Wytyczne Komisji dotyczące stosowania unijnych przepisów o ochronie danych osobowych w kontekście wyborczym

Proces demokratyczny nie może funkcjonować bez udziału obywateli. Partie polityczne nieustannie komunikują się z elektoratem, dostosowując do niego swój przekaz oraz uwzględniając wyrażane przez wyborców interesy. Dlatego też jest czymś oczywistym, że podmioty biorące udział w procesie wyborczym interesują się takim wykorzystaniem danych, które może przynieść sukces wyborczy. Rozwój narzędzi cyfrowych i platform internetowych otworzył wiele nowych możliwości angażowania społeczeństwa w debatę polityczną.

Jednakże zastosowanie techniki tzw. mikrotargetowania wyborców, która wiąże się z niezgodnym prawem przetwarzaniem danych osobowych (co można było zaobserwować w ujawnionej aferze Cambridge Analytica), to już zupełnie inny co do istoty problem. Pokazuje on, z jakimi wyzwaniami wiąże się stosowanie nowoczesnych technologii, ale jednocześnie podkreśla szczególne znaczenie ochrony danych w kontekście wyborczym. Problem ten stał się kluczową kwestią nie tylko dla każdego z nas, ale również dla funkcjonowania naszych demokracji, ponieważ stanowi on poważne zagrożenie dla sprawiedliwego i demokratycznego procesu wyborczego oraz może przyczyniać się do podważania takich zasad jak otwartość w debacie, uczciwość i przejrzystość, niezbędnych dla ustroju demokratycznego. Zdaniem Komisji niezwykle istotne jest, aby zająć się tą kwestią w celu przywrócenia zaufania publicznego do uczciwego procesu wyborczego.

Pierwsze sprawozdania brytyjskiego urzędu ochrony danych (Biuro Komisarza ds. informacji – ICO) na temat wykorzystywania danych do analiz na potrzeby kampanii politycznych oraz opinia Europejskiego Inspektora Ochrony Danych w sprawie manipulacji online i danych osobowych potwierdziły rosnący wpływ mikrotargetowania, które opracowano do celów handlowych, w kontekście wyborczym.

W ogólniejszym ujęciu kwestią ochrony danych w kontekście wyborczym zajmowało się szereg organów ochrony danych.

Rozporządzenie (UE) 2016/679 Parlamentu Europejskiego i Rady (ogólne rozporządzenie o ochronie danych), które ma bezpośrednie zastosowanie w całej Unii od dnia 25 maja 2018 r., zapewnia Unii narzędzia niezbędne do przeciwdziałania przypadkom niezgodnego z prawem wykorzystywania danych osobowych w kontekście wyborczym. Tylko jednak zdecydowane i spójne stosowanie tych przepisów przyczyni się do ochrony integralności polityki demokratycznej. Ponieważ przepisy te po raz pierwszy znajdą zastosowanie w kontekście wyborów europejskich, przy okazji zbliżających się wyborów do Parlamentu Europejskiego, istotne jest stworzenie podmiotom zaangażowanym w proces wyborczy – takim jak krajowe organy wyborcze, partie polityczne, brokerzy baz danych, analitycy danych, czy internetowe sieci reklamy online – klarownych zasad działania. Celem niniejszych wytycznych jest podkreślenie obowiązków w zakresie ochrony danych mających znaczenie dla wyborów. Krajowe organy ochrony danych, których zadaniem jest egzekwowanie ogólnego rozporządzenia o ochronie danych, powinny w pełni wykorzystywać przysługujące im wzmocnione uprawnienia władcze, aby zwalczać ewentualne naruszenia w tym zakresie, w szczególności te odnoszące się do mikrotargetowania wyborców.

