Kiszivárgott e-mail-cím: így derítsd ki, ki adta tovább

Egy kiszivárgott e-mail-cím forrását – azt, hogy ki adta el vagy ki szivárogtatta ki – csak akkor tudhatod meg biztosan, ha az adott cégnek olyan címet adtál meg, amely senki másnak nem volt meg. Egy évek óta használt fő címnél általában szűkítheted a kört, de a bűnöst nem tudod megnevezni: a cím több tucat ügyféladatbázisban szerepel, és egy spam ritkán vezet vissza ahhoz az egyhez, amelyikből kikerült. Amit kideríthetsz: ki ír neked és melyik szolgáltatáson keresztül, kiszivárogtatta-e egy cég a címedet egy ismert adatszivárgás során, és – az EU-ban és az Egyesült Királyságban – mit mond egy cég arról, honnan szerezte meg a címedet. Az iPhone-ra, iPadre és Macre elérhető CatchNone ezt a cégenként külön címes megoldást teszi alapértelmezetté: minden üzeneten jelvény mutatja, melyik aliasra érkezett, így a következő szivárgás elárulja a forrását.

A lépések sorrendben:

1. Keresd meg az első nem kívánt üzenetet és a pontos címet, amelyre érkezett.
2. Elemezd a fejléceit, hogy azonosítsd a feladót és a levélküldő szolgáltatását.
3. Nézd meg a Have I Been Pwned oldalon, hogy a cím szerepelt-e valamilyen adatszivárgásban.
4. Kérdezd meg a feladót, honnan szerezte a címedet, a gyanúsított céget pedig arról, mely cégeknek adta ki.
5. Mostantól adj minden cégnek saját címet.

Ki lehet deríteni, ki adta el az e-mail-címedet?

Néha. Attól függ, milyen bizonyítékod van:

• A fejlécek megmutatják, ki küldte az üzenetet és melyik szolgáltatáson keresztül (egy érvényes DKIM-aláírás bizonyítja, melyik domain írta alá), azt viszont nem, honnan származik a lista.
• Egy adatszivárgási bejegyzés bizonyítja, hogy egy cég elvesztette a címedet, de azt nem zárja ki, hogy mások is.
• Egy jogi kérelem rávehet egy céget, hogy elmondja, mit tud a forrásról, ha tud valamit (Kaliforniában csak kategóriák szintjén).
• Egy véletlenszerű cím, amelyet csak egyetlen cégnek adtál meg, egyenesen a forrásra mutat: ha bárki más ír rá, a cím attól a cégtől került ki, akár eladták, akár megosztották, akár ellopták.

A hirtelen spamáradatnak más okai is lehetnek; erről lásd: miért ugorhat meg hirtelen a spam mennyisége. Arról, hogyan terjednek a címek egyáltalán – eladással, adatszivárgással, begyűjtéssel és találgatással –, a honnan szerzik meg a spammerek az e-mail-címeket című cikk szól.

1. lépés: keresd meg az első üzenetet és a címet, amelyre érkezett

Keress rá az ismeretlen feladóra, és keresd meg a legrégebbi találatot: az első üzenet áll a legközelebb ahhoz a pillanathoz, amikor a címed gazdát cserélt. Nézd meg pontosan, milyen címre küldték, és hogyan szólít meg. Egy régi cím vagy egy elírás, amelyet egyszer használtál, a címed egy +tag változata, a neved egyetlen regisztrációs űrlapból származó elírása vagy egy olyan részlet, amelyet csak egy cég ismert – mind egy forrásra utal.

Az EU-ban és az Egyesült Királyságban olvasd el ennek az első üzenetnek a láblécét és az adatvédelmi linkjét is. A GDPR 14. cikke szerint az a cég, amely valaki mástól kapta meg az adataidat, köteles tájékoztatni arról, mi „a személyes adatok forrása”. Ha az adatokat arra használja, hogy kapcsolatba lépjen veled, ezt legkésőbb „az érintettel való első kapcsolatfelvétel” alkalmával kell megtennie. Ha az első üzenet ezt nem közölte, hívd fel rá a figyelmet a 4. lépésben küldött kérelmedben.

2. lépés: elemezd a fejléceket

Az e-mail-fejlécek az üzenet fölötti rejtett sorok. Megnevezik a feladót és a levelet kézbesítő szolgáltatást, így ezekből tudod meg, kinek írj a 4. lépésben.

