EUROPSKA KOMISIJA Bruxelles, 12.9.2018. COM(2018) 638 final Slobodni i pošteni izbori SMJERNICE Smjernice Komisije o primjeni prava Unije o zaštiti podataka u kontekstu izbora















Doprinos Europske komisije sastanku čelnika u







Salzburgu 19.-20.rujna 2018.













































Smjernice Komisije o primjeni prava Unije o zaštiti podataka u kontekstu izbora Suradnja s biračima temelj je demokratskog procesa. Političke stranke trajno moraju prilagođavati komunikaciju u kontekstu izbora svojoj publici i uzimati u obzir njezine posebne interese. Stoga je prirodno da akteri koji sudjeluju u izborima proučavaju mogućnosti uporabe podataka za dobivanje glasova. Razvojem digitalnih alata i internetskih platformi nastale su mnoge nove prilike za sudjelovanje u političkim raspravama s građanima. Razvoj tehnika za mikrociljanje na temelju nezakonite obrade osobnih podataka, primjerice u slučaju poduzeća Cambridge Analytica, primjer je druge vrste procesa. Taj primjer oslikava pitanja koja nastaju zbog modernih tehnologija, ali ukazuje i na osobitu važnost zaštite podataka u kontekstu izbora. To je postalo ključno pitanje ne samo za pojedince nego i za funkcioniranje naših demokracija jer je riječ o ozbiljnoj prijetnji pravednom i demokratskom procesu izbora koja može ugroziti otvorenu raspravu, pravednost i transparentnost – ključne čimbenike demokracije. Komisija smatra da je rješavanje tog problema od ključne važnosti kako bi se vratilo povjerenje javnosti u pravednost izbornog procesa. Prva izvješća Ureda povjerenika za informiranje (tijela Ujedinjene Kraljevine za zaštitu podataka) o uporabi analize podataka u političkim kampanjama i mišljenje Europskog nadzornika za zaštitu podataka o manipulaciji na internetu i osobnim podacima potvrđuju sve veći učinak mikrociljanja u komercijalne svrhe u kontekstu izbora. Općenito, nekoliko tijela za zaštitu podataka dalo je mišljenje o zaštiti podataka u kontekstu izbora. Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (Opća uredba o zaštiti podataka), koja je postala izravno primjenjiva u cijeloj Uniji 25. svibnja 2018., Uniji pruža alate potrebne za rješavanje slučajeva nezakonitog korištenja osobnih podataka u kontekstu izbora. No integritet demokratske politike očuvat će se samo čvrstom i dosljednom primjenom pravila. Budući da će se pravila prvi put primijeniti u kontekstu europskih izbora povodom skorašnjih izbora za Europski parlament, važno je osigurati jasnu sliku dionicima izbornog procesa – nacionalnim izbornim tijelima, političkim strankama, posrednicima podataka i analitičarima, platformama društvenih mreža te internetskim oglašivačkim mrežama. Ovim smjernicama stoga se želi istaknuti obveze u kontekstu zaštite podataka koje su relevantne za izbore. Nacionalna tijela za zaštitu podataka koja provode Opću uredbu o zaštiti podataka moraju u potpunosti iskoristiti svoje ojačane ovlasti kako bi otklonila moguće povrede, posebno one povezane s mikrociljanjem. 1.Okvir Unije za zaštitu podataka Zaštita osobnih podataka temeljno je pravo sadržano u Povelji Europske unije o temeljnim pravima (članak 8.) i u Ugovorima (članak 16. UFEU-a). Općom uredbom o zaštiti podataka jača se okvir za zaštitu podataka, Unija postaje bolje opremljena za rješavanje slučajeva zlouporabe osobnih podataka u budućnosti, a svi akteri odgovornije postupaju s osobnim podacima. Građani u Uniji dobivaju dodatna i ojačana prava koja su posebno relevantna u kontekstu izbora. Na režim zaštite podataka koji je na snazi u Uniji posljednjih 20 godina posebno nepovoljno utječu fragmentirana primjena pravila u državama članicama, nedostatak formalnih mehanizama suradnje među nacionalnim tijelima za zaštitu podataka i ograničene izvršne ovlasti tih