Caso práctico: el correo a 80 vecinos con todas las direcciones a la vista

Caso ficticio, construido para explicar cómo se aplica la norma. Cualquier parecido con una comunidad real es casualidad.

Son las 9:12 de un martes. Lorena, del despacho de fincas, envía la convocatoria de la junta de «Torres del Parque» a los 80 propietarios. Escribe todas las direcciones en el campo «Para», pulsa enviar y respira. A las 9:40 llega la primera respuesta, y es de las que se temen: «Por favor, no me escribáis más a mi correo personal». Y detrás, otra, pulsando «responder a todos», pidiendo que la quiten de la lista, con 80 destinatarios copiados de nuevo.

¿Es un problema grave haber enviado un correo con todas las direcciones visibles? Es una violación de la confidencialidad que hay que valorar, aunque no siempre exija avisar a la Agencia. Una dirección de correo que identifica a una persona es un dato personal; mostrarla a otros 79 sin que lo sepan tiene consecuencias.

Por qué una dirección de correo es un dato personal

Muchas direcciones se componen de nombre y apellidos («mariagarcia@…»). Aunque no fuera así, ligadas a una comunidad concreta dicen dónde vive o qué posee esa persona. Por eso son datos personales. Enseñarlas a terceros sin necesidad rompe el principio de confidencialidad del artículo 5.1.f del RGPD (se abre en una ventana nueva).

Un matiz: algunos propietarios quizá se conozcan y se escriban entre ellos, y a nadie le preocupa. Pero el despacho no decide eso por ellos. El hecho de que muchos no se quejen no convierte el envío en correcto.

Qué se hizo en las primeras horas

La jefa de Lorena, Carmen, tomó el mando con una secuencia sencilla:

• Frenar la cadena. Un mensaje corto a todos: «Les rogamos que no utilicen la opción de responder a todos; escriban solo al despacho». Es probable que no evite todo, pero reduce el ruido.
• Averiguar el alcance. Quién recibió el correo, qué contenía y si había adjuntos con datos personales (una lista de morosos, un acta). Una convocatoria con orden del día es una cosa; una convocatoria que lleva pegada una relación de deudas es otra mucho más seria.
• Anotar el incidente. Fecha y hora, causa (error al rellenar el campo), número de afectados, medidas.
• Valorar el riesgo. Aquí es donde se decide si hay que notificar.
• Corregir la causa. Cambiar la forma de enviar.

¿Hay que avisar a la AEPD?

El RGPD (se abre en una ventana nueva) exige notificar una violación a la autoridad de control en 72 horas desde que se tiene conocimiento (artículo 33), a menos que sea improbable que entrañe un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, hay que comunicarlo también a los afectados (artículo 34). Y en cualquier caso, la violación se documenta, se notifique o no.

En este supuesto, la convocatoria llevaba solo el orden del día y las direcciones eran personales. Carmen concluyó, y lo dejó escrito, que el riesgo era bajo: no se expusieron datos de salud, económicos ni de menores, y el conjunto de afectados ya formaba parte de una misma comunidad. Pero llegó a esa conclusión tras analizarlo, no por intuición. Si el correo hubiera llevado la lista de morosos, la valoración habría sido otra. Sobre el procedimiento, puede ver la brecha de seguridad y el plazo de 72 horas y qué hacer con un correo enviado a quien no debía.

La solución técnica, que es la más simple

El campo «CCO» (copia oculta) oculta a cada destinatario los demás. Es el remedio más barato. Pero el CCO depende de que alguien se acuerde de usarlo cada vez, y el despacho de Lorena envía cientos de correos al mes. Así que Carmen implantó tres medidas que no dependen de la memoria:

• Una herramienta de envío masivo o el módulo de comunicaciones del programa de gestión, que envía un mensaje individual a cada destinatario.
• Listas de distribución por comunidad, mantenidas por el despacho, donde ningún empleado teclea direcciones a mano.
• Una comprobación antes de enviar: si el mensaje tiene más de una dirección en «Para» o «CC», el sistema avisa.

Si además se envían documentos con datos personales, como actas, el envío por correo tiene sus propias cautelas, que hemos tratado en enviar actas por email a todos los vecinos.

Y si un vecino se queja

La propietaria que escribió pidiendo que no le escribieran más a su correo personal estaba, en realidad, haciendo dos cosas: pedir que no se use ese canal con ella y quejarse por la exposición de su dirección. Lo correcto es contestarle con rapidez, reconocer el error sin dramatizarlo, ofrecerle otro medio de contacto (carta postal, por ejemplo) y anotarlo. Como la convocatoria tiene que seguir llegándole, el despacho tendrá que enviársela por los cauces que fija la Ley de Propiedad Horizontal.

En un correo a muchos destinatarios, lo que cada uno sabe de los demás tiene que ser nada.

Lo que depende del caso

No es igual un correo con 80 direcciones personales que uno con 80 direcciones de empresa, ni uno que sale hacia una comunidad de tres vecinos que ya se tratan a diario. Tampoco pesa lo mismo si el contenido es una simple convocatoria o incluye importes, nombres de morosos o datos médicos. Y es distinto si los destinatarios son todos propietarios o si se mezclan inquilinos, proveedores y gente ajena a la comunidad. Por eso la valoración se hace caso por caso.

En resumen

• Una dirección de correo asociada a una persona es un dato personal.
• Mostrar a 80 vecinos las direcciones de los otros 79 es una violación de la confidencialidad que hay que valorar y documentar.
• La notificación a la AEPD en 72 horas no es automática: depende de si es improbable que haya riesgo.
• Use CCO y, mejor, herramientas que envíen mensajes individuales para que no dependa de la memoria de nadie.

Si en su despacho los envíos a propietarios se siguen haciendo escribiendo direcciones a mano, ordenar el procedimiento ahora es mucho más fácil que hacerlo un martes a las 9:40.