Splošna uredba o varstvu podatkov (GDPR)
25. maja bo začela veljati Splošna uredba o varstvu podatkov (GDPR). Z uvedbo GDPR postaja varstvo osebnih podatkov vse pomembnejše. Podjetja morajo upoštevati več strožjih pravil glede varstva podatkov. Vendar pa se zaradi uvedbe GDPR pojavljajo različna vprašanja. Za podjetja morda ni jasno, kateri podatki se štejejo za osebne podatke in spadajo na področje uporabe GDPR. To velja za e-poštne naslove: ali se e-poštni naslov šteje za osebni podatek? Ali za podjetja, ki uporabljajo e-poštne naslove, velja GDPR? Na ta vprašanja bomo odgovorili v tem članku.
Osebni podatki
Za odgovor na vprašanje, ali se e-poštni naslov šteje za osebne podatke ali ne, je treba opredeliti izraz osebni podatki. Ta izraz je razložen v GDPR. Na podlagi 4. člena pod GDPR osebni podatki pomenijo vse podatke, ki se nanašajo na identificirano ali določljivo fizično osebo. Fizična oseba, ki jo je mogoče prepoznati, je oseba, ki jo je mogoče neposredno ali posredno identificirati, zlasti glede na identifikator, kot so ime, identifikacijska številka, podatki o lokaciji ali spletni identifikator. Osebni podatki se nanašajo na fizične osebe. Zato se podatki o umrlih osebah ali pravnih osebah ne štejejo za osebne podatke.
E-mail naslov
Zdaj, ko je opredelitev osebnih podatkov določena, je treba oceniti, ali se e-poštni naslov šteje za osebni podatek. Nizozemska sodna praksa kaže, da bi e-poštni naslovi lahko bili osebni podatki, vendar to ni vedno tako. Odvisno je od tega, ali je fizična oseba identificirana ali določljiva na podlagi e-poštnega naslova.[1] Pri ugotavljanju, ali se e-poštni naslov lahko šteje za osebni podatek ali ne, je treba upoštevati način, kako so osebe strukturirale svoje e-poštne naslove.
Veliko fizičnih oseb strukturira svoje e-poštne naslove tako, da jih je treba šteti za osebne podatke. To je na primer primer, ko je e-poštni naslov strukturiran na naslednji način: [email protected] . Ta e-poštni naslov razkriva ime in priimek fizične osebe, ki uporablja naslov.
Zato je to osebo mogoče identificirati na podlagi tega e-poštnega naslova. E-poštni naslovi, ki se uporabljajo za poslovne dejavnosti, lahko vsebujejo tudi osebne podatke. To velja, kadar je e-poštni naslov strukturiran na naslednji način: [email protected] . Iz tega e-poštnega naslova je mogoče razbrati, katere so začetnice osebe, ki uporablja e-poštni naslov, kakšen je njen priimek in kje ta oseba dela. Zato je osebo, ki uporablja ta e-poštni naslov, mogoče identificirati na podlagi e-poštnega naslova.
E-poštni naslov se ne šteje za osebni podatek, če iz njega ni mogoče prepoznati nobene fizične osebe. To velja na primer, če se uporabi naslednji e-poštni naslov: [email protected] . Ta e-poštni naslov ne vsebuje nobenih podatkov, iz katerih bi bilo mogoče prepoznati fizično osebo. Splošni e-poštni naslovi, ki jih uporabljajo podjetja, kot je [email protected] , se prav tako ne štejejo za osebne podatke.
Ta e-poštni naslov ne vsebuje osebnih podatkov, iz katerih bi bilo mogoče identificirati fizično osebo. Poleg tega elektronskega naslova ne uporablja fizična oseba, temveč pravna oseba. Zato se ne šteje za osebne podatke. Iz nizozemske sodne prakse je mogoče sklepati, da so elektronski naslovi lahko osebni podatki, vendar to ni vedno tako; odvisno od strukture e-poštnega naslova.
