EURÓPAI BIZOTTSÁG
Brüsszel, 2018.9.12.
COM(2018) 638 final
Szabad és tisztességes választások
ÚTMUTATÓ DOKUMENTUM
A Bizottság iránymutatása az uniós adatvédelmi szabályok választásokkal összefüggésben történő alkalmazásáról
Az Európai Bizottság hozzájárulása a 2018. szeptember 19-20-i
salzburgi vezetői üléshez
A Bizottság iránymutatása az uniós adatvédelmi szabályok választásokkal összefüggésben történő alkalmazásáról
A választókkal való kapcsolattartás a demokratikus folyamat alapja. A politikai pártok állandó gyakorlata, hogy a közönséghez igazítják a választási kommunikációt, figyelembe véve annak sajátos érdeklődését. Ennélfogva a választásokon részt vevő szereplők számára természetes, hogy feltérképezik, milyen lehetőségek kínálkoznak adatok felhasználására a szavazatok megszerzése érdekében. A digitális eszközök és az online platformok térnyerése számos új lehetőséget teremtett arra, hogy bevonják az embereket a politikai vitákba.
Eltérő jellegű tevékenységet jelent azonban, amikor – mint a Cambridge Analytica tevékenységével kapcsolatban napvilágra kerülő információk szerint – személyes adatok jogellenes kezelése alapján a választóknak szóló, mikrocélzott üzeneteket dolgoznak ki. Ez jól mutatja a korszerű technológiák jelentette kihívásokat, ugyanakkor azt is igazolja, hogy az adatvédelem kiemelt fontosságú a választásokkal összefüggésben. Ez nem csupán az egyének, hanem demokráciáink működése szempontjából is kulcskérdéssé vált, mivel komoly fenyegetést jelent a tisztességes, demokratikus választási eljárásra és alááshatja a demokrácia lényegét képező nyílt vitát, tisztességes és átlátható eljárásokat. A Bizottság úgy véli, hogy a választási eljárás tisztességességébe vetett bizalom helyreállítása érdekében rendkívül fontos kezelni ezt a problémát.
A brit adatvédelmi hatóságnak (Információs Biztos Hivatala – ICO) az adatelemzés politikai kampányokban való használatáról szóló első jelentései 1 , valamint az európai adatvédelmi biztosnak az online manipulációról és a személyes adatokról szóló véleménye 2 megerősítette az eredetileg kereskedelmi célokra kifejlesztett mikrocélzás növekvő fontosságát a választásokkal összefüggésben.
Továbbá több adatvédelmi hatóság foglalkozott a választásokkal kapcsolatos adatvédelem kérdésével 3 .
Az (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4 , amely 2018. május 25-től közvetlenül alkalmazandó az Unió egész területén, biztosítja az Unió számára a személyes adatok választásokkal kapcsolatos jogellenes felhasználásának kezeléséhez szükséges eszközöket. Mindazonáltal kizárólag a szabályok szigorú és következetes alkalmazása segíti elő a demokratikus politika integritásának védelmét. Mivel a soron következő európai parlamenti választások alkalmával első alkalommal fogják alkalmazni ezeket a szabályokat, fontos hogy a választási eljárásokban részt vevő szereplők – például a nemzeti választási hatóságok, a politikai pártok, az adatközvetítők és -elemzők, a közösségi média platformok és online reklámhálózatok – tisztában legyenek azokkal. Ennek az útmutatónak tehát az a célja, hogy kiemelje a választások szempontjából releváns adatvédelmi kötelezettségeket. A nemzeti adatvédelmi hatóságoknak – mint az általános adatvédelmi rendeletet érvényesítő jogalkalmazóknak – maradéktalanul ki kell használniuk megerősített hatáskörüket, hogy fellépjenek az esetleges jogsértésekkel szemben, különösen akkor, ha azok a választók mikrocélzásával állnak kapcsolatban.
