En aquest sentit es pronuncia l’Audiència Nacional en la seva sentència de 15 de gener de 2011 quan ratifica la multa de 3000€ interposada per l’Agència espanyola de protecció de dades (AEPD) a una associació, com sanció greu per incompliment del que estableix la llei de protecció de dades. En el supòsit de fet, es considera l’adreça electrònica com una dada de caràcter personal ja que no es tracta d’un mail genèric, sinó del mail professional d’una persona física, on es pot identificar amb facilitat tant la identitat de la persona, com el lloc on treballa. Per tant es considera que cal tenir consentiment exprés tal i com estableix l’article 6.1 de la LOPD.

En concret l’article 6 de la LOPD estableix la necessitat de consentiment inequívoc de l’afectat pel tractament de dades de caràcter personal i l’obligació de la guarda d’aquestes dades i el deure de secret per qui fa el tractament, que queda regulat en l’article 10 de la LOPD. És precisament la vulneració d’aquest deure de secret de qui té el tractament de dades, el que es sanciona com a falta greu en l’article 44.3d de la llei de protecció de dades.

Per tal de complir amb la Llei de protecció de dades, les entitats han de saber quants fitxers de dades tenen, en quin suport (informàtic, paper o tots dos), quin nivell de protecció han de tenir les seves dades en funció que siguin bàsiques, de protecció mitjana o alta i redactar el model de seguretat que fan servir dins l’entitat. Finalment, s’han de comunicar aquests fitxers a l’AEPD.

Cal que les entitats que demanin dades personals informin de manera expressa, precisa i sense donar lloc al dubte que s’estan recavant dades. En aquest sentit, s’aconsella que les entitats tinguin per escrit l’autorització de la persona física on consti que se li han demanat dades de caràcter personal i quin serà el tractament que se’n farà. En cas de cessió d’aquestes dades a un tercer, cal autorització expressa.

A més, s’ha de tenir en compte que els mailing s’han de fer sempre en còpia oculta per tal que altres usuaris no coneguin les adreces electròniques de la resta de destinataris ja que, tal i com estableix a la sentència, l’adreça electrònica pot ser considerada dada personal si es pot identificar el titular amb facilitat.