A fejlécek megjelenítése

Az útvonalak az egyes gyártók súgóoldalairól származnak, a 2026. szeptemberi állapot szerint:

A Gmail gyorsabb módja: a weben kattints a feladó neve alatti „Down arrow” (lefelé mutató nyíl) ikonra, és megjelenik a „Mailed by” (Küldő) és a „Signed by” (Aláíró) sor, vagyis az üzenetet küldő és aláíró domain.

Egy kidolgozott példa

Egy szemléltető, rövidített fejléckészlet. A címed k7qm-2xrd@example.com, egy véletlenszerű cím, amelyet csak egy kertészeti boltnak adtál meg. A márka dealsdaily.example.net, a mailer.example.org pedig az általa használt levélküldő szolgáltatás.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Itt a feladó a Deals Daily, amely a mailer.example.org szolgáltatáson keresztül küld, a levél pedig arra a véletlenszerű címre érkezett, amelyet csak a kertészeti boltnak adtál meg – tehát onnan került ki. A fejlécekből nem derül ki, hogyan jutott hozzá a Deals Daily: a feladót nevezik meg, az eladót soha. Az ICANN Lookup megmutatja egy ismeretlen domain regisztrációs adatait, bár a tulajdonos adatait többnyire kitakarják.

3. lépés: nézd meg, egy cég adatszivárgásából került-e ki

A Have I Been Pwned (HIBP) megmutatja, mely adatszivárgásokban és spamlistákban szerepel egy cím. A 2026. szeptember 25-i állapot szerint 1038 érintett webhelyet és több mint 17,8 milliárd kiszivárgott fiókot tart nyilván (ha egy cím több adatszivárgásban is szerepel, mindegyiknél külön számít).

• Egy adatszivárgás megnevezi a szolgáltatást, amely elvesztette az adatokat, és azt is, hogy mikor: erős nyom, ha a spam nem sokkal utána kezdődött.
• Egy spamlista azt jelenti, hogy a címed célzott spamhez használt adatokban bukkant fel. Ezeket a listákat „gyakran több forrásból állítják össze”, ezért ritkán nevezik meg az eredeti céget. A paste-okból (nyilvánosan közzétett szövegekből) származó bejegyzések, valamint azok az adatszivárgások, amelyeket a HIBP kitaláltként vagy ellenőrizetlenként jelöl, még gyengébb bizonyítékok.
• Az érzékeny adatszivárgások csak akkor jelennek meg, ha bejelentkezel, és igazolod, hogy megkapod a címre érkező leveleket.

Ha nincs találat, az csak annyit jelent, hogy a cím nem szerepel olyan adatszivárgásban, amelyet a HIBP betöltött, azt nem, hogy senki sem adta el. Kapcsold be az ingyenes Notify Me (Értesíts) figyelmeztetéseket. Ha a saját domaineden cégenként külön címet használsz, a Domain Search (domainkeresés) megmutatja, melyik cím melyik adatszivárgásban szerepel, miután igazoltad a domaint (nagyobb domainekhez általában előfizetés kell). A Google dark web report (sötét webes jelentés) szolgáltatását, amelyet régebbi útmutatók ajánlottak, 2026 elején megszüntették.

4. lépés: kérdezd meg közvetlenül a cégeket

EU és Egyesült Királyság: kérdezd meg, honnan jött, és hová került

Az érintetti hozzáférési jog alapján két cégnek két kérdést tehetsz fel:

• Kérdezd meg a feladót, honnan szerezte a címedet. A GDPR 15. cikk (1) bekezdésének g) pontja szerint jár neked „a forrásukra vonatkozó minden elérhető információ”, az Európai Adatvédelmi Testület által jóváhagyott átláthatósági iránymutatások szerint pedig annak a cégnek, amely máshonnan szerezte meg az adataidat, meg kell neveznie a konkrét forrást, kivéve, ha erre nem képes.
• Kérdezd meg a gyanúsított céget, mely cégeknek adta ki a címedet. A 15. cikk (1) bekezdésének c) pontja alapján az Európai Unió Bírósága az Österreichische Post-ügyben (C-154/21) kimondta, hogy a cég kérésre köteles megnevezni a tényleges címzetteket, kivéve, ha még nem tudja azonosítani őket, vagy ha a kérelem nyilvánvalóan megalapozatlan vagy túlzó. Az Egyesült Királyság adatvédelmi hatósága, az ICO ugyanezt mondja a brit GDPR (UK GDPR) alapján.

