Zakwalifikowanie adresu e-mail jako danych osobowych ma z kolei wpływ na możliwość korzystania z przysługujących nam praw. Wpływa także na obowiązki administratorów danych osobowych, czyli podmiotów, które je od nas zbierają oraz podejmują inne działania związane z ich przetwarzaniem.
Definicja danych osobowych ujęta została w art. 6 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych ("ustawa"). Zgodnie z tym przepisem, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Jak wynika z przytoczonego przepisu, konkretna informacja nie będzie jednak stanowić danych osobowych (nie będzie uważana za informację umożliwiającą określenie tożsamości osoby), jeżeli zidentyfikowanie osoby na podstawie tej informacji wymagałoby nadmiernych kosztów, czasu lub działań. Jednocześnie wskazano, że osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.
Nazwa użytkownika może zmylić
Nie ma przeszkód, aby za informację umożliwiającą zidentyfikowanie konkretnej osoby uznać adres e-mail. W jakiej jednak sytuacji adres taki spełni przesłanki do uznania go za dane osobowe w rozumieniu przepisów ustawy - Analizując zacytowany art. 6, oczywiste jest, że nie każdy adres e-mail pozwala nam szybko i bez specjalnych wysiłków zidentyfikować osobę, do której jest przypisany.
Nie ulega wątpliwości, że często znacznie łatwiej będziemy w stanie wskazać osobę posługującą się adresem e-mail zbudowanym w oparciu o imię i nazwisko oraz domenę internetową znanej spółki (imię .nazwisko@nazwa-spolki.pl.; adres poczty elektronicznej jest chroniony przed robotami spamującymi. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć) niż osobę posługującą się adresem wykorzystującym pseudonim i utworzonym na przykład w domenie internetowej serwisu oferującego darmowe konta poczty elektronicznej ( pseudonim@nazwa-serwisu.pl. Adres poczty elektronicznej jest chroniony przed robotami spamującymi. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć. ).
Może się jednak zdarzyć, że adres e-mail wskazywać będzie na przysłowiowego "Jana Kowalskiego", który jest jednym z kilku "Janów Kowalskich" pracujących w danej spółce. Bywają również takie sytuacje, w których konkretny adres e-mail, utworzony w domenie internetowej serwisu oferującego darmowe konta pocztowe, zawiera mało popularne imię czy nazwisko.
Ustalanie tożsamości nie może być zbyt kłopotliwe
Interpretując treść powołanego powyżej przepisu ustawy, należy zwrócić uwagę, że przy uznaniu adresu e-mail za dane osobowe, brak nadmiernych kosztów, czasu lub działań wydaje się mieć zasadnicze znaczenie. Ustalenie tożsamości osoby, do której przypisany jest konkretny adres poczty elektronicznej, nie może bowiem być procesem długotrwałym, skomplikowanym i kosztownym. Trzeba mieć także na uwadze, że zgodnie z zamysłem ustawodawcy tożsamość "osoby możliwej do zidentyfikowania" wystarczy określić jedynie pośrednio. Podejmując zatem próbę określenia, czy konkretny adres e-mail może być uznany za dane osobowe, konieczne jest uwzględnienie zarówno przedstawionych powyżej przesłanek ustawowych, jak i budowy danego adresu e-mail. W rezultacie, o ile na podstawie analizy budowy adresu e-mail możemy stosunkowo szybko i bez podejmowania szczególnie skomplikowanych działań zidentyfikować osobę, do której ów adres jest przypisany, wówczas można z dużym prawdopodobieństwem stwierdzić, że taki adres e-mail stanowi dane osobowe.
Administratorzy danych
Z uwagi na fakt, że adres poczty elektronicznej może być (lecz nie zawsze jest) danymi osobowymi, podmioty gromadzące adresy e-mail osób fizycznych i decydujące o dalszym wykorzystaniu tych adresów mogą być uznane za administratorów danych osobowych (definicję administratora danych osobowych zawiera art. 7 pkt 4 ustawy).
