CORRIGENDUM This document corrects the COM (2018) 638 final of 12.9.2018 Concerns the FI language version Correction on the cover page The text should read as follows:

Komission ohjeet unionin tietosuojalainsäädännön soveltamisesta vaalien yhteydessä

Kanssakäyminen äänestäjäkunnan kanssa on demokraattisen prosessin perusta. Poliittisten puolueiden vakiintuneena käytäntönä on räätälöidä vaalitiedotus yleisöille omien etujensa mukaisesti. Siksi on luonnollista, että vaaleihin osallistuvat toimijat tutkivat mahdollisuuksia hyödyntää dataa äänten saamiseksi. Digitaalisten välineiden ja verkkoalustojen yleistyminen on luonut monia uusia mahdollisuuksia osallistaa ihmisiä poliittiseen keskusteluun.

Luonteeltaan toisenlaista kehitystä edustaa kuitenkin äänestäjille suunnattu henkilöön kohdistettu viestintä (micro-targeting), joka perustuu henkilötietojen laittomaan käsittelyyn Cambridge Analytica -paljastusten esille nostamalla tavalla. Se on esimerkki modernin teknologian mukanaan tuomista haasteista, ja se osoittaa myös tietosuojan erityisen tärkeyden vaalien yhteydessä. Ongelmasta on tullut keskeinen paitsi yksilöille myös demokratioiden toimivuuden kannalta, sillä se muodostaa vakavan uhan oikeudenmukaiselle ja demokraattiselle vaaliprosessille ja voi heikentää avointa keskustelua, oikeudenmukaisuutta ja avoimuutta, joilla on demokratiassa olennainen merkitys. Komission mielestä tähän ongelmaan on erittäin tärkeää puuttua, jotta voidaan palauttaa kansalaisten luottamus vaaliprosessin oikeudenmukaisuuteen.

Yhdistyneen kuningaskunnan tietosuojaviranomaisen (Information Commissioner’s Office ICO) ensimmäiset raportit data-analytiikan käytöstä poliittisissa kampanjoissa ja Euroopan tietosuojavaltuutetun lausunto verkkomanipuloinnista ja henkilötiedoista ovat vahvistaneet sen, että alun perin kaupallisiin tarkoituksiin kehitetyn mikrokohdentamisen vaikutus vaalien yhteydessä on kasvussa.

Myös useat muut tietosuojaviranomaiset ovat kiinnittäneet huomiota tietosuojan ongelmaan vaalitilanteessa.

Euroopan parlamentin ja neuvoston asetus (EU) N:o 2016/679 (yleinen tietosuoja-asetus), joka tuli sellaisenaan sovellettavaksi unionissa 25. toukokuuta 2018, tarjoaa unionille tarvittavat välineet puuttua henkilötietojen laittomaan käyttöön vaalien yhteydessä. Sääntöjä on sovellettava tinkimättä ja johdonmukaisesti, jotta demokraattisen politiikan loukkaamattomuus voidaan turvata. Koska näitä sääntöjä sovelletaan nyt ensimmäistä kertaa Euroopan laajuisessa vaalitilanteessa tulevien Euroopan parlamentin vaalien yhteydessä, niitä on tärkeää selkeyttää vaalimenettelyihin osallistuville, kuten kansallisille vaaliviranomaisille, poliittisille puolueille, datavälittäjille ja data-analyytikoille, sosiaalisen median alustoille ja online-mainonnan verkostoille. Ohjeistuksen tavoitteena on tuoda esille vaalien kannalta tärkeät tietosuojavelvoitteet. Kansallisten tietosuojaviranomaisten on yleisen tietosuoja-asetuksen noudattamisen valvonnasta vastaavina tahoina hyödynnettävä kaikkia uusia valtuuksiaan puuttua mahdollisiin rikkomuksiin, erityisesti niihin, jotka liittyvät viestinnän mikrokohdentamiseen äänestäjille.

1.Unionin tietosuojakehys

Henkilötietojen suoja on Euroopan unionin perusoikeuskirjassa (8 artikla) ja perussopimuksissa (SEUT-sopimuksen 16 artikla) turvattu perusoikeus. Yleinen tietosuoja-asetus lujittaa tietosuojakehystä ja parantaa unionin edellytyksiä käsitellä henkilötietojen väärinkäyttöön liittyviä tapauksia tulevaisuudessa sekä lisää kaikkien toimijoiden vastuuvelvollisuutta ja vastuuta siitä, miten ne käsittelevät henkilötietoja.

