En e-mailadresse er en personoplysning i henhold til GDPR, når den identificerer en fysisk person, for eksempel fornavn.efternavn@virksomhed.com. En generisk adresse som info@virksomhed.com er det normalt ikke, fordi den peger på en organisation snarere end én enkelt person. Om GDPR gælder for dine e-mailadresser afhænger derfor af, hvordan hver adresse er opbygget, og de fleste adressebøger viser sig at indeholde personoplysninger.
Hvad er personoplysninger i henhold til GDPR?
Personoplysninger (persongegevens) er enhver information vedrørende en identificeret eller identificerbar fysisk person i henhold til artikel 4(1) i den generelle forordning om databeskyttelse (GDPR, kendt i Holland som AVG). En person er identificerbar, direkte eller indirekte, især ved henvisning til en identifikator såsom et navn, et identifikationsnummer, lokationsdata eller en online identifikator. En IP-adresse eller et enhedsidentifikator kan tælle som en online identifikator på samme måde som en e-mailadresse kan. Definitionen dækker kun levende personer: oplysninger om en afdød person eller om en virksomhed som sådan er ikke personoplysninger, selvom data om de personer, der arbejder for den pågældende virksomhed, kan være det.
GDPR har været gældende direkte i alle EU-medlemsstater, inklusive Holland, siden den 25. maj 2018 og erstatter de ældre nationale databeskyttelseslove, såsom den hollandske Wet bescherming persoonsgegevens. Den kræver ikke en separat implementeringslov for at træde i kraft, og den gælder for enhver organisation, der behandler personoplysninger om personer i EU, uanset hvor organisationen er baseret.
Hvornår er en e-mailadresse en persondata?
Der er ingen separat GDPR-artikel, der angiver e-mailadresser efter navn. I stedet anvender du den generelle test for identificerbarhed fra artikel 4(1) i GDPR på den specifikke adresse foran dig: peger den, alene eller kombineret med andre oplysninger, du har, på én identificerbar person? Det gør vurderingen formatafhængig snarere end en enkelt fast regel, og det forklarer, hvorfor to e-mailadresser, der ligner hinanden, kan behandles forskelligt.
Hollandsk retspraksis bekræfter, at en e-mailadresse kan være en personoplysning, men ikke automatisk: det afhænger af, om adressen direkte eller indirekte identificerer en fysisk person.
Mange strukturerer deres adresse, så den identificerer dem, for eksempel fornavn.efternavn@gmail.com. Adressen viser brugerens for- og efternavn, så personen kan identificeres udelukkende ud fra adressen.
En arbejdsadresse som initialer.efternavn@virksomhed.com kan også identificere en person: den kan vise deres initialer, deres efternavn og deres arbejdsgiver, som tilsammen normalt er nok til at identificere personen.
En adresse som puppy12@hotmail.com er anderledes: den afslører ikke i sig selv oplysninger, der identificerer en fysisk person, selvom den teknisk set er knyttet til én bestemt bruger.
Generiske adresser som info@company.com er heller ikke personoplysninger. De er ikke knyttet til én person, men til organisationen som sådan, og flere personer kan bruge den samme indbakke.
Det er ligegyldigt, om du rent faktisk bruger adressen til at identificere en person. Hvis en e-mailadresse kan identificere en fysisk person, er det personoplysninger, uanset om du bruger den til det formål eller behandler den af andre årsager.
Selv en tilfældig teknisk forbindelse mellem en adresse og en person er ikke automatisk nok i sig selv. Men hvis adressen realistisk set kan bruges til at identificere en person, for eksempel til at undersøge mistanke om svindel eller besvare en supportanmodning, tæller den som personoplysninger. Loven ser på muligheden for identifikation, ikke din hensigt eller din faktiske brug.
Er en e-mailadresse en særlig kategori af data?
Nej. En e-mailadresse kan være personoplysninger, men det er ikke særlige kategorioplysninger. Artikel 9 i GDPR forbeholder denne betegnelse for oplysninger, der afslører racemæssig eller etnisk oprindelse, politiske holdninger, religiøs eller filosofisk overbevisning eller fagforeningsmedlemskab, og for genetiske data, biometriske data, helbredsoplysninger og oplysninger om en persons sexliv eller seksuelle orientering. Behandling af særlige kategorioplysninger er underlagt strengere regler end almindelige personoplysninger. En e-mailadresse afslører ikke i sig selv noget af dette, og den afslører generelt mindre end en hjemmeadresse gør.
