El correo electrónico implica el tratamiento de datos personales, y el RGPD se aplica íntegramente a este. Tres obligaciones son fundamentales en la práctica. El empleador solo puede acceder al buzón de correo dentro de límites estrictos y de acuerdo con una política que el empleado conozca. El marketing por correo electrónico requiere consentimiento, salvo que el destinatario sea un cliente existente al que se le ofrezcan productos o servicios similares, y cada mensaje debe ofrecer una forma sencilla de darse de baja. Además, los archivos de correo electrónico están sujetos al mismo principio de retención que cualquier otro dato: se conservan solo durante el tiempo necesario, por categoría y según un calendario que se aplique efectivamente.
Reglamento general de protección de datos (RGPD)
El 25 de mayo entrará en vigor el Reglamento General de Protección de Datos (RGPD). Con su implementación, la protección de datos personales cobra mayor importancia. Las empresas deben cumplir con normas más estrictas en materia de protección de datos. Sin embargo, la entrada en vigor del RGPD plantea diversas interrogantes. Para las empresas, puede resultar confuso qué datos se consideran personales y, por lo tanto, están sujetos al RGPD. Este es el caso de las direcciones de correo electrónico: ¿se consideran datos personales? ¿Están sujetas al RGPD las empresas que utilizan direcciones de correo electrónico? En este artículo se responderán estas preguntas.
Los datos personales
Para responder a la pregunta de si una dirección de correo electrónico se considera datos personales o no, se debe definir el término datos personales. Este término se explica en el GDPR. Según el artículo 4 sub a RGPD, datos personales significa cualquier información relacionada con una persona física identificada o identificable. Una persona física identificable es una persona que puede identificarse, directa o indirectamente, en particular en referencia a un identificador como un nombre, un número de identificación, datos de ubicación o un identificador en línea. Los datos personales se refieren a personas físicas. Por lo tanto, la información relativa a personas fallecidas o personas jurídicas no se considera información personal.
Correo electrónico
Ahora que se ha determinado la definición de datos personales, es necesario evaluar si una dirección de correo electrónico se considera dato personal. La jurisprudencia neerlandesa indica que las direcciones de correo electrónico podrían ser datos personales, pero que no siempre es así. Depende de si una persona física está identificada o es identificable a partir de la dirección de correo electrónico.[1] La forma en que las personas han estructurado sus direcciones de correo electrónico debe tenerse en cuenta para determinar si una dirección de correo electrónico puede considerarse dato personal o no.
Muchas personas estructuran sus direcciones de correo electrónico de forma que se consideren datos personales. Este es el caso, por ejemplo, de una dirección de correo electrónico con el formato nombre.apellido@gmail.com. Esta dirección revela el nombre y apellido de la persona que la utiliza.
Por lo tanto, esta persona puede ser identificada a partir de esta dirección de correo electrónico. Las direcciones de correo electrónico utilizadas para actividades comerciales también pueden contener datos personales. Este es el caso cuando una dirección de correo electrónico tiene la siguiente estructura: iniciales.apellido@nombredeempresa.com. A partir de esta dirección de correo electrónico se pueden deducir las iniciales de la persona que la utiliza, su apellido y su lugar de trabajo. Por consiguiente, la persona que utiliza esta dirección de correo electrónico es identificable.
Una dirección de correo electrónico no se considera dato personal cuando no permite identificar a ninguna persona física. Este es el caso, por ejemplo, de la siguiente dirección de correo electrónico: puppy12@hotmail.com. Esta dirección no contiene ningún dato que permita identificar a una persona física. Las direcciones de correo electrónico genéricas utilizadas por empresas, como info@nombredeempresa.com, tampoco se consideran datos personales.
Esta dirección de correo electrónico no contiene ningún dato personal que permita identificar a una persona física. Además, la dirección de correo electrónico no la utiliza una persona física, sino una entidad jurídica. Por lo tanto, no se considera un dato personal. De la jurisprudencia holandesa se desprende que las direcciones de correo electrónico pueden ser datos personales, pero no siempre es así; depende de la estructura de la dirección de correo electrónico.
