Μια διεύθυνση ηλεκτρονικού ταχυδρομείου αποτελεί προσωπικό δεδομένο βάσει του ΓΚΠΔ κάθε φορά που προσδιορίζει ένα φυσικό πρόσωπο, για παράδειγμα firstname.lastname@company.com. Μια γενική διεύθυνση όπως η info@company.com συνήθως δεν είναι, επειδή υποδεικνύει έναν οργανισμό και όχι ένα άτομο. Επομένως, το εάν ο ΓΚΠΔ ισχύει για τις διευθύνσεις ηλεκτρονικού ταχυδρομείου σας εξαρτάται από τον τρόπο με τον οποίο έχει δημιουργηθεί κάθε διεύθυνση και τα περισσότερα βιβλία διευθύνσεων αποδεικνύεται ότι περιέχουν προσωπικά δεδομένα.
Τι είναι τα προσωπικά δεδομένα σύμφωνα με τον ΓΚΠΔ;
Προσωπικά δεδομένα (persoonsgegevens) είναι κάθε πληροφορία που αφορά ένα ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, σύμφωνα με το άρθρο 4(1) του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR, γνωστός στις Κάτω Χώρες ως AVG). Ένα πρόσωπο είναι ταυτοποιήσιμο, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε ένα αναγνωριστικό όπως ένα όνομα, έναν αριθμό ταυτότητας, δεδομένα τοποθεσίας ή ένα ηλεκτρονικό αναγνωριστικό. Μια διεύθυνση IP ή ένα αναγνωριστικό συσκευής μπορεί να θεωρηθεί ως ηλεκτρονικό αναγνωριστικό με τον ίδιο τρόπο που μπορεί να θεωρηθεί μια διεύθυνση ηλεκτρονικού ταχυδρομείου. Ο ορισμός καλύπτει μόνο ζώντα άτομα: οι πληροφορίες σχετικά με ένα αποβιώσαν άτομο ή σχετικά με μια εταιρεία αυτή καθαυτή δεν αποτελούν προσωπικά δεδομένα, παρόλο που τα δεδομένα σχετικά με τα άτομα που εργάζονται για την εν λόγω εταιρεία μπορούν να θεωρηθούν.
Ο ΓΚΠΔ εφαρμόζεται άμεσα σε κάθε κράτος μέλος της ΕΕ, συμπεριλαμβανομένης της Ολλανδίας, από τις 25 Μαΐου 2018, αντικαθιστώντας τους παλαιότερους εθνικούς νόμους περί προστασίας δεδομένων, όπως τον ολλανδικό νόμο περί προστασίας δεδομένων Wet bescherming personsgegevens. Δεν απαιτεί ξεχωριστό νόμο εφαρμογής για να τεθεί σε ισχύ και ισχύει για κάθε οργανισμό που επεξεργάζεται προσωπικά δεδομένα ατόμων στην ΕΕ, ανεξάρτητα από την έδρα του.
Πότε μια διεύθυνση ηλεκτρονικού ταχυδρομείου αποτελεί προσωπικό δεδομένο;
Δεν υπάρχει ξεχωριστό άρθρο του ΓΚΠΔ που να παραθέτει τις διευθύνσεις ηλεκτρονικού ταχυδρομείου ονομαστικά. Αντ' αυτού, εφαρμόζετε το γενικό κριτήριο ταυτοποίησης από το Άρθρο 4(1) του ΓΚΠΔ στη συγκεκριμένη διεύθυνση που έχετε μπροστά σας: υποδεικνύει, από μόνη της ή σε συνδυασμό με άλλες πληροφορίες που διατηρείτε, ένα ταυτοποιήσιμο άτομο; Αυτό καθιστά την αξιολόγηση εξαρτώμενη από τη μορφή και όχι έναν ενιαίο σταθερό κανόνα, και εξηγεί γιατί δύο διευθύνσεις ηλεκτρονικού ταχυδρομείου που μοιάζουν μπορούν να αντιμετωπίζονται διαφορετικά.
