Een louter algemeen functioneel e-mailadres valt niet onder de GDPR-regelgeving

Context

Een werknemer gebruikt voor zijn job een e-mailadres van het type “info@xxx.be”. Hij is initieel de enige gebruiker van het adres, maar na verloop van tijd wordt het gedeeld door verschillende collega’s van dezelfde dienst.

Na zijn ontslag, oefent de werknemer zijn recht op toegang tot zijn persoonsgegevens uit bij zijn ex-werkgever en stelt de vraag wat het lot is van “zijn” e-mail adres. 

De werkgever antwoordde dat het algemene functionele e-mail adres geen persoonsgegeven was in de zin van de GDPR en dat hij dus geen recht tot toegang kon uitoefenen. Daarop diende de werknemer een klacht in bij de gegevensbeschermingsautoriteit (GBA).

Beslissing

De GBA wijst erop dat persoonsgegevens betrekking moeten hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. In dit geval was het e-mailadres algemeen van aard en niet gekoppeld aan één bepaalde persoon.

Zolang de werknemer de enige gebruiker van het e-mailadres was, zou hij als beheerder kunnen geïdentificeerd worden, waardoor het wel onder de definitie van “persoonsgegeven” zou kunnen vallen. Van zodra het adres evenwel gedeeld werd door verschillende collega’s, is dit niet meer het geval.

De mailbox daarentegen kan wel persoonsgegevens bevatten en de werknemer kan zijn recht op toegang tot die gegevens uitoefenen, voor zover het verzoek niet buitensporig van aard is. In dit geval oordeelde de GBA dat het doorzoeken van alle berichten in de inbox over meerdere jaren, om de privé-mails eruit te halen, een onevenredige werklast voor de werkgever zou inhouden.

Te onthouden?

Het begrip “persoonsgegevens” kent een ruime interpretatie. Een functioneel e-mailadres dat door één werknemer wordt gebruikt, kan mogelijks een persoonsgegeven uitmaken.

Omgekeerd is een functioneel e-mailadres dat door verschillende collega’s gedeeld wordt dit niet.

Ook bij een functioneel e-mailadres, kan de mailbox zelf wel persoonsgegevens bevatten waarvoor de werknemer zijn recht op toegang kan uitoefenen. Dit recht is niet absoluut en kan afgewezen worden als het buitensporig is.

Bron: Gegevensbeschermingsautoriteit, besluit 40/2023 van 3 april 2023, www.gegevensbeschermingsautoriteit.be.