nadležnih tijela. Općom uredbom o zaštiti podataka otklanjaju se ti nedostaci: nadovezujući se na dokazana načela zaštite podataka usklađuju se ključna pitanja kao što je pristanak, jačaju se prava pojedinaca na primanje informacija o obradi njihovih podataka, razjašnjavaju se uvjeti pod kojima je moguće dodatno razmjenjivati osobne podatke, uvode se pravila o povredama osobnih podataka, uspostavlja se mehanizam suradnje između tijela za zaštitu podataka u prekograničnim slučajevima te se jačaju njihove izvršne ovlasti. U slučaju povrede pravila EU-a o zaštiti podataka tijela za zaštitu podataka imaju ovlasti istražiti slučaj (primjerice, mogu naložiti dostavu informacija, provoditi inspekcije u prostorijama voditelja i izvršitelja obrade) i ispraviti ponašanje (primjerice, izdavati upozorenja i opomene ili izreći privremenu ili konačnu obustavu obrade). Imaju i ovlast izricanja novčanih kazni u iznosu do 20 milijuna EUR ili, ako je riječ o poduzeću, do 4 % godišnjeg prometa na svjetskoj razini. Pri odlučivanju o izricanju novčanih kazni i njihovoj razini, tijela za zaštitu podataka razmotrit će okolnosti pojedinačnog slučaja i čimbenike poput prirode, opsega ili svrhe obrade, broja pogođenih osoba i razine štete koju su pretrpjeli. U kontekstu izbora vjerojatno će biti riječ o teškoj povredi kojom je pogođen veći broj osoba. To može voditi do izricanja visokih kazni, posebno uzimajući u obzir važnost pitanja povjerenja građana u demokratski proces. Novoosnovani Europski odbor za zaštitu podataka, koji okuplja sva nacionalna tijela za zaštitu podataka te Europskog nadzornika za zaštitu podataka, ima ključnu ulogu u primjeni Opće uredbe o zaštiti podataka tako što izdaje smjernice, preporuke i primjere najbolje prakse. Budući da su nacionalna tijela za zaštitu podataka zadužena za provođenje Opće uredbe o zaštiti podataka i održavanje izravnih kontakata s dionicima, ta tijela mogu zajamčiti dodatnu pravnu sigurnost kad je riječ o tumačenju Uredbe. Komisija aktivno podupire to djelovanje. Direktiva o privatnosti i elektroničkim komunikacijama ili „Direktiva o e-privatnosti” (Direktiva 2002/58/EZ Europskog parlamenta i Vijeća) dopunjuje okvir Unije za zaštitu podataka te je relevantna u kontekstu izbora jer njezino područje primjene obuhvaća pravila o elektroničkom slanju nezatraženih komunikacija, uključujući u svrhu izravnog marketinga. Direktivom o e-privatnosti utvrđuju se i pravila o pohrani informacija i pristupu informacijama koje su već pohranjene (u terminalnoj opremi kao što su pametni telefon ili računalo), kao što su kolačići s pomoću kojih je moguće pratiti ponašanje korisnika na internetu. Komisijin Prijedlog uredbe o privatnosti i elektroničkim komunikacijama (Uredba o e-privatnosti), o kojem se trenutačno pregovara, temelji se na istim načelima kao i Direktiva o e-privatnosti. Novom uredbom područje njezine primjene proširit će se tako da osim tradicionalnih telekomunikacijskih operatera obuhvati i usluge elektroničke komunikacije na internetu. 2.Ključne obveze raznih aktera Opća uredba o zaštiti podataka primjenjuje se na sve aktere koji aktivno djeluju u kontekstu izbora, kao što su europske i nacionalne političke stranke (dalje u tekstu „političke stranke”), europske i nacionalne političke zaklade (dalje u tekstu „zaklade”), platforme, poduzeća za podatkovnu analitiku i javna tijela odgovorna za izborni proces. Oni moraju obrađivati osobne podatke (primjerice imena i adrese) zakonito, pravedno i transparentno i samo u navedene svrhe. Ne mogu ih dalje upotrebljavati na način koji nije sukladan namjenama za koje su podaci prvotno prikupljeni. I obrada u novinarske svrhe obuhvaćena je područjem primjene Opće uredbe o zaštiti podataka, no na nju mogu povoljno utjecati iznimke i odstupanja