Η ολλανδική νομολογία επιβεβαιώνει ότι μια διεύθυνση ηλεκτρονικού ταχυδρομείου μπορεί να αποτελεί προσωπικό δεδομένο, αλλά όχι αυτόματα: εξαρτάται από το αν η διεύθυνση ταυτοποιεί ένα φυσικό πρόσωπο, άμεσα ή έμμεσα.
Πολλοί άνθρωποι δομούν τη διεύθυνσή τους έτσι ώστε να τους αναγνωρίζει, για παράδειγμα firstname.lastname@gmail.com. Αυτή η διεύθυνση εμφανίζει το όνομα και το επώνυμο του χρήστη, επομένως το άτομο είναι αναγνωρίσιμο μόνο από τη διεύθυνση.
Μια επαγγελματική διεύθυνση, όπως initials.lastname@company.com, μπορεί επίσης να αναγνωρίσει κάποιον: μπορεί να εμφανίζει τα αρχικά του, το επώνυμό του και τον εργοδότη του, τα οποία συνολικά συνήθως επαρκούν για την αναγνώριση του ατόμου.
Μια διεύθυνση όπως η puppy12@hotmail.com είναι διαφορετική: από μόνη της, δεν αποκαλύπτει πληροφορίες που ταυτοποιούν ένα φυσικό πρόσωπο, παρόλο που τεχνικά συνδέεται με έναν συγκεκριμένο χρήστη.
Οι γενικές διευθύνσεις όπως η info@company.com δεν αποτελούν προσωπικά δεδομένα. Δεν συνδέονται με ένα μόνο άτομο αλλά με τον οργανισμό ως τέτοιο, και πολλά άτομα ενδέχεται να χρησιμοποιούν την ίδια θυρίδα εισερχομένων.
Δεν έχει σημασία αν χρησιμοποιείτε πραγματικά τη διεύθυνση για την ταυτοποίηση κάποιου. Εάν μια διεύθυνση ηλεκτρονικού ταχυδρομείου μπορεί να ταυτοποιήσει ένα φυσικό πρόσωπο, τότε πρόκειται για προσωπικά δεδομένα, ανεξάρτητα από το αν τη χρησιμοποιείτε για τον σκοπό αυτό ή την επεξεργάζεστε για οποιονδήποτε άλλο λόγο.
Ακόμη και μια συμπτωματική τεχνική σύνδεση μεταξύ μιας διεύθυνσης και ενός ατόμου δεν επαρκεί αυτόματα από μόνη της. Αλλά εάν η διεύθυνση θα μπορούσε ρεαλιστικά να χρησιμοποιηθεί για την ταυτοποίηση κάποιου, για παράδειγμα για τη διερεύνηση υποψίας απάτης ή για την απάντηση σε ένα αίτημα υποστήριξης, τότε θεωρείται προσωπικό δεδομένο. Ο νόμος εξετάζει την πιθανότητα ταυτοποίησης, όχι την πρόθεσή σας ή την πραγματική σας χρήση.
Είναι μια διεύθυνση ηλεκτρονικού ταχυδρομείου δεδομένα ειδικής κατηγορίας;
Όχι. Μια διεύθυνση ηλεκτρονικού ταχυδρομείου μπορεί να αποτελεί προσωπικό δεδομένο, αλλά δεν είναι δεδομένα ειδικής κατηγορίας. Το Άρθρο 9 του ΓΚΠΔ επιφυλάσσει αυτήν την ετικέτα για δεδομένα που αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, πολιτικές απόψεις, θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή συμμετοχή σε συνδικάτα, καθώς και για γενετικά δεδομένα, βιομετρικά δεδομένα, δεδομένα υγείας και δεδομένα σχετικά με τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό ενός ατόμου. Η επεξεργασία δεδομένων ειδικής κατηγορίας υπόκειται σε αυστηρότερους κανόνες από τα συνηθισμένα προσωπικά δεδομένα. Μια διεύθυνση ηλεκτρονικού ταχυδρομείου από μόνη της δεν αποκαλύπτει τίποτα από αυτά και γενικά αποκαλύπτει λιγότερα από ό,τι μια διεύθυνση κατοικίας.
