Andmekaitse üldmäärus (GDPR)
25. mail jõustub isikuandmete kaitse üldmäärus (GDPR). GDPR-i jõustumisega muutub isikuandmete kaitse üha olulisemaks. Ettevõtted peavad arvestama andmekaitse osas üha rangemate reeglitega. GDPR-i jõustumisega kaasneb aga mitmesuguseid küsimusi. Ettevõtete jaoks võib olla ebaselge, milliseid andmeid peetakse isikuandmeteks ja mis kuuluvad GDPR-i reguleerimisalasse. See kehtib ka e-posti aadresside kohta: kas e-posti aadressi peetakse isikuandmeteks? Kas ettevõtted, kes kasutavad e-posti aadresse, kuuluvad GDPR-i alla? Nendele küsimustele vastatakse selles artiklis.
Isiklikud andmed
Küsimusele, kas e-posti aadressi peetakse isikuandmeteks või mitte, tuleb määratleda mõiste isikuandmed. Seda mõistet on selgitatud GDPR-is. Vastavalt GDPR-i artiklile 4 tähendavad isikuandmed mis tahes teavet tuvastatud või tuvastatava füüsilise isiku kohta. Identifitseeritav füüsiline isik on isik, keda on võimalik otseselt või kaudselt tuvastada, eriti seoses identifikaatori, näiteks nime, identifitseerimisnumbri, asukohaandmete või veebipõhise identifikaatoriga. Isikuandmed viitavad füüsilistele isikutele. Seetõttu ei loeta surnud isikute või juriidiliste isikute teavet isikuandmeteks.
E-posti aadress
Nüüd, kui isikuandmete määratlus on kindlaks määratud, tuleb hinnata, kas e-posti aadressi saab pidada isikuandmeteks. Hollandi kohtupraktika näitab , et e-posti aadressid võivad küll olla isikuandmed, kuid see pole alati nii. See sõltub sellest, kas füüsiline isik on e-posti aadressi põhjal tuvastatav või tuvastatav või mitte.[1] Selleks, et teha kindlaks, kas e-posti aadressi saab pidada isikuandmeteks või mitte, tuleb arvesse võtta seda, kuidas inimesed on oma e-posti aadressid struktureerinud.
Paljud füüsilised isikud struktureerivad oma e-posti aadressi selliselt, et seda tuleb pidada isikuandmeteks. Näiteks on see nii, kui e-posti aadress on struktureeritud järgmiselt: [email protected] . See e-posti aadress paljastab aadressi kasutava füüsilise isiku ees- ja perekonnanime.
Seega saab selle isiku selle e-posti aadressi põhjal tuvastada. Äritegevuseks kasutatavad e-posti aadressid võivad samuti sisaldada isikuandmeid. See on nii juhul, kui e-posti aadress on struktureeritud järgmisel viisil: [email protected] . Sellest e-posti aadressist saab tuletada e-posti aadressi kasutava isiku initsiaalid, perekonnanime ja töökoha. Seega on seda e-posti aadressi kasutav isik e-posti aadressi põhjal tuvastatav.
E-posti aadressi ei loeta isikuandmeteks, kui selle põhjal ei ole võimalik tuvastada füüsilist isikut. See on nii näiteks siis, kui kasutatakse järgmist e-posti aadressi: [email protected] . See e-posti aadress ei sisalda andmeid, mille abil saaks tuvastada füüsilist isikut. Üldised e-posti aadressid, mida kasutavad ettevõtted, näiteks [email protected] , ei loeta samuti isikuandmeteks.
See e-posti aadress ei sisalda isikuandmeid, mille põhjal oleks võimalik füüsilist isikut tuvastada. Pealegi ei kasuta e-posti aadressi mitte füüsiline, vaid juriidiline isik. Seetõttu ei loeta neid isikuandmeteks. Hollandi kohtupraktikast võib järeldada, et e-posti aadressid võivad olla isikuandmed, kuid see ei ole alati nii; see oleneb meiliaadressi struktuurist.
