E-posta adresleri ve GDPR: Kişisel veriler mi?

GDPR kapsamında, bir e-posta adresi, doğrudan veya dolaylı olarak yaşayan bir kişiyi tanımladığı her durumda kişisel veri olarak kabul edilir; örneğin, firstname.lastname@company.com gibi. info@company.com gibi genel bir adres genellikle kişisel veri olarak kabul edilmez, çünkü bir bireyden ziyade bir kuruluşu işaret eder; bu nedenle çoğu adres defteri kişisel veri içerir, ancak içindeki her adres içermez.

Genel Veri Koruma Yönetmeliği (GDPR) (Hollandaca: AVG), Hollanda'da 25 Mayıs 2018'den beri doğrudan uygulanmaktadır ve Hollanda GDPR Uygulama Yasası (Uitvoeringswet AVG) ile desteklenmektedir. Bir e-posta adresi kişisel veri olarak nitelendirildiğinde, her kullanımının yasal bir dayanağı olması gerekir ve pazarlama e-postaları da Hollanda Telekomünikasyon Yasası'nın (Telecommunicatiewet) 11.7. maddesine tabidir.

İçindekiler

GDPR kapsamında kişisel veri nedir?

Kişisel veriler, tanımlanmış veya tanımlanabilir bir gerçek kişiye ilişkin her türlü bilgidir. Bir kişi, örneğin bir isim, kimlik numarası, konum verileri veya çevrimiçi bir tanımlayıcı aracılığıyla doğrudan veya dolaylı olarak tanımlanabiliyorsa, tanımlanabilir olarak kabul edilir.

Bir IP adresi veya cihaz kimliği, e-posta adresiyle aynı şekilde çevrimiçi bir tanımlayıcı olabilir. Tanım yalnızca yaşayan bireyleri kapsar: bir şirket hakkındaki bilgiler kişisel veri değildir, ancak orada çalışan kişiler hakkındaki bilgiler kişisel veri olabilir. GDPR, nerede yerleşik olursa olsun, AB'deki kişilerin kişisel verilerini işleyen her kuruluş için geçerlidir.

E-posta adresi ne zaman kişisel veri sayılır?

Adres, tek başına veya elinizde bulunan ya da makul bir şekilde elde edebileceğiniz diğer bilgilerle birlikte, tanımlanabilir bir kişiye işaret ediyorsa, bu geçerlidir. GDPR'da e-posta adresleri için ayrı bir kural bulunmamaktadır; her adres için genel tanımlanabilirlik testini uygularsınız.

ad.soyad@gmail.com Kullanıcının adını gösterir, bu nedenle kişi yalnızca adresten tanımlanabilir: kişisel veri.
initials.lastname@company.com Kişinin adını, soyadını ve işverenini gösteren, birlikte genellikle kişiyi tanımlayan kişisel veriler.
puppy12@hotmail.com Tek başına kullanıcı hakkında hiçbir şey ortaya koymaz. Örneğin müşteri dosyanız veya destek talebiniz aracılığıyla bir kişiyle ilişkilendirebildiğiniz anda kişisel veri haline gelir.
info@sirket.com or satış@şirket.com Bir kuruluşa veya fonksiyona ait olan ve genellikle birden fazla kişi tarafından kullanılan veriler genellikle kişisel veri değildir. Eğer yalnızca adı geçen bir kişi kullanıyorsa, analiz değişebilir.

Önemli olan niyetiniz değil, kimlik tespiti olasılığıdır. Bir kişinin kimliğini makul bir şekilde tespit etmek için kullanılabilecek bir adres, bu amaçla hiç kullanmasanız bile kişisel veridir. Örneğin bir şirket web sitesinde yer alan, herkese açık bir adres, kişisel veri olma özelliğini kaybetmez.

E-posta adresi özel kategori verisi midir?

Hayır. GDPR Madde 9(1), ırksal veya etnik kökeni, siyasi görüşleri, dini veya felsefi inançları veya sendika üyeliğini ortaya koyan veriler ile genetik, biyometrik ve sağlık verileri ve cinsel yaşam veya cinsel yönelimle ilgili veriler için özel kategoriler saklı tutar.

Bir e-posta adresi kendi başına bunların hiçbirini ortaya koymaz, bu nedenle özel kategoriler için geçerli olan daha katı kurallar uygulanmaz. Bir e-postanın içeriği farklı bir konu olabilir: birinin hastalığıyla ilgili bir mesaj sağlık verileri içerir. Adresin kendisi sıradan kişisel veridir ve bu şekilde korunmalıdır.

GDPR, e-posta adreslerinizin kullanımına ne zaman uygulanır?

Bunları işleme aldığınız anda. İşleme, geniş anlamda şu şekilde tanımlanır: otomatik olsun ya da olmasın, tüm toplama, kaydetme, saklama, düzenleme, kullanma, açıklama ve silme işlemleri.

