Opća uredba o zaštiti podataka (GDPR)
Na 25th svibnja stupit će na snagu Opća uredba o zaštiti podataka (GDPR). S obrokom GDPR-a, zaštita osobnih podataka postaje sve važnija. Tvrtke moraju uzeti u obzir više i strožija pravila u pogledu zaštite podataka. Međutim, različita pitanja nastaju kao rezultat pada GDPR-a. Za tvrtke može biti nejasno koji se podaci smatraju osobnim podacima i potpadaju pod područje primjene GDPR-a. To je slučaj s adresama e-pošte: smatra li se adresa e-pošte osobnim podacima? Podliježu li tvrtke koje koriste adrese e-pošte GDPR? Na ova će pitanja biti odgovoreno u ovom članku.
Osobni podaci
Da biste odgovorili na pitanje smatra li se adresa e-pošte osobnim podacima ili ne, potrebno je definirati izraz osobni podaci. Taj se pojam objašnjava u GDPR-u. Temeljem članka 4. pod GDPR-om, osobni podaci podrazumijevaju sve podatke koji se odnose na identificiranu ili prepoznatljivu fizičku osobu. Fizička osoba koja se može identificirati je osoba koja se može izravno ili neizravno identificirati, posebno u odnosu na identifikator poput imena, identifikacijskog broja, podataka o lokaciji ili mrežnog identifikatora. Osobni se podaci odnose na fizičke osobe. Stoga se podaci koji se odnose na umrle osobe ili pravne osobe ne smatraju osobnim podacima.
Adresa e-pošte
Sada kada je definicija osobnih podataka određena, potrebno je procijeniti smatra li se e-mail adresa osobnim podacima. nizozemski slučaj zakon označava da adrese e-pošte mogu biti osobni podaci, ali da to nije uvijek slučaj. Ovisi je li fizička osoba identificirana ili prepoznatljiva na temelju adrese e-pošte.[1] Način na koji su osobe strukturirale svoje adrese e-pošte mora se uzeti u obzir kako bi se utvrdilo može li se adresa e-pošte smatrati osobnim podacima ili ne.
Mnoge fizičke osobe strukturiraju svoju adresu e-pošte na način da se adresa mora smatrati osobnim podatkom. To je na primjer slučaj kada je adresa e-pošte strukturirana na sljedeći način: [e-pošta zaštićena]Ova adresa e-pošte otkriva ime i prezime fizičke osobe koja koristi adresu.
Stoga se ta osoba može identificirati na temelju ove adrese e-pošte. Adrese e-pošte koje se koriste za poslovne aktivnosti također mogu sadržavati osobne podatke. To je slučaj kada je adresa e-pošte strukturirana na sljedeći način: [e-pošta zaštićena]Iz ove adrese e-pošte mogu se utvrditi inicijali osobe koja koristi tu adresu e-pošte, njezino prezime i gdje ta osoba radi. Stoga je osoba koja koristi ovu adresu e-pošte prepoznatljiva na temelju adrese e-pošte.
Adresa e-pošte ne smatra se osobnim podatkom ako se iz nje ne može identificirati nijedna fizička osoba. To je slučaj kada se, na primjer, koristi sljedeća adresa e-pošte: [e-pošta zaštićena]Ova adresa e-pošte ne sadrži nikakve podatke pomoću kojih se može identificirati fizička osoba. Općenite adrese e-pošte koje koriste tvrtke, poput [e-pošta zaštićena], također se ne smatraju osobnim podacima.
Ova e-mail adresa ne sadrži nikakve osobne podatke iz kojih bi se mogla identificirati fizička osoba. Štoviše, e-mail adresu ne koristi fizička, već pravna osoba. Stoga se ne smatra osobnim podacima. Iz nizozemske sudske prakse može se zaključiti da adrese e-pošte mogu biti osobni podaci, ali to nije uvijek slučaj; ovisi o strukturi email adrese.
