Czy adres e-mail zalicza się do danych osobowych?

Żyjemy w czasach gwałtownego rozwoju technologii informatycznych, nowych metod komunikacji i szerokiego dostępu do różnego typu danych. Niesie to ze sobą nie tylko ułatwienia i nowe możliwości, ale również zagrożenia. Z tego powodu nasze dane osobowe podlegają ochronie, której zakres opisuje aktualna Ustawa o ochronie danych osobowych, a od maja 2018 nowe rozporządzenie Parlamentu Europejskiego (RODO).

Definicja danych osobowych

Definicja danych osobowych zawarta jest w art. 6 Ustawy:

Art. 6
1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Przyjmuje się powszechnie, że do danych osobowych zalicza się takie informacje jak: imiona i nazwisko, datę i miejsce urodzenia, adres zamieszkania, PESEL, NIP. Oprócz tego danymi osobowymi są zdjęcia osób, filmy, zarejestrowane głosy, dane biometryczne, cechy źrenicy, linie papilarne, cechy twarzy, geometria ręki itp. Katalog pozostaje otwarty. Generalnie chodzi o wszystkie te informacje, które pośrednio lub bezpośrednio pozwalają zidentyfikować osobę fizyczną.

Czy e-mail jest w tym katalogu?

Powstaje pytanie, czy do danych osobowych można zaliczyć także adres poczty elektronicznej? Skoro w powyższym wykazie znajduje się adres zamieszkania, to na zasadzie analogii wydawać się może, że tak. Jednak problem jest bardziej złożony, gdyż nie każdy e-mail umożliwia jednoznaczną identyfikację osoby fizycznej.

Wszystko zależy od tego, jaka informacja zawarta jest w adresie e-mailowym przed domeną pocztową (przed znakiem @ czyli przed „małpą”). Może to być imię i nazwisko użytkownika, w praktyce często rozdzielone kropką, np. jan.kowalski@poczta.pl Taki adres poczty elektronicznej, który umożliwia identyfikację użytkownika, będzie uznany za informację o charakterze danych osobowych.

Stanowisko, zgodnie z którym kwalifikacji adresu poczty elektronicznej dokonywać należy w odniesieniu do konkretnego przypadku, zgodnie z ustawową definicją danych osobowych, potwierdzone zostało również przez GIODO. Generalny Inspektor stwierdza bowiem, że „tylko wówczas, jeżeli za pomocą adresu e-mail można ustalić tożsamość osoby, to informację o takim adresie można uznać za dane osobowe”. Konsekwentnie zauważyć należy, że adresy e-mailowe niezawierające w sobie informacji pozwalającej na identyfikację określonej osoby fizycznej, takie jak np. zorro@poczta.pl nie mogą być uznane za dane osobowe w rozumieniu Ustawy.

Przypadki trudniejsze

W praktyce życiowej pojawiać się jednak będą także przypadki „z pogranicza”, a więc np. skróty od imienia czy nazwiska, rozmaite ich przeróbki, pseudonimy itp. Adresy e-mail w wybranej domenie pocztowej zawsze są unikalne (może istnieć tylko jeden dany adres), gdyż inaczej nie dałoby się ich zarejestrować. Przyjmuje się wówczas, że danymi osobowymi są jedynie te adresy, na podstawie których administrator może powiązać je z konkretną osobą fizyczną bez podejmowania jakichkolwiek dodatkowych, czasochłonnych i kosztownych działań.

Adres IP

Biorąc pod uwagę kryterium nadmiernych kosztów, czasu lub działań, przyjmuje się, że stały adres IP urządzenia należącego do osoby fizycznej dla dostawcy Internetu, który ten adres przyznał, będzie – co do zasady – stanowić dane osobowe. Będzie to informacja, która umożliwi temu podmiotowi bez podejmowania nadmiernych działań, które by wymagały dłuższego czasu oraz ponoszenia dużych kosztów, zidentyfikowanie konkretnej osoby fizycznej (użytkownika).

To stanowisko znalazło również potwierdzenie w wyroku NSA z 19.5.2011 r. (I OSK 1079/10, Legalis), w którym wskazano, że:

Tam, gdzie numer IP pozwala pośrednio na identyfikację konkretnej osoby fizycznej powinien on być uznany za dane osobowe w rozumieniu art. 6 ust. 1 i 2 OchrDanOsU

Dodatkowa ochrona

Adresy e-mailowe są także objęte ochroną na podstawie Ustawy o świadczeniu usług drogą elektroniczną z 2002 r. W artykule 10 ust. 2 czytamy, że informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny. Zatem każda informacja, jaką otrzymamy bez naszej zgody, będzie spamem. Oprócz tego w Ustawie o świadczeniu usług drogą elektroniczną jest zawarty wyraźny zakaz przesyłania niezamówionej informacji handlowej oraz sankcja w postaci grzywny.