Μια διεύθυνση email είναι συνήθως πιο δύσκολο να βρεθεί από μια διεύθυνση κατοικίας και εξαρτάται σε μεγάλο βαθμό από τον χρήστη αν θα δημοσιοποιηθεί καθόλου. Εάν διαρρεύσει, οι συνέπειες είναι συνήθως και ηπιότερες: μια διεύθυνση email είναι εύκολο να αλλάξει και η έκθεση οδηγεί το πολύ σε ανεπιθύμητη ψηφιακή επαφή αντί να εμφανιστεί κάποιος στην πόρτα σας. Αυτό δεν σημαίνει ότι μια διεύθυνση email δεν αξίζει προστασία, απλώς ότι ο ΓΚΠΔ την αντιμετωπίζει ως συνηθισμένα προσωπικά δεδομένα και όχι ως ειδική κατηγορία.
Πότε εφαρμόζεται ο ΓΚΠΔ στη χρήση διευθύνσεων ηλεκτρονικού ταχυδρομείου από εσάς;
Ο ΓΚΠΔ εφαρμόζεται μόλις επεξεργάζεστε προσωπικά δεδομένα και η «επεξεργασία» ορίζεται ευρέως. Σύμφωνα με το Άρθρο 4(2) του ΓΚΠΔ, επεξεργασία είναι κάθε πράξη που εκτελείται σε προσωπικά δεδομένα, αυτοματοποιημένα ή μη, συμπεριλαμβανομένης της συλλογής, καταγραφής, οργάνωσης, διάρθρωσης, αποθήκευσης, προσαρμογής, ανάκτησης, χρήσης, γνωστοποίησης ή διαγραφής τους. Μόλις συλλέξετε ή αποθηκεύσετε διευθύνσεις ηλεκτρονικού ταχυδρομείου που χαρακτηρίζονται ως προσωπικά δεδομένα, επεξεργάζεστε προσωπικά δεδομένα και ο ΓΚΠΔ εφαρμόζεται σε αυτήν την επεξεργασία, συμπεριλαμβανομένης της υποχρέωσής σας να έχετε έγκυρη νομική βάση για αυτήν βάσει του Άρθρου 6 του ΓΚΠΔ, όπως συγκατάθεση, σύμβαση με το ενδιαφερόμενο πρόσωπο ή το έννομο συμφέρον σας.
Τι σημαίνει αυτό για τον οργανισμό σας
Οι περισσότερες διευθύνσεις email που διατηρείτε αποτελούν προσωπικά δεδομένα, επειδή οι περισσότεροι άνθρωποι χτίζουν τη διεύθυνσή τους γύρω από το όνομά τους ή τον χώρο εργασίας τους, είτε πρόκειται για λίστα πελατών, βάση δεδομένων ενημερωτικών δελτίων είτε για εσωτερικό κατάλογο προσωπικού.
Επειδή αυτό εξαρτάται από τη μορφή κάθε διεύθυνσης, δεν υπάρχει σαφής διαχωριστική γραμμή που μπορείτε να χαράξετε εκ των προτέρων για μια ολόκληρη λίστα. Στην πράξη, εάν ο οργανισμός σας επεξεργάζεται διευθύνσεις ηλεκτρονικού ταχυδρομείου σε οποιαδήποτε κλίμακα, θα πρέπει να υποθέσετε ότι τουλάχιστον ένα μέρος αυτής της λίστας είναι προσωπικά δεδομένα και θα πρέπει να έχετε θεσπίσει πολιτική απορρήτου που να αντικατοπτρίζει αυτό, μαζί με μια νομική βάση για κάθε χρήση των διευθύνσεων. Σημαίνει επίσης ότι το μητρώο επεξεργασίας δεδομένων σας, το πρόγραμμα διατήρησής σας και τα μέτρα ασφαλείας σας θα πρέπει να καλύπτουν τις λίστες ηλεκτρονικού ταχυδρομείου σας με τον ίδιο τρόπο που καλύπτουν οποιαδήποτε άλλα προσωπικά δεδομένα που διατηρείτε, αντί να αντιμετωπίζετε ένα υπολογιστικό φύλλο διευθύνσεων ως εξαίρεση.
