Komisjoni juhised liidu andmekaitseõiguse kohaldamise kohta valimiste kontekstis

Suhted valijatega on demokraatliku protsessi alus. Erakondadel on alati kombeks olnud kohandada valimiskommunikatsiooni oma sihtrühma erihuvidele. Seega on loomulik, et valimistes osalejad vaevad võimalusi kasutada andmeid häälte võitmise eesmärgil. Digitaalsete vahendite ja veebiplatvormide võidukäik on loonud palju uusi võimalusi pidada rahvaga poliitilist arutelu.

Ent Cambridge Analytica juhtumi raames avalikuks saanud valijate ülipersonaalne mõjutamine, mis põhineb isikuandmete ebaseaduslikul töötlemisel, on midagi muud. See näitlikustab nüüdisaegse tehnikaga seonduvaid probleeme, ent annab samuti tunnistust sellest, kui oluline on valimiste kontekstis isikuandmeid kaitsta. Sellest on saanud tõsine probleem mitte pelgalt üksikisikute jaoks, vaid ka meie demokraatia toimimise seisukohast, kuna see kujutab enesest suurt ohtu õiglasele ja demokraatlikule valimisprotsessile ning võib nõrgestada iga demokraatia aluseks olevat avalikku arutelu, õiglust ja läbipaistvust. Komisjoni arvates on äärmiselt oluline selle teemaga tegeleda, et anda inimestele tagasi usk valimisprotsessi usaldusväärsusesse.

Ühendkuningriigi andmekaitseasutuse (Information Commissioner’s Office – ICO) esimesed aruanded andmeanalüüsi kohta poliitilistes kampaaniates ning Euroopa Andmekaitseinspektori arvamus, mis käsitleb veebi kaudu manipuleerimist ja isikuandmeid, on kinnitanud, et algselt ärilistel eesmärkidel välja töötatud ülipersonaalset mõjutamist kasutatakse üha enam valimiste kontekstis.

Üldisemalt on mitu andmekaitseasutust käsitlenud andmekaitset valimiste kontekstis.

Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus), mis muutus kogu liidus vahetult kohaldatavaks 25. mail 2018, annab Euroopa Liidu käsutusse vahendid astuda vastu isikuandmete ebaseaduslikule kasutamisele valimiste kontekstis. Ent demokraatliku poliitika terviklust saab kaitsta üksnes eeskirju rangelt ja järjekindlalt rakendades. Kuna eelseisvate Euroopa Parlamendi valimiste puhul rakendatakse neid esmakordselt Euroopa valimiste kontekstis, on oluline anda selge teave sellistele valimisprotsessis osalejatele nagu riikide valimisasutused, erakonnad, andmemaaklerid, andmeanalüüsiga tegelejad, sotsiaalmeediaplatvormid ja reklaamivõrgud veebis. Seega on käesoleva juhendi eesmärk tuua välja valimiste seisukohast olulised andmekaitsekohustused. Liikmesriikide andmekaitseasutused, kes tagavad isikuandmete kaitse üldmääruse täitmise, peavad oma suurendatud volitusi täies ulatuses kasutama, et käsitleda võimalikke rikkumisi, eriti kui need puudutavad valijate ülipersonaalset mõjutamist.

1.Liidu andmekaitseraamistik

Isikuandmete kaitse on põhiõigus, mis on sätestatud Euroopa Liidu põhiõiguste hartas (artikkel 8) ja aluslepingutes (ELi toimimise lepingu artikkel 16). Isikuandmete kaitse üldmäärusega tugevdatakse andmekaitseraamistikku, nii et liit on tulevikus paremini valmis käsitlema isikuandmete kuritarvitamise juhtumeid ning kõik asjaosalised käituvad isikuandmetega vastutustundlikumalt.

Sellega antakse üksikisikutele täiendavad ja suuremad õigused, mis on eriti olulised valimiste kontekstis. Viimase 20 aasta jooksul liidus kehtinud andmekaitsekorra probleemid olid ennekõike eeskirjade killustatud rakendamine liikmesriikide lõikes, see, et puudusid mis tahes ametlikud mehhanismid riiklike andmekaitseasutuste koostööks, ning nimetatud asutuste piiratud täitevvolitused. Neid vajakajäämisi käsitletakse isikuandmete kaitse üldmääruses, millega ühtlustatakse ennast tõestanud andmekaitsepõhimõtetele tuginedes selliseid põhimõisteid nagu nõusolek, antakse üksikisikutele suuremad õigused saada teavet oma andmete töötlemise kohta, selgitatakse tingimusi, mille alusel isikuandmeid võib edasi jagada, kehtestatakse eeskirjad isikuandmetega seotud rikkumiste kohta, luuakse mehhanism andmekaitseasutuste koostööks piiriüleste juhtumite puhul ja suurendatakse nimetatud asutuste täitevvolitusi. ELi andmekaitsenormide rikkumise korral on andmekaitseasutustel volitused uurimiseks (näiteks andes korralduse esitada teavet ning tehes kontrollkäike vastutavate töötlejate ja volitatud töötlejate asukohas) ja parandusmeetmete võtmiseks (näiteks tehes hoiatusi ja noomitusi või kehtestades ajutise või alalise töötlemiskeelu). Samuti on neil õigus määrata trahve, mille summa võib olla kuni 20 miljonit eurot või, kui tegu on ettevõttega, ulatuda kuni 4 %-ni ettevõtte ülemaailmsest aastakäibest. Trahvide määramisel ja nende summa üle otsustamisel võtavad andmekaitseasutused arvesse üksiku juhtumi asjaolusid ja selliseid tegureid nagu töötlemise laad, ulatus või eesmärk, mõjutatud isikute hulk ja neile tekitatud kahju suurus. Valimiste kontekstis on tõenäoline, et rikkumiste raskus ja mõjutatud isikute arv on suur. Sellest tulenevalt võidakse määrata suuri trahve, eriti arvestades seda, kui oluline on kodanike usaldus demokraatliku protsessi vastu.