predviđeni nacionalnim pravom, s obzirom na važnost prava na slobodu izražavanja i informiranja u demokratskom društvu. Osobni podaci sveobuhvatan su pojam. Osobni podaci su svi podaci o identificiranoj fizičkoj osobi ili fizičkoj osobi koju je moguće identificirati. Podaci koji se obrađuju u kontekstu izbora često će uključivati posebne kategorije osobnih podataka („osjetljivi podaci”) kao što su podaci o političkim uvjerenjima, članstvu u sindikatu, etničkom podrijetlu, seksualnom životu itd., a takve je podatke potrebno bolje zaštititi. Štoviše, s pomoću podatkovne analitike moguće je iz skupova podataka koji nisu osjetljive prirode izvesti „osjetljive podatke” (primjerice podatke o političkim, ali i vjerskim uvjerenjima ili spolnoj orijentaciji). I obrada tih izvedenih podataka obuhvaćena je područjem primjene Opće uredbe o zaštiti podataka i stoga bi trebala biti usklađena sa svim pravilima o zaštiti podataka. Dakle, gotovo svi postupci obrade podataka u kontekstu izbora podliježu Općoj uredbi o zaštiti podataka. Uzimajući u obzir da akteri u izbornom procesu moraju imati jasnu sliku te uzimajući u obzir prve nalaze u slučaju poduzeća Cambridge Analytica, u sljedećim su odjeljcima istaknute obveze u vezi sa zaštitom podataka koje se čine posebno važnima u kontekstu izbora. One su sažete u prilogu. 2.1Voditelji i izvršitelji obrade Središnji element Opće uredbe o zaštiti podataka jest koncept odgovornosti voditelja i zajedničkih voditelja obrade. Voditelj obrade podataka organizacija je koja odlučuje, sama ili u suradnji s drugima, zašto se i kako osobni podaci obrađuju; izvršitelj obrade podataka obrađuje osobne podatke samo u ime i po nalogu voditelja obrade (njihov odnos utvrđen je ugovorom ili drugim pravno obvezujućim aktom). Voditelji obrade podataka moraju uvesti mjere razmjerne rizicima i od samog početka u proces obrade integrirati zaštitu podataka; moraju moći dokazati usklađenost s Općom uredbom o zaštiti podataka (načelo odgovornosti).

Ulogu voditelja ili izvršitelja obrade podataka treba ocijeniti u svakom pojedinom slučaju. U kontekstu izbora razni akteri mogu biti voditelji obrade podataka: političke stranke, pojedinačni kandidati i zaklade najčešće su voditelji obrade podataka; platforme i poduzeća za podatkovnu analitiku mogu biti (zajednički) voditelji ili izvršitelji obrade za određenu obradu ovisno o stupnju kontrole nad predmetnom obradom; nacionalna izborna tijela vode obradu za izborne registre. Ako se aktivnosti obrade odnose na ponudu roba i usluga pojedincima u Uniji ili praćenje njihova ponašanja u Uniji, i poduzeća sa sjedištem izvan Unije moraju se uskladiti s Općom uredbom o zaštiti podataka. To vrijedi za niz platformi i poduzeća za podatkovnu analitiku. 2.2Načela, zakonitost obrade i posebni uvjeti za „osjetljive podatke” Subjekti koji sudjeluju u izborima mogu obrađivati osobne podatke, uključujući podatke dobivene iz javnih izvora, samo u skladu s načelima povezanima s obradom osobnih podataka i na temelju ograničenog broja razloga koji su jasno utvrđeni u Općoj uredbi o zaštiti podataka. Najvažniji razlozi za zakonitu obradu u kontekstu izbora obuhvaćaju pristanak pojedinca, usklađenost s pravnim obvezama prema zakonodavstvu Unije ili nacionalnom zakonodavstvu, izvršavanje zadaće u javnom interesu i legitimni interes jednog od subjekata. No subjekti u kontekstu izbora mogu se pozvati na legitimni interes samo ako njihove interese ne nadjačavaju interesi predmetnih pojedinaca ili njihova temeljna prava i slobode. K tomu, pohrana informacija u terminalnoj opremi (računalo, pametni telefon itd.), ili stjecanje pristupa informacijama koje su već pohranjene, mora biti u skladu sa zahtjevima Direktive o e-privatnosti za zaštitu terminalne opreme, što znači