1.Unijne ramy ochrony danych

Ochrona danych osobowych jest prawem podstawowym zagwarantowanym w Karcie praw podstawowych Unii Europejskiej (art. 8) oraz w traktatach (art. 16 TFUE). Ogólne rozporządzenie o ochronie danych wzmacnia ramy ochrony danych, wyposażając Unię w lepsze narzędzia służące zwalczaniu przypadków nadużyć w zakresie danych osobowych w przyszłości oraz wprowadzając większą odpowiedzialność oraz rozliczalność wszystkich podmiotów za to, jak przetwarzają one dane osobowe.

Rozporządzenie to przyznaje osobom fizycznym w Unii dodatkowe i większe prawa, które nabierają szczególnego znaczenia w kontekście wyborów. Reżim prawny ochrony danych, który w ostatnich 20 latach obowiązywał w Unii, dotknięty był niedostatkami, w szczególności z uwagi na stosowanie w sposób fragmentaryczny przepisów pomiędzy państwami członkowskimi, brak sformalizowanych mechanizmów współpracy krajowych organów ochrony danych oraz ze względu na ograniczone uprawnienia w zakresie egzekwowania prawa, jakimi dysponowały te organy. Ogólne rozporządzenie o ochronie danych odnosi się do tych niedociągnięć: opierając się na sprawdzonych zasadach ochrony danych, harmonizuje ono kluczowe pojęcia, takie jak zgoda, zwiększa prawa osób fizycznych do otrzymywania informacji na temat przetwarzania ich danych, precyzuje warunki, na jakich dane osobowe można dalej udostępniać, wprowadza przepisy dotyczące naruszeń danych, ustanawia mechanizm współpracy między organami ochrony danych w sprawach transgranicznych oraz wzmacnia ich uprawnienia w zakresie egzekwowania prawa. W przypadku naruszenia unijnych przepisów o ochronie danych organy ochrony danych mają uprawnienia do prowadzenia dochodzeń (np. poprzez zobowiązanie do udzielania informacji, przeprowadzanie kontroli w pomieszczeniach administratorów i podmiotów przetwarzających) oraz do korygowania zachowań (np. poprzez wydawanie ostrzeżeń i nagan, bądź też nakładanie zawieszeń przetwarzania o charakterze tymczasowym lub ostatecznym). Mają one również uprawnienia do nakładania kar pieniężnych w wysokości do 20 mln EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu. Podejmując decyzję o nałożeniu kary pieniężnej oraz jej wysokości, organy ochrony danych uwzględnią okoliczności danej sprawy oraz takie elementy, jak charakter, zakres lub cel przetwarzania, liczba osób, których to dotyczy, a także rozmiar poniesionych przez nie szkód. Jeżeli chodzi o wybory, prawdopodobne jest, że waga naruszenia oraz liczba osób, których ono dotyczy, będą znaczne. Może to doprowadzić do nałożenia wysokich kar, w szczególności biorąc pod uwagę znaczenie kwestii zaufania obywateli do procesu demokratycznego.

Niedawno utworzona Europejska Rada Ochrony Danych, w której skład wchodzą wszystkie krajowe organy ochrony danych oraz Europejski Inspektor Ochrony Danych, odgrywa kluczową rolę w stosowaniu ogólnego rozporządzenia o ochronie danych poprzez wydawanie wytycznych, zaleceń i najlepszych praktyk. Krajowe organy ochrony danych egzekwują stosowanie rozporządzenia oraz są bezpośrednimi punktami kontaktowymi dla zainteresowanych podmiotów. Dlatego to one właśnie są w stanie w najlepszy sposób zapewnić większą pewność prawa, jeżeli chodzi o interpretowanie rozporządzenia. Komisja aktywnie wspiera organy krajowe w tym zakresie.

