera que procede graduar la sanción a imponer de acuerdo con los criterios establecidos en el artículo 83.2 RGPD:

• Se encuentran afectados identificadores personales básicos (nombre, apellidos, domicilio)
• Estamos ante una acción negligente no intencional, pero significativa

         ATENUANTES

Sin embargo, puesto que el reclamado procedió al pago de la sanción en la cuantía de 6000 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio de conformidad con lo dispuesto en el artículo 85 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se reconoce la responsabilidad de la reclamada, lo que conlleva la renuncia a cualquier acción o recurso en vía administrativa.

Hemos hablado de la copia oculta, pero ¿cómo se debe usar correctamente cuando enviamos un email?

Cuando se inicia el proceso de enviar un correo electrónico, podemos observar diferentes campos:

• Para: es esa persona o personas a las que se envía el email. Esta información es siempre pública y en caso de reenvío en copia, todos los que la reciban podrán ver el destinatario original.

• CC o Copia de carbón: Permite enviar copias de un correo a otros destinatarios además de los principales a los que va dirigido. También es una copia pública, por lo que, tanto el o los destinatarios principales como los usuarios puestos en copia, podrán ver a quién más se le envía el correo.

• CCO o Copia de carbón oculta permite enviar copias de un correo a otros destinatarios además de los principales a los que va dirigido. Es una copia privada, por lo que ni el o los destinatarios principales ni los usuarios puestos en copia podrán ver a quién más se le envía el correo.

Como podemos deducir de lo ya expuesto, esta opción se debe usar para evitar la divulgación de las direcciones de las personas destinatarias del correo electrónico, cuando no se disponga de su consentimiento o cuando no concurra alguna otra circunstancia que permita revelar este dato.

Además, con la utilización de esta opción, no sólo se preserva la confidencialidad del resto de perso­nas destinatarias, sino que también se evitan prácticas de correo basura (spam) o similares.

Aunque cada gestor de correo tiene una interfaz diferente, en todos es muy fácil de usar. En el momento en que se vaya a redactar un email hay que buscar el campo CCO si está en español, o BCC si está en inglés y se colocan las direcciones de los destinatarios, separadas por un punto y coma (;).

A modo de conclusión como hemos visto, en el momento en que enviamos un correo electrónico deja de estar bajo nuestro control desde el momento que pulsamos el botón de “Enviar”, ya que no sabemos si posteriormente es reenviado o publicado por uno de los destinatarios, dejando accesible no solo nuestra dirección de correo sino la de todos los destinatarios.  

Por tanto, piénsatelo dos veces antes de agregar "a lo loco" muchas direcciones en tu email y recuerda que cada vez que quieras dirigirte a varios destinatarios, debes introducirlas en el campo "CCO", en lugar del "Para".