Wybory do Parlamentu Europejskiego: wskazówki UODO dla komitetów i wyborców

Podmioty zaangażowane w proces wyborczy – kandydaci i ich komitety oraz instytucje odpowiedzialne za organizację i przeprowadzenie wyborów – są zobowiązane do przestrzegania nie tylko przepisów regulujących przebieg kampanii wyborczej, ale także przepisów o ochronie danych osobowych.

Czytaj także: RODO nie zmienia zasad głosowania w wyborach

Prawo regulujące przebieg wyborów w ograniczonym stopniu odnosi się do kwestii związanych z ochroną danych osobowych. Dlatego tuż przed wyborami do Parlamentu Europejskiego warto przypomnieć, że podmioty zaangażowane w proces wyborczy – kandydaci i ich komitety oraz instytucje odpowiedzialne za organizację i przeprowadzenie wyborów – są także zobowiązane do przestrzegania przepisów o ochronie danych osobowych.

Podstawowe zasady ochrony danych osobowych

Akty prawne o ochronie danych osobowych konkretnie wskazują podstawowe zasady ochrony danych osobowych,które muszą być przestrzegane przez administratora, współadministratora oraz podmioty przetwarzające. Zgodnie z nimi, dane osobowe powinny być: przetwarzane zgodnie z prawem; rzetelnie i w sposób przejrzysty; zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; adekwatne i ograniczone do tych, które są niezbędne do osiągnięcia realizowanego celu; prawidłowe i w razie potrzeby uaktualniane; przechowywane przez okres nie dłuższy niż to niezbędne dla celów, w których są wykorzystywane; przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo; integralność i poufność. W ramach zasady rozliczalności administrator jest odpowiedzialny za przestrzeganie powyższych zasad oraz musi być w stanie to wykazać.

Różny status podmiotów

Wskazać należy, że administrator to podmiot decydujący o celach i sposobach przetwarzania danych. Na różnych etapach kampanii wyborczej dane przetwarzają różni administratorzy (kandydaci i ich komitety, instytucje odpowiedzialne za organizację i przeprowadzenie wyborów). Prezes UODO w swoim piśmie do Przewodniczącego Państwowej Komisji Wyborczej w sprawie przestrzegania przepisów o ochronie danych osobowych podnosił kwestie rozróżnienia odrębnych administratorów, współadministratorów oraz podmiotów przetwarzających w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO).

Obowiązek informacyjny

RODO, wprowadzając zasadę przejrzystości, zobowiązuje administratorów do spełnienia obowiązku informacyjnego wobec osób, których dane dotyczą. Musi go realizować w sposób zapewniający przejrzyste informowanie i przejrzystą komunikację (art. 12 RODO). Musi zatem podjąć odpowiednie działania, aby móc w zwięzłej, przejrzystej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą, wszelkich informacji. Obowiązek informacyjny musi być spełniany zarówno wówczas, gdy dane są pozyskane bezpośrednio od osób, których one dotyczą (art. 13 RODO), jak i z innych źródeł, np. powszechnie dostępnych, jak książki telefoniczne czy portale internetowe (art. 14 RODO).

Komisja Europejska w wytycznych dotyczących stosowania unijnych przepisów o ochronie danych osobowych w kontekście wyborczym [Wkład Komisji Europejskiej na spotkanie przywódców w Salzburgu w dniach 19-20 września 2018 r. (COM(2018) 638 final] podkreśla, że niezwykle istotnym elementem gwarantującym prawidłowe przeprowadzenie wyborów jest informowanie obywateli, których dane osobowe są przetwarzane w czasie kampanii o ich prawach wynikających z RODO. Na kwestie te uwagę zwrócono także w Oświadczeniu 2/2019 Europejskiej Rady Ochrony Danych w sprawie wykorzystywania danych osobowych w ramach kampanii politycznych, w którym wskazano, że: „nawet jeżeli przetwarzanie jest zgodne z prawem, organizacje muszą przestrzegać swoich innych obowiązków wynikających z RODO, w tym obowiązku przejrzystości i dostarczania wystarczających informacji osobom, które są badane i których dane osobowe są przetwarzane, czy uzyskano je bezpośrednio lub pośrednio." W dokumencie tym wskazano również, że „jeżeli chodzi o ukierunkowanie komunikatów, wyborcy powinni otrzymywać odpowiednie informacje wyjaśniające, dlaczego otrzymują konkretną wiadomość, kto jest za nią odpowiedzialny i w jaki sposób mogą oni korzystać z praw przysługujących im jako osobom, których dane dotyczą".

