Kommissionens vejledning i anvendelsen af Unionens databeskyttelseslovgivning i forbindelse med afholdelse af valg

Dialog med vælgerne udgør grundlaget for den demokratiske proces. Det er fast praksis for politiske partier at tilpasse valgkommunikation til publikum under hensyntagen til deres særlige interesser. Det er derfor naturligt for aktører, der er involveret i valg, at udforske mulighederne for at anvende data med henblik på at vinde stemmer. Den stadig mere udbredte anvendelse af digitale værktøjer og onlineplatforme har skabt mange nye muligheder for at nå ud til folk i den politiske debat.

Den stigende mikromålretning af kommunikation mod vælgere på grundlag af ulovlig behandling af personoplysninger, sådan som det blev konstateret i forbindelse med afsløringen af Cambridge Analytica, er imidlertid af en anden art. Den illustrerer de udfordringer, som moderne teknologi indebærer, men det dokumenterer også, at databeskyttelse er særlig vigtig i forbindelse med valg. Spørgsmålet er blevet et centralt emne, ikke kun for enkeltpersoner, men også for den måde, vores demokratier fungerer på, fordi det udgør en alvorlig trussel mod en retfærdig og demokratisk valgproces og har potentiale til at undergrave en åben debat, retfærdighed og gennemsigtighed, hvilket er afgørende i et demokrati. Kommissionen finder det yderst vigtigt at behandle dette spørgsmål for at genoprette offentlighedens tillid til, at valgprocesser er retfærdige.

De første rapporter fra Det Forenede Kongeriges databeskyttelsesmyndighed (Information Commissioner's Office – ICO) om anvendelsen af dataanalyse i politiske kampagner og udtalelsen fra Den Europæiske Tilsynsførende for Databeskyttelse om onlinemanipulation og personoplysninger har bekræftet den stigende betydning i valgsammenhæng af mikromålretning, som oprindeligt blev udviklet til kommercielle formål.

Mere generelt har flere databeskyttelsesmyndigheder behandlet spørgsmålet om databeskyttelse i forbindelse med valg.

Europa-Parlamentets og Rådets forordning (EU) 2016/679 (generel forordning om databeskyttelse), der fra den 25. maj 2018 blev umiddelbart gældende i hele Unionen, giver Unionen de nødvendige redskaber til at imødegå tilfælde af ulovlig anvendelse af personoplysninger i forbindelse med afholdelse af valg. Der kræves imidlertid en fast og konsekvent anvendelse af reglerne, hvis de skal bidrage til at beskytte de demokratiske politikkers integritet. Da disse regler for første gang vil blive anvendt ved et valg på EU-plan i forbindelse med det kommende valg til Europa-Parlamentet, er det vigtigt at tydeliggøre reglerne over for de aktører, som medvirker i valgprocessen — såsom nationale valgmyndigheder, politiske partier, datamæglere og dataanalytikere, sociale medieplatforme og onlinereklame-netværk. Denne vejledning har til formål at fremhæve databeskyttelsesforpligtelserne af relevans for valg. De nationale databeskyttelsesmyndigheder skal som håndhævere af den generelle forordning om databeskyttelse gøre fuld brug af deres styrkede beføjelser til at imødegå eventuelle overtrædelser, navnlig dem, der vedrører mikromålretning mod vælgerne.

1.EU's databeskyttelsesramme

Beskyttelsen af personoplysninger er en grundlæggende rettighed, der er forankret i Den Europæiske Unions charter om grundlæggende rettigheder (artikel 8) og i traktaterne (artikel 16 i TEUF). Den generelle forordning om databeskyttelse styrker rammerne for databeskyttelse og gør Unionen bedre rustet til at håndtere tilfælde af misbrug af personoplysninger i fremtiden, og alle aktører gøres mere ansvarlige for, hvordan de behandler personoplysninger.

Den giver enkeltpersoner i Unionen yderligere og stærkere rettigheder, som er særlig relevante i forbindelse med valg. Den databeskyttelsesordning, der var gældende i Unionen i de foregående 20 år, led især under den fragmenterede anvendelse af reglerne mellem medlemsstaterne, manglen på formaliserede samarbejdsmekanismer mellem de nationale databeskyttelsesmyndigheder og disse myndigheders begrænsede håndhævelsesbeføjelser. I den generelle forordning om databeskyttelse tages der højde for disse mangler: med udgangspunkt i de afprøvede databeskyttelsesprincipper harmoniseres centrale begreber med forordningen, såsom samtykke, enkeltpersoners ret til at få oplysninger om, hvordan deres data behandles, styrkes, det afklares, på hvilke betingelser personoplysninger kan videreformidles, der indføres regler for brud på personoplysningers sikkerhed, der etableres en samarbejdsmekanisme mellem datatilsynsmyndigheder i sager, som går på tværs af landegrænser, og deres håndhævelsesbeføjelser styrkes. Overtrædes EU's databeskyttelsesregler, har databeskyttelsesmyndighederne beføjelser til at undersøge (f.eks. ved at give påbud om at forelægge oplysninger og foretage inspektioner hos dataansvarlige og databehandlere) og rette op på adfærden (f.eks. ved at udstede advarsler og irettesættelser eller pålægge en midlertidig eller definitiv suspension af behandlingen). De har også beføjelse til at pålægge bøder på op til 20 mio. EUR eller, hvis der er tale om en virksomhed, op til 4 % af dens samlede omsætning på verdensplan. Når de træffer afgørelse om at pålægge bøder og om bødeniveauet, skal databeskyttelsesmyndighederne tage hensyn til den enkelte sags omstændigheder og faktorer såsom behandlingens art, omfang eller formål, antallet af berørte personer og omfanget af den skade, de har lidt. I forbindelse med valg er det sandsynligt, at overtrædelsens grovhed og antallet af berørte personer vil være højt. Dette kan føre til, at der pålægges høje bøder, navnlig i betragtning af hvor væsentligt dette spørgsmål er for borgernes tillid til den demokratiske proces.

