Komisijas vadlīnijas par Savienības datu aizsardzības regulējuma piemērošanu vēlēšanu kontekstā

Mijiedarbība ar elektorātu ir demokrātijas procesa pamats. Ar vēlēšanām saistītas komunikācijas pielāgošana dažādu mērķauditoriju vajadzībām, ņemot vērā to konkrētās intereses, ir politisko partiju ikdienas prakse. Tāpēc gluži dabiska ir vēlēšanās iesaistīto dalībnieku vēlme pētīt iespējas, kā izmantot datus vēlētāju balsu iegūšanai. Digitālo rīku un tiešsaistes platformu uzplaukums ir radījis daudzas jaunas iespējas cilvēku uzrunāšanai politiskajās debatēs.

Tomēr vēlētāju individualizēta uzrunāšana, izmantojot to personas datu nelikumīgu apstrādi, kā tas noticis Cambridge Analytica gadījumā, ir gluži cita lieta. Tas uzskatāmi parāda problēmas, ko rada modernās tehnoloģijas, bet vienlaikus arī apliecina datu aizsardzības svarīgumu vēlēšanu kontekstā. Tas ir kļuvis par svarīgu jautājumu ne tikai fiziskām personām, bet arī mūsu demokrātijas darbībai, jo tas nopietni apdraud godīgu un demokrātisku vēlēšanu procesu un var potenciāli ietekmēt atklātās debates, godīgumu un pārredzamību, kas ir demokrātijas neatņemami elementi. Komisija uzskata, ka ir ārkārtīgi svarīgi risināt šo jautājumu, lai atjaunotu sabiedrības uzticēšanos vēlēšanu procesa godīgumam.

Lai gan sākotnēji individualizētas uzrunāšanas metode tika izstrādāta komerciāliem mērķiem, Apvienotās Karalistes datu aizsardzības iestādes (Informācijas komisāra birojs — ICO) pirmie ziņojumi par datu analīzes izmantošanu politiskajās kampaņās un Eiropas Datu aizsardzības uzraudzītāja atzinums par manipulāciju tiešsaistē un personas datiem ir apstiprinājuši vēlētāju individualizētas uzrunāšanas augošo ietekmi vēlēšanu kontekstā.

Jautājumu par datu aizsardzību vēlēšanu kontekstā ir aplūkojušas vairākas datu aizsardzības iestādes.

Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (Vispārīgā datu aizsardzības regula), kas kļuva tieši piemērojama visā Savienībā 2018. gada 25. maijā, dod Savienībai vajadzīgos instrumentus, ar kuriem risināt personas datu nelikumīgu izmantošanu vēlēšanu kontekstā. Tomēr demokrātiskas politikas godīgumu palīdzēs aizsargāt tikai stingra un konsekventa noteikumu piemērošana. Tā kā Eiropas vēlēšanu kontekstā — gaidāmajās Eiropas Parlamenta vēlēšanās — šie noteikumi tiks piemēroti pirmo reizi, ir svarīgi nodrošināt skaidrību tādiem vēlēšanu procesā iesaistītajiem dalībniekiem kā valstu vēlēšanu iestādes, politiskās partijas, datu starpnieki un analītiķi, sociālo plašsaziņas līdzekļu platformas un tiešsaistes reklāmas tīkli. Tāpēc šo vadlīniju mērķis ir uzsvērt datu aizsardzības pienākumus, kas attiecas uz vēlēšanām. Valstu datu aizsardzības iestādēm kā Vispārīgās datu aizsardzības regulas īstenotājām ir pilnībā jāizmanto savas nostiprinātās pilnvaras iespējamo pārkāpumu novēršanai, it īpaši vēlētāju individualizētas uzrunāšanas aspektā.

1.Savienības datu aizsardzības satvars

Personas datu aizsardzība pieder pie pamattiesībām, kas ierakstītas Eiropas Savienības Pamattiesību hartā (8. pantā) un Līgumos (LESD 16. pantā). Vispārīgā datu aizsardzības regula nostiprina datu aizsardzības satvaru, tādējādi Savienība nākotnē varēs labāk vērsties pret personas datu ļaunprātīgas izmantošanas gadījumiem un no visām iesaistītajām personām būs iespējams prasīt lielāku atbildību un pārskatatbildību personas datu apstrādē.

