Obecné nařízení o ochraně údajů (GDPR)
Dne 25. května vstoupí v platnost obecné nařízení o ochraně osobních údajů (GDPR). S jeho zavedením se ochrana osobních údajů stává stále důležitější. Společnosti musí zohledňovat více a přísnější pravidla týkající se ochrany údajů. V důsledku zavedení GDPR však vyvstává řada otázek. Pro společnosti může být nejasné, které údaje jsou považovány za osobní údaje a spadají do působnosti GDPR. To platí i pro e-mailové adresy: je e-mailová adresa považována za osobní údaj? Vztahuje se GDPR na společnosti, které používají e-mailové adresy? Na tyto otázky odpovíme v tomto článku.
Osobní data
Pro zodpovězení otázky, zda je e-mailová adresa považována za osobní údaje, je třeba definovat pojem osobní údaje. Tento pojem je vysvětlen v GDPR. Na základě čl. 4 písm. A) GDPR se za osobní údaje považují veškeré informace týkající se identifikované nebo identifikovatelné fyzické osoby. Identifikovatelná fyzická osoba je osoba, kterou lze přímo nebo nepřímo identifikovat, zejména s odkazem na identifikátor, jako je jméno, identifikační číslo, údaje o poloze nebo online identifikátor. Osobní údaje se vztahují na fyzické osoby. Proto se informace o zesnulých nebo právnických osobách nepovažují za osobní údaje.
Nyní, když je definice osobních údajů stanovena, je třeba posoudit, zda je e-mailová adresa považována za osobní údaj. Nizozemská judikatura naznačuje , že e-mailové adresy by mohly být osobními údaji, ale ne vždy tomu tak je. Záleží na tom, zda je fyzická osoba na základě e-mailové adresy identifikována nebo identifikovatelná.[1] Pro určení, zda lze e-mailovou adresu považovat za osobní údaj, je třeba zohlednit způsob, jakým si osoby vytvořily své e-mailové adresy.
Mnoho fyzických osob strukturuje svou e-mailovou adresu tak, že je nutné ji považovat za osobní údaj. To je například případ, kdy je e-mailová adresa strukturována následovně: [email protected] . Tato e-mailová adresa odhaluje křestní jméno a příjmení fyzické osoby, která adresu používá.
Tuto osobu lze tedy na základě této e-mailové adresy identifikovat. E-mailové adresy používané pro obchodní aktivity mohou také obsahovat osobní údaje. To je případ, kdy je e-mailová adresa strukturována následovně: [email protected] . Z této e-mailové adresy lze odvodit iniciály osoby používající e-mailovou adresu, její příjmení a kde tato osoba pracuje. Osobu používající tuto e-mailovou adresu je tedy na základě e-mailové adresy identifikovat.
E-mailová adresa se nepovažuje za osobní údaj, pokud z ní nelze identifikovat žádnou fyzickou osobu. To je například případ, kdy je použita následující e-mailová adresa: [email protected] . Tato e-mailová adresa neobsahuje žádné údaje, pomocí kterých by bylo možné identifikovat fyzickou osobu. Obecné e-mailové adresy používané společnostmi, jako je [email protected] , se také nepovažují za osobní údaje.
Tato emailová adresa neobsahuje žádné osobní údaje, ze kterých by bylo možné identifikovat fyzickou osobu. E-mailovou adresu navíc nepoužívá fyzická osoba, ale právnická osoba. Proto se nepovažuje za osobní údaj. Z nizozemské judikatury lze vyvodit, že e-mailové adresy mohou být osobními údaji, ale není tomu tak vždy; záleží na struktuře emailové adresy.
Existuje velká šance, že fyzické osoby lze identifikovat podle e-mailové adresy, kterou používají, což činí e-mailové adresy osobními údaji. Aby bylo možné zařadit e-mailové adresy jako osobní údaje, nezáleží na tom, zda společnost skutečně používá e-mailové adresy k identifikaci uživatelů. I když společnost nevyužívá e-mailové adresy za účelem identifikace fyzických osob, jsou e-mailové adresy, ze kterých lze fyzické osoby identifikovat, stále považovány za osobní údaje.
Ne každé technické nebo náhodné spojení mezi osobou a údaji je dostatečné k tomu, aby byly údaje označeny jako osobní údaje. Pokud však existuje možnost, že e-mailové adresy mohou být použity k identifikaci uživatelů, například k odhalení případů podvodu, jsou e-mailové adresy považovány za osobní údaje. V tomto případě nezáleží na tom, zda společnost zamýšlela použít e-mailové adresy pro tento účel. O osobních údajích zákon hovoří tehdy, existuje-li možnost, že údaje lze použít k účelu, který identifikuje fyzickou osobu.[2]
Zvláštní osobní údaje
Ačkoli jsou e-mailové adresy většinou považovány za osobní údaje, nejedná se o zvláštní osobní údaje. Zvláštní osobní údaje jsou osobní údaje odhalující rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení nebo členství v profesi a genetické nebo biometrické údaje. To vyplývá z článku 9 GDPR. E-mailová adresa také obsahuje méně veřejných informací než například adresa bydliště.
Zjistit něčí e-mailovou adresu je obtížnější než jeho domácí adresu a z velké části závisí na uživateli e-mailové adresy, zda je e-mailová adresa zveřejněna či nikoli. Navíc odhalení e-mailové adresy, která měla zůstat skrytá, má méně závažné důsledky než odhalení domácí adresy, která měla zůstat skrytá. Je snazší změnit e-mailovou adresu než adresu domova a zjištění e-mailové adresy by mohlo vést k digitálnímu kontaktu, zatímco zjištění adresy domova by mohlo vést k osobnímu kontaktu.[3]
Zpracování osobních údajů
Zjistili jsme, že e-mailové adresy jsou většinou považovány za osobní údaje. GDPR se však vztahuje pouze na společnosti, které zpracovávají osobní údaje. Zpracování osobních údajů existuje ve všech ohledech týkajících se osobních údajů. To je dále definováno v GDPR. Podle čl. 4 odst. 2 GDPR se zpracováním osobních údajů rozumí jakákoli operace, která se provádí s osobními údaji, ať už automatickými prostředky či nikoli. Příkladem je sběr, zaznamenávání, organizování, strukturování, ukládání a použití osobních údajů. Pokud společnosti provádějí výše uvedené činnosti týkající se e-mailových adres, zpracovávají osobní údaje. V takovém případě podléhají GDPR.
Závěr
Ne každá emailová adresa je považována za osobní údaj. E-mailové adresy jsou však považovány za osobní údaje, pokud poskytují identifikovatelné údaje o fyzické osobě. Mnoho e-mailových adres je strukturováno tak, aby bylo možné identifikovat fyzickou osobu, která e-mailovou adresu používá. Jde o případ, kdy emailová adresa obsahuje jméno nebo pracoviště fyzické osoby. Proto bude mnoho e-mailových adres považováno za osobní údaje.
Pro společnosti je obtížné rozlišovat mezi e-mailovými adresami, které jsou považovány za osobní údaje, a e-mailovými adresami, které nejsou, protože to zcela závisí na struktuře e-mailové adresy. Proto lze s jistotou říci, že společnosti, které zpracovávají osobní údaje, se setkají s e-mailovými adresami, které jsou považovány za osobní údaje. To znamená, že tyto společnosti podléhají GDPR a měly by zavést zásady ochrany osobních údajů, které jsou s GDPR v souladu .
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
