根据《通用数据保护条例》(GDPR)，电子邮件地址只要能够识别自然人，就属于个人数据，例如 firstname.lastname@company.com。而像 info@company.com 这样的通用地址通常不属于个人数据，因为它指向的是组织机构而非个人。因此，GDPR 是否适用于您的电子邮件地址取决于每个地址的构成方式，而大多数地址簿实际上都包含个人数据。

根据GDPR，个人数据的定义是什么？

根据《通用数据保护条例》（GDPR，在荷兰被称为 AVG）第 4 条第 1 款，个人数据（persoonsgegevens）是指与已识别或可识别的自然人相关的任何信息。可识别的自然人可以直接或间接识别，尤其可以通过诸如姓名、身份证号码、位置数据或在线标识符等标识符来识别。IP 地址或设备标识符可以像电子邮件地址一样被视为在线标识符。该定义仅适用于在世的个人：关于已故人士或公司本身的信息不属于个人数据，即使关于在该公司工作的个人的数据可能属于个人数据。

自2018年5月25日起，《通用数据保护条例》（GDPR）已在包括荷兰在内的所有欧盟成员国直接生效，取代了此前各国的个人数据保护法，例如荷兰的《个人数据保护法》（Wet bescherming persoonsgegevens）。GDPR无需单独的实施法即可生效，并且适用于任何处理欧盟境内人员个人数据的组织，无论该组织位于何处。

电子邮件地址何时会被视为个人数据？

GDPR 中没有单独的条款列出按姓名排列的电子邮件地址。相反，您需要根据 GDPR 第 4 条第 1 款中关于可识别性的通用测试，对当前使用的特定地址进行评估：该地址本身或结合您掌握的其他信息，是否指向某个可识别的个人？这使得评估结果取决于电子邮件地址的格式，而非单一的固定规则，也解释了为什么两个看起来相似的电子邮件地址可能会被区别对待。

荷兰判例法确认电子邮件地址可以属于个人数据，但并非自动如此：这取决于该地址是否直接或间接地识别出自然人。

许多人会设置能够识别个人身份的电子邮件地址，例如 firstname.lastname@gmail.com。这样的地址会显示用户的姓名，因此仅凭地址就能识别出这个人。

类似 initials.lastname@company.com 这样的工作地址也可以识别某人：它可以显示他们的姓名首字母、姓氏和雇主，这些信息加起来通常足以识别该人。

像 puppy12@hotmail.com 这样的地址则不同：它本身并不泄露识别自然人的信息，即使从技术上讲它与某个特定用户相关联。

诸如info@company.com之类的通用地址也不属于个人数据。它们并非关联到某个个人，而是关联到组织机构，而且多人可以使用同一个邮箱。

无论你是否实际使用该地址来识别某人，只要电子邮件地址能够识别自然人，它就属于个人数据，无论你是否将其用于该目的或出于任何其他原因进行处理。

即使地址与个人之间存在偶然的技术关联，本身也不足以构成个人数据。但如果该地址确实可以用于识别某人，例如用于调查涉嫌欺诈或回复支持请求，则该地址属于个人数据。法律关注的是识别的可能性，而不是您的意图或实际用途。

电子邮件地址是否属于特殊类别数据？

不。电子邮件地址可以属于个人数据，但它并非特殊类别数据。《通用数据保护条例》（GDPR）第9条将特殊类别数据限定为揭示种族或民族出身、政治观点、宗教或哲学信仰或工会成员身份的数据，以及基因数据、生物识别数据、健康数据和有关个人性生活或性取向的数据。处理特殊类别数据须遵守比普通个人数据更为严格的规定。电子邮件地址本身并不泄露任何此类信息，而且通常比家庭住址泄露的信息更少。

电子邮件地址通常比家庭住址更难找到，而且是否公开很大程度上取决于用户自身。即使泄露，后果通常也较轻：电子邮件地址很容易更改，泄露最多只会导致一些不必要的数字骚扰，而不是有人上门。但这并不意味着电子邮件地址不应该受到保护，只是GDPR将其视为普通的个人数据，而不是特殊类别。

GDPR何时适用于您对电子邮件地址的使用？

一旦您处理个人数据，GDPR 即适用，而“处理”的定义非常广泛。根据 GDPR 第 4 条第 2 款，处理是指对个人数据进行的任何操作，无论是否自动化，包括收集、记录、组织、构建、存储、改编、检索、使用、披露或删除。一旦您收集或存储符合个人数据定义的电子邮件地址，您即在处理个人数据，GDPR 将适用于该处理行为，包括您根据 GDPR 第 6 条必须拥有有效的法律依据，例如获得同意、与相关人员签订的合同或您的合法利益。

这对你的组织意味着什么

你拥有的大多数电子邮件地址都是个人数据，因为大多数人都会根据自己的姓名或工作场所来创建电子邮件地址，无论是客户列表、新闻通讯数据库还是内部员工名录。

由于这取决于每个地址的格式，因此无法预先为整个列表划定明确的界限。实际上，如果您的组织处理任何规模的电子邮件地址，您都应该假定该列表中至少有一部分是个人数据，并且您应该制定相应的隐私政策，同时为每次使用这些地址提供法律依据。这也意味着您的数据处理登记册、数据保留计划和安全措施应该像保护您持有的任何其他个人数据一样保护您的电子邮件列表，而不是将包含地址的电子表格视为例外。

常见问题

像 sales@company.com 这样的共享邮箱地址是否属于个人数据？通常不是，因为它与某个职能部门或机构关联，而不是与某个可识别的个人关联。但一旦此类地址仅由某个特定人员使用，情况就可能发生变化。

我还能使用电子邮件地址进行营销吗？可以，前提是您有有效的法律依据，并且遵守除 GDPR 之外的其他营销规则，包括必须提供简便的退订方式。

如果电子邮件地址也出现在公司网站等公共来源中，这重要吗？不重要。电子邮件地址不会因为公开可用就失去其个人数据的属性；公开与否会影响适用的法律依据，但不会影响GDPR是否适用。

总结

电子邮件地址如果能够直接或间接地识别自然人，则属于个人数据。
由姓名构成的地址（firstname.lastname@、initials.lastname@）通常符合要求；像 puppy12@ 这样的地址或像 info@ 这样的通用地址通常不符合要求。
根据《通用数据保护条例》(GDPR)第9条，电子邮件地址不属于特殊类别数据。
收集、存储或使用符合 GDPR 第 4(2) 条规定的个人数据的电子邮件地址属于“处理”，这将使您进入 GDPR 的范围，并需要 GDPR 第 6 条规定的法律依据。
因为这取决于每个地址的构建方式，除非你能证明并非如此，否则请将您的电子邮件列表视为个人数据，并用隐私政策来支持这一点。

[1] 格雷希茨霍夫 Amsterdam 2002 年 7 月 18 日，ECLI:NL:GHAMS:2002:AE5514。

[2] Kamerstukken II 1997/98, 25 892, nr. 3（记忆范托利希廷）。

[3] 格雷希茨霍夫 Amsterdam 2002 年 7 月 18 日，ECLI:NL:GHAMS:2002:AE5514。

不确定您的处境？请告诉我们您的情况。我们将在一个工作日内告知您有哪些选择。

创新中心 Law & More 我们网站上有相关说明，可以帮助您解决这个问题。信息技术律师页面。