Envié un correo con datos a quien no debía: ¿es una brecha?

Pulsa «Enviar» y, tres segundos después, lo ve: el acta de la junta, con nombres, pisos y una deuda pendiente, ha ido al vecino equivocado. O la circular de la derrama salió con las ochenta direcciones de correo en el campo «Para» en lugar de en copia oculta. El estómago se encoge.

¿Es una brecha? Sí, casi siempre lo es en sentido técnico: el RGPD define como violación de la seguridad de los datos personales la comunicación no autorizada de datos (art. 4.12). Pero no toda brecha se notifica a la AEPD. Lo que decide es si resulta improbable que haya un riesgo para las personas afectadas, y eso depende de qué se envió, a quién y cuántos están afectados.

Primero, los cuatro factores

Antes de decidir nada, responda estas preguntas:

• ¿Qué datos van en el mensaje? Un nombre y un piso no es lo mismo que una deuda, un IBAN, un dato de salud o un número de DNI.
• ¿A quién llegó? A otro vecino, a un proveedor de confianza o a una lista amplia que no conoce.
• ¿A cuántas personas afecta? Una sola, o toda una comunidad.
• ¿Se puede reducir el daño? Por ejemplo, si el destinatario es conocido y puede borrarlo y confirmarlo.

Qué hacer en la primera hora

1. No lo ignore ni lo esconda. Un error humano reconocido a tiempo se gestiona. Uno ocultado se agrava.
2. Intente frenar el mensaje. Algunas plataformas permiten recuperar un mensaje en los primeros segundos. Si no, pida al destinatario que no lo abra y que lo elimine.
3. Solicite por escrito el borrado. Pídale que elimine el correo, también de la papelera, y que confirme por escrito que no lo ha reenviado ni conservado. No puede obligarle, pero deja constancia de que actuó.
4. Apunte los hechos: fecha y hora, qué se envió, a quién, cuántos afectados y qué se hizo.
5. Avise al responsable. En una comunidad, lo es la comunidad, y el administrador, como encargado, debe informarle sin dilación indebida (art. 33.2).
6. Valore el riesgo y decida. Y deje la decisión escrita.

Cómo suele salir la valoración

No hay respuesta única, pero estas pautas ayudan a razonar:

• Un recibo o un dato corriente a un vecino equivocado, que lo borra y lo confirma: lo habitual será que el riesgo resulte improbable. Se documenta y no se notifica, siempre que la valoración lo sostenga.
• Direcciones de correo visibles entre todos los vecinos: se revelan direcciones que pueden identificar a la persona. En muchas situaciones el riesgo es bajo, pero depende de si el mensaje revela algo más (por ejemplo, que todos son morosos o que todos han recibido un aviso sobre una situación sensible). Hay un caso para estudiar en caso práctico: correo con todos en copia.
• Datos de deudas, de salud o bancarios a personas ajenas: la valoración debe ser mucho más cautelosa, porque el daño potencial es mayor. Ahí es más probable que haya que notificar a la AEPD, y que haya que informar a los afectados.

Si decide notificar, el plazo es de 72 horas desde que tuvo constancia (art. 33.1). Las claves del procedimiento están en Brecha de seguridad: las 72 horas.

Documentar siempre

Aunque la decisión sea no notificar, el RGPD exige dejar constancia de todas las brechas, con los hechos, sus efectos y las medidas tomadas (art. 33.5). Si algún día la AEPD pregunta, lo que cuenta es que el despacho pueda enseñar cuándo ocurrió, cómo lo valoró y por qué decidió lo que decidió.

Un error de envío se puede gestionar. Lo que no tiene defensa es un error de envío sin registro ni valoración.

Cómo evitarlo

Muchos de estos errores se previenen con hábitos pequeños:

• Use siempre copia oculta en los envíos a varios vecinos, o mejor, una herramienta de envío masivo que no muestre destinatarios.
• Desactive el autocompletado de direcciones o revise el destinatario antes de enviar.
• Active un retardo de envío de uno o dos minutos, que permite recuperar un mensaje.
• Revise los adjuntos: que sean los del asunto y no incluyan datos de más (hojas ocultas, metadatos).
• Para actas y circulares, piense si hace falta enviar el documento completo. Más en enviar actas por email a todos los vecinos.
• Forme al personal: que sepa que avisar enseguida es lo correcto y que nadie será señalado por haberlo hecho.

Puede consultar el texto de los arts. 4, 33 y 34 en el RGPD (se abre en una ventana nueva).

Si el destinatario no responde

Puede ocurrir que el vecino al que llegó el correo no conteste, o que nadie sepa quién es el destinatario real. No por eso se cierra el asunto. Insista una vez más, por otra vía si la tiene, deje constancia de los intentos y refleje en la valoración que no se ha podido confirmar el borrado. Esa falta de confirmación sube el riesgo, y la decisión de notificar o no debe tenerla en cuenta.

En resumen

• Enviar datos personales a quien no debía es, en sentido técnico, una brecha de confidencialidad.
• No toda brecha se notifica a la AEPD: depende del riesgo para los afectados.
• Actúe en la primera hora: frenar, pedir el borrado por escrito, apuntar y avisar al responsable.
• Documente siempre la brecha y su valoración, aunque decida no notificar.
• Copia oculta, retardo de envío y revisión de adjuntos evitan muchos de estos casos.

Tener un modelo de registro de incidentes a mano hace que, el día que ocurra, la gestión lleve diez minutos y no una tarde.