Se antaa yksilöille unionissa uusia ja vahvempia oikeuksia, joilla on erityinen merkitys vaalitilanteessa. Unionissa viimeiset 20 vuotta käytössä ollut tietosuojajärjestelmä on kärsinyt erityisesti siitä, että sääntöjä on sovellettu hajanaisesti jäsenvaltioiden välillä, kansallisten tietosuojaviranomaisten yhteistyötä varten ei ole ollut virallisia mekanismeja ja näiden viranomaisten täytäntöönpanovaltuudet ovat olleet rajalliset. Yleisellä tietosuoja-asetuksella puututaan näihin heikkouksiin. Hyväksi osoittautuneiden tietosuojaperiaatteiden pohjalta sillä yhdenmukaistetaan keskeiset käsitteet, kuten suostumusperiaate, vahvistetaan yksilöiden oikeuksia saada tietoja henkilötietojensa käsittelystä, selkeytetään edellytyksiä, joiden täyttyessä henkilötietoja voidaan jakaa edelleen, otetaan käyttöön säännöt henkilötietojen tietoturvaloukkauksista sekä tietosuojaviranomaisten välinen yhteistyömekanismi valtioiden rajat ylittävissä tapauksissa ja lujitetaan näiden viranomaisten täytäntöönpanovaltuuksia. Tapauksissa, joissa EU:n tietosuojasääntöjä rikotaan, tietosuojaviranomaisilla on valtuudet tutkia asia (esimerkiksi määrätä antamaan tietoja ja tehdä tarkastuksia rekisterinpitäjien ja henkilötietojen käsittelijöiden toimitiloissa) ja korjata käyttäytymistä (esimerkiksi antaa varoituksia tai huomautuksia tai määrätä käsittelyn tilapäisestä tai lopullisesta keskeyttämisestä). Niillä on myös valtuudet määrätä sakot, enintään 20 miljoonaa euroa tai, jos kyseessä on yritys, enintään 4 prosenttia sen maailmanlaajuisesta liikevaihdosta. Päättäessään sakkojen määräämisestä ja niiden tasosta tietosuojaviranomaiset ottavat huomioon yksittäiseen tapaukseen liittyvät olosuhteet ja tekijät, kuten käsittelyn luonne, laajuus tai tarkoitus, tapauksen kohteena olleiden henkilöiden lukumäärä ja heidän kärsimiensä vahinkojen määrä. Vaalien yhteydessä on todennäköistä, että kyse on vakavuusasteeltaan merkittävästä tapauksesta, joka kohdistuu suureen määrään ihmisiä. Tämä saattaa johtaa isoihin sakkoihin, erityisesti kun otetaan huomioon asian merkitys ajatellen kansalaisten luottamusta demokraattiseen prosessiin.

Vasta perustettu Euroopan tietosuojaneuvosto, jossa kokoontuvat kaikki kansalliset tietosuojaviranomaiset ja Euroopan tietosuojavaltuutettu, toimii yleisen tietosuoja-asetuksen soveltamisen kannalta keskeisessä roolissa antamalla ohjeita, suosituksia ja parhaita käytänteitä. Koska kansalliset tietosuojaviranomaiset valvovat yleisen tietosuoja-asetuksen täytäntöönpanoa ja ovat suoraan yhteydessä sidosryhmiin, niillä on hyvät edellytykset lisätä oikeusvarmuutta asetuksen tulkinnassa. Komissio tukee tätä työtä aktiivisesti.

Unionin tietosuojakehystä täydentää sähköisen viestinnän tietosuojadirektiivi (Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY), jolla on merkitystä vaalien kannalta, sillä sen soveltamisalaan kuuluvat muun muassa säännöt ei-toivotun viestinnän lähettämisestä sähköisesti, myös suoramarkkinointitarkoituksiin. Sähköisen viestinnän tietosuojadirektiivissä on myös sääntöjä, jotka koskevat tiedon tallentamista päätelaitteisiin, kuten älypuhelimelle tai tietokoneelle, ja jo tallennettujen tietojen käyttämistä. Kyse voi olla esimerkiksi käyttäjän verkkokäyttäytymisen jäljittämiseen käytettävistä evästeistä. Komission ehdotus sähköisen viestinnän tietosuoja-asetukseksi, joka on parhaillaan käsiteltävänä, lähtee samoista periaatteista kuin sähköisen viestinnän tietosuojadirektiivi. Uudessa asetuksessa soveltamisalaa laajennetaan siten, että siihen kuuluvat perinteisten televiestintäoperaattoreiden lisäksi myös internetvälitteiset sähköiset viestintäpalvelut.

