דוא"ל הוא עיבוד נתונים אישיים, וה-GDPR חל עליו במלואה. שלוש התחייבויות עושות את רוב העבודה בפועל. גישה לתיבת דואר מותרת למעסיק רק בגבולות צרים ועל סמך מדיניות שהעובד מודע לה. שיווק באמצעות דוא"ל דורש הסכמה, אלא אם כן הנמען הוא לקוח קיים שמוצעים לו סחורות או שירותים דומים, וכל הודעה חייבת להציע דרך פשוטה לבטל את המנוי. וארכיוני דוא"ל כפופים לאותו עיקרון שמירה כמו כל מידע אחר: נשמרים לא יותר מהנדרש, לפי קטגוריה, על פי לוח זמנים שחל בפועל.
תקנה כללית להגנה על נתונים (GDPR)
ב-25 במאי תיכנס לתוקף תקנת הגנת המידע הכללית (GDPR). עם כניסתה של ה-GDPR, הגנה על מידע אישי הופכת לחשובה יותר ויותר. חברות צריכות לקחת בחשבון כללים נוספים ומחמירים יותר בנוגע להגנת מידע. עם זאת, שאלות שונות עולות כתוצאה מהכנסת ה-GDPR. עבור חברות, ייתכן שלא ברור אילו נתונים נחשבים למידע אישי ונופלים תחת היקף ה-GDPR. זה המקרה עם כתובות דוא"ל: האם כתובת דוא"ל נחשבת למידע אישי? האם חברות המשתמשות בכתובות דוא"ל כפופות ל-GDPR? שאלות אלו ייענו במאמר זה.
מידע אישי
על מנת לענות על השאלה אם כתובת דוא"ל נחשבת לנתונים אישיים או לא, יש להגדיר את המונח מידע אישי. מונח זה מוסבר ב- GDPR. בהתבסס על סעיף 4 בסעיף ה- GDPR, מידע אישי פירושו כל מידע הנוגע לאדם טבעי מזוהה או מזוהה. אדם טבעי הניתן לזיהוי הוא אדם שניתן לזהות אותו, באופן ישיר או עקיף, בפרט בהתייחס למזהה כמו שם, מספר זיהוי, נתוני מיקום או מזהה מקוון. נתונים אישיים מתייחסים לאנשים טבעיים. לפיכך, מידע הנוגע לאנשים שנפטרו או לגורמים משפטיים אינו נחשב לנתונים אישיים.
כתובת אימ"ל
כעת, לאחר שנקבעה הגדרת המידע האישי, יש להעריך האם כתובת דוא"ל נחשבת למידע אישי. פסיקה הולנדית מצביעה על כך שכתובות דוא"ל עשויות להיות מידע אישי, אך זה לא תמיד המקרה. זה תלוי בשאלה האם אדם טבעי מזוהה או ניתן לזיהוי על סמך כתובת הדוא"ל.[1] יש לקחת בחשבון את האופן שבו אנשים בנו את כתובות הדוא"ל שלהם על מנת לקבוע האם ניתן לראות את כתובת הדוא"ל כנתון אישי או לא.
אנשים פרטיים רבים בונים את כתובת הדוא"ל שלהם באופן כזה שהכתובת צריכה להיחשב כנתונים אישיים. זה לדוגמה המקרה כאשר כתובת דוא"ל בנויה באופן הבא: firstname.lastname@gmail.com. כתובת דוא"ל זו חושפת את השם הפרטי ושם המשפחה של האדם הטבעי המשתמש בכתובת.
לכן, ניתן לזהות אדם זה על סמך כתובת דוא"ל זו. כתובות דוא"ל המשמשות לפעילויות עסקיות יכולות גם להכיל נתונים אישיים. זהו המקרה כאשר כתובת דוא"ל בנויה באופן הבא: initials.lastname@nameofcompany.com. מכתובת דוא"ל זו ניתן לגזור מהם ראשי התיבות של האדם המשתמש בכתובת הדוא"ל, מה שם משפחתו והיכן אדם זה עובד. לכן, ניתן לזהות את האדם המשתמש בכתובת דוא"ל זו על סמך כתובת הדוא"ל.
כתובת דוא"ל אינה נחשבת למידע אישי כאשר לא ניתן לזהות אדם טבעי ממנה. זהו המקרה כאשר נעשה שימוש, לדוגמה, בכתובת הדוא"ל הבאה: puppy12@hotmail.com. כתובת דוא"ל זו אינה מכילה נתונים שמהם ניתן לזהות אדם טבעי. כתובות דוא"ל כלליות בהן משתמשות חברות, כמו info@nameofcompany.com, גם אינן נחשבות למידע אישי.
