Является ли электронная почта персональными данными?

Question

Accepted Answer

Когда e-mail считается персональными данными

Электронная почта (e-mail) может являться персональными данными в зависимости от контекста её использования и возможности идентификации физического лица. Это определяется законодательством о защите персональных данных (GDPR в ЕС или ФЗ №152 в России). Сам по себе e-mail может быть просто строкой символов, например, user123@example.com. Но если этот адрес связан с конкретным человеком, то он становится персональным данными.

Таким образом, адрес е-mail считается персональными данными, если он позволяет идентифицировать человека. Например, адрес типа ivan.ivanov@company.com или petrov.sergey@gmail.com содержит имя и фамилию, что прямо указывает на конкретное лицо. Даже обезличенные адреса (например, user12345@gmail.com) могут быть персональными данными, если их можно связать с идентифицируемым лицом через дополнительные сведения (логины аккаунтов, номера телефонов, платежные данные и т.д.).

Также нужно учитывать законодательство. Например, в GDPR (Общий регламент по защите данных ЕС) электронная почта считается персональными данными, если она может быть связана с идентифицируемым лицом. В российском законе "О персональных данных" аналогично: любая информация, прямо или косвенно относящаяся к субъекту, считается персональной. Значит, если по e-mail можно установить личность, то он подпадает под защиту закона.

Когда e-mail не считается персональными данными

Е-mail не будет являться персональными данными, если:

Он полностью анонимизирован (обезличен). Например, общий корпоративный адрес, не связанный с конкретным сотрудником (info@company.com, support123@service.com). Однако если даже такой адрес используется для связи с определённым лицом (например, менеджером), он может стать персональным данными.
Отсутствует возможность идентификации. Адреса типа temp-account@domain.com, которые не содержат информации о пользователе и не привязаны к другим данным.
Используется для массовых рассылок без привязки к личности.
Это временный/одноразовый e-mail (например, сгенерированный через Temp-Mail).

То есть, бывают случаи, когда электронная почта не содержит явных идентификаторов. Но даже в этом случае, если сервис может связать этот адрес с конкретным пользователем через регистрационные данные (имя, телефон, адрес и т.д.), то e-mail становится частью персональных данных, поскольку позволяет идентифицировать человека.

Правовые последствия за незаконное использование e-mail

Роскомнадзор считает e-mail персональными данными, если он позволяет идентифицировать человека (Письмо от 07.02.2014 № 08-КМ-3681). Суды часто встают на сторону истцов, если e-mail использовался для спама без согласия (Постановление 9-го ААС № 09АП-16886/2019).

При обработке электронной почты есть определенные правовые последствия. Вот основные из них.

Обработка e-mail требует соблюдения особых правил:

Для сбора, хранения и использования e-mail необходимо согласие субъекта(за исключением случаев, предусмотренных законом, например, исполнение договора). В организациях e-mail сотрудников (например, name.surname@company.ru) обрабатывается на основании трудового договора.
Безопасность. E-mail должен быть защищён от утечек и несанкционированного доступа, так как его компрометация может привести к нарушению конфиденциальности персональных данных.
Ответственность за нарушения. В случае утечки e-mail, позволяющих идентифицировать лиц, возможны штрафы. Например, по GDPR — до 4% глобального оборота компании.

Вот некоторые примеры из практики:

Корпоративная почта. Адрес petrov@bank.ru — персональные данные, так как он указывает на конкретного сотрудника определенного банка.
Почта для регистрации на сайте: Даже catlover2023@gmail.com будет персональным данным, если пользователь указал при регистрации своё имя, телефон или иные данные.

Если e-mail признан персональным данным, его обработка без согласия нарушает закон. Возможные последствия за такие нарушения следующие:

Штрафы по ст. 13.11 КоАП РФ:

Для граждан — 1 000–3 000 руб.
Для ИП — 10 000–20 000 руб.
Для организаций — 30 000–150 000 руб.

Блокировка сайтаза рассылку спама (ст. 18 ФЗ «О связи»).
Иски от пользователейза нарушение приватности.

Как законно работать с e-mail

Чтобы не нарушать законодательство, необходимо:

Получать согласиена обработку (если e-mail — Персональные данные).
Использовать обезличенные ящикидля рассылок (например, news@site.com).
Хранить адреса безопасно(шифрование, защита от утечек).
Давать возможность отписаться(требование антиспам-законов).
При сборе e-mail на сайте публиковать политику обработки Персональные данные.
Удалять неактивные адреса, чтобы снизить риски утечек.