Her kullanım için GDPR'da belirtilen yasal dayanaklardan birine ihtiyacınız vardır; bunlar arasında rıza, kişiyle yapılan sözleşmenin yerine getirilmesi veya meşru menfaatiniz yer alır. Rıza, özgürce verilmiş, belirli, bilgilendirilmiş ve açık bir istek beyanı olmalıdır (GDPR Madde 4(11)). Hollanda Uygulama Yasası'nın 5. Maddesi uyarınca, 16 yaşın altındaki bir çocuğun rızasına dayanıyorsanız, genellikle bunun yerine bir ebeveyn veya vasinin rızasına ihtiyacınız vardır.

Pazarlama e-postaları için hangi kurallar geçerlidir?

Telekomünikasyon Yasası'nın 11.7. maddesi, alıcının önceden onay vermediği sürece istenmeyen ticari e-postaları yasaklamaktadır. Bu kural, GDPR'ın üzerine uygulanır ve Tüketici ve Piyasa Otoritesi (ACM) tarafından denetlenir; GDPR'ın kendisi ise Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens, AP) tarafından denetlenmektedir.

İki ana istisna vardır. Madde 11.7(4) uyarınca, adresleri toplarken ve her mesajda onlara ücretsiz ve kolay bir abonelikten çıkma seçeneği sunmanız koşuluyla, kendi müşterilerinize benzer ürün veya hizmetleriniz hakkında e-posta gönderebilirsiniz. Madde 11.7(3) uyarınca, alıcının bu tür iletişimleri almak için belirlediği ve yayınladığı elektronik iletişim bilgilerini, bu bilgilerle bağlantılı amaçlar dahilinde kullanan işletmeler için onay şartı geçerli değildir.

Bir kuruluş olarak neleri kontrol etmelisiniz?

Aksi yönde bir kanıt sunamadığınız sürece, e-posta listelerinizin kişisel veriler içerdiğini varsayın.
Her kullanım türü için yasal dayanağı belirtin: haber bülteni, müşteri hizmetleri, satış, şirket içi rehber.
Pazarlama e-postaları için onay belgesini saklayın ve her mesajda abonelikten çıkma bağlantısı bulundurun.
E-posta listelerini işleme faaliyetlerinizin kaydına, saklama planınıza ve güvenlik önlemlerinize dahil edin.
Gizlilik bildiriminizde e-posta adreslerinin işlenmesinden bahsedin.

Adresi kullanılan kişi olarak neleri kontrol etmelisiniz?

Pazarlama e-postaları almadan önce onay verdiğinizden veya mevcut bir müşteri olduğunuzdan emin olun.
Mesajdaki abonelikten çıkma seçeneğini kullanın; ücretsiz ve kolay olmalıdır.
Kuruluşa sizin hakkınızda hangi verileri tuttuğunu ve hangi yasal dayanağa dayanarak tuttuğunu sorun.
Eğer kuruluş uygun şekilde yanıt vermezse, AP'ye veya ACM'ye istenmeyen pazarlama faaliyetleri nedeniyle şikayette bulunabilirsiniz.

E-posta adresleri ve GDPR ile ilgili olarak sizin için neler yapabiliriz?

Bilişim ve gizlilik hukuku avukatlarımız, kuruluşlara e-posta verileri ve pazarlama mevzuatına uyumluluk konusunda danışmanlık yapmaktadır.

E-posta listelerinizden hangilerinin kişisel veri olarak nitelendirildiğini değerlendiriyoruz.
Her kullanım için doğru yasal dayanağı belirleyip belgelendiriyoruz.
Haber bülteninizi ve pazarlama süreçlerinizi Telekomünikasyon Yasası'nın 11.7. maddesi uyarınca inceliyoruz.
Gizlilik bildiriminizi ve veri işleme faaliyetlerinizin kaydını hazırlıyor veya güncelliyoruz.
AP veya ACM'den gelen sorulara veya şikayetlere sizin adınıza yanıt veriyoruz.

ÖZET

Bir e-posta adresi, doğrudan veya dolaylı olarak yaşayan bir kişiyi tanımlıyorsa, kişisel veri olarak kabul edilir.
İsim tabanlı adresler genellikle geçerlidir; info@ gibi genel adresler ise genellikle geçerli değildir.
E-posta adresi, GDPR Madde 9(1) uyarınca özel kategori verisi değildir.
Kişisel e-posta adreslerinin her kullanımı, GDPR kapsamında yasal bir dayanağa ihtiyaç duyar.
Pazarlama e-postaları da, sınırlı istisnalar dışında, Telekomünikasyon Yasası'nın 11.7. maddesi uyarınca önceden onay gerektirmektedir.

Sık Sorulan Sorular

sales@company.com gibi paylaşımlı bir e-posta adresi kişisel veri sayılır mı?

Genellikle hayır, çünkü bu bilgi tek bir kişiye değil, bir fonksiyona veya departmana bağlıdır. Eğer sadece adı geçen bir kişi kullanıyorsa, kişisel veri haline gelebilir.

E-posta adreslerini pazarlama amaçlı kullanabilir miyim?

GDPR kapsamında yasal bir dayanak olması ve Telekomünikasyon Yasası'nın 11.7. maddesi uyarınca önceden onay alınması koşuluyla, istisnai durumlar geçerli olmadığı sürece (örneğin, her mesajda abonelikten çıkma seçeneği bulunan kendi müşterilerinize benzer ürünler hakkında e-posta göndermek gibi), yalnızca bu bilgiler paylaşılabilir.