Egyik kérelem sem kényszerít senkit arra, hogy megnevezze az eladót: a cég mondhatja, hogy nem tudja, vagy hogy az adatok több forrásból származnak (61. preambulumbekezdés), a kitérő válasz viszont panaszra ad okot. Használd az egyes cégek adatvédelmi tájékoztatójában szereplő elérhetőségeket, a nyilvánvaló spammereknek pedig ne írj, mert a válaszod megerősíti, hogy a címed működik.

Íme egy érintetti hozzáférési kérelem, amelyet átmásolhatsz (a 4. pontot hagyd ki, ha a gyanúsított cégnek írsz):

Tárgy: Érintetti hozzáférési kérelem a GDPR 15. cikke alapján

A GDPR (illetve a UK GDPR) 15. cikke alapján kérem, hogy a you@example.com e-mail-címemmel kapcsolatban tájékoztassanak a következőkről:

1. Honnan szerezték meg, a konkrét forrás megnevezésével (15. cikk (1) bekezdés g) pont).
2. Mely címzetteknek adták ki, név szerint (15. cikk (1) bekezdés c) pont).
3. Milyen személyes adatokat kezelnek rólam, azok másolatával együtt.
4. Miért nem nevezték meg ezt a forrást a nekem [dátum] napon küldött első üzenetükben (14. cikk (2) bekezdés f) pont és (3) bekezdés b) pont).

Egyúttal tiltakozom a személyes adataim közvetlen üzletszerzés céljából történő kezelése ellen (21. cikk). Kérem, hogy egy hónapon belül válaszoljanak (12. cikk (3) bekezdés).

[Neved]

A válasz általában ingyenes (a határidőket lásd a lenti táblázatban). Ha tiltakozol a közvetlen üzletszerzés ellen, az adataid a továbbiakban nem használhatók erre a célra.

Ha az Egyesült Királyságban nem kapsz választ, vagy a válasz kitérő, először a cégnél tegyél panaszt: a 2026. június 19. óta benyújtott panaszok esetében a brit Data (Use and Access) Act előírja, hogy a cég 30 napon belül igazolja a panaszod beérkezését. Ezután a céggel folytatott utolsó érdemi kapcsolattartástól számított három hónapon belül panaszt tehetsz az ICO-nál. Az EU-ban a 77. cikk alapján panaszt tehetsz egy adatvédelmi hatóságnál; Magyarországon ez a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH).

Egyesült Államok: Kalifornia és Oregon

Egy kaliforniai CCPA „right to know” (tájékoztatáshoz való jog) kérelemre megkapod a források és a harmadik felek kategóriáit, valamint a rólad tárolt személyes adatokat, azt viszont nem, hogy ki adta el a címedet. A válasz ingyenes. Azt is kérheted egy vállalkozástól, hogy ne adja el és ne ossza meg az adataidat, vagy hogy törölje, amit tőled gyűjtött. A törvény csak bizonyos küszöbértékek fölötti vállalkozásokra vonatkozik, például azokra, amelyek éves bevétele meghaladja a 26 625 000 USD-t (a 2026. szeptemberi állapot szerint).

Ha Oregonban élsz, az állam adatvédelmi törvényének hatálya alá tartozó cég kérésre köteles átadni azoknak a konkrét harmadik feleknek a listáját, akiknek adatokat adott ki, bár a te adataid címzettjei helyett azokat is felsorolhatja, akik bármilyen személyes adatot megkaptak (ORS 646A.574). Ezek a jogok állami törvényekből fakadnak, ezért az, hogy mit kérhetsz, attól függ, hol élsz.

A kaliforniai lakosok a DROP (Delete Request and Opt-out Platform, vagyis a törlési és tiltakozási kérelmek platformja) segítségével egyetlen törlési kérelmet küldhetnek az összes regisztrált adatkereskedőnek. A platform 2026. január 1-jén indult, és 2026. augusztus 1. óta az adatkereskedőknek legalább 45 naponta fel kell dolgozniuk a kérelmeket. Csak az adatkereskedőket éri el, vagyis azokat a vállalkozásokat, amelyekkel nincs közvetlen kapcsolatod, azt a boltot nem, amelynek megadtad a címedet.