Det nyligt oprettede Europæiske Databeskyttelsesråd, som samler alle nationale databeskyttelsesmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, spiller en central rolle i anvendelsen af den generelle forordning om databeskyttelse ved at udstede retningslinjer, anbefalinger og bedste praksis. De nationale databeskyttelsesmyndigheder har som håndhævere af den generelle forordning om databeskyttelse og interessenternes direkte kontaktpunkt gode forudsætninger for at skabe yderligere retssikkerhed vedrørende fortolkningen heraf. Kommissionen støtter aktivt dette arbejde.

Direktivet om databeskyttelse inden for elektronisk kommunikation, også kaldet e-databeskyttelsesdirektivet (Europa-Parlamentets og Rådets direktiv 2002/58/EF), fuldender EU's databeskyttelsesramme og er relevant i forbindelse med valg, da direktivets anvendelsesområde omfatter regler for elektronisk fremsendelse af uanmodet kommunikation, herunder med henblik på direkte markedsføring. I e-databeskyttelsesdirektivet fastsættes også regler for lagring af oplysninger og adgang til allerede lagrede oplysninger, f.eks. cookies, der kan bruges til at spore brugerens onlineadfærd, i terminaludstyr som f.eks. en smartphone eller en computer. Kommissionens forslag til en forordning om databeskyttelse inden for elektronisk kommunikation ("e-databeskyttelsesforordningen"), som i øjeblikket foreligger til forhandling, bygger på de samme principper som e-databeskyttelsesdirektivet. Med den nye forordning udvides anvendelsesområdet ud over traditionelle teleoperatører til at omfatte internetbaserede elektroniske kommunikationstjenester.

2.De forskellige aktørers vigtigste forpligtelser

Den generelle forordning om databeskyttelse finder anvendelse på alle aktører, der er aktive i forbindelse med afholdelse af valg, såsom europæiske og nationale politiske partier (i det følgende benævnt "politiske partier"), europæiske og nationale politiske fonde (i det følgende benævnt "fonde"), platforme, dataanalysevirksomheder og offentlige myndigheder med ansvar for valgprocessen. De må udelukkende behandle personoplysninger (f.eks. navne og adresser) på en lovlig, rimelig og gennemsigtig måde til specifikke formål. De må ikke derudover anvende oplysningerne på en måde, der er uforenelig med de formål, hvortil de oprindeligt blev indsamlet. Behandling i journalistisk øjemed falder også ind under den generelle databeskyttelsesforordnings anvendelsesområde, men da retten til ytrings- og informationsfrihed er vigtig i et demokratisk samfund, kan visse undtagelser og fravigelser gøre sig gældende i overensstemmelse med national ret.

Begrebet personoplysninger spænder vidt. Personoplysninger er alle data om en identificeret eller identificerbar fysisk person. De oplysninger, der behandles i forbindelse med valg, vil ofte omfatte særlige kategorier af personoplysninger ("følsomme oplysninger"), såsom politiske holdninger, fagforeningsmæssigt tilhørsforhold, etnisk oprindelse, seksuelle forhold osv., som er omfattet af en ordning med mere udstrakt beskyttelse. Med dataanalyser kan der desuden udledes "følsomme oplysninger" (f.eks. politiske holdninger, men også religiøse overbevisninger eller seksuel orientering) af sæt af ikkefølsomme oplysninger. Behandlingen af sådanne udledte oplysninger falder også ind under den generelle databeskyttelsesforordnings anvendelsesområde, og de bør derfor være i overensstemmelse med alle databeskyttelsesregler.

Det konkluderes, at praktisk taget alle databehandlingsoperationer i forbindelse med valg er omfattet af den generelle forordning om databeskyttelse.

I lyset af behovet for at tydeliggøre reglerne over for de aktører, som medvirker i valgprocessen, og af de første undersøgelsesresultater i Cambridge Analytica-sagen beskrives i de følgende afsnit de databeskyttelsesforpligtelser, der forekommer særlig relevante i forbindelse med valg. De sammenfattes i bilaget.

2.1Dataansvarlige og databehandlere

Begrebet ansvarlighed for dataansvarlige og fælles dataansvarlige er et centralt element i den generelle forordning om databeskyttelse. Den dataansvarlige er den organisation, der afgør, alene eller i samarbejde med andre, hvorfor og hvordan personoplysningerne behandles; databehandleren behandler udelukkende personoplysninger på vegne af og efter instruks fra den dataansvarlige (idet deres indbyrdes forhold fastsættes i en kontrakt eller et andet juridisk bindende dokument). De dataansvarlige skal indføre foranstaltninger, der er passende i forhold til risiciene, og gennemføre indbygget databeskyttelse fra første færd, og de skal kunne godtgøre efterlevelsen af den generelle forordning om databeskyttelse (princippet om ansvarlighed).