Reglament general de protecció de dades (GDPR)
El 25 de maig entrarà en vigor el Reglament General de Protecció de Dades (RGPD). Amb l'entrada en vigor del RGPD, la protecció de les dades personals esdevé cada cop més important. Les empreses han de tenir en compte més normes estrictes pel que fa a la protecció de dades. Tanmateix, sorgeixen diverses preguntes arran de l'entrada en vigor del RGPD. Per a les empreses, pot ser que no estigui clar quines dades es consideren dades personals i entren dins l'àmbit d'aplicació del RGPD. Aquest és el cas de les adreces de correu electrònic: es considera una adreça de correu electrònic una dada personal? Les empreses que utilitzen adreces de correu electrònic estan subjectes al RGPD? Aquestes preguntes es respondran en aquest article.
Dades personals
Per respondre a la pregunta de si es considera o no una adreça de correu electrònic dades personals, cal definir el terme dades personals. Aquest terme s’explica al GDPR. A partir de l’article 4 sub GDPR, per dades personals s’entén qualsevol informació relativa a una persona física identificada o identificable. Una persona física identificable és una persona que pot ser identificada, directa o indirectament, en particular per fer referència a un identificador com un nom, un número d’identificació, dades d’ubicació o un identificador en línia. Les dades personals es refereixen a persones físiques. Per tant, la informació sobre persones mortes o persones jurídiques no es considera informació personal.
Correu electrònic
Ara que s'ha determinat la definició de dades personals, cal avaluar si una adreça de correu electrònic es considera una dada personal. La jurisprudència neerlandesa indica que les adreces de correu electrònic podrien ser dades personals, però que no sempre és així. Depèn de si una persona física s'identifica o és identificable a partir de l'adreça de correu electrònic.[1] Cal tenir en compte la manera com les persones han estructurat les seves adreces de correu electrònic per determinar si l'adreça de correu electrònic es pot considerar una dada personal o no.
Moltes persones físiques estructuren la seva adreça de correu electrònic de manera que l'adreça s'ha de considerar una dada personal. Aquest és el cas, per exemple, quan una adreça de correu electrònic està estructurada de la manera següent: [email protected] . Aquesta adreça de correu electrònic exposa el nom i el cognom de la persona física que utilitza l'adreça.
Per tant, aquesta persona es pot identificar a partir d'aquesta adreça de correu electrònic. Les adreces de correu electrònic que s'utilitzen per a activitats comercials també podrien contenir dades personals. Aquest és el cas quan una adreça de correu electrònic està estructurada de la manera següent: [email protected] . A partir d'aquesta adreça de correu electrònic es poden derivar quines són les inicials de la persona que utilitza l'adreça de correu electrònic, quin és el seu cognom i on treballa aquesta persona. Per tant, la persona que utilitza aquesta adreça de correu electrònic és identificable a partir de l'adreça de correu electrònic.
Una adreça de correu electrònic no es considera una dada personal quan no es pot identificar cap persona física a partir d'ella. Aquest és el cas, per exemple, quan s'utilitza la següent adreça de correu electrònic: [email protected] . Aquesta adreça de correu electrònic no conté cap dada a partir de la qual es pugui identificar una persona física. Les adreces de correu electrònic generals que utilitzen les empreses, com ara [email protected] , tampoc es consideren dades personals.
Aquesta adreça de correu electrònic no conté cap informació personal a partir de la qual es pugui identificar una persona física. A més, l'adreça de correu electrònic no és utilitzada per una persona física, sinó per una persona jurídica. Per tant, no es considera dades personals. De la jurisprudencia holandesa es pot concloure que les adreces de correu electrònic poden ser dades personals, però no sempre és així; depèn de l'estructura de l'adreça de correu electrònic.
Hi ha una gran possibilitat que les persones físiques es puguin identificar per l'adreça de correu electrònic que estan utilitzant, la qual cosa fa que les adreces de correu electrònic siguin dades personals. Per classificar les adreces de correu electrònic com a dades personals, no importa si l'empresa realment utilitza les adreces de correu electrònic per identificar els usuaris. Encara que una empresa no utilitzi les adreces de correu electrònic amb la finalitat d'identificar persones físiques, les adreces de correu electrònic a partir de les quals es poden identificar les persones físiques encara es consideren dades personals.
No totes les connexions tècniques o casuals entre una persona i les dades són suficients per designar les dades com a dades personals. Tanmateix, si existeix la possibilitat que les adreces de correu electrònic es puguin utilitzar per identificar els usuaris, per exemple per detectar casos de frau, les adreces de correu electrònic es consideren dades personals. En això, no importa si l'empresa pretenia o no utilitzar les adreces de correu electrònic amb aquesta finalitat. La llei parla de dades personals quan existeix la possibilitat que les dades puguin ser utilitzades per a una finalitat que identifiqui una persona física.[2]
Dades personals especials
Tot i que les adreces de correu electrònic es consideren dades personals la majoria de les vegades, no són dades personals especials. Les dades personals especials són dades personals que revelen l'origen racial o ètnic, les opinions polítiques, les creences religioses o filosòfiques o l'afiliació a un comerç, i dades genètiques o biomètriques. Això deriva de l'article 9 del RGPD. A més, una adreça de correu electrònic conté menys informació pública que, per exemple, una adreça particular.
És més difícil conèixer l'adreça de correu electrònic d'algú que la seva adreça de casa i depèn en gran part de l'usuari de l'adreça de correu electrònic que l'adreça de correu electrònic es faci pública o no. A més, el descobriment d'una adreça de correu electrònic que hauria d'haver romangut amagada té conseqüències menys greus que el descobriment d'una adreça de casa que hauria d'haver romangut oculta. És més fàcil canviar una adreça de correu electrònic que una adreça de casa i el descobriment d'una adreça de correu electrònic podria donar lloc a un contacte digital, mentre que el descobriment d'una adreça de casa podria donar lloc a un contacte personal.[3]
Tractament de dades personals
Hem establert que les adreces de correu electrònic es consideren dades personals la majoria de les vegades. Tot i això, GDPR només s'aplica a empreses que processin dades personals. El tractament de dades personals existeix de totes les accions pel que fa a dades personals. Això es defineix més a GDPR. D’acord amb l’article 4 sub 2 GDPR, el tractament de dades personals significa qualsevol operació que es realitzi sobre dades personals, siguin o no de forma automàtica. En són exemples la recollida, el registre, l’organització, l’estructuració, l’emmagatzematge i l’ús de dades personals. Quan les empreses realitzen les activitats esmentades respecte a les adreces de correu electrònic, processen dades personals. En aquest cas, estan subjectes al GDPR.
Conclusió
No totes les adreces de correu electrònic es consideren dades personals. Tanmateix, les adreces de correu electrònic es consideren dades personals quan proporcionen informació identificable sobre una persona física. Moltes adreces de correu electrònic estan estructurades de manera que es pugui identificar la persona física que utilitza l'adreça de correu electrònic. Aquest és el cas quan l'adreça de correu electrònic conté el nom o el lloc de treball d'una persona física. Per tant, moltes adreces de correu electrònic es consideraran dades personals.
És difícil per a les empreses distingir entre les adreces de correu electrònic que es consideren dades personals i les que no ho són, ja que això depèn completament de l'estructura de l'adreça de correu electrònic. Per tant, es pot dir que les empreses que processen dades personals es trobaran amb adreces de correu electrònic que es consideren dades personals. Això significa que aquestes empreses estan subjectes al RGPD i haurien d'implementar una política de privadesa que compleixi amb el RGPD.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