Suure tõenäosusega saab füüsilisi isikuid tuvastada nende kasutatava e-posti aadressi järgi, mis muudab meiliaadressid isikuandmeteks. Meiliaadresside isikuandmeteks klassifitseerimisel ei ole vahet, kas ettevõte kasutab neid meiliaadresse kasutajate tuvastamiseks. Isegi kui ettevõte ei kasuta e-posti aadresse füüsiliste isikute tuvastamise eesmärgil, loetakse e-posti aadressid, millelt saab füüsilisi isikuid tuvastada, ikkagi isikuandmeteks.
Igast tehnilisest või juhuslikust seosest isiku ja andmete vahel ei piisa andmete isikuandmeteks määramiseks. Kui aga on olemas võimalus, et e-posti aadresse saab kasutada kasutajate tuvastamiseks, näiteks pettusejuhtumite tuvastamiseks, loetakse need e-posti aadressid isikuandmeteks. Seejuures ei oma tähtsust, kas ettevõte kavatses meiliaadresse sel eesmärgil kasutada või mitte. Seadus räägib isikuandmetest siis, kui on olemas võimalus, et andmeid saab kasutada füüsilist isikut tuvastaval eesmärgil.[2]
Isikuandmed
Kuigi e-posti aadresse peetakse enamasti isikuandmeteks, ei ole need erilised isikuandmed. Erilised isikuandmed on isikuandmed, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused või kutseala liikmelisuse ning geneetilised või biomeetrilised andmed. See tuleneb isikuandmete kaitse üldmääruse artiklist 9. Samuti sisaldab e-posti aadress vähem avalikku teavet kui näiteks kodune aadress.
Kellegi e-posti aadressi on raskem teada saada kui tema kodust aadressi ning meiliaadressi kasutajast sõltub suuresti, kas meiliaadress tehakse avalikuks või mitte. Lisaks on peidetud e-posti aadressi avastamisel vähem tõsised tagajärjed kui koduse aadressi avastamisel, mis oleks pidanud varjatuks jääma. Lihtsam on muuta meiliaadressi kui kodu aadressi ja meiliaadressi avastamine võib viia digitaalse kontaktini, samas kui koduse aadressi avastamine võib viia isikliku kontaktini.[3]
Isikuandmete töötlemine
Oleme tuvastanud, et e-posti aadresse peetakse enamasti isikuandmeteks. Kuid GDPR kehtib ainult nende ettevõtete kohta, kes töötlevad isikuandmeid. Isikuandmete töötlemine toimub igal viisil seoses isikuandmetega. Seda on täpsemalt määratletud GDPR-is. Vastavalt GDPR artikli 4 lõikele 2 tähendab isikuandmete töötlemine mis tahes toimingut, mida teostatakse isikuandmetega, kas automaatselt või mitte. Näited on isikuandmete kogumine, salvestamine, korraldamine, struktureerimine, säilitamine ja kasutamine. Kui ettevõtted teostavad eelnimetatud toiminguid e-posti aadresside osas, töötlevad nad isikuandmeid. Sel juhul kehtib neile GDPR.
Järeldus
Iga e-posti aadressi ei peeta isikuandmeteks. E-posti aadresse loetakse aga isikuandmeteks, kui need annavad füüsilise isiku kohta tuvastatavat teavet. Paljud e-posti aadressid on üles ehitatud nii, et e-posti aadressi kasutav füüsiline isik on tuvastatav. Seda juhul, kui meiliaadress sisaldab füüsilise isiku nime või töökohta. Seetõttu käsitletakse paljusid e-posti aadresse isikuandmetena.
Ettevõtetel on keeruline vahet teha isikuandmeteks peetavate ja isikuandmeteta e-posti aadresside vahel, kuna see sõltub täielikult e-posti aadressi struktuurist. Seetõttu võib julgelt öelda, et isikuandmeid töötlevad ettevõtted puutuvad kokku isikuandmeteks peetavate e-posti aadressidega. See tähendab, et need ettevõtted kuuluvad isikuandmete kaitse üldmääruse (GDPR) alla ja peaksid rakendama GDPR-iga kooskõlas olevat privaatsuspoliitikat.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