Συχνές ερωτήσεις
Είναι ένα κοινόχρηστο γραμματοκιβώτιο όπως το sales@company.com προσωπικά δεδομένα; Γενικά όχι, επειδή συνδέεται με μια λειτουργία ή τμήμα και όχι με ένα αναγνωρίσιμο άτομο. Τη στιγμή που μια τέτοια διεύθυνση χρησιμοποιείται μόνο από ένα συγκεκριμένο άτομο, η ανάλυση μπορεί να αλλάξει.
Μπορώ να χρησιμοποιώ διευθύνσεις email για σκοπούς μάρκετινγκ; Ναι, εφόσον έχετε έγκυρη νομική βάση και συμμορφώνεστε με τους ξεχωριστούς κανόνες μάρκετινγκ που ισχύουν επιπλέον του ΓΚΠΔ, συμπεριλαμβανομένης της απαίτησης να προσφέρετε έναν εύκολο τρόπο διαγραφής από κάθε μήνυμα.
Έχει σημασία αν η διεύθυνση ηλεκτρονικού ταχυδρομείου εμφανίζεται επίσης σε δημόσια πηγή, όπως σε έναν ιστότοπο εταιρείας; Όχι. Μια διεύθυνση ηλεκτρονικού ταχυδρομείου δεν χάνει την ιδιότητά της ως προσωπικό δεδομένο μόνο και μόνο επειδή είναι δημόσια διαθέσιμη. Η δημοσίευσή της μπορεί να επηρεάσει ποια νομική βάση είναι κατάλληλη, όχι το αν εφαρμόζεται καθόλου ο ΓΚΠΔ.
Συνοπτικά
- Μια διεύθυνση ηλεκτρονικού ταχυδρομείου αποτελεί προσωπικό δεδομένο εάν προσδιορίζει ένα φυσικό πρόσωπο, άμεσα ή έμμεσα.
- Οι διευθύνσεις που δημιουργούνται από ένα όνομα (όνομα.επώνυμο@, αρχικά.επώνυμο@) συνήθως πληρούν τις προϋποθέσεις. Διευθύνσεις όπως puppy12@ ή γενικές διευθύνσεις όπως info@ συνήθως δεν πληρούν τις προϋποθέσεις.
- Μια διεύθυνση ηλεκτρονικού ταχυδρομείου δεν αποτελεί ειδική κατηγορία δεδομένων βάσει του άρθρου 9 του ΓΚΠΔ.
- Η συλλογή, αποθήκευση ή χρήση διευθύνσεων ηλεκτρονικού ταχυδρομείου που χαρακτηρίζονται ως προσωπικά δεδομένα αποτελεί «επεξεργασία» βάσει του Άρθρου 4(2) του ΓΚΠΔ, το οποίο σας εντάσσει στο πεδίο εφαρμογής του ΓΚΠΔ και απαιτεί νομική βάση βάσει του Άρθρου 6 του ΓΚΠΔ.
- Επειδή αυτό εξαρτάται από τον τρόπο με τον οποίο έχει δημιουργηθεί κάθε διεύθυνση, αντιμετωπίστε τις λίστες email σας ως προσωπικά δεδομένα, εκτός εάν μπορείτε να αποδείξετε το αντίθετο, και τεκμηριώστε αυτό με μια πολιτική απορρήτου.
[1] Γκέρεχτσοφ Amsterdam 18 Ιουλίου 2002, ECLI:NL:GHAMS:2002:AE5514.
[2] Kamerstukken II 1997/98, 25 892, nr. 3 (memorie van toelichting).
[3] Γκέρεχτσοφ Amsterdam 18 Ιουλίου 2002, ECLI:NL:GHAMS:2002:AE5514.
Δεν είστε σίγουροι για την κατάστασή σας; Πείτε μας για την κατάστασή σας. Θα σας ενημερώσουμε για τις επιλογές σας εντός μίας εργάσιμης ημέρας.
Πως Law & More μπορεί να σας βοηθήσει με αυτό, εξηγείται στο δικό μας δικηγόρος πληροφορικής .
