Envoi de courriels à un ensemble de destinataires – Utilisation de la fonction « copie carbone invisible » (Cci) – Obligation - Appréciation en fonction des circonstances de l'envoi

En application de l’article 32 du RGPD, il appartient au responsable de traitement d’assurer la sécurité des traitements de données à caractère personnel qu’il effectue. À ce titre, le responsable de traitement doit veiller à la confidentialité des données qu’il traite en prenant des mesures raisonnables pour éviter leur divulgation ou communication à des tiers qui n’ont pas à en connaître. En particulier, s’agissant de l’envoi d’un courriel à un ensemble de destinataires, le responsable de traitement doit s’interroger sur le point de savoir si chaque personne à qui le courriel est adressé peut ou non avoir connaissance de l’ensemble des destinataires. Pour porter cette appréciation, qui doit être faite en fonction des circonstances de l’envoi – notamment l’objet du courriel ainsi que le nombre et la qualité des destinataires –, il y a lieu de tenir compte du fait que la communication en « copie carbone » (Cc) entraînera aussi la divulgation à des tiers de l’adresse électronique de chacun des destinataires. Lorsqu’il apparaît que le nom ou l’adresse électronique des destinataires ne doivent pas être visibles par tous, l’expéditeur du message est tenu d’utiliser la fonction « copie carbone invisible » (Cci). Dans certains cas, il peut être approprié de mettre un destinataire en Cci tout en indiquant dans le corps du courriel à quelles personnes il a été envoyé, s’il est pertinent que les destinataires aient cette information.