Er mailadresse en personopplysning?

Er e-postadresse en personopplysning? Slik er reglene

Mange lurer på om en e-postadresse inneholder nok informasjon til å bli klassifisert som en personopplysning. Forståelse av dette skillet er viktig for å sikre korrekt håndtering av data og unngå potensielle brudd på personvernet. Les videre for å lære om definisjonen og kriteriene som avgjør om er e-postadresse en personopplysning.

Er e-postadresse en personopplysning?

Spørsmålet om en e-postadresse regnes som en personopplysning er ofte gjenstand for usikkerhet, men svaret er i utgangspunktet ja. E-postadresser, enten det er [email protected] eller mer generiske varianter, knyttes direkte til en fysisk person og faller derfor inn under kategorien personopplysninger.

Det er likevel ikke bare selve adressen som utløser krav fra personvernregelverket. Innholdet i e-poster - inkludert tekst, vedlegg, bilder og metadata som refererer til enkeltpersoner - betraktes også som personopplysninger. Dette krever at kommunikasjonen håndteres med tilstrekkelig sikkerhet for å unngå uautorisert tilgang.

Når er e-post en personopplysning?

En opplysning regnes som personopplysning hvis den kan knyttes til en identifiserbar person. For e-postadresser er dette direkte identifikasjon i de aller fleste tilfeller. I daglig drift betyr dette at dersom du behandler e-postadresser i systemene dine, er du underlagt krav om behandlingsgrunnlag og informasjonssikkerhet.

Det er en vanlig misoppfatning at kun navn er personopplysninger. Faktisk er digitale identifikatorer som e-postadresser ofte mer presise kilder til identifikasjon. Jeg har selv sett prosjekter stoppe opp fordi man undervurderte mengden metadata som faktisk identifiserer ansatte eller kunder i logger.

Sikkerhet og utfordringer ved deling

Vanlig e-post er i utgangspunktet ukryptert, noe som innebærer at informasjon kan komme på avveie under transport. Dette er en kritisk utfordring ved utsendelse av sensitive opplysninger, som for eksempel fødselsnumre eller personopplysninger i e-post.

Problemstillingen rundt kopifeltet

Å sette mange mottakere synlig i Til eller Kopi-feltet (såkalt reply-all) er en gjenganger når det gjelder brudd på personvernet. Ved å gjøre dette utleverer man e-postadressene til alle mottakerne til hverandre, noe som krever et gyldig behandlingsgrunnlag. Dette regnes som en utlevering av personopplysninger i e-post.

Det skjer raskere enn man tror. Vi har alle vært i situasjoner hvor man sender ut en e-post til en stor kundegruppe og glemmer å bruke Blindkopi (BCC). Det er en enkel feil, men konsekvensene for personvernet er betydelige.

Kommunikasjonsmetoder og personvern

Vanlig e-post

• Lavt for sensitive opplysninger.

• Ofte mangelfull eller kun under transport.

Sikker kommunikasjonsløsning

• Høyt, egnet for taushetsbelagte data.

• Ende-til-ende kryptering er standard.

Hendelsen hos markedsføringsbyrået

Et mindre markedsføringsbyrå i Oslo sendte ut et nyhetsbrev til 500 kunder ved å legge alle e-postadressene i 'Kopi'-feltet. De ansatte var stresset og ønsket å få ut informasjonen før helgen.

Kort tid etter mottok de flere klager fra kunder som ikke ønsket at deres private e-postadresser skulle deles med andre aktører i samme bransje.

Byrået måtte innrømme feilen, beklage skriftlig og oppdatere sine interne rutiner for utsendelse av e-post for å unngå lignende hendelser.

Resultatet ble økt fokus på bruk av profesjonelle verktøy for e-postmarkedsføring, noe som reduserte risikoen for personvernbrudd i etterkant. ^[2]