¿Se pueden enviar listados con datos personales por correo electrónico?
Enviar un fichero o listado por email no es ilegal por sí mismo, pero solo puede hacerse si existe base jurídica, destinatario legitimado y medidas de seguridad adecuadas. El riesgo aumenta si se trata de datos sensibles o de envíos masivos.
Respuesta rápida
Sí puede ser legal, pero no de cualquier manera. El remitente debe tener base jurídica para la comunicación, limitar los datos a lo necesario y adoptar medidas de seguridad proporcionadas; en muchos casos, un correo ordinario sin protección será insuficiente.
Qué dice la ley
El RGPD y la LOPDGDD obligan a tratar los datos con licitud, minimización, integridad y confidencialidad. Cuando se envía un listado por correo electrónico, no solo importa por qué se envía, sino también a quién, con qué alcance y con qué protección técnica. El responsable debe valorar si procede cifrar, seudonimizar, usar contraseña por canal separado o recurrir a plataformas más seguras que el email convencional.
Puntos clave
- Debe existir una finalidad legítima y una base jurídica válida.
- Solo deben enviarse los datos estrictamente necesarios.
- El canal debe ser adecuado al nivel de riesgo del contenido.
- Un error de destinatario puede constituir una brecha de seguridad y obligar a gestionarla.
Matices y excepciones
Si el listado contiene datos de salud, menores u otras categorías especialmente protegidas, la cautela debe ser reforzada. También es distinto un envío interno controlado dentro de una organización que una remisión a terceros externos. Además, si el receptor actúa como encargado del tratamiento, debe existir el marco contractual correspondiente y políticas internas claras.
Qué hacer en la práctica
Antes de enviar, revise necesidad, destinatarios y contenido real del archivo. Quite datos sobrantes, valore cifrado y use contraseñas comunicadas por canal separado. Si se produce un envío erróneo, documente el incidente de inmediato y analice si debe notificarse como brecha de seguridad.
Fuentes consultadas
- EUR-Lex — Reglamento (UE) 2016/679 (RGPD)
- BOE — Ley Orgánica 3/2018 (LOPDGDD)
- AEPD — Guía para responsables del tratamiento
- INCIBE — Protección de datos y correo electrónico
Revisión editorial de fuentes: 2026-04-14