da bi predmetni pojedinac morao dati svoj pristanak. Ako je pravna osnova obrade pristanak, Općom uredbom o zaštiti podataka propisan je jasan i nedvosmislen pristanak koji mora biti slobodan i informiran. Javna tijela uključena u kontekst izbora obrađuju osobne podatke kako bi poštovala pravnu obvezu ili kako bi izvršavala javnu zadaću. Drugi subjekti u kontekstu izbora mogu obrađivati podatke na temelju pristanka ili legitimnog interesa. Političke stranke i zaklade također mogu obrađivati podatke na temelju javnog interesa ako je tako predviđeno nacionalnim pravom. Javna tijela mogu otkriti političkim strankama određene podatke o pojedincima uvrštenima na izborne liste ili u registre rezidenata samo ako im je to izričito dopušteno pravom države članice i samo u svrhu oglašavanja u kontekstu izbora i u mjeri u kojoj je to nužno za tu svrhu; primjerice mogu otkriti ime i adresu. Obrada u kontekstu izbora često će uključivati „osjetljive podatke”. Obrada takvih podataka, uključujući izvedene „osjetljive podatke”, općenito je zabranjena osim ako se primjenjuje neko od posebnih obrazloženja predviđenih Općom uredbom o zaštiti podataka. Obrada „osjetljivih” podataka zahtijeva ispunjenje specifičnih, strožih uvjeta: osoba mora dati izričitu suglasnost ili mora dotične podatke učiniti javnima. Političke stranke i zaklade također mogu obrađivati „osjetljive podatke” ako postoji znatan javni interes na temelju prava Unije ili države članice te ako su na snazi odgovarajuće zaštitne mjere. Općom uredbom o zaštiti podataka predviđeno je da i one mogu obrađivati „osjetljive podatke” u mjeri u kojoj je to isključivo povezano s njihovim članovima ili bivšim članovima ili osobama koje su s njima u redovitom kontaktu – no podaci se mogu otkriti samo u okviru njihove političke stranke ili zaklade. No politička stranka ne može primijeniti tu specifičnu odredbu za obradu podataka o budućim članovima ili glasačima. Svrha obrade podataka trebala bi biti utvrđena u vrijeme prikupljanja (načelo „ograničavanja svrhe”). Podaci prikupljeni u jednu svrhu mogu se dalje obrađivati samo u kompatibilnu svrhu; u suprotnom je za obradu u novu svrhu potrebno navesti novu pravnu osnovu predviđenu Općom uredbom o zaštiti podataka. Posebno, kada posrednici podataka o stilu života ili platforme prikupljaju podatke u komercijalne svrhe, te podatke nije moguće dalje obrađivati u kontekstu izbora. Osim ako političke stranke i zaklade s dužnom pažnjom provjere jesu li podaci zakonito pribavljeni, ne mogu se koristiti takvim podacima dobivenima od treće strane. 2.3Zahtjevi za transparentnost Slučaj poduzeća Cambridge Analytica pokazao je važnost borbe protiv netransparentnosti i pravilnog informiranja pojedinaca kojih se to tiče. Pojedinci često ne znaju tko obrađuje njihove osobne podatke i u koje svrhe. Prema načelima poštene i transparentne obrade ispitanik treba biti informiran o postupku obrade i njegovim svrhama. Općom uredbom o zaštiti podataka objašnjavaju se obveze voditelja obrade u tom smislu. Oni moraju obavijestiti pojedince o ključnim aspektima koji se odnose na obradu njihovih osobnih podataka kao što su: ·identitet voditelja obrade; ·svrhe obrade; ·primatelji osobnih podataka; ·izvor podataka ako se oni ne prikupljaju izravno od osobe;, ·postojanje automatiziranog donošenja odluka i ·eventualne daljnje informacije potrebne kako bi se osigurala poštena i transparentna obrada. Štoviše, Općom uredbom o zaštiti podataka propisano je da se te informacije daju u sažetom, transparentnom, razumljivom i lako dostupnom obliku te da se rabi jasan i jednostavan jezik. Primjerice, kratka i nejasna obavijest o zaštiti podataka otisnuta sitnim slovima na izbornim materijalima ne bi bila u skladu sa zahtjevima u pogledu transparentnosti.