Isikuandmete kaitse üldmääruse kohaldamises on keskne roll hiljuti loodud Euroopa Andmekaitsenõukogul, mis koondab kõiki liikmeriikide andmekaitseasutusi, ja Euroopa Andmekaitseinspektoril, kes annavad sel eesmärgil välja suuniseid, soovitusi ja parimaid tavasid. Riikide andmekaitseasutused hakkavad tagama isikuandmete kaitse üldmääruse täitmist ja on vahetud kontaktpunktid sidusrühmade jaoks ning seetõttu on neil head võimalused pakkuda määruse tõlgendamise küsimustes täiendavat õiguskindlust. Komisjon toetab seda tööd aktiivselt.

Liidu andmekaitseraamistikku täiendab eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv, teise nimega e-privaatsuse direktiiv (Euroopa Parlamendi ja nõukogu direktiiv 2002/58/EÜ), mis on valimiste kontekstis oluline, kuna selle kohaldamisalasse kuuluvad eeskirjad pealesunnitud teabe elektroonilise saatmise (muu hulgas otseturunduse eesmärgil) kohta. Samuti kehtestatakse e-privaatsuse direktiiviga eeskirjad teabe salvestamise ja lõppseadmesse, nagu nutitelefon või arvuti, juba salvestatud teabele juurepääsu saamise kohta, näiteks küpsiste puhul, mida võidakse kasutada kasutaja veebikäitumise jälgimiseks. Praegu on arutamisel komisjoni ettepanek privaatsust ja elektroonilist sidet käsitleva määruse kohta („e-privaatsuse määrus“), mis tugineb samadele põhimõtetele nagu e-privaatsuse direktiiv. Uue määruse kohaldamisala on laiem, hõlmates lisaks traditsioonilistele ja telekommunikatsioonivõrgu operaatoritele ka internetipõhiseid elektroonilise side teenuseid.

2.Eri asjaosaliste peamised kohustused

Isikuandmete kaitse üldmäärust kohaldatakse kõigi valimistes aktiivselt osalejate suhtes, nagu Euroopa tasandi ja liikmesriikide erakonnad (edaspidi „erakonnad“), Euroopa tasandi ja liikmesriikide poliitilised sihtasutused (edaspidi „sihtasutused“), platvormid, andmeanalüüsifirmad ja valimisprotsessi eest vastutavad avaliku sektori asutused. Nad peavad töötlema isikuandmeid, nagu nimed ja aadressid, seadusega kooskõlas, õiglaselt ja läbipaistvalt ning ainult kindlaksmääratud eesmärkidel. Nad ei saa andmeid edasiselt kasutada viisil, mis ei vasta eesmärgile, mille jaoks neid algselt koguti. Põhimõtteliselt kuulub isikuandmete kaitse üldmääruse kohaldamisalasse ka töötlemine ajakirjanduslikel eesmärkidel, ent võttes arvesse, kui oluline on demokraatlikus ühiskonnas õigus sõna-ja teabevabaduse, võidakse selle suhtes kohaldada siseriiklike õigusaktidega ette nähtud vabastusi ja erandeid.

Isikuandmete mõiste on laiahaardeline. Isikuandmed on igasugused andmed tuvastatud või tuvastatava füüsilise isiku kohta. Valimiste kontekstis töödeldavad andmed hõlmavad sageli isikuandmete spetsiifilisi kategooriaid (edaspidi „tundlikud isikuandmed“), nagu poliitilised seisukohad, etniline päritolu, seksuaalelu jne, mille suhtes kehtib rangem kaitsekord. Lisaks sellele võib andmeanalüüs tuletada mittetundlike isikuandmete kogumitest tundlikke isikuandmeid, nagu poliitilised seisukohad, aga ka usulised veendumused ja seksuaalne sättumus. Isikuandmete kaitse üldmääruse kohaldamisalasse kuulub ka selliste tuletatud andmete töötlemine, mis peaks seega vastama kõigile andmekaitsenormidele.

Sellest järeldub, et pea kõik andmete töötlemistoimingud valimiste kontekstis kuuluvad isikuandmete kaitse üldmääruse kohaldamisalasse.

Võttes arvesse vajadust anda selge teave valimisprotsessis osalejatele ja arvestades Cambridge Analytica juhtumi esimesi järeldusi, on järgnevates punktides välja toodud need andmekaitsekohustused, mis on valimiste kontekstis eriti olulised. Kokkuvõte neist on esitatud lisas.

2.1Vastutavad töötlejad ja volitatud töötlejad

Vastutavate töötlejate ja volitatud töötlejate vastutavus on üks isikuandmete kaitse üldmääruse keskseid mõisteid. Vastutav töötleja on organisatsioon, kes otsustab kas ainuisikuliselt või koos teistega selle üle, miks ja mil viisil isikuandmeid töödeldakse. Volitatud töötleja töötleb isikuandmeid ainult vastutava töötleja nimel ja tema juhiste kohaselt, kusjuures nendevaheline suhe määratakse kindlaks lepingu või mõne muu õiguslikult siduva aktiga. Vastutavad töötlejad peavad kehtestama riskidele vastavad meetmed, rakendama algusest peale lõimitud andmekaitset ning suutma tõendada vastavust isikuandmete kaitse üldmääruse nõuetele (vastutuse põhimõte).