Kalifornia, Vermont, Texas és Oregon adatkereskedő-nyilvántartásában bárki kereshet. Keress rá bennük a feladó cégnevére és a 2. lépésben talált domainekre. Egy találatból megtudod, hogy a feladó regisztrált adatkereskedő, vagyis azon vállalkozások egyike, amelyeket a DROP elér, ha Kaliforniában élsz.

Mit érhetsz el az egyes kérelmekkel

Bárhol: a levélküldő szolgáltatás

A DKIM-Signature d=, a Return-Path vagy a List-Unsubscribe fejlécben megnevezett levélküldő szolgáltatásnak saját szabályai vannak. A Mailchimp Acceptable Use Policy (elfogadható használat szabályzata) például tiltja a küldést „bármilyen megvásárolt, bérelt, harmadik féltől származó, co-reg (társregisztrációs), nyilvánosan elérhető adatokból álló vagy partnerlistákra”, a visszaélésekkel foglalkozó csapata (abuse desk) pedig „a teljes e-mail-fejlécet” kéri (mindkettőt 2026. szeptember 25-én ellenőriztük). Küldd el a teljes fejléceket a szolgáltatás abuse-csapatának. Azt nem fogja elárulni, ki adta el a címedet, de megakadályozhatja, hogy a feladó tovább használja a szolgáltatását.

Mi a teendő, ha már tudod

• Vond ki a címet a használatból. Adj új címet a cégnek, amely kiszivárogtatta, vagy szüntesd meg a fiókodat, majd kapcsold ki vagy töröld a régi címet. Tartsd működőképesen addig, amíg minden hozzáférési kérelmedre választ nem kapsz, mert a válasz vagy egy személyazonosság-ellenőrzés is erre érkezhet. Ha ez a fő címed, használj szűrőket.
• Állítsd le a leveleket. Küldd el a 21. cikk szerinti tiltakozást (EU, Egyesült Királyság), iratkozz le a legitim amerikai feladóknál, vagy tiltsd meg az adataid eladását és megosztását, és használd a DROP-ot (Kalifornia). Ha a leiratkozás korábban nem vált be, olvasd el, miért nem működik a leiratkozás.
• Jelentsd a ReportFraud.ftc.gov oldalon az Egyesült Államokban, az ICO spam e-mailek bejelentésére szolgáló eszközével az Egyesült Királyságban (ez egyénileg nem válaszol), vagy a levélküldő szolgáltatás abuse-csapatának, és jelöld spamként a levelezőprogramodban.
• Ha adatszivárgás történt, a fiókot is védd meg (lásd a GYIK-et).

Eladják a cégek az e-mail-címedet, és ez legális?

Igen, némelyik eladja. Az FTC szerint: „Ha megadod egy cégnek az e-mail-címedet, az megoszthatja vagy eladhatja harmadik feleknek.” Az Egyesült Államokban a szövetségi jog ezt megengedi, amíg meg nem tiltod. Az Egyesült Királyságban és az EU-ban a cégnek a hozzájárulásodra van szüksége ahhoz, hogy egy megvásárolt listáról e-mailt küldjön neked, az Egyesült Királyságban pedig általában ahhoz is, hogy eladjon egy ilyen listát.

• Egyesült Államok: a szövetségi CAN-SPAM törvény szerint egy cégnek nincs szüksége a hozzájárulásodra ahhoz, hogy marketingcélú e-maileket küldjön neked. Ha leiratkozol, 10 munkanapja van a leállításukra, és nem adhatja el vagy tovább a címedet. Kalifornia ehhez hozzáteszi az eladás megtiltásának jogát, és ott az „eladás” az adatok bérbeadását vagy „egyéb értékes ellenszolgáltatásért” való hozzáférhetővé tételét is magában foglalja, így egy partnerrel való csere pénz nélkül is annak számíthat. A „megosztás” (sharing) külön fogalom, a kontextusokon átívelő viselkedésalapú hirdetésekre vonatkozik.
• Egyesült Királyság: a Privacy and Electronic Communications Regulations (PECR) szerint egy cég csak akkor küldhet e-mailt egy megvásárolt listán szereplő embereknek, ha azok „kifejezetten hozzájárultak az adott típusú üzenet fogadásához” tőle; a bármely harmadik félre vonatkozó általános hozzájárulás nem elég, egy lista eladásához pedig általában a rajta szereplők hozzájárulása kell (ICO-útmutató, amelyet a Data (Use and Access) Act nyomán felülvizsgálnak). A céges címekre más szabályok vonatkoznak.
• EU: az elektronikus hírközlési adatvédelmi irányelv (ePrivacy Directive) csak „előzetes hozzájárulással” engedi a marketingcélú e-maileket, kivéve, ha egy eladó a saját ügyfeleinek hasonló termékeket reklámoz – ezt a kivételt egy listavásárló nem használhatja.