Prema prvim nalazima, ključni nedostatak u slučaju poduzeća Cambridge Analytica odnosio se na nepotpune informacije o svrsi u koju su podaci prikupljeni, a to je dovelo u pitanje i valjanost suglasnosti osoba čiji su se podaci prikupljali. Sve organizacije koje obrađuju osobne podatke u kontekstu izbora moraju se pobrinuti da pojedinci u potpunosti shvaćaju kako će se njihovi osobni podaci upotrebljavati i u koju svrhu, prije no što daju pristanak ili prije početka obrade voditelja obrade na temelju bilo kojeg drugog razloga. Pojedincima je potrebno pružiti informacije u svakoj fazi obrade, a ne samo kada se podaci prikupe. Posebno, kada političke stranke obrađuju podatke dobivene od trećih strana (primjerice iz izbornih registara, od posrednika podataka, analitičara podataka i drugih izvora) obično moraju obavijestiti pojedince na koje se podaci odnose i objasniti im kako ih kombiniraju i upotrebljavaju da bi se osigurala pravedna obrada. 2.4Profiliranje, automatizirano donošenje odluka i mikrociljanje Profiliranje je oblik automatizirane obrade podataka koji se koristi za analizu ili predviđanje aspekata koji se odnose na osobne preference, interese, gospodarsku situaciju itd. Profiliranje se može upotrebljavati za mikrociljanje, konkretno za analizu osobnih podataka (kao što je povijest pretraživanja na internetu) radi utvrđivanja konkretnih interesa određene publike ili pojedinca u cilju utjecanja na njihove postupke. Mikrociljanje se može upotrebljavati za pružanje personalizirane poruke pojedincu ili publici s pomoću internetskih usluga, npr. društvenih mreža. Slučaj poduzeća Cambridge Analytica pokazao je posebna pitanja koja se nameću zbog metoda mikrociljanja na društvenim mrežama. Organizacije mogu rudariti podatke prikupljene od korisnika društvenih mreža kako bi izradile profile glasača. To bi im moglo omogućiti da identificiraju glasače na koje se može lakše utjecati te da tako utječu na ishod izbora. Na takvu obradu podataka primjenjuju se sva opća načela i pravila Opće uredbe o zaštiti podataka, primjerice načela zakonitosti, pravednosti i transparentnosti te ograničavanja svrhe. Pojedinci često nisu svjesni toga da se izrađuju njihovi profili: ne razumiju zašto primaju neke oglase koji su tako jasno povezani s njihovim posljednjim pretragama ili zašto primaju personalizirane poruke od različitih organizacija. Opća uredba o zaštiti podataka obvezuje sve voditelje obrade, primjerice političke stranke ili analitičare podataka, da obavijeste pojedince kada rabe takve tehnike i o njihovim posljedicama. U Općoj uredbi o zaštiti podataka prepoznato je da automatizirano donošenje odluka, što obuhvaća profiliranje, može imati ozbiljne posljedice. Općom uredbom o zaštiti podataka predviđeno je da pojedinac ima pravo da ne bude podvrgnut odluci temeljenoj isključivo na automatiziranoj obradi kojom nastaju pravni učinci koji se odnose na njega ili slični znatni učinci, osim ako se takva obrada provodi u strogim uvjetima, točnije kada pojedinci daju izričit pristanak ili ako je to omogućeno pravom Unije ili države članice u kojem su utvrđene odgovarajuće zaštitne mjere. Praksa mikrociljanja u kontekstu izbora ubraja se u ovu kategoriju ako njome nastaje dovoljno izražen