2.Eri toimijoiden keskeiset velvoitteet

Yleistä tietosuoja-asetusta sovelletaan sellaisenaan kaikkiin vaaleissa toimiviin tahoihin, kuten Euroopan tason ja kansallisiin poliittisiin puolueisiin (jäljempänä ”poliittiset puolueet”), eurooppalaisiin ja kansallisiin poliittisiin säätiöihin (jäljempänä ”säätiöt”) samoin kuin alustoihin, data-analyysiyrityksiin ja vaaliprosessista vastaaviin viranomaisiin. Näiden tahojen on noudatettava henkilötietojen (esim. nimien ja osoitteiden) käsittelyssä lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteita, ja tietoja saa käsitellä vain määrättyihin tarkoituksiin. Tietoja ei saa käyttää uudelleen tavalla, joka on ristiriidassa niiden tarkoitusten kanssa, joita varten tiedot alun perin kerättiin. Myös käsittely journalistisiin tarkoituksiin kuuluu periaatteessa yleisen tietosuoja-asetuksen soveltamisalaan, mutta siihen voidaan soveltaa kansallisessa lainsäädännössä säädettyjä poikkeuksia ja vapautuksia ottaen huomioon sananvapauden ja tiedonvälityksen vapauden tärkeys demokraattisessa yhteiskunnassa.

Henkilötietojen käsite ymmärretään kattavasti. Henkilötiedoilla tarkoitetaan kaikkia tietoja, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä. Vaalien yhteydessä käsiteltäviin tietoihin kuuluu usein erityisiä henkilötietojen ryhmiä (”arkaluonteiset tiedot”), kuten poliittiset mielipiteet, jäsenyys ammattiliitoissa, etninen alkuperä tai sukupuolielämä, joita koskevat säännöt ovat suojaavampia. Lisäksi data-analytiikan avulla arkaluonteisia tietoja voidaan päätellä ei-arkaluoteisten tietokokonaisuuksien pohjalta, esimerkkeinä poliittisten mielipiteiden ohella myös uskonnollinen vakaumus tai sukupuolinen suuntautuminen. Myös tällaisten pääteltyjen tietojen käsittely kuuluu yleisen tietosuoja-asetuksen soveltamisalaan, ja siinä olisi näin ollen noudatettava kaikkia tietosuojasääntöjä.

Voidaan siis todeta, että lähes kaikkiin tietojenkäsittelytoimiin sovelletaan vaalien yhteydessä yleistä tietosuoja-asetusta.

Ottaen huomioon tarve selkeyttää sääntöjä vaaliprosessiin osallistuville toimijoille ja Cambridge Analytican tapausta koskevat ensimmäiset havainnot seuraavissa jaksoissa tuodaan esille tietosuojavelvoitteet, jotka näyttävät erityisen merkittäviltä vaalien kannalta. Niistä esitetään yhteenveto liitteessä.

2.1Rekisterinpitäjät ja henkilötietojen käsittelijät

Rekisterinpitäjien ja yhteisrekisterinpitäjien vastuuvelvollisuuden käsite on yleisen tietosuoja-asetuksen kannalta keskeinen. Rekisterinpitäjä on organisaatio, joka päättää yksin tai yhdessä muiden kanssa siitä, miksi ja miten henkilötietoja käsitellään. Henkilötietojen käsittelijä käsittelee näitä tietoja ainoastaan rekisterinpitäjän puolesta ja tämän antamien ohjeiden mukaisesti (jolloin niiden välinen suhde on määritetty sopimuksessa tai muussa oikeudellisesti sitovassa asiakirjassa). Rekisterinpitäjien on otettava käyttöön riskien kannalta tarkoituksenmukaiset toimenpiteet ja sovellettava sisäänrakennetun tietosuojan periaatetta alusta alkaen. Niiden on voitava osoittaa, että ne noudattavat yleistä tietosuoja-asetusta (osoitusvelvollisuuden periaate).