RODO A EMAIL – DANE OSOBOWE W ROZUMIENIU RODO

Rozporządzenie Parlamentu Europejskiego z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE – czyli ogólne rozporządzenie o ochronie danych osobowych (RODO), do dziś potrafi rodzić wiele pytań, mimo, że stało się ono nieodłącznym elementem naszego codziennego życia.

Wśród częstych wątpliwości związanych z przetwarzaniem danych jest to czy dane, które są przetwarzane są danymi osobowymi w rozumieniu RODO.

Art. 4 ust. 1 tego rozporządzenia definiuje pojęcie danych osobowych jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (czyli tej osobie, której dane dotyczą).

Kim jest możliwa do zidentyfikowania osoba fizyczna? Idąc dalej za art. 4 ust.1 rozporządzenia – jest to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak:

- imię i nazwisko

- numer identyfikacyjny

- dane o lokalizacji

- identyfikator internetowy

Lub jeden bądź kilka szczególnych czynników określających:

- fizyczną tożsamość osoby fizycznej

- fizjologiczną tożsamość osoby fizycznej

- genetyczną tożsamość osoby fizycznej

- psychiczną tożsamość osoby fizycznej

- ekonomiczną tożsamość osoby fizycznej

- kulturową tożsamość osoby fizycznej

- społeczną tożsamość osoby fizycznej

Czy dane takie jak adres email są danymi osobowymi w rozumieniu powyższego artykułu RODO?

Zgodnie ze stanowiskiem Urzędu Ochrony Danych Osobowych - "Adres poczty elektronicznej związany jest z usługą dostarczania/wysyłania wiadomości przy użyciu sieci telekomunikacyjnej. Podobnie jak numer telefonu komórkowego, adres poczty elektronicznej związany jest z infrastrukturą sieciową zarządzaną przez określonego operatora/dostawcę, u którego podczas tworzenia konta poczty elektronicznej rejestrowane są dane użytkownika. Natomiast, dla oceny, czy określony adres e-mail będzie daną osobową niezbędnym jest analiza wszelkich informacji związanych z danym adresem e-mail (np. IP komputera, czy danych z formularza wypełnianego przy tworzeniu konta pocztowego). Informacje uzyskane z tej analizy mogą pozwolić na bezpośrednie zidentyfikowanie osoby fizycznej lub umożliwią jej pośrednią identyfikację. Istnieje zatem możliwość identyfikacji osoby będącej użytkownikiem danego adresu, podobnie jak na podstawie adresu IP użytkownika komputera. Elementarnym kryterium ułatwiającym uznanie adresu e-mail za daną osobową będzie w szczególności jego treść (np. zawierająca imię lub skrót imienia i nazwisko). Nie zawsze jednak adres ten prowadzi do identyfikacji osoby fizycznej. Może dotyczyć również podmiotów innych nie będących osobami fizycznymi. Adres poczty elektronicznej należy zatem traktować jako informację, która potencjalnie może być daną osobową, ale z uwzględnieniem wszelkich okoliczności występujących w konkretnym przypadku".

Z powyższych informacji wynika, że adres e-mail, może być uznany za daną osobową tylko wtedy, gdy można dzięki niemu zidentyfikować konkretną osobę fizyczną – np. przez znajdujące się w treści imię i nazwisko tej osoby. Jeżeli treść adresu mailowego nie pozwala na bezpośrednie zidentyfikowanie osoby fizycznej, to nie uznaje się takiego adresu za daną osobową.

Oczywiście brak możliwości bezpośredniego zidentyfikowania osoby fizycznej przez adres e-mail, nie oznacza, że wcale nie będzie można takiej osoby zidentyfikować. Jednak przez skomplikowane i trudne dojście do identyfikacji danej osoby fizycznej, które ogranicza krąg osób mogących dokonać takiej identyfikacji, nie uznaje się adresów mailowych o nazwie zawierającej np. przypadkowe litery jako dane osobowe.

ŹRÓDŁA:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).