Durant l'any 2009 es van presentar 24 denúncies a l'Agència Espanyola de Protecció de Dades (AGPD) per enviar correus electrònics on es deixaven a la vista les adreces dels destinataris. Després de la corresponent instrucció, algunes d'aquestes denúncies han acabat en sanció.

La forma correcta de procedir és enviant el missatge a un mateix i la resta de destinataris escrits en l'apartat CCO –còpia oculta- de l'encapçalament del missatge.

La majoria de sancions van ser imposades per "remetre correus electrònics revelant adreces sense utilitzar la còpia oculta (CCO), incorrent en una vulneració del deure secret recollit en l'article 10 de la llei orgànica de protecció de dades".

En aquest article es disposa que "el responsable del fitxer i els qui intervinguin en qualsevol fase del tractament de les dades de caràcter personal estan obligats al secret professional respecte dels mateixos i al deure de guardar-los, obligacions que subsistiran després de finalitzar les seves relacions amb el titular del fitxer o, si escau, amb el responsable del mateix".

El correu electrònic es considera una dada personal des de 1999.
Cal recordar que la llei no preveu sancions per l'ús domèstic ni a organismes públics.

A més la Llei d'Economia Sostenible ha reformat alguns dels articles de la llei de protecció de dades, concretament els que afecten a les infraccions i sancions.

Les novetats més importants són:

• La no inscripció de fitxers que continguin dades de caràcter personal a l'AEPD i la transmissió de dades a un encarregat del tractament sense complir amb l'establert en l'article 12 de la LOPD, tenen la consideració de faltes lleus.
• La vulneració del deure de secret suposa sempre infracció greu. Amb la legislació anterior podia ser lleu, greu o molt greu.
• L'impediment o obstaculització de l'exercici dels drets ARCO és sempre infracció greu.
• Es modifiquen les quanties de les sancions per faltes lleus o greus sent per a les primeres entre 900 € i 40.000 €. Abans eren entre 601 € i 60.101,21 € i per a les segones entre 40.000 i 300.000, quan abans eren de 60.101€ a 300.506 €.
• S'incorporen nous criteris de graduació de la quantia com el caràcter continuat de la infracció, la vinculació de l'activitat de l'infractor amb la realització de tractament de dades de caràcter personal.