Adresy e-mail jako dane osobowe

Przeczytaj także: Nowe zasady udostępniania danych osobowych

Za administratorów danych osobowych można uznać bez wątpienia podmioty zbierające informacje, których zakwalifikowanie jako dane osobowe nie jest tak dyskusyjne jak w przypadku adresów e-mail (do tych informacji można chociażby zaliczyć imię i nazwisko, adres zamieszkania czy numer telefonu). Powstaje jednak pytanie czy podmioty gromadzące tylko i wyłącznie „cudze” adresy e-mail z pominięciem innych informacji (np. spółki prowadzące serwisy internetowe, w których użytkownicy Internetu mogą się zarejestrować poprzez podanie wyłącznie swego adresu e-mail i wymyślonego przez siebie hasła) będą administratorami danych osobowych zobligowanymi do wypełnienia obowiązków wskazanych w Ustawie? Do rozstrzygnięcia tej kwestii niezbędne może okazać się ustalenie czy wśród zebranych adresów e-mail znajdują się adresy, które choćby pośrednio mogą prowadzić do zidentyfikowania osób posługujących się tymi adresami.

Dokonanie takich ustaleń może być jednak skomplikowanym logistycznie przedsięwzięciem, zwłaszcza w przypadku obszernej bazy adresowej. Dużo trafniejsze, zdaniem autora niniejszego artykułu, jest zatem rozstrzyganie o możliwości nadania konkretnemu podmiotowi statusu administratora danych z punktu widzenia oceny rodzaju zbieranych (przetwarzanych) przez ten podmiot informacji oraz możliwości określenia, czy te informacje stanowić mogą dane osobowe. Jeśli zatem dany podmiot przetwarza adresy e-mail i decyduje o sposobach dalszego wykorzystania tych adresów, to podmiot taki będzie mógł być uznany za administratora danych osobowych niezależnie od tego, czy w bazie umieszczone będą adresy e-mail spełniające warunki uznania ich za dane osobowe, czy też adresy nie spełniające tych warunków.

Jeżeli adres e-mail, którym się posługujemy, spełniać będzie kryteria uznania go za daną osobową, będziemy mogli także skorzystać z prawa do kontroli przetwarzania naszego adresu e-mail. Administrator danych osobowych przetwarzający ten adres zobowiązany będzie z kolei umożliwić nam realizację wspomnianego prawa. Prawo do kontroli przetwarzania danych osobowych (w naszym przypadku konkretnego adresu e-mail będącego daną osobową) składa się z poszczególnych uprawnień, których otwarty katalog został wskazany w Ustawie. Do najbardziej istotnych spośród nich zaliczyć można m.in. prawo do uzyskania informacji o celu i sposobie przetwarzania naszego adresu e-mail, o podmiotach, którym nasze dane osobowe są udostępniane, czy prawo do żądania usunięcia naszych danych osobowych.

Mając na uwadze powyższe rozważania trzeba na koniec wyraźnie wskazać, że oceny czy adres e-mail może być daną osobową należy każdorazowo dokonywać w odniesieniu do konkretnego adresu poczty elektronicznej. Ustalenie, iż adres e-mail jest daną osobową ma natomiast doniosłe znaczenie. Taka kwalifikacja adresu e-mail powoduje bowiem, iż zastosowanie znajdują przepisy Ustawy, które chronią interesy osób posługujących się konkretnymi adresami e-mail, dając tym osobom możliwość skorzystania z uprawnień określonych w Ustawie.

Podstawa prawna:

• art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych,
• art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych,
• art. 32 i art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych,
• art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych,
• art. 46 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych

Marcin Berlak, aplikant radcowski