כתובת דוא"ל זו אינה מכילה כל מידע אישי שממנו ניתן לזהות אדם טבעי. זאת ועוד, כתובת המייל אינה משמשת אדם טבעי, אלא ישות משפטית. לכן, זה לא נחשב לנתונים אישיים. מהפסיקה ההולנדית ניתן להסיק שכתובות דוא"ל יכולות להיות נתונים אישיים, אבל זה לא תמיד המקרה; זה תלוי במבנה של כתובת האימייל.
יש סיכוי גדול שניתן לזהות אנשים טבעיים לפי כתובת האימייל שבה הם משתמשים, מה שהופך את כתובות האימייל לנתונים אישיים. על מנת לסווג כתובות מייל כנתונים אישיים, אין זה משנה אם החברה אכן משתמשת בכתובות המייל על מנת לזהות את המשתמשים. גם אם חברה לא עושה שימוש בכתובות המייל למטרת זיהוי של אנשים טבעיים, כתובות המייל שמהן ניתן לזהות אנשים טבעיים עדיין נחשבות לנתונים אישיים.
לא כל קשר טכני או מקרי בין אדם לנתונים מספיק על מנת למנות את הנתונים כנתונים אישיים. עם זאת, אם קיימת אפשרות שניתן להשתמש בכתובות האימייל על מנת לזהות את המשתמשים, למשל כדי לזהות מקרים של הונאה, כתובות האימייל נחשבות לנתונים אישיים. בכך, אין זה משנה אם החברה התכוונה להשתמש בכתובות המייל לצורך כך או לא. החוק מדבר על נתונים אישיים כאשר קיימת אפשרות שניתן להשתמש בנתונים למטרה המזהה אדם טבעי.[2]
נתונים אישיים מיוחדים
בעוד שכתובות דוא"ל נחשבות למידע אישי ברוב המקרים, הן אינן מידע אישי מיוחד. מידע אישי מיוחד הוא מידע אישי החושף מוצא גזעי או אתני, דעות פוליטיות, אמונות דתיות או פילוסופיות או חברות בסחר, ונתונים גנטיים או ביומטריים. זה נגזר מסעיף 9 בתקנת ה-GDPR. כתובת דוא"ל גם חושפת פחות מידע זמין לציבור מאשר, נניח, כתובת מגורים.
קשה יותר לקבל ידע על כתובת המייל של מישהו מאשר כתובת הבית שלו וזה תלוי במידה רבה במשתמש של כתובת המייל אם כתובת המייל מפורסמת או לא. יתרה מזאת, לגילוי כתובת דואר אלקטרוני שהייתה צריכה להישאר מוסתרת, יש השלכות פחות חמורות מאשר גילוי כתובת בית שהייתה צריכה להישאר מוסתרת. קל יותר לשנות כתובת דוא"ל מאשר כתובת בית וגילוי כתובת דוא"ל עלול להוביל ליצירת קשר דיגיטלי, בעוד שגילוי כתובת בית עלול להוביל ליצירת קשר אישי.[3]
עיבוד נתונים אישיים
קבענו שכתובות דוא"ל נחשבות לנתונים אישיים רוב הזמן. עם זאת, ה- GDPR חל רק על חברות המעבדות נתונים אישיים. עיבוד נתונים אישיים קיים מכל פעולה ביחס לנתונים אישיים. זה מוגדר עוד יותר ב- GDPR. על פי סעיף 4 תת-תק"ע 2, עיבוד נתונים אישיים פירושו כל פעולה המתבצעת על פי נתונים אישיים, בין אם באמצעים אוטומטיים ובין אם לא. דוגמאות לכך הן איסוף, הקלטה, ארגון, מבנה, אחסון ושימוש בנתונים אישיים. כאשר חברות מבצעות את הפעילויות האמורות לענין כתובות דוא"ל, הן מעבדות נתונים אישיים. במקרה זה, הם כפופים ל- GDPR.
כאשר כתובת דוא"ל היא מידע אישי
לא כל כתובת אימייל נחשבת לנתונים אישיים. עם זאת, כתובות דואר אלקטרוני נחשבות לנתונים אישיים כאשר הן מספקות מידע מזהה על אדם טבעי. הרבה כתובות מייל בנויות בצורה שניתן לזהות את האדם הטבעי שמשתמש בכתובת המייל. זה המקרה כאשר כתובת המייל מכילה את שמו או מקום העבודה של אדם טבעי. לכן, הרבה כתובות דוא"ל ייחשבו לנתונים אישיים.
קשה לחברות להבחין בין כתובות דוא"ל הנחשבות למידע אישי לבין כתובות דוא"ל שאינן, שכן הדבר תלוי לחלוטין במבנה כתובת הדוא"ל. לכן, ניתן לומר בבטחה שחברות המעבדות מידע אישי, ייתקלו בכתובות דוא"ל הנחשבות למידע אישי. משמעות הדבר היא שחברות אלו כפופות לתקנת ה-GDPR ועליהן ליישם מדיניות פרטיות התואמת את ה-GDPR.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