Postoji velika šansa da se fizičke osobe mogu identificirati po e-mail adresi koju koriste, što e-mail adrese čini osobnim podacima. Kako bi se adrese e-pošte klasificirale kao osobni podaci, nije bitno koristi li tvrtka doista adrese e-pošte za identifikaciju korisnika. Čak i ako tvrtka ne koristi adrese e-pošte u svrhu identifikacije fizičkih osoba, adrese e-pošte s kojih se fizičke osobe mogu identificirati i dalje se smatraju osobnim podacima.
Nije svaka tehnička ili slučajna veza između osobe i podataka dovoljna da bi se podaci označili osobnim podacima. Ipak, ako postoji mogućnost da se adrese e-pošte mogu koristiti za identifikaciju korisnika, primjerice za otkrivanje slučajeva prijevare, adrese e-pošte smatraju se osobnim podacima. Pri tome nije važno je li tvrtka namjeravala koristiti adrese e-pošte u tu svrhu. O osobnim podacima zakon govori kada postoji mogućnost da se podaci mogu koristiti u svrhu identificiranja fizičke osobe.[2]
Posebni osobni podaci
Iako se adrese e-pošte većinu vremena smatraju osobnim podacima, one nisu posebni osobni podaci. Posebni osobni podaci su osobni podaci koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u trgovini te genetski ili biometrijski podaci. To proizlazi iz članka 9. GDPR-a. Također, adresa e-pošte sadrži manje javnih informacija nego na primjer dom adresa.
Teže je saznati nečiju e-mail adresu nego njegovu kućnu adresu i velikim dijelom ovisi o korisniku e-mail adrese hoće li e-mail adresa biti javna ili ne. Nadalje, otkrivanje e-mail adrese koja je trebala ostati skrivena ima manje ozbiljne posljedice od otkrivanja kućne adrese koja je trebala ostati skrivena. Lakše je promijeniti adresu e-pošte nego kućnu adresu i otkrivanje adrese e-pošte može dovesti do digitalnog kontakta, dok otkrivanje kućne adrese može dovesti do osobnog kontakta.[3]
Obrada osobnih podataka
Ustanovili smo da se adrese e-pošte većinu vremena smatraju osobnim podacima. Međutim, GDPR se odnosi samo na tvrtke koje obrađuju osobne podatke. Obrada osobnih podataka postoji u svakoj radnji s obzirom na osobne podatke. To je dalje definirano u GDPR-u. Prema članku 4 pod 2 GDPR, obrada osobnih podataka podrazumijeva svaku operaciju koja se vrši na osobnim podacima, bez obzira je li automatskim ili ne. Primjeri su prikupljanje, snimanje, organiziranje, strukturiranje, pohrana i uporaba osobnih podataka. Kada tvrtke obavljaju gore navedene aktivnosti u vezi s adresama e-pošte, obrađuju osobne podatke. U tom slučaju oni podliježu GDPR-u.
Zaključak
Ne smatra se svaka adresa e-pošte osobnim podacima. Međutim, adrese e-pošte smatraju se osobnim podacima kada pružaju identifikacijske informacije o fizičkoj osobi. Mnoge adrese e-pošte strukturirane su na način da se fizička osoba koja koristi adresu e-pošte može identificirati. Ovo je slučaj kada email adresa sadrži ime ili radno mjesto fizičke osobe. Stoga će se mnoge adrese e-pošte smatrati osobnim podacima.
Tvrtkama je teško napraviti razliku između e-mail adresa koje se smatraju osobnim podacima i e-mail adresa koje to nisu, jer to u potpunosti ovisi o strukturi e-mail adrese. Stoga se sa sigurnošću može reći da će tvrtke koje obrađuju osobne podatke naići na e-mail adrese koje se smatraju osobnim podacima. To znači da te tvrtke podliježu GDPR-u i trebaju provoditi politiku privatnosti tj popustljiv s GDPR-om.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