Šī regula Savienības iedzīvotājiem dod papildu un stingrākas tiesības, kas vēlēšanu kontekstā ir īpaši svarīgas. Datu aizsardzības kārtību, kas Savienībā bija spēkā iepriekšējos 20 gadus, negatīvi ietekmēja tas, ka noteikumu piemērošana dažādās dalībvalstīs bija sadrumstalota, trūka formalizētu sadarbības mehānismu starp valstu datu aizsardzības iestādēm, turklāt šo iestāžu izpildes pilnvaras bija ierobežotas. Vispārīgā datu aizsardzības regula novērš šos trūkumus: pamatojoties uz pārbaudītajiem datu aizsardzības principiem, tā harmonizē galvenos jēdzienus, tādus kā piekrišana, nostiprina privātpersonu tiesības saņemt informāciju par viņu datu apstrādi, skaidro nosacījumus, ar kādiem personas dati var tikt koplietoti, ievieš noteikumus par personas datu aizsardzības pārkāpumiem, ievieš sadarbības mehānismu starp datu aizsardzības iestādēm pārrobežu lietās un stiprina to izpildes pilnvaras. Gadījumā, ja tiek pārkāpti ES datu aizsardzības noteikumi, datu aizsardzības iestādēm ir pilnvaras izmeklēt attiecīgos gadījumus (piemēram, pieprasīt informāciju, veikt pārbaudes datu pārziņu un apstrādātāju telpās) un labot rīcību (piemēram, izdodot brīdinājumus un rājienus vai nosakot pagaidu vai pastāvīgu apstrādes apturēšanu). Tām ir arī pilnvaras uzlikt naudas sodus līdz pat 20 miljonu euro apmērā vai — ja tas ir uzņēmums — līdz 4 % no uzņēmuma apgrozījuma pasaulē. Lemjot par naudas soda uzlikšanu un tā apmēru, datu aizsardzības iestādes ņems vērā konkrētās lietas apstākļus un faktorus, kā apstrādes raksturs, apmērs vai nolūks, skarto personu skaits un šīm personām nodarītā kaitējuma līmenis. Vēlēšanu kontekstā, visticamāk, pārkāpuma smagums un skarto personu skaits būs liels. Rezultātā var tikt uzlikti lieli sodi, it īpaši ņemot vērā, ka ļoti liela nozīme ir tam, lai pilsoņi uzticētos demokrātijas procesam.

Jaunizveidotajai Eiropas Datu aizsardzības kolēģijai, kurā apvienotas visas valstu datu aizsardzības iestādes, kā arī Eiropas Datu aizsardzības uzraudzītājs, ir svarīga nozīme Vispārīgās datu aizsardzības regulas piemērošanā, jo šī kolēģija izdod vadlīnijas, ieteikumus un paraugpraksi. Valstu datu aizsardzības iestādes kā Vispārīgās datu aizsardzības regulas īstenotājas un tiešie kontaktpunkti ieinteresētajām personām var sniegt papildu juridisko noteiktību attiecībā uz noteikumu interpretāciju. Komisija aktīvi atbalsta šo darbu.

Direktīva par privāto dzīvi un elektronisko komunikāciju jeb E-privātuma direktīva (Eiropas Parlamenta un Padomes Direktīva 2002/58/EK) papildina Savienības datu aizsardzības sistēmu un ir svarīga vēlēšanu kontekstā, jo tā aptver noteikumus par nepieprasītu paziņojumu elektronisko sūtīšanu, tai skaitā tiešās tirgvedības nolūkos. E-privātuma direktīvā ir paredzēti arī noteikumi par informācijas uzglabāšanu galiekārtās, piemēram, viedtālrunī vai datorā, un par piekļuves saņemšanu jau uzglabātai informācijai, tādai kā sīkdatnes, kas var tikt izmantotas, lai izsekotu lietotāja darbību tiešsaistē. Komisijas priekšlikums Privātuma un elektronisko sakaru regulai (E-privātuma regula), par kuru patlaban risinās sarunas, balstās uz tiem pašiem principiem kā e-privātuma direktīva. Jaunā regula paplašinās direktīvas tvērumu, lai papildus tradicionālajiem telesakaru operatoriem tajā iekļautu elektroniskās saziņas pakalpojumus internetā.

