Kodėl el. laiškų metaduomenys yra laikomi asmeniniais duomenimis pagal GDPR

Kas yra el. laiškų metaduomenys?

El. laiškų metaduomenys – techninė ir aprašomoji informacija, lydinti tikrąją žinutės turinį. Jie nėra teksto ar priedų dalis, tačiau leidžia navigacijai, stebėsenai ir autentifikacijai. Tipiški metaduomenys apima:

• Siuntėjo el. pašto adresas
• Gavėjo el. pašto adresas
• Siuntimo data ir laikas
• Serverių IP adresai
• Maršrutizavimo informacija
• El. laiško tema (kartais laikoma metaduomeniu)
• Kiti techniniai elementai, pvz., DKIM, SPF įrašai ar SMTP antraštė

Šie duomenys lydi kiekvieną žinutę ir yra būtini tinkamam el. pašto sistemos veikimui. Juos rinko serveriai, kad komunikacija būtų sklandi ir apsaugotų nuo piktnaudžiavimo, pvz., spam ar apgavysčių.

Kur metaduomenys tampa asmeniniais duomenimis?

GDPR taikymas metaduomenims kyla iš jų galimybes tiesiogiai ar netiesiogiai identifikuoti asmenį. Europos reglamentas apibrėžia asmeninius duomenis kaip bet kokią informaciją, kuri leidžia identifikuoti arba padaryti asmenį identifikuojamu.

Kalbant apie el. laiškų metaduomenis, tai vyksta dėl to, kad:

• El. pašto adresai dažnai būna vardiniai arba susiejami su konkrečiu asmeniu.
• Sujungus laiką, IP adresus ir maršrutizavimo duomenis, galima unikalai nustatyti, kas išsiuntė ar gavo žinutę.
• Net techniniai duomenys, tokie kaip IP adresai, leidžia susieti su asmeniu pagal kontekstą arba paslaugų teikėjus.

Pavyzdžiui, įmonės vartotojui priskirtas IP adresas gali identifikuoti įrenginį ar darbuotoją. Be to, kelių metaduomenų susiejimas leidžia atsekti elgesį, įpročius ar profesinius santykius, kas gali stipriai paveikti privatumo apsaugą.

GDPR jurisprudencija ir interpretacijos

Europos duomenų apsaugos institucijos aiškiai nurodė, kad dėl šių priežasčių metaduomenys turi būti traktuojami kaip asmeniniai duomenys. Tai reikalauja visų GDPR principų laikymosi: teisėtumo, skaidrumo, minimizavimo, saugumo, saugojimo ribojimo ir duomenų subjekto teisių apsaugos.

Praktinės pasekmės įmonėms, specialistams ir IT vadovams

Metaduomenų tvarkymas ir saugojimas

Įmonėje metaduomenų tretieji turi būti planuojami ir dokumentuojami. Nebėra pakankama turėti paprastą 'log' serverį be taisyklių ar kontrolės. Pagrindinės taisyklės:

• Mažinkite duomenų rinkimą: saugoti tik reikalingus duomenis, skirtus tikslui pasiekti.
• Saugokite duomenis: naudoti technines ir organizacines priemones, kad būtų išvengta neteisėto prieigos ar duomenų nutekėjimo.
• Apribokite saugojimą: aiškiai apibrėžti, kiek laiko metaduomenys gali būti saugomi.
• Dokumentuokite tvarkymą: laikyti atnaujintą registrą, aprašantį būdus ir tikslus.

Sekimas ir saugumas

Metaduomenys naudingi ir informacinei saugai: jie padeda atpažinti apgaule ar spam atakomis, arba kenkėjiško programavimo kampanijas. Todėl daugelis saugumo sistemų juos nuolat analizuoja.

Tačiau tai yra jautri sritis, nes analitika turi būti suderinta su privatumo išlaikymu ir pagrįsta tvirtomis teisėtomis priežastimis, pvz., sutikimu ar teisėtais interesais, tinkamai dokumentuotais.

Data Protection Officer (DPO) ir IT vadovų vaidmuo

Duomenų apsaugos pareigūnas (DPO) ir IT vadovai privalo prižiūrėti šiuos procesus ir mokyti personalą. Jie turi užtikrinti, kad tvarkymas būtų skaidrus, saugus ir GDPR atitikties, rasdami tinkamą pusiausvyrą tarp saugumo, privatumo ir veiklos.

Privatumo ir atitikties sukelti pavojai

Neatsakingas metaduomenų valdymas gali sukelti įvairių pavojų:

• Privatumo pažeidimas: darbuotojų ar klientų identifikatorių ar IP adresų atskleidimas be leidimo.
• Administracinės sankcijos: už netinkamą GDPR laikymąsi, galinčios turėti įtakos tiek finansams, tiek reputacijai.
• Duomenų nutekėjimas ar perėmimas: jei duomenys nėra tinkamai apsaugoti nuo informacinių atakų.
• Svarbios skaitmeninės suvereniteto pažeidimas: ypač jei serveriai ar el. pašto paslaugos valdomos ne ES teikėjų ir nėra garantijų dėl duomenų perkėlimo.

Kaip suderinti GDPR, privatumo ir saugaus el. pašto valdymą

Minimizavimo ir saugojimo politikos

Įmonės turi įgyvendinti duomenų minimizavimo politiką ir metaduomenims. Tai reiškia rinkti tik reikalingą informaciją ir ištrinti ją, kai tik tikslas pasiektas.

Jei metaduomenys naudojami tik techninės problemų diagnozės tikslais, jų ilgalaikis saugojimas turėtų būti vengiamas.

Pašto valdymo valdymas

Teisinga valdymo sistema apima:

• Aiškias pasirinktas el. pašto platformas, geriausia tuos, kurios užtikrina skaitmeninę suverenitetą ir privatumo laikymąsi, pvz., MailProfessionale.com.
• Kriptografijos protokolus ir technologijas, skirtas siuntinių ir metaduomenų konfidencialumui užtikrinti.
• Periodinį personalo mokymą apie duomenų apsaugą.

Skaidrumas subjektams

Privaloma informuoti siuntėją ir gavėją apie jų el. laiškų valdymą. Privatumo politikos turi apimti ir informaciją apie metaduomenų tvarkymą bei apsaugos priemones.

Europos el. pašto paslaugų teikėjo privalumai, dėmesys privatumo aspektams

Naudodami Europietiškas el. pašto paslaugas kaip MailProfessionale.com, gaunate:

• Saugumą, kuris atitinka GDPR be kompromisų.
• Visų duomenų kontrolę, išvengiant duomenų perdavimo į šalis su mažesnėmis teisės aktais.
• Skaidrumą procedūrose ir priemones tinkamai valdyti metaduomenis.
• Specialistų paramą atitikties ir kibernetinio saugumo klausimais įmonių el. paštui.

Santrauka

El. laiškų metaduomenys nėra tik techniniai duomenys: jie yra informacija, susijusi su fiziniais asmenimis ir dažniausiai laikomi asmeniniais duomenimis. Kiekviena įmonė, juos rinkdama ar saugodama, turi to sąmoningai laikytis ir pritaikyti procedūras, saugumą bei politiką prie GDPR nuostatų. Tik tokiu būdu galima užtikrinti etišką, atsakingą ir teisinius reikalavimus atitinkantį el. pašto valdymą, saugant tiek vartotojų privatumą, tiek organizacijos kibernetinį saugumą.