Usmernenie Komisie o uplatňovaní práva Únie v oblasti ochrany údajov v kontexte volieb

Základom demokratického procesu je spojenie s voličmi. Politické strany neustále prispôsobujú volebnú komunikáciu publiku a zisťujú jeho konkrétne záujmy. Pre aktérov zapojených do volieb je preto prirodzené skúmať možnosti, ako využívať údaje na získavanie hlasov. Rozšírením digitálnych nástrojov a online platforiem sa vytvorilo veľa nových možností pre zapájanie ľudí do politickej diskusie.

Mikrozacielenie voličov založené na nezákonnom spracúvaní osobných údajov, ako sme boli svedkami v prípade odhalení ohľadne spoločnosti Cambridge Analytica, má však inú podstatu. Ilustruje, s akými výzvami sa spájajú moderné technológie, ale takisto poukazuje na osobitný význam ochrany údajov v kontexte volieb. Stal sa kľúčovou otázkou nielen pre jednotlivcov, ale aj pre fungovanie našich demokracií, pretože vážne ohrozuje spravodlivý demokratický volebný proces a môže narušiť otvorenú diskusiu, spravodlivosť a transparentnosť, ktoré sú v demokracii zásadné. Komisia sa domnieva, že je nevyhnutné tento problém riešiť, aby sa obnovila dôvera verejnosti v spravodlivý volebný proces.

V prvých správach Úradu pre ochranu údajov Spojeného kráľovstva (Úrad komisára pre informácie – ICO) o používaní analýzy údajov v politických kampaniach a v stanovisku európskeho dozorného úradníka pre ochranu údajov k online manipulácii a osobným údajom sa potvrdilo, že v kontexte volieb narastá vplyv mikrozacielenia, pôvodne vyvinutého na obchodné účely.

Problémom ochrany údajov v kontexte volieb sa zaoberali viaceré orgány pre ochranu údajov.

Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov), ktoré sa stalo priamo uplatniteľné v celej Únii 25. mája 2018, poskytuje Únii potrebné nástroje na riešenie prípadov nezákonného používania osobných údajov v kontexte volieb). Etický priebeh demokratických politík umožní chrániť len dôsledné a jednotné uplatňovanie týchto pravidiel. Keďže v kontexte európskych volieb sa tieto pravidlá po prvýkrát uplatnia pri príležitosti nadchádzajúcich volieb do Európskeho parlamentu, je dôležité, aby boli zrozumiteľné pre aktérov zapojených do volebného procesu, ako sú vnútroštátne volebné orgány, politické strany, sprostredkovatelia údajov a dátoví analytici, platformy pre sociálne média a online reklamné siete. Cieľom tohto usmernenia je preto zdôrazniť príslušné povinnosti týkajúce sa ochrany údajov v kontexte volieb. Vnútroštátne orgány pre ochranu údajov ako subjekty zodpovedné za presadzovanie všeobecného nariadenia o ochrane údajov musia naplno využiť svoje posilnené právomoci na riešenie možných porušení tohto nariadenia, a to najmä tých, ktoré súvisia s mikrozacielením voličov.

1.Rámec ochrany údajov v Únii

Ochrana osobných údajov je základným právom, ktoré je zakotvené v Charte základných práv Európskej únie (článok 8) a v zmluvách (článok 16 ZFEÚ). Vo všeobecnom nariadení o ochrane údajov sa zdôrazňuje rámec ochrany údajov, vďaka ktorému bude Únia v budúcnosti lepšie vybavená na riešenie prípadov zneužitia osobných údajov a aktéri budú niesť väčšiu zodpovednosť za to, ako nakladajú s osobnými údajmi.

Jednotlivci v Únii tak získavajú ďalšie a silnejšie práva, ktoré obzvlášť zavážia v kontexte volieb. Režim ochrany údajov, ktorý existoval v Únii posledných 20 rokov, zlyhával najmä z dôvodov rozdielneho uplatňovania pravidiel medzi členskými štátmi, nedostatku formalizovaných mechanizmov spolupráce medzi vnútroštátnymi orgánmi pre ochranu údajov a obmedzených právomocí týchto orgánov v oblasti presadzovania práva. Vo všeobecnom nariadení o ochrane údajov sa tieto nedostatky riešia: vychádzajúc z osvedčených zásad ochrany údajov sa zjednocujú kľúčové pojmy, ako napríklad súhlas, posilňujú sa práva jednotlivcov na informácie o spracúvaní ich údajov, objasňujú sa podmienky, za ktorých môžu byť osobné údaje ďalej postúpené, zavádzajú sa pravidlá týkajúce sa porušenia ochrany osobných údajov, zriaďuje sa mechanizmus spolupráce medzi orgánmi pre ochranu údajov v cezhraničných prípadoch a posilňujú sa ich právomoci v oblasti presadzovania práva. V prípade porušenia pravidiel EÚ v oblasti ochrany údajov majú orgány pre ochranu údajov právomoc viesť vyšetrovanie (napr. prikázať sprístupnenie informácií, vykonať kontroly v priestoroch prevádzkovateľov a sprostredkovateľov) a napraviť správanie (napr. vydať napomenutie alebo pokarhanie, alebo nariadiť dočasné alebo trvalé pozastavenie spracúvania). Takisto majú právomoc udeliť pokuty do výšky 20 miliónov eur alebo v prípade spoločnosti do výšky 4 % jej celosvetového obratu. Orgány pre ochranu údajov zohľadnia pri rozhodovaní o udelení pokút a ich výškach okolnosti konkrétneho prípadu a faktory, ako sú povaha, rozsah a účel spracovania, počet dotknutých osôb a výška škody, ktorú utrpeli. V kontexte volieb je pravdepodobné, že závažnosť porušenia a počet dotknutých osôb budú vysoké. Najmä vzhľadom na dôležitosť otázky dôvery občanov v demokratický proces to môže viesť k udeleniu vysokých pokút.

