Alamat e-mel di bawah GDPR: bilakah ia merupakan data peribadi?

Alamat e-mel ialah data peribadi di bawah GDPR apabila ia mengenal pasti orang yang masih hidup, secara langsung atau tidak langsung, seperti firstname.lastname@company.com. Alamat generik seperti info@company.com biasanya tidak, kerana ia merujuk kepada sesebuah organisasi dan bukannya kepada seorang individu; jadi kebanyakan buku alamat mengandungi data peribadi, tetapi bukan setiap alamat di dalamnya mengandungi data peribadi.

GDPR (dalam bahasa Belanda: AVG) telah diguna pakai secara langsung di Belanda sejak 25 Mei 2018, ditambah dengan Akta Pelaksanaan GDPR Belanda (Uitvoeringswet AVG). Sebaik sahaja alamat e-mel layak sebagai data peribadi, setiap penggunaannya memerlukan asas undang-undang, dan e-mel pemasaran juga dikawal oleh Perkara 11.7 Akta Telekomunikasi Belanda (Telecommunicatiewet).

Apakah data peribadi di bawah GDPR?

Data peribadi (persoonsgegevens) ialah sebarang maklumat yang berkaitan dengan orang sebenar yang dikenal pasti atau boleh dikenal pasti. Seseorang boleh dikenal pasti jika dia boleh dikenal pasti secara langsung atau tidak langsung, contohnya melalui nama, nombor pengenalan, data lokasi atau pengecam dalam talian.

Alamat IP atau ID peranti boleh menjadi pengecam dalam talian dengan cara yang sama seperti alamat e-mel. Takrifan ini hanya merangkumi individu yang masih hidup: maklumat tentang syarikat itu sendiri bukanlah data peribadi, walaupun maklumat tentang orang yang bekerja di sana boleh jadi. GDPR terpakai kepada setiap organisasi yang memproses data peribadi orang di EU, di mana sahaja ia berada.

Bilakah alamat e-mel dianggap sebagai data peribadi?

Apabila alamat tersebut, bersendirian atau digabungkan dengan maklumat lain yang anda simpan atau boleh peroleh secara munasabah, menunjukkan kepada seorang individu yang boleh dikenal pasti. GDPR tidak mempunyai peraturan berasingan mengenai alamat e-mel; anda menggunakan ujian pengenalan umum untuk setiap alamat.

• nama pertama.nama akhir@gmail.com menunjukkan nama pengguna, jadi orang itu boleh dikenal pasti dari alamat sahaja: data peribadi.
• inisial.namaakhir@syarikat.com menunjukkan inisial, nama keluarga dan majikan, yang biasanya mengenal pasti individu tersebut: data peribadi.
• puppy12@hotmail.com tidak mendedahkan apa-apa tentang pengguna itu sendiri. Ia menjadi data peribadi sebaik sahaja anda boleh memautkannya kepada seseorang, contohnya melalui fail pelanggan anda atau tiket sokongan.
• info@company.com or sales@company.com milik sesebuah organisasi atau fungsi dan sering digunakan oleh beberapa orang: biasanya bukan data peribadi. Jika hanya seorang yang dinamakan yang menggunakannya, analisisnya boleh berubah.

Apa yang penting ialah kemungkinan pengenalpastian, bukan niat anda. Alamat yang boleh digunakan secara munasabah untuk mengenal pasti seseorang ialah data peribadi walaupun anda tidak pernah menggunakannya untuk tujuan tersebut. Alamat yang tersedia secara umum, contohnya di laman web syarikat, tidak kehilangan statusnya sebagai data peribadi.

Adakah alamat e-mel merupakan data kategori khas?

No. Perkara 9(1) GDPR menyimpan kategori khas untuk data yang mendedahkan asal usul kaum atau etnik, pendapat politik, kepercayaan agama atau falsafah atau keahlian kesatuan sekerja, dan untuk data genetik, biometrik dan kesihatan serta data tentang kehidupan seks atau orientasi seksual.

Alamat e-mel tidak mendedahkan semua ini dengan sendirinya, jadi peraturan yang lebih ketat untuk kategori khas tidak terpakai. Kandungan e-mel boleh menjadi perkara yang berbeza: mesej tentang penyakit seseorang mengandungi data kesihatan. Alamat itu sendiri adalah data peribadi biasa dan mesti dilindungi sedemikian rupa.

Bilakah GDPR akan terpakai kepada penggunaan alamat e-mel anda?

Sebaik sahaja anda memprosesnya. Pemprosesan ditakrifkan secara meluas: mengumpul, merekod, menyimpan, mengatur, menggunakan, mendedahkan dan memadam semua kiraan, sama ada automatik atau tidak.