Miért gyenge bizonyíték a pluszjeles trükk?

A „Gmail-trükk” lényege, hogy címkézett címmel regisztrálsz, például you+shopname@example.com címmel a you@example.com helyett, és figyeled, melyik címke bukkan fel a spamben. A Google saját leírása megmutatja a gyengeségét: „A jelenlegi címedre vagy annak bármely pluszjeles változatára küldött üzenetek mind a jelenlegi beérkező leveleid közé érkeznek.”

• A valódi címed mindenki számára látható. Ha valaki törli a címkét, a levél akkor is eljut hozzád, a bizonyíték pedig eltűnik.
• A címke semmit sem jelent a feladónak. Csak a szolgáltatód értelmezi a @ előtti részt (RFC 5321, 2.3.11. szakasz), az elválasztó karakter pedig rendszerenként eltér (RFC 5233).
• Kevesebbet bizonyít, mint amennyit látszik. Ha egy címkézett cím spamben bukkan fel, az azt mutatja, hogy attól a cégtől került ki, azt nem, hogy eladták, megosztották vagy adatszivárgásban veszett el. Ha pedig nem érkezik címkézett spam, az senkit sem ment fel: lehet, hogy a címkét egyszerűen eltávolították.

A ponttrükk – ha az egyik cégnél your.name, a másiknál yo.urname címmel regisztrálsz – még gyengébb: a Gmail figyelmen kívül hagyja a pontokat a személyes címekben, így bárki eltávolíthatja őket (munkahelyi vagy iskolai fiókoknál a pontok számítanak). A pluszjeles címzés (plus addressing) szűrésre továbbra is jól használható; a pluszjeles címzésről szóló útmutató leírja, hol működik.

5. lépés: érd el, hogy a következő szivárgás elárulja a forrását

A megbízható módszer előre tekint: adj minden cégnek saját címet, amely nem tartalmazza a valódit. Ha valaki más ír arra a címre, amelyet csak egy boltnak adtál meg, tudod, honnan került ki, és egyedül azt a címet kapcsolhatod ki.

• A CatchNone minden cégnek saját e-mail-aliast (az appban: álnév) ad, és minden üzeneten jelvény mutatja, melyik aliasra érkezett, így egy eladott cím fejlécelemzés nélkül is kiderül. A @catchnone.com címekhez Premium kell; egy saját domain az Ingyenes csomagban is működik.
• Az e-mail-alias-szolgáltatások, például az Apple E-mail-cím elrejtése funkciója (iCloud+-szal), a DuckDuckGo Email Protection, a SimpleLogin, az addy.io és a Firefox Relay, a beérkező leveleid közé továbbítanak. Az e-mail-alias-szolgáltatások összehasonlítása bemutatja a különbségeket.
• Egy catch-all (mindenes) cím a saját domaineden a domain bármely címére érkező levelet fogadja, így minden regisztrációhoz kitalálhatsz egyet. A Cloudflare Email Routing (e-mail-útválasztás) például az ingyenes és a fizetős csomagokban is elérhető (a 2026. szeptemberi állapot szerint), és van catch-all szabálya. Az előnyökről és hátrányokról lásd: mi az a catch-all e-mail-cím.

A kitalálható címek, például a gardenshop@example.com helyett inkább véletlenszerű címeket használj, mert egy catch-all domainen egy spammer is kitalálhatja őket, és jegyezd fel, melyik címet hol adtad meg.