Novozriadený Európsky výbor pre ochranu údajov, ktorý združuje všetky vnútroštátne orgány pre ochranu údajov, ako aj Európskeho dozorného úradníka pre ochranu údajov, zohráva kľúčovú úlohu pri uplatňovaní všeobecného nariadenia o ochrane údajov vydávaním usmernení, odporúčaní a najlepších postupov. Ako subjekty zodpovedné za presadzovanie všeobecného nariadenia o ochrane údajov a priame kontakty so zainteresovanými stranami sú vnútroštátne orgány pre ochranu údajov vo vhodnej pozícii na to, aby pri výklade nariadenia poskytovali dodatočnú právnu istotu. Komisia túto ich prácu aktívne podporuje.

Rámec ochrany údajov v Únii dopĺňa smernica o súkromí a elektronických komunikáciách (smernica Európskeho parlamentu a Rady 2002/58/ES), ktorá je v kontexte volieb dôležitá, lebo v jej rozsahu sú zahrnuté pravidlá týkajúce sa elektronického zasielania nevyžiadaných správ, a to aj na účely priameho marketingu. V smernici o súkromí a elektronických komunikáciách sa stanovujú pravidlá týkajúce sa ukladania informácií a prístupu k informáciám už uloženým v koncových zariadeniach ako smartfón alebo počítač, napríklad k súborom cookies, ktoré sa môžu využívať na sledovanie správania používateľa na internete. V súčasnosti sa rokuje o návrhu nariadenia Komisie o súkromí a elektronických komunikáciách („nariadenie o súkromí a elektronických komunikáciách“), ktoré je založené na rovnakých princípoch ako smernica o súkromí a elektronických komunikáciách. Rozsah nového nariadenia sa rozšíri nad rámec tradičných telekomunikačných operátorov, aby zahŕňal aj internetové elektronické komunikačné služby.

2.Kľúčové povinnosti jednotlivých aktérov

Všeobecné nariadenie o ochrane údajov sa vzťahuje na všetkých aktérov volieb, ako sú európske a vnútroštátne politické strany (ďalej len „politické strany“), európske a vnútroštátne politické nadácie (ďalej len „nadácie“), platformy, spoločnosti zaoberajúce sa analýzou údajov a orgány verejnej moci zodpovedné za volebný proces. Osobné údaje (napr. mená a adresy) musia spracúvať zákonne, spravodlivo a transparentným spôsobom len na určené účely. Nemôžu ich ďalej použiť spôsobom, ktorý je nezlučiteľný s účelmi, na ktoré boli údaje pôvodne získané. Spracúvanie údajov na žurnalistické účely takisto v zásade patrí do rozsahu pôsobnosti všeobecného nariadenia o ochrane údajov, ale vzhľadom na dôležitosť práva na slobodu prejavu a informácie v demokratickej spoločnosti sa naň môžu vzťahovať výnimky a odchýlky vnútroštátneho práva.

Pojem „osobné údaje“ je komplexný. „Osobné údaje“ sú všetky údaje súvisiace s identifikovanou alebo identifikovateľnou fyzickou osobou. Údaje spracúvané v kontexte volieb často zahŕňajú špeciálne kategórie osobných údajov („citlivé údaje“), ako napríklad politické názory, členstvo v odborových zväzoch, etnický pôvod, sexuálny život atď., na ktoré sa vzťahuje vyšší stupeň ochrany. Okrem toho „citlivé údaje“ (ako sú politické názory, ale aj náboženské presvedčenie alebo sexuálna orientácia) možno prostredníctvom analýzy údajov odvodiť zo súborov údajov, ktoré nie sú citlivé. Spracúvanie takýchto odvodených údajov takisto patrí do rozsahu pôsobnosti všeobecného nariadenia o ochrane údajov, a preto by malo byť v súlade so všetkými pravidlami ochrany údajov.

Všeobecné nariadenie o ochrane údajov sa teda vzťahuje prakticky na všetky operácie spracúvania údajov v kontexte volieb.

Vzhľadom na to, že pravidlá musia byť aktérom zapojeným do volebného procesu zrozumiteľné, ako aj vzhľadom na prvé zistenia v prípade Cambridge Analytica, sú v ďalších častiach zdôraznené povinnosti v oblasti ochrany údajov, ktoré sa zdajú byť obzvlášť relevantné v kontexte volieb. Tieto povinnosti sú zhrnuté v prílohe.

2.1Prevádzkovatelia a sprostredkovatelia údajov

Ústredným prvkom všeobecného nariadenia o ochrane údajov je pojem „zodpovednosť prevádzkovateľov údajov a spoločných prevádzkovateľov“. Prevádzkovateľ údajov je organizácia, ktorá samostatne alebo v spolupráci s inými rozhoduje o tom, prečo a ako sa spracúvajú osobné údaje; sprostredkovateľ údajov spracúva osobné údaje iba v mene a podľa inštrukcií prevádzkovateľa (ich vzťah je stanovený v zmluve alebo inom právne záväznom akte). Prevádzkovatelia údajov musia zaviesť opatrenia primerané rizikám, od začiatku zabezpečovať špecificky navrhnutú ochranu údajov a musia byť schopní preukázať, že dodržiavajú všeobecné nariadenie o ochrane údajov (zásada zodpovednosti).