Bagi setiap penggunaan, anda memerlukan salah satu asas perundangan dalam GDPR, seperti persetujuan, pelaksanaan kontrak dengan orang tersebut atau kepentingan sah anda. Persetujuan mestilah petunjuk hasrat yang diberikan secara bebas, khusus, termaklum dan jelas (Perkara 4(11) GDPR). Di bawah Perkara 5 Akta Pelaksanaan Belanda, di mana anda bergantung pada persetujuan daripada kanak-kanak di bawah umur 16 tahun, anda secara amnya memerlukan persetujuan daripada ibu bapa atau penjaga.

Peraturan manakah yang terpakai untuk e-mel pemasaran?

Perkara 11.7 Akta Telekomunikasi melarang e-mel komersial yang tidak diminta melainkan penerima telah memberikan persetujuan terlebih dahulu. Peraturan ini terpakai di samping GDPR dan diselia oleh Pihak Berkuasa untuk Pengguna dan Pasaran (ACM); GDPR itu sendiri diselia oleh Pihak Berkuasa Perlindungan Data Belanda (Autoriteit Persoonsgegevens, AP).

Terdapat dua pengecualian utama. Di bawah Perkara 11.7(4), anda boleh menghantar e-mel kepada pelanggan anda sendiri tentang produk atau perkhidmatan anda yang serupa, jika anda menawarkan mereka pilihan keluar yang percuma dan mudah apabila anda mengumpulkan alamat dan dalam setiap mesej. Di bawah Perkara 11.7(3), keperluan persetujuan tidak terpakai kepada perniagaan yang menggunakan butiran hubungan elektronik yang telah ditetapkan dan diterbitkan oleh penerima untuk menerima komunikasi tersebut, dalam tujuan yang dikaitkan dengan butiran tersebut.

Apakah yang perlu anda semak sebagai sebuah organisasi?

• Anggapkan senarai e-mel anda mengandungi data peribadi melainkan anda boleh menunjukkan sebaliknya bagi setiap alamat.
• Rekodkan asas perundangan untuk setiap penggunaan: surat berita, khidmat pelanggan, jualan, direktori dalaman.
• Simpan bukti persetujuan untuk e-mel pemasaran dan pautan pilih keluar dalam setiap mesej.
• Sertakan senarai e-mel dalam rekod aktiviti pemprosesan, jadual pengekalan dan langkah keselamatan anda.
• Sebutkan pemprosesan alamat e-mel dalam pernyataan privasi anda.

Apakah yang perlu anda semak sebagai orang yang alamatnya digunakan?

• Semak sama ada anda telah memberikan persetujuan atau merupakan pelanggan sedia ada sebelum anda menerima e-mel pemasaran.
• Gunakan pilihan untuk tidak ikut serta dalam mesej; ia mestilah percuma dan mudah.
• Tanyakan kepada organisasi data apa yang dipegangnya tentang anda dan atas dasar perundangan apa.
• Jika organisasi tidak memberi respons yang sewajarnya, anda boleh memfailkan aduan kepada AP atau ACM untuk pemasaran yang tidak diminta.

Apa yang boleh kami bantu anda dengan alamat e-mel dan GDPR?

Peguam IT dan privasi kami menasihati organisasi tentang pematuhan data e-mel dan pemasaran.

• Kami menilai senarai e-mel anda yang layak sebagai data peribadi.
• Kami menentukan asas perundangan yang betul untuk setiap penggunaan dan mendokumentasikannya.
• Kami menyemak surat berita dan aliran pemasaran anda berdasarkan Perkara 11.7 Akta Telekomunikasi.
• Kami mendraf atau mengemas kini pernyataan privasi dan rekod aktiviti pemprosesan anda.
• Kami akan menjawab bagi pihak anda terhadap soalan atau aduan daripada AP atau ACM.

Ringkasan

• Alamat e-mel ialah data peribadi jika ia mengenal pasti orang yang masih hidup, secara langsung atau tidak langsung.
• Alamat berasaskan nama biasanya layak; alamat generik seperti info@ biasanya tidak.
• Alamat e-mel bukanlah data kategori khas di bawah Perkara 9(1) GDPR.
• Setiap penggunaan alamat e-mel peribadi memerlukan asas perundangan di bawah GDPR.
• E-mel pemasaran juga memerlukan persetujuan terlebih dahulu di bawah Perkara 11.7 Akta Telekomunikasi, dengan pengecualian terhad.

Soalan lazim