主要变化
- CNIL明确指出，依赖正当利益（GDPR第6条）重新构建职业电子邮件地址需要进行严格的利益衡量测试。
- 在网络上没有公开信息或使用了隐私限制的人员不能合理预期其电子邮件会被重新构建，因此正当利益在此类情况下不适用。
- 建议的保障措施包括将数据保留严格限制于成功建立联系的情况，并在所有处理环节中立即尊重异议权而无需提供具体理由。
### 重新构建职业电子邮件地址的背景与目的
重新构建职业电子邮件地址的做法是指根据在线找到的信息（如个人的名字、姓氏及其雇主身份），推断或猜测个人的工作电子邮件地址。该技术通常依赖于识别组织所使用的标准电子邮件格式模式（例如，[email protected]）。组织经常将此做法用于各种业务需求，包括建立用于企业对企业（B2B）商业开发的内部联系数据库，以及开展机构关系的临时联络。
一个常见的误区是，由于个人数据可在互联网上获取，因此对其再次使用没有任何限制。法国数据保护监管机构——法国国家信息自由委员会（CNIL）强调，在线平台上的公开可获取性并不能免除组织遵守适用数据保护法规的义务。通过重新构建对职业电子邮件地址进行的任何处理，都必须符合《通用数据保护条例》（GDPR），并在适用时符合规范商业开发的具体法定要求。
### 法律框架：正当利益与公共任务
根据GDPR第6条，组织在某些情况下可以依赖正当利益作为重新构建职业电子邮件地址的合法依据。在满足严格法律条件的前提下，该依据允许在未经事先获得同意的情况下进行数据处理。
要依赖正当利益，组织首先必须证明其具有真实且正当的业务或运营利益，例如促进职业沟通或开展商业活动。其次，数据处理不得对相关个人的基本权利和利益造成不成比例的损害。组织须逐案评估受影响个人是否能够合理预期其数据会以此种方式被处理，并采取具体措施以降低侵入性。
对于公共行政部门与在公共服务任务框架下履职的公共机构之间的交流，适用的合法依据是执行为了公共利益而履行的任务（GDPR第6条第1款第e项）。尽管如此，CNIL仍建议公共实体实施与私人主体相同的保障措施。
### CNIL确立的核心评估标准
在评估正当利益是否可以作为合法依据时，CNIL建议评估以下三个核心要素：
1. **目的与侵入性**：重新构建电子邮件地址极少是一项孤立的行为；它通常是实现从一开始就明确的更大目标（例如B2B销售活动或针对性的机构沟通）的技术步骤。当整体处理目的得到明确界定且合法地基于正当利益时，技术重构步骤通常可以依赖相同的合法依据。然而，CNIL指出，这种对齐既非自动也非必然。
2. **数据可见度与个人控制程度**：组织必须审查基础信息在网上公开的具体背景。关键因素包括可见度水平、个人选择的隐私设置以及对其个人数据实施的控制程度。例如，在网络上没有任何可识别信息（如职业社交网络或官方网站）的个人，明确表明其不希望通过这些渠道被轻易联系。同样，使用增强隐私设置、受限访问参数或使用联络表格而非直接公开电子邮件地址的个人，展现出了限制其可接触性的明确意图。此类个人无法合理预期其职业电子邮件地址会被重新构建。
3. **保障措施的实施**：组织必须引入具体的保障措施，以重塑处理活动与个人隐私权之间的平衡。
### 强制性保障措施与替代合法依据
CNIL强调了组织应纳入其运营的核心保障措施：
- **严格的保留期限限制**：只有在合理时间范围内成功与个人建立起首次有效联系的情况下，才应保留重新构建的电子邮件地址。
- **提出异议时无条件排除**：如果个人行使其异议权，其数据必须立即从任何后续的电子邮件重构处理中排除。组织必须尊重此项异议，而不得要求个人就其具体的个人情况做出解释，即使处理范围超出了商业开发。
如果组织无法满足这些严格的平衡条件和保障措施，除非按照CNIL针对数据再次使用者的指南事先获得数据主体的同意，否则不得重新构建职业电子邮件地址。此外，所有相关处理必须符合GDPR的通用原则，包括有关透明度和信息提供义务、保留期限、数据安全以及数据主体权利的规定。
### 常见问题解答
**问：互联网上的公开可获取性是否意味着可以随意重新构建电子邮件地址？**
答：否。个人的姓名和公司可以在线获取这一事实，并不能免除组织遵守GDPR的义务。重新构建必须严格遵守GDPR规定和商业开发法规。
**问：正当利益是否总是可以用来作为重新构建电子邮件地址的合理理由？**
答：否。正当利益并不是一项自动适用的合法依据。组织必须确保其具有真实利益，进行针对个人权利的利益衡量测试，并根据个人的在线存在情况和隐私选择验证个人是否可以合理预期此类处理。
**问：如果有人反对重新构建其电子邮件地址，组织必须怎么做？**
答：在收到异议后，组织必须立即将该个人的数据从未来所有电子邮件重构处理中排除。该个人无需就其特定情况提供任何理由。
**Q：如果机构无法满足合法利益的条件，会发生什么？**
如果无法满足相关条件和必要的保障措施，该机构必须避免重构电子邮件地址，除非事先获得该个人的明确同意。
受影响对象
企业、B2B营销专业人员、公共管理机构、数据二次使用者，以及在法国和欧盟境内运营或居住的个人。
跨境背景
适用于在GDPR要求下，针对法国和欧盟境内的专业个人进行B2B潜在客户开发或外联的实体。
后续关注事项
- CNIL关于数据二次使用者收集同意的建议
- GDPR第6条法律依据要求及权衡测试指南
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。