Según entiende la Agencia Española de Protección de Datos en la Resolución del Procedimiento PS/00629/2012, la dirección de correo electrónico debe ser considerada como un dato de carácter personal, cuyo tratamiento deberá estar sujeto a lo estipulado en la Ley Orgánica 15/1999 de 13 de diciembre de protección de datos de carácter personal, que establece que no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello.
La dirección de correo electrónico se compone de un conjunto de signos o palabras libremente elegidos por el titular, con la única limitación de que la dirección elegida no corresponda con la de otra persona. Esta combinación podrá tener o no sentido en sí misma, tal y como afirma la propia Agencia, atendiendo al grado de identificación del titular de la cuenta de correo. Y es que, en este sentido, debe recordarse que citada Ley Orgánica en su artículo 3.a, define dato personal como “cualquier información concerniente a personas físicas identificadas o identificables”, definición que se completa por el artículo 5.1.f de su Reglamento de desarrollo, donde se describe como “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”.
Conforme al artículo 10 de la citada Ley Orgánica “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar las relaciones con el titular del fichero”. Este deber de secreto pretende evitar que se realicen filtraciones de la información sin el consentimiento del titular.
En este sentido el Tribunal de Justicia de Madrid, en su sentencia de 19 de julio de 2001 declaraba que “el deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo Por ello es igualmente ilícita la comunicación a cualquier tercer, con independencia de la relación que mantenga con él la persona a que se refiera la información”.
Debe además tenerse en cuenta lo recogido en el artículo 21 de la Ley 34/2002 de servicios de la sociedad de la información y comercio electrónico sobre el envío de comunicaciones comerciales no solicitadas: el envío de mensajes electrónicos debe atender también a las obligaciones recogidas sobre la protección de la privacidad garantizando la confidencialidad de los destinatarios de los mensajes.
Cuando al remitente del mensaje le sea exigible el deber de secreto y siempre que no sean aplicables excepciones relacionadas con supuestos en los que los titulares estén ligados por relaciones de ámbito doméstico, laboral o profesional, será necesaria la utilización del campo “con copia oculta”, garantizando así el secreto y confidencialidad entre los destinatarios del correo electrónico y no haciendo visible sus direcciones de correo electrónico tal y como se ha desarrollado.
Por último, debe recordarse que el artículo 11.1 de la Ley Orgánica precitada establece que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, entendiéndose por cesión o comunicación de datos “toda revelación de datos realizada a una persona distinta del interesado”, por lo que la comunicación de las direcciones de correo electrónico a terceros sin consentimiento, junto con las infracciones enunciadas, podría ser considerada como una cesión sin consentimiento y por tanto contraria a Derecho.