La legge sulla privacy, nota come 675/96 (testo consolidato con il decreto legislativo del 28 dicembre 2001, n. 467) è stata a lungo oggetto di una discussione relativa al fatto che possa essere applicata alla posta elettronica.
Da anni la questione non esiste più, in quanto l'indirizzo di posta elettronica costituisce a tutti gli effetti un dato personale e non è necessario che abbia al suo interno il nome del suo titolare.
L'11 gennaio 2001 c'è stato un pronunciamento dell'Autorità Garante per la Protezione dei Dati, avvenuto dopo le segnalazioni fatte da persone colpite da spam a contenuto politico.
In sostanza è stato dichiarato illegittimo, in assenza di esplicito consenso degli interessati, l'uso di indirizzi di posta elettronica presi in Rete, questo perché queste aree, sebbene liberamente accessibili a tutti, non sono assoggettate a nessun regime giuridico di piena conoscibilità (il regime giuridico di piena conoscibilità c'è, ad esempio, per i dati dell'elenco telefonico).
Si noti bene: è ininfluente offrire ai destinatari il modo di "disinscriversi" perché l'invio resta assolutamente illegale.
Illegali sono anche i trucchetti verbali del tipo: "gli indirizzi a cui scriviamo sono generati da un programma automatico, non serve disinscriversi dalla lista poiché non esiste e non arriveranno altri messaggi".
Va da sé che non sia proibito creare stringhe di caratteri in maniera random, ma se queste risultano essere (che caso!) indirizzi validi usati per inviare messaggi di posta elettronica si tratta comunque di elaborazioni di dati personali di altri, il che richiede il consenso.