La empresa reconoce los hechos al señalar que es cierto que un trabajador inexperto y que se acababa de incorporar al equipo envió por error y sin mala fe, un correo electrónico sin la opción de copia oculta con una simple felicitación de navidad.

Por ello la empresa vulneró 2 principios de la normativa de protección de datos:

1. El artículo 5.1.f) del RGPD, al remitir el correo electrónico sin utilizar la opción de copia oculta, vulnerando la confidencialidad en el tratamiento de los datos de carácter personal.
2. El articulo 32.1 del RGPD, infringiendo el deber de seguridad.

Como resultado de la infracción, el denunciante tuvo acceso a las direcciones de correo electrónico del resto de destinatarios.

El deber de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos y es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional.

Además de la documentación obrante en el expediente se evidencia que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad motivado por la remisión de un correo electrónico a un número elevado de destinatarios sin la función de copia oculta, vulnerando las medidas técnicas y organizativas establecidas.

Leer aquí la sentencia completa.