Dyrektywa o prywatności i łączności elektronicznej (dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady ) uzupełnia unijne ramy ochrony danych i ma duże znaczenie w kontekście wyborczym, ponieważ jej zakres przedmiotowy obejmuje zasady dotyczące elektronicznego przesyłania niezamówionych komunikatów, w tym komunikatów do celów marketingu bezpośredniego. Dyrektywa o prywatności i łączności elektronicznej określa również zasady przechowywania informacji i uzyskiwania dostępu do już przechowywanych informacji, takich jak pliki cookie, które mogą być wykorzystywane do śledzenia zachowań użytkowników w sieci, w urządzeniach końcowych, takich jak smartfon lub komputer. Wniosek Komisji dotyczący rozporządzenia o prywatności i łączności elektronicznej, który obecnie jest przedmiotem negocjacji, opiera się na tych samych zasadach, co dyrektywa o prywatności i łączności elektronicznej. Nowe rozporządzenie rozszerzy swój zakres podmiotowy poza tradycyjnych operatorów telekomunikacyjnych, aby objąć podmioty świadczące internetowe usługi łączności elektronicznej.

2.Kluczowe obowiązki różnych podmiotów

Ogólne rozporządzenie o ochronie danych stosuje się do wszystkich podmiotów działających w kontekście wyborczym, takich jak europejskie i krajowe partie polityczne (zwane dalej: „partiami politycznymi”), europejskie i krajowe fundacje polityczne (zwane dalej: „fundacjami”), platformy, przedsiębiorstwa zajmujące się analizą danych oraz organy publiczne odpowiedzialne za proces wyborczy. Mają oni obowiązek przetwarzać dane osobowe (na przykład nazwiska i adresy) zgodnie z prawem, rzetelnie oraz w sposób przejrzysty, wyłącznie do określonych celów. Nie mogą one wykorzystywać tych danych w sposób niezgodny z celami, dla których dane zostały pierwotnie zgromadzone. Przetwarzanie danych do celów dziennikarskich również wchodzi w zakres ogólnego rozporządzenia o ochronie danych, ale może korzystać ze zwolnień i odstępstw przewidzianych w prawie krajowym, biorąc pod uwagę znaczenie prawa do wolności wypowiedzi i informacji w społeczeństwie demokratycznym.

Pojęcie danych osobowych jest pojęciem bardzo szerokim. „Dane osobowe” to wszelkie dane dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane przetwarzane w kontekście wyborczym często obejmują szczególne kategorie danych osobowych („dane wrażliwe”), takie jak poglądy polityczne, przynależność do związków zawodowych, pochodzenie etniczne, seksualność itp., które podlegają większej ochronie. Ponadto w ramach analizy danych z danych niewrażliwych można wydobyć „dane wrażliwe” (takie jak poglądy polityczne, ale również przekonania religijne lub orientacja seksualna). Przetwarzanie tych wydobytych danych również objęte jest zakresem ogólnego rozporządzenia o ochronie danych, w związku z czym powinno ono odbywać się zgodnie z wszystkimi przepisami o ochronie danych.

Dlatego też praktycznie wszystkie operacje przetwarzania danych w kontekście wyborczym podlegają ogólnemu rozporządzeniu o ochronie danych.

Biorąc pod uwagę potrzebę zapewnienia podmiotom zaangażowanym w proces wyborczy klarownych zasad działania oraz uwzględniając pierwsze ustalenia w sprawie Cambridge Analytica, poniżej zaakcentowano obowiązki związane z ochroną danych, których przestrzeganie wydaje się szczególnie istotne w kontekście wyborczym. Ich streszczenie zawarto w załączniku.

2.1Administratorzy i podmioty przetwarzające

Pojęcie rozliczalności administratorów i współadministratorów danych jest głównym elementem ogólnego rozporządzenia o ochronie danych. Administratorem danych jest podmiot, który decyduje samodzielnie lub we współpracy z innymi, w jakim celu i w jaki sposób dane osobowe są przetwarzane; Podmiot przetwarzający przetwarza dane osobowe wyłącznie w imieniu i pod kierunkiem administratora (na zasadach określonych w umowie lub w innym wiążącym akcie prawnym). Administratorzy danych mają obowiązek wprowadzić środki odpowiednie do zagrożeń i wdrożyć ochronę danych od samego początku już w fazie projektowania oraz móc wykazać, że przestrzegają ogólnego rozporządzenia o ochronie danych (zasada rozliczalności).