Smernice Komisije o uporabi prava Unije o varstvu podatkov v volilnem kontekstu

Sodelovanje z volivci je temelj demokratičnega procesa. Gre za stalno prakso političnih strank, ki volilno komuniciranje prilagajajo različnim skupinam ob upoštevanju njihovih posebnih interesov. Zato je razumljivo, da bodo akterji, vključeni v volitve, iskali možnosti, da z uporabo podatkov pridobijo glasove. Zaradi vzpona digitalnih orodij in spletnih platform so se pojavile številne nove priložnosti za sodelovanje z ljudmi v politični razpravi.

Vendar pa je razvoj izjemno natančnega ciljnega usmerjanja na volivce, ki temelji na nezakoniti obdelavi osebnih podatkov, kot so pokazala razkritja v zvezi s podjetjem Cambridge Analytica, drugačne narave. Ponazarja izzive, ki jih prinašajo sodobne tehnologije, hkrati pa tudi kaže na poseben pomen varstva podatkov v volilnem kontekstu. To ni postalo ključno vprašanje le za posameznike, temveč tudi za delovanje naših demokracij, saj pomeni resno grožnjo poštenemu, demokratičnemu volilnemu procesu ter lahko spodkoplje odprto razpravo, poštenost in preglednost, ki so bistvene za demokracijo. Komisija meni, da je rešitev tega vprašanja izrednega pomena za povrnitev zaupanja javnosti v poštenost volilnega procesa.

Prva poročila organa Združenega kraljestva za varstvo podatkov (Urad informacijskega pooblaščenca Združenega kraljestva) o uporabi podatkovne analitike v političnih kampanjah ter mnenje Evropskega nadzornika za varstvo podatkov o spletnih manipulacijah in osebnih podatkih so potrdila vse večji vpliv izjemno natančnega ciljnega usmerjanja, ki je bilo prvotno razvito za komercialne namene, v volilnem kontekstu.

Na splošno je vprašanje varstva podatkov v volilnem kontekstu obravnavalo več organov za varstvo podatkov.

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta (Splošna uredba o varstvu podatkov), ki se je v vsej Uniji začela neposredno uporabljati 25. maja 2018, Uniji zagotavlja orodja, potrebna za obravnavo primerov nezakonite uporabe osebnih podatkov v volilnem kontekstu. Kljub temu bo le odločna in dosledna uporaba pravil pripomogla k varstvu integritete demokratične politike. Ker se bodo ta v evropskem volilnem kontekstu prvič uporabila ob prihodnjih volitvah v Evropski parlament, jih je pomembno pojasniti akterjem, udeleženim v volilne procese, kot so nacionalni volilni organi, politične stranke, posredniki in analitiki podatkov, platforme družbenih medijev ter spletna oglaševalna omrežja. Namen teh smernic je torej poudariti obveznosti glede varstva podatkov, ki so pomembne za volitve. Nacionalni organi za varstvo podatkov morajo kot izvrševalci Splošne uredbe o varstvu podatkov v celoti izkoristiti svoja okrepljena pooblastila za obravnavanje morebitnih kršitev, zlasti v zvezi z izjemno natančnim ciljnim usmerjanjem na volivce.

1.Okvir Unije za varstvo podatkov

Varstvo osebnih podatkov je temeljna pravica, določena v Listini Evropske unije o temeljnih pravicah (člen 8) in Pogodbah (člen 16 PDEU). Splošna uredba o varstvu podatkov krepi okvir za varstvo podatkov, zato Unija postaja bolje pripravljena na obravnavanje primerov zlorabe osebnih podatkov v prihodnosti, vsi akterji pa odgovornejši pri ravnanju z osebnimi podatki.

Posameznikom v Uniji zagotavlja dodatne in večje pravice, ki so še posebej pomembne v volilnem kontekstu. Ureditev varstva podatkov, ki je v preteklih 20 letih veljala v Uniji, je trpela zlasti zaradi razdrobljene uporabe pravil med državami članicami, neobstoja kakršnih koli formaliziranih mehanizmov sodelovanja med nacionalnimi organi za varstvo podatkov in omejenih izvršilnih pooblastil navedenih organov. Splošna uredba o varstvu podatkov odpravlja te pomanjkljivosti: na podlagi dokazanih načel varstva podatkov usklajuje ključne pojme, kot je privolitev, krepi pravico posameznikov do prejemanja informacij o obdelavi njihovih podatkov, pojasnjuje pogoje, pod katerimi se osebni podatki lahko posredujejo naprej, uvaja pravila o kršitvah varstva osebnih podatkov, vzpostavlja mehanizem sodelovanja med organi za varstvo podatkov v čezmejnih primerih in krepi njihova izvršilna pooblastila. Ob kršitvi pravil EU o varstvu podatkov imajo organi za varstvo podatkov pooblastila za preiskovanje (na primer s tem, da odredijo predložitev informacij ter izvedejo inšpekcijske preglede v prostorih upravljavcev in obdelovalcev) in popravljanje ravnanja (na primer z izdajanjem opozoril in opominov ali naložitvijo začasne ali dokončne prepovedi obdelave).Prav tako so pooblaščeni, da naložijo globo v višini do 20 milijonov EUR ali, če gre za družbo, v višini do 4 % njenega svetovnega prometa. Pri odločanju o naložitvi glob in njihovi ravni bodo organi za varstvo podatkov upoštevali okoliščine posameznega primera in dejavnike, kot so narava, obseg ali namen obdelave, število prizadetih oseb in raven škode, ki so jo utrpele. V volilnem kontekstu je verjetno, da bosta teža kršitve in število prizadetih oseb velika. To lahko privede do naložitve visokih glob, zlasti ob upoštevanju pomena zaupanja državljanov za demokratični proces.

