Az e-mail cím személyes adatnak minősül a GDPR értelmében, ha természetes személyt azonosít, például keresztnév.vezetéknév@ceg.com. Egy általános cím, mint például az info@ceg.com, általában nem az, mivel egy szervezetre, és nem egyetlen személyre mutat. Az, hogy a GDPR vonatkozik-e az e-mail címeidre, ezért attól függ, hogy az egyes címek hogyan vannak felépítve, és a legtöbb címjegyzék személyes adatokat tartalmaz.

Mit jelent a személyes adat a GDPR értelmében?

A személyes adat (personsgegevens) az általános adatvédelmi rendelet (GDPR, Hollandiában AVG) 4. cikkének (1) bekezdése értelmében azonosított vagy azonosítható természetes személyre vonatkozó bármely információ. Egy személy közvetlenül vagy közvetve azonosítható, különösen egy azonosító, például név, azonosító szám, helymeghatározó adat vagy online azonosító alapján. Az IP-cím vagy az eszközazonosító ugyanúgy online azonosítónak minősülhet, mint egy e-mail cím. A definíció csak az élő személyekre vonatkozik: egy elhunyt személyre vagy egy vállalatra vonatkozó információk nem személyes adatok, még akkor sem, ha az adott vállalatnál dolgozó személyekre vonatkozó adatok azok lehetnek.

A GDPR 2018. május 25. óta közvetlenül alkalmazandó minden EU-tagállamban, beleértve Hollandiát is, felváltva a régebbi nemzeti adatvédelmi törvényeket, mint például a holland Wet bescherming persoonsgegevens-t. Hatálybalépéséhez nem szükséges külön végrehajtási törvény, és minden olyan szervezetre vonatkozik, amely az EU-ban személyek személyes adatait kezeli, függetlenül attól, hogy hol található a szervezet székhelye.

Mikor minősül személyes adatnak egy e-mail cím?

Nincs külön GDPR cikk, amely név szerint sorolná fel az e-mail címeket. Ehelyett a GDPR 4. cikkének (1) bekezdésében foglalt általános azonosíthatósági tesztet alkalmazza az Ön előtt lévő konkrét címre: önmagában vagy más, Ön által birtokolt információkkal kombinálva egy azonosítható személyre mutat-e? Ezáltal az értékelés formátumfüggővé válik, nem pedig egyetlen rögzített szabály alapján, és megmagyarázza, miért lehet két hasonlónak tűnő e-mail címet eltérően kezelni.

A holland esetjog megerősíti, hogy egy e-mail cím személyes adatnak minősülhet, de nem automatikusan: ez attól függ, hogy a cím közvetlenül vagy közvetve azonosít-e egy természetes személyt.

Sokan úgy alakítják ki a címüket, hogy az azonosítani tudja őket, például keresztnév.vezetéknév@gmail.com. Ez a cím mutatja a felhasználó kereszt- és vezetéknevét, így a személy már a cím alapján is azonosítható.

Egy munkahelyi cím, például a kezdőbetűk.vezetéknév@ceg.com, szintén azonosíthat valakit: megjelenítheti a kezdőbetűit, a vezetéknevét és a munkaadóját, amelyek együttesen általában elegendőek az egyén azonosításához.

Egy olyan cím, mint a puppy12@hotmail.com, más: önmagában nem fed fel olyan információkat, amelyek azonosítanák a természetes személyt, még akkor sem, ha technikailag egy adott felhasználóhoz kapcsolódik.

Az olyan általános címek, mint az info@company.com, szintén nem személyes adatok. Nem egy adott személyhez, hanem magához a szervezethez kapcsolódnak, és többen is használhatják ugyanazt a postafiókot.

Nem számít, hogy ténylegesen felhasználod-e a címet valakinek az azonosítására. Ha egy e-mail cím alkalmas egy természetes személy azonosítására, az személyes adat, függetlenül attól, hogy erre a célra használod-e fel, vagy bármilyen más okból feldolgozod-e.

Még egy véletlenszerű technikai kapcsolat egy cím és egy személy között sem elegendő önmagában. De ha a cím reálisan felhasználható valakinek az azonosítására, például gyanított csalás kivizsgálására vagy egy támogatási kérés megválaszolására, akkor személyes adatnak minősül. A törvény az azonosítás lehetőségét vizsgálja, nem pedig a szándékot vagy a tényleges felhasználást.

Különleges kategóriába tartozó adatnak minősül az e-mail cím?

Nem. Az e-mail cím lehet személyes adat, de nem különleges kategóriájú adat. Az általános adatvédelmi rendelet 9. cikke ezt a címkét a faji vagy etnikai származásra, politikai véleményre, vallási vagy filozófiai meggyőződésre vagy szakszervezeti tagságra vonatkozó adatok, valamint a genetikai adatok, a biometrikus adatok, az egészségügyi adatok és a személy szexuális életére vagy szexuális irányultságára vonatkozó adatok számára tartja fenn. A különleges kategóriájú adatok kezelésére szigorúbb szabályok vonatkoznak, mint a szokásos személyes adatokra. Az e-mail cím önmagában nem árul el semmit ezekből, és általában kevesebbet árul el, mint egy lakcím.