Agitacja z zasadami

W Oświadczeniu 2/2019 Europejskiej Rady Ochrony Danych w sprawie wykorzystywania danych osobowych w ramach kampanii politycznych, zwrócono uwagę na wiele kluczowych kwestii. Wskazano, że w dokumentacji z wyborów w komitetach wyborczych przetwarzane są m.in. szczególne kategorie danych, jak np. poglądy polityczne czy przekonania światopoglądowe. Na podstawie tych danych, za pomocą zaawansowanych technik profilowania, kandydaci i ich komitety kierują często bardzo zindywidualizowane komunikaty do wyborców i osób opiniotwórczych. Dlatego tak ważne jest, by w działaniach związanych z marketingiem wyborczym, pamiętać o przestrzeganiu prawa ochrony danych osobowych.

Bezpieczeństwo danych

Istotne jest także zapewnienie przez administratora właściwego bezpieczeństwa przetwarzanych danych osobowych. W tym celu powinien zastosować odpowiednie rozwiązania o charakterze technicznym i organizacyjnym. Powinny być one dostosowane do zidentyfikowanych ryzyk w organizacji oraz uwzględniać aktualny stan wiedzy w tym zakresie. W ramach zapewnienia bezpieczeństwa ważną rolę stanowi prowadzenie rejestru czynności przetwarzania danych osobowych. Zarówno administratorzy będący podmiotami publicznymi, jak i wszystkie komitety wyborcze mają obowiązek stosować przepisy dotyczące rejestru przetwarzania danych ze względu na fakt przetwarzania szczególnych kategorii danych osobowych dotyczących poglądów politycznych.

W związku z potrzebą budowania świadomości ochrony danych w procesach wyborczych Urząd aktywnie włączył się w inicjatywę Bezpieczne Wybory realizowaną przez NASK Państwowy Instytut Badawczy m.in. poprzez udział w warsztacie na temat dezinformacji, który odbył się 8 maja 2019 r.

Zabezpieczenie dokumentacji z wyborów

Po zakończonej kampanii wyborczej, komitety wyborcze przed rozwiązaniem powinny zadbać o bezpieczeństwo posiadanych, przetwarzanych danych osobowych. Obowiązkiem administratorów związanym z retencją danych, zgodnie z zasadą ograniczenia przechowywania danych (art. 5 ust. 1 lit. e RODO) jest ich przechowywanie przez okres nie dłuższy, niż jest to niezbędne do celów, w których są przetwarzane. Komitety wyborcze pozyskujące dane do celów prowadzenia agitacji wyborczej w konkretnej kampanii wyborczej, nie mogą wykorzystać ich w innej kampanii wyborczej lub przekazać ich dowolnie np. partii politycznej tworzącej ten komitet wyborczy. Pamiętać należy, komitet wyborczy jest odrębnym bytem od podmiotów go tworzących. Te i inne wskazówki dotyczące postępowania z danymi osobowymi po zakończeniu wyborów zawiera opracowany przez UODO materiał „Jak komitety wyborcze powinny postępować z danymi osobowymi po zakończeniu kampanii wyborczej?".

Natomiast więcej szczegółowych wskazówek, jak prowadzić kampanię wyborczą z poszanowaniem zasad ochrony danych osobowych, znajduje się w opracowanym przez Urząd Ochrony Danych Osobowych (UODO) poradniku „Ochrona danych osobowych w kampanii wyborczej".

5 WSKAZÓWEK DLA KOMITETÓW WYBORCZYCH

1. Pamiętaj o obowiązku informacyjnym oraz innych wynikających z RODO obowiązkach, jakie spoczywają na Tobie jako administratorze wobec osób, których dane osobowe przetwarzasz.

2.Pamiętaj o zapewnieniu odpowiedniego poziomu ochrony przetwarzanych danych osobowych (zwłaszcza szczególnych kategorii).

3. Pamiętaj o konsultowaniu operacji przetwarzania danych osobowych z inspektorem ochrony danych (część podmiotów ma obowiązek go wyznaczyć).

4. Pamiętaj o prowadzeniu rejestru czynności przetwarzania danych osobowych.

5. Pamiętaj o zasadzie ograniczenia przechowywania danych, zwłaszcza po zakończonej kampanii wyborczej.

5 WSKAZÓWEK DLA WYBORCÓW I INNYCH OSÓB, KTÓRYCH DANE SĄ PRZETWARZANE

1. Masz prawo dostępu do swoich danych, ich sprostowania i żądania ograniczenia przetwarzania.

2. Przed odebraniem karty do głosowania, obwodowej komisji wyborczej musisz okazać dokument umożliwiający stwierdzenie Twojej tożsamości.