Novoustanovljeni Evropski odbor za varstvo podatkov, ki združuje vse nacionalne organe za varstvo podatkov in Evropskega nadzornika za varstvo podatkov, ima ključno vlogo pri uporabi Splošne uredbe o varstvu podatkov z izdajanjem smernic, priporočil in najboljših praks. Nacionalni organi za varstvo podatkov so kot izvrševalci Splošne uredbe o varstvu podatkov in neposredne točke za stik z deležniki v dobrem položaju, da zagotovijo dodatno pravno varnost glede razlage Uredbe. Komisija dejavno podpira to delo.

Direktiva o zasebnosti in elektronskih komunikacijah (Direktiva 2002/58/ES Evropskega parlamenta in Sveta) dopolnjuje okvir Unije za varstvo podatkov in je pomembna v volilnem kontekstu, saj njeno področje uporabe vključuje pravila o elektronskem pošiljanju nepovabljenih sporočil, vključno za namene neposrednega trženja. Direktiva o zasebnosti in elektronskih komunikacijah določa tudi pravila o hrambi informacij in pridobitvi dostopa do že shranjenih informacij, kot so piškotki, ki se lahko uporabljajo za spremljanje spletnega vedenja uporabnika v terminalski opremi, kot je pametni telefon ali računalnik. Predlog Komisije za uredbo o zasebnosti in elektronskih komunikacijah (uredbo o e-zasebnosti), o katerem trenutno potekajo pogajanja, temelji na istih načelih kot Direktiva o zasebnosti in elektronskih komunikacijah. Nova uredba bo s svojim področjem uporabe poleg tradicionalnih telekomunikacijskih operaterjev zajela tudi internetne elektronske komunikacijske storitve.

2.Ključne obveznosti različnih akterjev

Splošna uredba o varstvu podatkov se uporablja za vse akterje, ki so dejavni v volilnem kontekstu, kot so evropske in nacionalne politične stranke (v nadaljnjem besedilu: politične stranke) ter evropske in nacionalne politične fundacije (v nadaljnjem besedilu: fundacije), platforme, podjetja za analizo podatkov in javni organi, odgovorni za volilni proces. Osebne podatke (npr. imena in naslove) morajo obdelovati zakonito, pošteno in pregledno ter le za določene namene. Ne smejo jih uporabljati na način, ki ni združljiv z nameni, za katere so bili podatki prvotno zbrani. Tudi obdelava v novinarske namene načeloma spada na področje uporabe Splošne uredbe o varstvu podatkov, vendar bi glede na pomen pravice do svobode izražanja in obveščanja v demokratični družbi zanjo lahko veljale izjeme in odstopanja iz nacionalne zakonodaje.

Pojem osebnih podatkov je celovit. Osebni podatki so vsi podatki, ki se nanašajo na določenega ali določljivega posameznika. Podatki, ki se obdelujejo v volilnem kontekstu, pogosto vključujejo posebne vrste osebnih podatkov („občutljive podatke“), kot so politična mnenja, članstvo v sindikatu, etnično poreklo, spolno življenje itd., za katere velja ureditev z višjo stopnjo varstva. Poleg tega lahko podatkovna analitika iz naborov neobčutljivih podatkov sklepa na „občutljive podatke“ (kot so politična mnenja, pa tudi verska prepričanja ali spolna usmeritev). Obdelava navedenih podatkov, pridobljenih s sklepanjem, prav tako spada na področje uporabe Splošne uredbe o varstvu podatkov in bi zato morala biti skladna z vsemi pravili o varstvu podatkov.

Splošna uredba o varstvu podatkov torej velja za skoraj vsa dejanja obdelave podatkov v volilnem kontekstu.

Ob upoštevanju potrebe, da se akterjem, udeleženim v volilni proces, zagotovijo pojasnila, in prvih ugotovitev v zadevi Cambridge Analytica so v naslednjih oddelkih poudarjene obveznosti glede varstva podatkov, ki se v volilnem kontekstu zdijo zlasti pomembne. Povzete so v prilogi.

2.1Upravljavci in obdelovalci podatkov

Pojem odgovornosti upravljavcev podatkov in skupnih upravljavcev je osrednja značilnost Splošne uredbe o varstvu podatkov. Upravljavec podatkov je organizacija, ki sama ali v sodelovanju z drugimi odloča, zakaj in kako se osebni podatki obdelujejo; obdelovalec podatkov osebne podatke obdeluje samo v imenu in po navodilih upravljavca (pri čemer je njuno razmerje določeno v pogodbi ali drugem pravnem zavezujočem aktu). Upravljavci morajo že od začetka sprejeti ukrepe, primerne za tveganja, in izvajati vgrajeno varstvo podatkov ter biti sposobni dokazati skladnost s Splošno uredbo o varstvu podatkov (načelo odgovornosti).