Λογαριασμοί ρόλου και γενικές διευθύνσεις ηλεκτρονικού ταχυδρομείου επιχειρήσεων Μερικές φορές εξακολουθούν να είναι PII

Μέχρι στιγμής όλοι γνωρίζουν ότι οι επαγγελματικές διευθύνσεις email που πηγαίνουν απευθείας σε ένα άτομο, όπως π.χ jo********@ex*****.com, θεωρούνται προσωπικά δεδομένα (στοιχεία προσωπικής ταυτοποίησης ή PII) για τους σκοπούς του GDPR και, όλο και περισσότερο, της νομοθεσίας περί απορρήτου email σε άλλες χώρες. Τι γίνεται όμως με τις γενικές διευθύνσεις email επιχειρήσεων, όπως π.χ στο **@ex*****.com, sa***@ex*****.comή co*****@ex*****.com (γνωστές και ως διευθύνσεις email „λογαριασμού ρόλου“); Η συμβατική σοφία είναι ότι οι λογαριασμοί ρόλων δεν θεωρούνται προσωπικά δεδομένα, και έτσι είναι δίκαιο παιχνίδι ανεπιθυμητη αλληλογραφια προσθέστε στη λίστα αλληλογραφίας σας χωρίς προηγούμενη συναίνεση. Αλλά όχι πάντα, υπάρχει ένα πιάσιμο!

Σύμφωνα με τον Gary Payne, του Gill Payne Partnership Ltd, υπάρχουν φορές που μια λεγόμενη γενική διεύθυνση email επιχείρησης μπορεί στην πραγματικότητα να ερμηνευθεί ως προσωπικά δεδομένα. Ο κ. Payne, γνωστός εμπειρογνώμονας GDPR της ΕΕ και του Ηνωμένου Βασιλείου στο Ηνωμένο Βασίλειο, εξηγεί «Υπήρξαν περιπτώσεις όπου μια διεύθυνση ηλεκτρονικού ταχυδρομείου που βασίζεται σε ρόλους θεωρήθηκε προσωπική». (Οι τακτικοί αναγνώστες μπορεί να αναγνωρίσουν τον κ. Payne ως τον ειδικό του GDPR που μίλησε μαζί μας για το πώς εφαρμόζεται ο GDPR στα δεδομένα που συλλέγονται πριν από την έναρξη ισχύος του GDPR.)

Πότε είναι Προσωπικά Δεδομένα ή PII οι γενικές διευθύνσεις ηλεκτρονικού ταχυδρομείου επιχειρήσεων;

Σύμφωνα με τον κ. Payne, εάν μόνο ένα άτομο έχει πρόσβαση στο κατά τα άλλα γενικό γραμματοκιβώτιο επιχείρησης, αυτό το γραμματοκιβώτιο και η σχετική γενική διεύθυνση email μπορούν να ερμηνευθούν ως προσωπικά δεδομένα ως «μπορούν να συλλεχθούν πληροφορίες (διευθύνσεις IP και άλλα) από άλλα μέρη, όπως το Facebook, που συνδέει τη διεύθυνση email με το μοναδικό άτομο που χειρίζεται το γραμματοκιβώτιο».

Συνεχίζει εξηγώντας ότι «Είναι παρόμοιο με το αν έχετε μια κάρτα πρόσβασης σε ένα κτίριο ή ένα ανώνυμο όνομα χρήστη/κωδικό πρόσβασης, το οποίο στη συνέχεια προσδιορίζει το άτομο που την έχει, δεν έχει σημασία αν δεν αποθηκεύονται προσωπικά στοιχεία. Το ότι υπάρχει ένα μεμονωμένο άτομο που κατέχει την κάρτα ή το όνομα χρήστη/κωδικό πρόσβασης, το οποίο μπορεί να συνδεθεί ζητώντας από το εν λόγω άτομο να παραδώσει την κάρτα ή το όνομα χρήστη/κωδικό πρόσβασης αρκεί για να γίνει προσωπικά στοιχεία σύμφωνα με τον GDPR.“

Δικηγορικό γραφείο Μπέσγουικς συμφωνεί με τον κ. Payne, λέγοντας ότι ενώ οι γενικές διευθύνσεις ηλεκτρονικού ταχυδρομείου επιχειρήσεων γενικά δεν θεωρούνται προσωπικά δεδομένα, «οι διευθύνσεις ηλεκτρονικού ταχυδρομείου που σχετίζονται με έναν μοναδικό έμπορο ή μια εταιρική σχέση μη περιορισμένης ευθύνης είναι προσωπικά δεδομένα εάν ένα άτομο μπορεί να αναγνωριστεί από τη διεύθυνση ηλεκτρονικού ταχυδρομείου. ”

Και αναμένοντας το ερώτημα γιατί τότε οι υπηρεσίες μπορούν να αποθηκεύουν ακόμη και τέτοια δεδομένα, παρόλο που μπορούν να ερμηνευθούν ως προσωπικά, ο κ. Payne εξηγεί ότι τέτοια δεδομένα μπορούν να αποθηκευτούν επειδή μπορούν να χαρακτηριστούν ως η λεγόμενη «ψευδωνυμοποιημένη ταυτότητα», σε μεγάλο βαθμό με τον ίδιο τρόπο όπως μια διεύθυνση IL********@ex*****.org που είναι εγγεγραμμένο σε μια δημόσια υπηρεσία webmail, όπως το Gmail, θεωρείται ψευδώνυμο και έτσι μπορεί να αποθηκευτεί από το Gmail, αλλά δεν προστίθεται στη λίστα αλληλογραφίας σας χωρίς συγκατάθεση. Με άλλα λόγια, εξηγεί, μια ψευδώνυμη ταυτότητα μπορεί να επιτραπεί η αποθήκευση (χρήση) σε ορισμένες περιπτώσεις και η απαγόρευση σε άλλες περιπτώσεις.

«Δεν είναι δωρεάν γη μόνο και μόνο επειδή το γραμματοκιβώτιο βασίζεται σε ρόλους», λέει ο κ. Payne, σημειώνοντας ότι το ίδιο ισχύει για άλλες λεπτομέρειες της εταιρείας, όχι μόνο για τις διευθύνσεις email. Γενικά τα εταιρικά στοιχεία είναι δημόσια και δεν θεωρούνται προσωπικά δεδομένα, ωστόσο εάν η εταιρεία είναι ατομική επιχείρηση, αυτά τα εταιρικά στοιχεία μπορεί να θεωρηθούν προσωπικά δεδομένα για τους σκοπούς του GDPR.

Και ενώ αν κάθεστε στις ΗΠΑ και σκέφτεστε «Bully for them, but GDPR δεν ισχύει εδώ και στην πραγματικότητα δεν υπάρχει νόμος που να μου απαγορεύει να προσθέσω όποιος διεύθυνση email προς όποιος λίστα αλληλογραφίας χωρίς συναίνεση», ήρθε η ώρα να το ξανασκεφτούμε και μετά να προχωρήσουμε στο άρθρο μας σχετικά με τις 4 πολιτείες με νόμους περί απορρήτου δεδομένων που θα κυκλοφορήσουν στο διαδίκτυο το 2023.