Konsekwencją tego jest konieczność spełnienia przez te podmioty obowiązków przewidzianych w ustawie. Wspomnieć trzeba, że jednym z podstawowych obowiązków administratorów danych osobowych jest zgłoszenie zbioru danych osobowych do rejestracji przez Generalnego Inspektora Ochrony Danych Osobowych. Zgłoszenie to jest o tyle istotne, że warunkuje ono - co do zasady dopuszczalność przetwarzania danych osobowych (czyli wykonywania jakichkolwiek operacji na danych osobowych, w tym ich zbierania, utrwalania, przechowywania, zmieniania, udostępniania czy usuwania) przez administratorów.
Jakie informacje są gromadzone?
Za administratorów danych osobowych można uznać podmioty zbierające informacje, których zakwalifikowanie jako danych osobowych nie jest tak dyskusyjne, jak w przypadku adresów e-mail (do tych informacji można zaliczyć chociażby imię i nazwisko, adres zamieszkania czy numer telefonu). Powstaje jednak pytanie, czy podmioty gromadzące tylko i wyłącznie "cudze" adresy e-mail z pominięciem innych informacji (np. spółki prowadzące serwisy internetowe, w których użytkownicy Internetu mogą się zarejestrować poprzez podanie wyłącznie swego adresu e-mail i wymyślonego przez siebie hasła) będą administratorami danych osobowych zobligowanymi do wypełnienia obowiązków wskazanych w ustawie?
Pośredni trop
Do rozstrzygnięcia tej kwestii niezbędne może okazać się ustalenie, czy wśród zebranych adresów e-mail znajdują się adresy, które choćby pośrednio mogą prowadzić do zidentyfikowania posługujących się nimi osób. Dokonanie takich ustaleń może być jednak skomplikowanym logistycznie przedsięwzięciem, zwłaszcza w przypadku obszernej bazy adresowej. Dużo trafniejsze, zdaniem autora niniejszego artykułu, jest zatem rozstrzyganie o możliwości nadania konkretnemu podmiotowi statusu administratora danych z punktu widzenia oceny rodzaju zbieranych (przetwarzanych) przez ten podmiot informacji oraz możliwości określenia, czy te informacje stanowić mogą dane osobowe. Jeśli zatem dany podmiot przetwarza adresy e-mail i decyduje o sposobach dalszego wykorzystania tych adresów, to podmiot taki będzie mógł być uznany za administratora danych osobowych niezależnie od tego, czy w bazie umieszczone będą adresy e-mail spełniające warunki uznania ich za dane osobowe, czy też adresy nie spełniające tych warunków.
Prawo do kontroli przetwarzania adresu
Jeżeli adres e-mail, którym się posługujemy, spełniać będzie kryteria uznania go za dane osobowe, będziemy mogli także skorzystać z prawa do kontroli przetwarzania naszego adresu e-mail. Administrator danych osobowych przetwarzający ten adres zobowiązany będzie z kolei umożliwić nam realizację wspomnianego prawa. Prawo do kontroli przetwarzania danych osobowych (w naszym przypadku konkretnego adresu e-mail stanowiącego dane osobowe) składa się z poszczególnych uprawnień, których otwarty katalog został wskazany w ustawie. Do najbardziej istotnych spośród nich zaliczyć można m.in. prawo do uzyskania informacji o celu i sposobie przetwarzania naszego adresu e-mail, o podmiotach, którym nasze dane osobowe są udostępniane, czy prawo do żądania usunięcia naszych danych osobowych.
Osobna analiza każdego przypadku
Mając na uwadze powyższe rozważania, trzeba na koniec wyraźnie wskazać, że oceny, czy adres e-mail może należeć do danych osobowych należy każdorazowo dokonywać w odniesieniu do konkretnego adresu poczty elektronicznej. Ustalenie, że adres e-mail stanowi dane osobowe ma natomiast doniosłe znaczenie. Taka kwalifikacja adresu e-mail powoduje bowiem, że zastosowanie znajdują przepisy ustawy, które chronią interesy osób posługujących się konkretnymi adresami e-mail, dając tym osobom możliwość skorzystania z uprawnień określonych w ustawie.
Marcin Berlak
Autor jest aplikantem radcowskim w Kancelarii Prawniczej Włodzimierz Głowacki i Wspólnicy Sp. k. z siedzibą w Poznaniu