učinak na pojedince. Europski odbor za zaštitu podataka utvrdio je da je to slučaj ako odluka ima potencijal da znatno utječe na okolnosti, ponašanje ili izbore pojedinaca ili ima produljen ili trajan utjecaj na pojedinca. Odbor je smatrao da bi ciljano internetsko oglašavanje u nekim okolnostima moglo u dovoljnoj mjeri utjecati na pojedince ako je, primjerice, nametljivo ili se njime iskorištavaju znanje ili ranjivosti pojedinca. S obzirom na važnost ostvarivanja demokratskog prava na glasovanje, personalizirane poruke kojima bi se, primjerice, pojedince moglo spriječiti da glasaju ili ih navesti da glasaju na određeni način, mogle bi ispunjavati kriterij izraženog učinka. U kontekstu izbora voditelji obrade moraju osigurati zakonitost svake obrade u kojoj se primjenjuju takve tehnike u skladu s gore navedenim načelima i strogim uvjetima Opće uredbe o zaštiti podataka. 2.5Sigurnost i točnost osobnih podataka Sigurnost je posebno važna u kontekstu izbora s obzirom na veličinu obuhvaćenih skupova podataka i činjenicu da oni često sadržavaju „osjetljive podatke”. Općom uredbom o zaštiti podataka od operatera koji obrađuju osobne podatke (i od voditelja i od izvršitelja obrade) zahtijeva se uvođenje odgovarajućih tehničkih i organizacijskih mjera kako bi se osigurala razina sigurnosti primjerena rizicima za prava i slobode pojedinaca koji nastaju obradom. Općom uredbom o zaštiti podataka od voditelja obrade zahtijeva se da obavijeste nadležno nadzorno tijelo o povredama osobnih podataka bez nepotrebne odgode, a najkasnije u roku od 72 sata. Ako će povreda osobnih podataka vjerojatno uzrokovati velik rizik za prava i slobode pojedinaca, voditelj mora obavijestiti i pojedince na koje ta povreda utječe, bez nepotrebne odgode. Političke stranke i drugi dionici uključeni u izborni proces moraju posebno paziti na točnost osobnih podataka pri obradi velikih skupova podataka i kada se podaci prikupljaju iz različitih, heterogenih izvora. Netočne podatke potrebno je odmah izbrisati ili ispraviti, a po potrebi i ažurirati. 2.6Procjena učinka na zaštitu podataka Općom uredbom o zaštiti podataka uvodi se novi alat za procjenu rizika prije početka obrade, a to je procjena učinka na zaštitu podataka. Ta je procjena učinka nužna svaki put kad bi obrada vjerojatno mogla prouzročiti visok rizik za prava i slobode pojedinaca. To se događa, primjerice, u kontekstu izbora kada voditelj obrade podataka sustavno i opsežno ocjenjuje osobne aspekte pojedinca (uključujući profiliranje), što na njega znatno utječe, te kada voditelj obrade obrađuje veliku količinu „osobnih podataka”. Nacionalna izborna tijela koja izvršavaju svoje javne zadaće možda neće morati provoditi procjenu učinka na zaštitu podataka ako je ona već provedena u kontekstu donošenja zakonodavstva. Procjene učinka koje različiti dionici moraju provesti u kontekstu izbora trebale bi obuhvaćati elemente nužne za otklanjanje rizika obuhvaćenih takvom obradom, posebno zakonitost obrade i za skupove podataka dobivene od trećih strana te zahtjeve transparentnosti. 3.Prava pojedinaca Općom uredbom o zaštiti podataka pojedincima se daju dodatna i veća prava koja su posebno relevantna u kontekstu izbora: ·pravo na pristup vlastitim osobnim podacima;