SIEMPRE CON COPIA OCULTA (CCO), POR FAVOR.

La Agencia Española de Protección de Datos (en adelante la AEPD) ha resuelto sobre si el envío de un correo electrónico a 42 destinatarios distintos, incluyendo las direcciones de e-mail en el campo “Con Copia (CC)” dejando, por tanto, visibles a todos los destinatarios las direcciones de correo electrónico de los receptores, es o no sancionable.

A juicio de la AEPD, ha supuesto una vulneración del deber de sigilo, pues no debería haber dado a conocer las direcciones de correo electrónico al resto de destinatarios; es decir, debería haber utilizado la opción “Con Copia Oculta” (CCO).

Sin embargo, la sancionada alegó contra la denuncia formulada que la dirección de correo electrónico de la denunciante puede ser encontrada en Internet en diferentes páginas, y que por tanto no ha vulnerado ningún secreto pues ella misma publica su dirección electrónica en Internet.

¿Cómo resuelve la AEPD esta cuestión? y además ¿la dirección de correo electrónico es un dato personal? y si los datos fueron obtenidos de Internet ¿son de acceso público y podemos tratarlos como queramos?. La respuesta es no.

La Agencia Española de Protección de Datos ya en el año 1999, emitió un informe jurídico sobre si la dirección de correo electrónico encajaba o no como un dato personal, diferenciando entre dos clases de direcciones las de minombre.apellido@megastar.com y las de sin.ningun.sentido@hotmail.com, y deja claro que en cualquiera de los dos casos es posible identificar a la persona que se encuentra detrás de una dirección email.

En el primer caso, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso dicha dirección ha de ser considerada como dato de carácter personal. En el segundo caso la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio.


Queda patente en ambos casos, que la dirección de correo electrónico es un dato personal; ahora queda por resolver la cuestión relativa a que la dirección se encuentra en varias páginas de Internet. En principio podríamos pensar que por el hecho de estar la dirección en Internet podemos hacer lo que queramos con ella: pues no.

La AEPD establece como la alegación de la denunciada, de que no puede ser merecedora de reproche administrativo alguno su conducta al revelar, por error, la dirección de correo electrónico del denunciante en Internet porque ésta ya estaba incluida por el propio denunciante en dicho medio, debe ser rechazada.

La inclusión voluntaria de dicha dirección de correo electrónico por aquél para la comercialización de los productos reseñados anteriormente no legitima la utilización de la misma por terceros para fines distintos de los expresamente señalados por el denunciante en cualquiera de las páginas en las que éste hubiera reflejado su dirección de correo electrónico, pues sólo el denunciante, como titular de sus datos personales, más concretamente, en este caso, de su dirección de correo electrónico, está legitimado, en los términos y con las excepciones establecidas en la LOPD, para decidir sobre el destino y uso de sus datos personales.

La LOPD califica la vulneración del deber de secreto como infracción leve o grave, dependiendo del contenido de la información facilitada al tercero sin consentimiento de su titular. El artículo 44.3.g) de dicha Ley califica como grave “La vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, prestación de servicios de solvencia patrimonial y crédito, así como aquellos otros ficheros que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo”. Dicha infracción aparece tipificada como leve en el artículo 44.2.e) de la LOPD, que considera como tal “Incumplir el deber de secreto establecido en el artículo 10 de esta Ley, salvo que constituya infracción grave.”

En el caso que se examina, efectivamente la dirección de correo electrónico del denunciante constaba en varias páginas de Internet, pero, como ya se ha señalado, a los fines expresamente indicados en las mismas. La publicación en Internet de una dirección de correo electrónico por su titular no la convierte en un dato que pueda ser utilizado sin límite alguno por parte del responsable del fichero en el que se encuentren incluida.

De acuerdo con lo expuesto, en el presente caso, la difusión de la dirección de correo electrónico del denunciante, sin su consentimiento, es subsumible en el tipo de infracción calificada como leve, al no poder deducirse de los datos difundidos a terceros una evaluación de la personalidad del denunciante. Por ello, se considera que la denunciada. ha incurrido en la infracción leve tipificada en el artículo 44.2.e) de la LOPD.

La Agencia lo deja muy claro aunque la dirección aparezca en Internet, si no tenemos consentimiento del interesado no podremos utilizarla para ningún tipo de comunicación. ¡Ojo con no utilizar las Con Copia Oculta (CCO)!

Para mayor información la resolución de la AEPD está disponible, en su pagina Web, siendo la R/00874/2006.