CatchNone: minden üzeneten látszik, melyik címre érkezett

A CatchNone az 5. lépéshez készült. Minden boltnak, hírlevélnek vagy fióknak saját aliast adsz, és az appban minden üzeneten jelvény mutatja, melyik aliasra érkezett. Ha egy idegen arra a címre ír, amelyet csak a kertészeti boltnak adtál meg, a jelvény megmutatja, honnan került ki a cím, fejlécelemzés nélkül. A „Tevékenység” kiemeli a „Nincs használatban” jelölésű aliasokra érkező leveleket és az először író feladókat, egy kiszivárgott @catchnone.com címet pedig kikapcsolhatsz: a feladók visszapattanó levelet kapnak, a többi aliasod pedig tovább működik.

Premiummal véletlenszerű @catchnone.com címeket kapsz, például abcde-12345@catchnone.com, domain, DNS és postafiók beállítása nélkül, és még a titkos másolatban (Bcc) kapott leveleknél is látszik, melyik címre érkeztek. Vagy használhatsz egy saját domaint, amelynek leveleit a szolgáltatód már kézbesíti egy postafiókba: az app ezt a postafiókot csak olvasásra éri el, IMAP-on vagy JMAP-on, közvetlenül az eszközödről; az Ingyenes csomagban legfeljebb 10 aliasig, a Lite és a Premium csomagban korlát nélkül. A CatchNone elérhető iPhone-ra, iPadre és Macre.

Előre tekint, a korábban használt címeidnél visszamenőleg nem segít, és nincs adatszivárgási adatbázisa vagy szivárgásészlelése: a jelvények és a „Tevékenység” jelzései bizonyítékok, amelyeket neked kell mérlegelned. A saját domaineden csak a beérkező leveleket olvassa, és csak azokat a leveleket, amelyeknek a To, a Cc vagy a Bcc mezőjében a domainedhez tartozó cím szerepel, így a spammappába sorolt spam nem jelenik meg. Ha ott egy aliast „Nincs használatban” állapotúnak jelölsz, az csak címke, ezért a kiszivárgott címet a szolgáltatódnál tiltsd le. A @catchnone.com címekre érkező üzenetek a beérkezésük után 30 nappal törlődnek, ezért jelöld meg azokat, amelyekre bizonyítékként szükséged lehet, hogy a teljes szövegük megmaradjon az eszközödön.

Gyakori kérdések

Mit tegyek, ha egy cég kiszivárogtatta az e-mail-címemet?

Keresd meg a címet a Have I Been Pwned oldalon, hogy lásd, melyik adatszivárgásban szerepelt, és mi szivárgott ki még vele együtt. Változtasd meg az adott oldal jelszavát és mindenhol, ahol ugyanazt a jelszót használtad, majd kapcsold be a kétfaktoros hitelesítést. Számíts adathalász e-mailekre, amelyek a kiszivárgott adatokat idézik, és ne kattints az adatszivárgást említő üzenetekben lévő linkekre. Ha ennek a cégnek külön címet adtál, vond ki a használatból, és adj a cégnek egy újat.

Eladja a LinkedIn vagy a Google az e-mail-címemet?

Egyikük sem állítja, hogy eladná a személyes adataidat, a LinkedIn viszont azt írja, hogy kontextusokon átívelő hirdetésekhez megosztja őket. A kaliforniai adatvédelmi tájékoztatója szerint „Nem adjuk el a személyes adataidat”, és lehetővé teszi a kaliforniaiaknak, hogy megtiltsák ezt a megosztást. A Google Safety Center (Biztonsági központ) oldala szerint „soha senkinek nem adjuk el a személyes adataidat”, az adatvédelmi irányelvei (hatályos: 2026. május 26-tól) pedig azt írják, hogy a Google csak felsorolt esetekben osztja meg a személyes adatokat a Google-on kívüli felekkel, és ezek közül az első, ha ehhez hozzájárulsz. Mindhárom oldalt 2026. szeptember 25-én ellenőriztük. Más cégeknél olvasd el az adatvédelmi szabályzatot, és kezeld külön az „eladás” és a „megosztás” fogalmát.

Kik vásárolnak e-mail-címeket?

Adatkereskedők, listakereskedők és marketingesek; a fenti állami nyilvántartások felsorolják a regisztrált adatkereskedőket. A kereskedelem nyílt is lehet: az Österreichische Post-ügyben az osztrák postai szolgáltató azt közölte, hogy személyes adatokat kínál „kereskedelmi partnereknek marketingcélokra”, később pedig a címzettek között „levelezőlista-szolgáltatókat” is felsorolt. Az ügy egy postai szolgáltató által kezelt adatokról szólt, nem e-mail-címekről.