Egy e-mail címet általában nehezebb megtalálni, mint egy lakcímet, és nagyrészt a felhasználótól függ, hogy egyáltalán nyilvánosságra kerül-e. Ha kiszivárog, a következmények is jellemzően enyhébbek: egy e-mail címet könnyű megváltoztatni, és a kiszivárgás legfeljebb nem kívánt digitális kapcsolatfelvételhez vezet, ahelyett, hogy valaki az ajtód előtt felbukkanna. Ez nem jelenti azt, hogy egy e-mail cím nem érdemel védelmet, csak azt, hogy a GDPR a szokásos személyes adatként kezeli, nem pedig különleges kategóriaként.

Mikor vonatkozik a GDPR az e-mail címek használatára?

A GDPR akkor alkalmazandó, ha személyes adatokat kezel, és az „adatkezelés” fogalmát tág értelemben kell meghatározni. A GDPR 4. cikkének (2) bekezdése értelmében az adatkezelés a személyes adatokon automatizált vagy nem automatizált módon végzett bármely művelet, beleértve a gyűjtést, rögzítést, rendszerezést, rendszerezést, tárolást, átalakítást, lekérdezést, felhasználást, közlést vagy törlést. Amint olyan e-mail címeket gyűjt vagy tárol, amelyek személyes adatnak minősülnek, személyes adatokat kezel, és a GDPR alkalmazandó erre az adatkezelésre, beleértve az Ön azon kötelezettségét is, hogy a GDPR 6. cikke szerinti érvényes jogalappal rendelkezzen, például hozzájárulással, az érintett személlyel kötött szerződéssel vagy jogos érdekkel.

Mit jelent ez a szervezete számára?

A legtöbb e-mail címed személyes adat, mivel a legtöbb ember a saját neve vagy a munkahelye köré építi a címét, legyen az egy ügyféllista, egy hírlevél-adatbázis vagy egy belső munkatársi címtár.

Mivel ez az egyes címek formátumától függ, nincs egyértelmű határvonal, amelyet előre meg lehetne húzni egy teljes listára vonatkozóan. A gyakorlatban, ha a szervezete bármilyen mértékben feldolgoz e-mail címeket, akkor feltételeznie kell, hogy a lista legalább egy része személyes adat, és rendelkeznie kell egy olyan adatvédelmi szabályzattal, amely ezt tükrözi, valamint a címek minden egyes felhasználásának jogalapjával együtt. Ez azt is jelenti, hogy az adatfeldolgozási nyilvántartásnak, a megőrzési ütemtervnek és a biztonsági intézkedéseknek ugyanúgy kell vonatkozniuk az e-mail listákra, mint bármely más, Ön által tárolt személyes adatra, ahelyett, hogy egy címeket tartalmazó táblázatot kivételként kezelnének.

Gyakran Ismételt Kérdések

Személyes adatnak minősül egy megosztott postafiók, például az értékesítés@company.com? Általában nem, mivel egy funkcióhoz vagy részleghez kapcsolódik, nem pedig egyetlen azonosítható személyhez. Abban a pillanatban, hogy egy ilyen címet csak egyetlen megnevezett személy használ, az elemzés megváltozhat.

Továbbra is használhatom az e-mail címeket marketing célokra? Igen, feltéve, hogy érvényes jogalappal rendelkezik, és betartja a GDPR-on felül alkalmazandó külön marketingszabályokat, beleértve azt a követelményt is, hogy minden üzenetről egyszerű leiratkozási lehetőséget kell biztosítani.

Számít-e, ha az e-mail cím nyilvános forrásban, például egy cég weboldalán is megjelenik? Nem. Az e-mail cím nem veszíti el személyes adat státuszát pusztán azért, mert nyilvánosan elérhető; a közzététel befolyásolhatja, hogy melyik jogalap megfelelő, nem pedig azt, hogy egyáltalán alkalmazandó-e a GDPR.

Összefoglalva

Egy e-mail cím személyes adatnak minősül, ha közvetlenül vagy közvetve egy természetes személyt azonosít.
A névből (keresztnév.vezetéknév@, kezdőbetűk.vezetéknév@) képzett címek általában megfelelőek; az olyan címek, mint a puppy12@, vagy az általános címek, mint az info@, általában nem.
Az e-mail cím nem minősül különleges kategóriájú adatnak a GDPR 9. cikke értelmében.
A személyes adatnak minősülő e-mail címek gyűjtése, tárolása vagy felhasználása a GDPR 4. cikkének (2) bekezdése szerinti „adatkezelésnek” minősül, ami a GDPR hatálya alá vonja Önt, és a GDPR 6. cikke szerinti jogalapot igényel.
Mivel ez attól függ, hogyan épül fel az egyes címek, kezelje az e-mail listáit személyes adatként, kivéve, ha az ellenkezőjét tudja bizonyítani, és ezt adatvédelmi szabályzattal támassza alá.

[1] Bíróság Amsterdam 2002. július 18., ECLI:NL:GHAMS:2002:AE5514.

[2] Kamerstukken II 1997/98, 25 892, nr. 3 (memorie van toelichting).

[3] Bíróság Amsterdam 2002. július 18., ECLI:NL:GHAMS:2002:AE5514.

Nem biztos benne, hogy hol áll? Meséljen nekünk a helyzetéről. Egy munkanapon belül tájékoztatjuk a lehetőségeiről.

Hogyan Law & More segíthetünk ebben, ezt elmagyarázzuk a mi oldalunkon IT-jogász cimre.