Existe una gran posibilidad de que las personas físicas puedan ser identificadas por la dirección de correo electrónico que utilizan, lo que hace que las direcciones de correo electrónico sean datos personales. Para clasificar las direcciones de correo electrónico como datos personales, no importa si la empresa realmente utiliza las direcciones de correo electrónico para identificar a los usuarios. Incluso si una empresa no utiliza las direcciones de correo electrónico con el fin de identificar a las personas físicas, las direcciones de correo electrónico a partir de las cuales se puede identificar a las personas físicas se consideran igualmente datos personales.
No basta con que exista una relación técnica o casual entre una persona y los datos para que se considere que estos son datos personales. Sin embargo, si existe la posibilidad de que las direcciones de correo electrónico puedan utilizarse para identificar a los usuarios, por ejemplo para detectar casos de fraude, las direcciones de correo electrónico se consideran datos personales. En este sentido, no importa si la empresa pretendía o no utilizar las direcciones de correo electrónico para este fin. La ley habla de datos personales cuando existe la posibilidad de que los datos puedan utilizarse para un fin que identifique a una persona física.[2]
Datos personales especiales
Si bien las direcciones de correo electrónico se consideran datos personales en la mayoría de los casos, no son datos personales sensibles. Los datos personales sensibles son aquellos que revelan el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la pertenencia a un sindicato o una asociación profesional, así como los datos genéticos o biométricos. Esto se deriva del artículo 9 del RGPD. Además, una dirección de correo electrónico revela menos información pública que, por ejemplo, una dirección postal.
Es más difícil obtener información sobre la dirección de correo electrónico de una persona que sobre su dirección de domicilio y depende en gran medida del usuario de la dirección de correo electrónico si esta se hace pública o no. Además, el descubrimiento de una dirección de correo electrónico que debería haber permanecido oculta tiene consecuencias menos graves que el descubrimiento de una dirección de domicilio que debería haber permanecido oculta. Es más fácil cambiar una dirección de correo electrónico que una dirección de domicilio y el descubrimiento de una dirección de correo electrónico podría dar lugar a un contacto digital, mientras que el descubrimiento de una dirección de domicilio podría dar lugar a un contacto personal.[3]
Tratamiento de datos de carácter personal
Hemos establecido que las direcciones de correo electrónico se consideran datos personales la mayor parte del tiempo. Sin embargo, el RGPD solo se aplica a las empresas que procesan datos personales. El procesamiento de datos personales existe de cada acción con respecto a los datos personales. Esto se define adicionalmente en el GDPR. De acuerdo con el artículo 4 sub 2 GDPR, el procesamiento de datos personales significa cualquier operación que se realiza con datos personales, ya sea por medios automáticos o no. Ejemplos son la recopilación, grabación, organización, estructuración, almacenamiento y uso de datos personales. Cuando las empresas realizan las actividades mencionadas con respecto a las direcciones de correo electrónico, están procesando datos personales. En ese caso, están sujetos al GDPR.
Cuando una dirección de correo electrónico es un dato personal
No todas las direcciones de correo electrónico se consideran datos personales. Sin embargo, las direcciones de correo electrónico se consideran datos personales cuando proporcionan información identificable sobre una persona física. Muchas direcciones de correo electrónico están estructuradas de tal manera que se puede identificar a la persona física que utiliza la dirección de correo electrónico. Este es el caso cuando la dirección de correo electrónico contiene el nombre o el lugar de trabajo de una persona física. Por lo tanto, muchas direcciones de correo electrónico se considerarán datos personales.
Para las empresas, resulta difícil distinguir entre direcciones de correo electrónico consideradas datos personales y direcciones que no lo son, ya que esto depende completamente de la estructura de la dirección. Por lo tanto, es seguro afirmar que las empresas que procesan datos personales se encontrarán con direcciones de correo electrónico consideradas como tales. Esto significa que dichas empresas están sujetas al RGPD y deben implementar una política de privacidad que cumpla con dicho reglamento.
[1] ECLI: NL: GHAMS: 2002: AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI: NL: GHAMS: 2002: AE5514.