Obstaja velika verjetnost, da je fizične osebe mogoče prepoznati po e-poštnem naslovu, ki ga uporabljajo, zaradi česar so e-poštni naslovi osebni podatki. Za razvrstitev e-poštnih naslovov med osebne podatke ni pomembno, ali podjetje dejansko uporablja e-poštne naslove za identifikacijo uporabnikov. Tudi če podjetje elektronskih naslovov ne uporablja za namene identifikacije fizičnih oseb, se elektronski naslovi, iz katerih je mogoče identificirati fizične osebe, še vedno štejejo za osebne podatke.
Vsaka tehnična ali naključna povezava med osebo in podatki ne zadošča, da bi podatke označili za osebne. Če pa obstaja možnost, da se e-poštni naslovi lahko uporabijo za identifikacijo uporabnikov, na primer za odkrivanje primerov goljufij, se e-poštni naslovi štejejo za osebne podatke. Pri tem ni pomembno, ali je podjetje nameravalo uporabiti elektronske naslove za ta namen ali ne. Zakon govori o osebnih podatkih, kadar obstaja možnost, da se podatki uporabijo za namen, ki identificira fizično osebo.[2]
Posebni osebni podatki
Čeprav se e-poštni naslovi večinoma štejejo za osebne podatke, niso posebni osebni podatki. Posebni osebni podatki so osebni podatki, ki razkrivajo rasno ali etnično poreklo, politična mnenja, verska ali filozofska prepričanja ali članstvo v poklicu ter genetski ali biometrični podatki. To izhaja iz 9. člena GDPR. Poleg tega e-poštni naslov vsebuje manj javnih informacij kot na primer domači naslov.
Nečiji e-poštni naslov je težje pridobiti kot njegov domači naslov in od uporabnika e-poštnega naslova je v veliki meri odvisno, ali je e-poštni naslov javno objavljen ali ne. Poleg tega ima odkritje elektronskega naslova, ki bi moral ostati skrit, manj resne posledice kot odkritje domačega naslova, ki bi moral ostati skrit. Lažje je spremeniti e-poštni naslov kot domači naslov in odkritje e-poštnega naslova lahko vodi do digitalnega stika, medtem ko odkritje domačega naslova lahko vodi do osebnega stika.[3]
Obdelava osebnih podatkov
Ugotovili smo, da e-poštni naslovi večino časa veljajo za osebne podatke. Vendar GDPR velja samo za podjetja, ki obdelujejo osebne podatke. Obdelava osebnih podatkov obstaja za vsako dejanje v zvezi z osebnimi podatki. To je podrobneje opredeljeno v GDPR. V skladu s členom 4, pododstavek GDPR, obdelava osebnih podatkov pomeni vsako operacijo, ki se izvaja na osebnih podatkih, ne glede na to, ali samodejno. Primeri so zbiranje, snemanje, organiziranje, strukturiranje, shranjevanje in uporaba osebnih podatkov. Ko podjetja izvajajo zgoraj omenjene dejavnosti v zvezi z elektronskimi naslovi, obdelujejo osebne podatke. V tem primeru zanje velja GDPR.
zaključek
Vsak e-poštni naslov se ne šteje za osebni podatek. Vendar se e-poštni naslovi štejejo za osebne podatke, če zagotavljajo določljive podatke o fizični osebi. Veliko elektronskih naslovov je strukturiranih tako, da je fizično osebo, ki uporablja elektronski naslov, mogoče identificirati. To velja za primer, ko elektronski naslov vsebuje ime ali delovno mesto fizične osebe. Zato se bo veliko e-poštnih naslovov štelo za osebne podatke.
Za podjetja je težko ločiti med e-poštnimi naslovi, ki se štejejo za osebne podatke, in e-poštnimi naslovi, ki se ne, saj je to v celoti odvisno od strukture e-poštnega naslova. Zato lahko rečemo, da bodo podjetja, ki obdelujejo osebne podatke, naletela na e-poštne naslove, ki se štejejo za osebne podatke. To pomeni, da za ta podjetja velja GDPR in bi morala izvajati politiko zasebnosti, ki je skladna z GDPR.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