2.Dažādu dalībnieku galvenie pienākumi

Vispārīgā datu aizsardzības regula attiecas uz visiem vēlēšanu procesā iesaistītajiem dalībniekiem, kā Eiropas un valstu politiskās partijas (turpmāk “politiskās partijas”), Eiropas un valstu politiskie fondi (turpmāk “fondi”), platformas, datu analīzes uzņēmumi un par vēlēšanu procesu atbildīgās publiskās iestādes. Visiem šiem dalībniekiem personas dati (piemēram, vārdi un adreses) jāapstrādā likumīgā, godīgā un pārredzamā veidā, kā arī tikai konkrētajiem nolūkiem. Tie nedrīkst atkalizmantot datus nolūkos, kuri nav saderīgi ar datu sākotnējās vākšanas mērķi. Apstrāde žurnālistikas nolūkā arī principā ietilpst Vispārīgās datu aizsardzības regulas darbības jomā, taču uz to var tikt attiecināti valsts tiesību aktos paredzēti izņēmumi un atkāpes, ņemot vērā, cik svarīgas demokrātiskā sabiedrībā ir tiesības uz vārda un informācijas brīvību.

Personas datu jēdziens ir visaptverošs. Personas dati ir visi dati, kas attiecas uz identificētu vai identificējamu fizisko personu. Vēlēšanu kontekstā apstrādātie dati bieži ietvers īpašas personas datu kategorijas (“sensitīvi dati”), piemēram, politiskie uzskati, piederība arodbiedrībām, etniskā izcelsme, seksuālā dzīve utt., kam piemēro lielākas aizsardzības režīmu. Turklāt ar datu analīzi “sensitīvus datus” (piemēram, politiskie uzskati, reliģiskā pārliecība vai seksuālā orientācijā) ir iespējams izsecināt no nesensitīvu datu kopām. Šo izsecināto datu apstrāde arī ietilpst Vispārīgās datu aizsardzības regulas tvērumā, tāpēc tai ir jānotiek saskaņā ar visiem datu aizsardzības noteikumiem.

Tādējādi secināms, ka praktiski visas datu apstrādes darbības vēlēšanu kontekstā ietilpst Vispārīgās datu aizsardzības regulas tvērumā.

Ņemot vērā vajadzību sniegt skaidrību vēlēšanu procesā iesaistītajiem dalībniekiem un pamatojoties uz pirmajiem konstatējumiem Cambridge Analytica lietā, nākamajās iedaļās ir izcelti datu aizsardzības pienākumi, kas vēlēšanu kontekstā ir īpaši aktuāli. Tie ir apkopoti pielikumā.

2.1Datu pārziņi un apstrādātāji

Datu pārziņu un kopīgo pārziņu pārskatatbildības jēdziens ir Vispārīgās datu aizsardzības regulas centrālā iezīme. Datu pārzinis ir organizācija, kas viena pati vai sadarbībā ar citiem lemj par to, kādiem nolūkiem un kādā veidā personas dati tiek apstrādāti; datu apstrādātājs apstrādā personas datus tikai datu pārziņa vārdā un saskaņā ar datu pārziņa norādījumiem (datu apstrādātāja un datu pārziņa savstarpējās attiecības ir noteiktas līgumā vai citā juridiski saistošā aktā). Pārziņiem ir pienākums ieviest faktiskajiem riskiem atbilstošus pasākumus un īstenot datu aizsardzību no paša sākuma, kā arī jāspēj apliecināt atbilstību Vispārīgajai datu aizsardzības regulai (pārskatatbildības princips).