En e-mailadresse er normalt sværere at finde end en hjemmeadresse, og det er i høj grad op til brugeren, om den overhovedet bliver offentlig. Hvis den lækker, er konsekvenserne typisk også mildere: en e-mailadresse er nem at ændre, og eksponering fører højst til uønsket digital kontakt snarere end at nogen dukker op ved din dør. Det betyder ikke, at en e-mailadresse ikke fortjener beskyttelse, kun at GDPR behandler den som almindelige personoplysninger snarere end som en særlig kategori.
Hvornår gælder GDPR for din brug af e-mailadresser?
GDPR gælder, når du behandler personoplysninger, og "behandling" er defineret bredt. I henhold til artikel 4(2) i GDPR er behandling enhver handling, der udføres på personoplysninger, automatiseret eller ej, herunder indsamling, registrering, organisering, strukturering, lagring, tilpasning, hentning, brug, videregivelse eller sletning af dem. Så snart du indsamler eller lagrer e-mailadresser, der kvalificerer som personoplysninger, behandler du personoplysninger, og GDPR gælder for denne behandling, herunder din forpligtelse til at have et gyldigt retsgrundlag for den i henhold til artikel 6 i GDPR, såsom samtykke, en kontrakt med den berørte person eller din legitime interesse.
Hvad dette betyder for din organisation
De fleste e-mailadresser, du har, vil være personoplysninger, fordi de fleste mennesker bygger deres adresse op omkring deres eget navn eller deres arbejdsplads, hvad enten det er en kundeliste, en nyhedsbrevsdatabase eller en intern medarbejdermappe.
Da dette afhænger af formatet for hver adresse, er der ingen ren grænse, du kan trække på forhånd for en hel liste. I praksis, hvis din organisation behandler e-mailadresser i et hvilket som helst omfang, bør du antage, at mindst en del af listen er personoplysninger, og du bør have en privatlivspolitik på plads, der afspejler dette, sammen med et juridisk grundlag for hver brug, du gør af adresserne. Det betyder også, at dit databehandlingsregister, din opbevaringsplan og dine sikkerhedsforanstaltninger bør dække dine e-maillister på samme måde, som de dækker andre personoplysninger, du opbevarer, i stedet for at behandle et regneark med adresser som en undtagelse.
Ofte stillede spørgsmål
Er en delt postkasse som f.eks. sales@company.com personoplysninger? Generelt ikke, fordi den er knyttet til en funktion eller afdeling snarere end til én identificerbar person. I det øjeblik en sådan adresse kun bruges af én navngiven person, kan analysen ændre sig.
Kan jeg stadig bruge e-mailadresser til markedsføring? Ja, forudsat at du har et gyldigt juridisk grundlag og overholder de separate markedsføringsregler, der gælder oven i GDPR, herunder kravet om at tilbyde en nem måde at afmelde alle beskeder.
Gør det noget, om e-mailadressen også optræder i en offentlig kilde, såsom en virksomheds hjemmeside? Nej. En e-mailadresse mister ikke sin status som personoplysninger, blot fordi den er offentligt tilgængelig; offentliggørelse kan påvirke, hvilket retsgrundlag der er passende, ikke om GDPR overhovedet finder anvendelse.
Opsummeret
- En e-mailadresse er en personoplysning, hvis den direkte eller indirekte identificerer en fysisk person.
- Adresser bygget op fra et navn (fornavn.efternavn@, initialer.efternavn@) vil normalt være kvalificerede; adresser som hvalp12@ eller generiske adresser som info@ vil normalt ikke.
- En e-mailadresse er ikke en særlig kategori af data i henhold til artikel 9 i GDPR.
- Indsamling, opbevaring eller brug af e-mailadresser, der kvalificerer som personoplysninger, er "behandling" i henhold til artikel 4(2) i GDPR, hvilket bringer dig inden for GDPR's anvendelsesområde og kræver et retsgrundlag i henhold til artikel 6 i GDPR.
- Da dette afhænger af, hvordan hver adresse er opbygget, skal du behandle dine e-maillister som personoplysninger, medmindre du kan påvise andet, og bakke det op med en privatlivspolitik.
[1] Gerechtshof Amsterdam 18. juli 2002, ECLI:NL:GHAMS:2002:AE5514.
[2] Kamerstukken II 1997/98, 25 892, nr. 3 (memorie van toelichting).
[3] Gerechtshof Amsterdam 18. juli 2002, ECLI:NL:GHAMS:2002:AE5514.
Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.
Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .
