Regolamento generale sulla protezione dei dati (GDPR)
Il 25 maggio entrerà in vigore il Regolamento generale sulla protezione dei dati (GDPR). Con l'introduzione del GDPR, la protezione dei dati personali assume un'importanza sempre maggiore. Le aziende dovranno conformarsi a norme più numerose e rigorose in materia di protezione dei dati. Tuttavia, l'entrata in vigore del GDPR solleva diverse questioni. Per le aziende, potrebbe non essere chiaro quali dati siano considerati dati personali e rientrino quindi nell'ambito di applicazione del GDPR. È il caso degli indirizzi e-mail: un indirizzo e-mail è considerato un dato personale? Le aziende che utilizzano indirizzi e-mail sono soggette al GDPR? A queste domande si risponderà in questo articolo.
Dati personali
Per rispondere alla domanda se un indirizzo e-mail è considerato o meno dati personali, è necessario definire il termine dati personali. Questo termine è spiegato nel GDPR. Sulla base dell'articolo 4 sotto un GDPR, per dati personali si intendono tutte le informazioni relative a una persona fisica identificata o identificabile. Una persona fisica identificabile è una persona che può essere identificata, direttamente o indirettamente, in particolare in riferimento a un identificatore come un nome, un numero di identificazione, dati sulla posizione o un identificatore online. I dati personali si riferiscono a persone fisiche. Pertanto, le informazioni relative a persone decedute o persone giuridiche non sono considerate dati personali.
Indirizzo email
Ora che è stata definita la definizione di dati personali, occorre valutare se un indirizzo email debba essere considerato un dato personale. La giurisprudenza olandese indica che gli indirizzi email potrebbero essere considerati dati personali, ma non sempre. Dipende se una persona fisica è identificabile o identificabile in base all'indirizzo email.[1] Bisogna tenere conto del modo in cui le persone hanno strutturato i propri indirizzi email per determinare se l'indirizzo email possa essere considerato un dato personale o meno.
Molte persone fisiche strutturano il proprio indirizzo email in modo tale che quest'ultimo debba essere considerato un dato personale. È il caso, ad esempio, di un indirizzo email strutturato nel seguente modo: [email protected] . Questo indirizzo email espone il nome e il cognome della persona fisica che lo utilizza.
Pertanto, questa persona può essere identificata tramite questo indirizzo email. Anche gli indirizzi email utilizzati per attività lavorative possono contenere dati personali. È il caso, ad esempio, di un indirizzo email strutturato nel seguente modo: [email protected] . Da questo indirizzo email è possibile risalire alle iniziali della persona che lo utilizza, al suo cognome e al suo luogo di lavoro. Di conseguenza, la persona che utilizza questo indirizzo email è identificabile tramite l'indirizzo stesso.
Un indirizzo email non è considerato dato personale quando non consente di identificare una persona fisica. È il caso, ad esempio, dell'indirizzo email [email protected] . Questo indirizzo email non contiene alcun dato che permetta di identificare una persona fisica. Anche gli indirizzi email generici utilizzati dalle aziende, come [email protected] , non sono considerati dati personali.
Questo indirizzo e-mail non contiene alcuna informazione personale da cui una persona fisica possa essere identificata. Inoltre, l'indirizzo e-mail non è utilizzato da una persona fisica, ma da una persona giuridica. Pertanto, non è considerato un dato personale. Dalla giurisprudenza olandese si può concludere che gli indirizzi e-mail possono essere dati personali, ma questo non è sempre il caso; dipende dalla struttura dell'indirizzo e-mail.
C'è una grande probabilità che le persone fisiche possano essere identificate dall'indirizzo email che stanno utilizzando, il che rende gli indirizzi email dati personali. Per classificare gli indirizzi email come dati personali, non importa se l'azienda utilizza effettivamente gli indirizzi email per identificare gli utenti. Anche se un'azienda non utilizza gli indirizzi email allo scopo di identificare le persone fisiche, gli indirizzi email da cui le persone fisiche possono essere identificate sono comunque considerati dati personali.
Non ogni collegamento tecnico o casuale tra una persona e i dati è sufficiente per designare i dati come dati personali. Tuttavia, se esiste la possibilità che gli indirizzi e-mail possano essere utilizzati per identificare gli utenti, ad esempio per rilevare casi di frode, gli indirizzi e-mail sono considerati dati personali. In questo, non importa se l'azienda intendesse o meno utilizzare gli indirizzi e-mail per questo scopo. La legge parla di dati personali quando esiste la possibilità che i dati possano essere utilizzati per uno scopo che identifica una persona fisica.[2]
Dati personali speciali
Sebbene gli indirizzi email siano considerati dati personali nella maggior parte dei casi, non rientrano nella categoria dei dati personali sensibili. I dati personali sensibili sono quelli che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza a un'associazione di categoria, nonché i dati genetici o biometrici. Questa definizione deriva dall'articolo 9 del GDPR. Inoltre, un indirizzo email contiene meno informazioni pubbliche rispetto, ad esempio, a un indirizzo di residenza.
È più difficile ottenere informazioni sull'indirizzo email di qualcuno rispetto al suo indirizzo di casa e dipende in larga parte dall'utente dell'indirizzo email se l'indirizzo email venga reso pubblico o meno. Inoltre, la scoperta di un indirizzo email che avrebbe dovuto rimanere nascosto ha conseguenze meno gravi rispetto alla scoperta di un indirizzo di casa che avrebbe dovuto rimanere nascosto. È più facile cambiare un indirizzo email rispetto a un indirizzo di casa e la scoperta di un indirizzo email potrebbe portare a un contatto digitale, mentre la scoperta di un indirizzo di casa potrebbe portare a un contatto personale.[3]
Trattamento dei dati personali
Abbiamo stabilito che gli indirizzi e-mail sono considerati dati personali per la maggior parte del tempo. Tuttavia, il GDPR si applica solo alle aziende che elaborano dati personali. Il trattamento dei dati personali esiste di ogni azione relativa ai dati personali. Questo è ulteriormente definito nel GDPR. Ai sensi dell'articolo 4, paragrafo 2, del GDPR, il trattamento di dati personali indica qualsiasi operazione eseguita su dati personali, anche se in modo automatico. Esempi sono la raccolta, la registrazione, l'organizzazione, la strutturazione, l'archiviazione e l'uso dei dati personali. Quando le aziende svolgono le suddette attività in relazione agli indirizzi e-mail, elaborano dati personali. In tal caso, sono soggetti al GDPR.
Conclusione
Non tutti gli indirizzi email sono considerati dati personali. Tuttavia, gli indirizzi email sono considerati dati personali quando forniscono informazioni identificabili su una persona fisica. Molti indirizzi email sono strutturati in modo tale che la persona fisica che utilizza l'indirizzo email possa essere identificata. Questo è il caso quando l'indirizzo email contiene il nome o il luogo di lavoro di una persona fisica. Pertanto, molti indirizzi email saranno considerati dati personali.
Per le aziende è difficile distinguere tra indirizzi email considerati dati personali e indirizzi email che non lo sono, poiché ciò dipende interamente dalla struttura dell'indirizzo email. Pertanto, si può affermare con certezza che le aziende che trattano dati personali si imbatteranno in indirizzi email che sono considerati tali. Ciò significa che queste aziende sono soggette al GDPR e dovrebbero implementare una politica sulla privacy conforme al GDPR.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