1.Az uniós adatvédelmi keret
A személyes adatok védelme az Európai Unió Alapjogi Chartájában (8. cikk) és a Szerződésekben (az EUMSZ 16. cikke) foglalt alapvető jog. Az általános adatvédelmi rendelet megerősíti az adatvédelmi keretet, felkészültebbé teszi az Uniót a személyes adatokkal való jövőbeni visszaélések kezelésére, és fokozza a szereplők elszámoltathatóságát és felelősségét a személyes adatok kezelésének módja tekintetében.
Kiegészítő és erősebb jogokat biztosít az egyéneknek az Unión belül, ami különösen fontos a választásokkal összefüggésben. Az elmúlt 20 évben az Unióban alkalmazott adatvédelmi rendszer számára különösen terhes volt a szabályok tagállami alkalmazásának széttagoltsága, a nemzeti adatvédelmi hatóságok közötti formális együttműködési mechanizmusok hiánya és az említett hatóságok korlátozott jogalkalmazási hatásköre. Az általános adatvédelmi rendelet orvosolja ezeket a hiányosságokat: az igazolt adatvédelmi elvekre építve harmonizálja az olyan kulcsfogalmakat, mint a hozzájárulás, megerősíti az egyének jogait arra, hogy tájékoztatást kapjanak adataik kezeléséről, tisztázza a személyes adatok további megosztásának feltételeit, az adatvédelmi incidensekre vonatkozó szabályokat vezet be, az adatvédelmi hatóságok közötti együttműködési mechanizmust hoz létre határon átnyúló ügyekben és megerősíti azok jogérvényesítési hatáskörét. Az uniós adatvédelmi szabályok megsértése esetén az adatvédelmi hatóságok hatáskörrel rendelkeznek annak kivizsgálására (például az információnyújtás elrendelésével, helyszíni vizsgálatokat végezve az adatkezelők és adatfeldolgozók telephelyein) és a helyes magatartás biztosítására (például figyelmeztetések és megrovások kiadásával, vagy az adatkezelés ideiglenes vagy végleges felfüggesztésének elrendelésével) Emellett 20 millió EUR összegig, illetve vállalat esetében a globális árbevételének legfeljebb 4 %-áig terjedő bírságot szabhatnak ki 5 . A bírság kiszabására és annak mértékére vonatkozó döntés meghozatalakor az adatvédelmi hatóságok figyelembe veszik az egyedi eset körülményeit és olyan tényezőket, mint az adatkezelés jellege, köre vagy célja, az érintett személyek száma és az általuk elszenvedett kár mértéke 6 . A választásokkal összefüggésben bekövetkező jogsértések valószínűsíthetően komoly súlyúak és jelentős számú személyt érintenek. Ennek következtében nagy összegű bírságok kiszabására kerülhet sor, szem előtt tartva különösen a polgárok demokratikus eljárásba vetett bizalmának fontosságát.
A nemzeti adatvédelmi hatóságokat és az európai adatvédelmi biztost tömörítő, újonnan létrehozott Európai Adatvédelmi Testület iránymutatások, ajánlások és bevált gyakorlatok kibocsátása révén kulcsfontosságú szerepet játszik az általános adatvédelmi rendelet alkalmazásában 7 . A nemzeti adatvédelmi hatóságok a legalkalmasabbak arra, hogy az általános adatvédelmi rendeletet érvényesítő és az érdekeltekkel közvetlen kapcsolatban álló hatóságként kiegészítő jogbiztonságot nyújtsanak a rendelet értelmezése tekintetében. A Bizottság aktívan támogatja ezt a munkát.
Az uniós adatvédelmi keretet kiegészítő elektronikus hírközlési adatvédelmi irányelv (a 2002/58/EK európai parlamenti és tanácsi irányelv 8 ) szintén releváns a választásokkal összefüggésben, mivel alkalmazási köre kiterjed a kéretlen kommunikáció elektronikus küldésére, beleértve a direkt marketing céljára küldött üzeneteket. Az elektronikus hírközlési adatvédelmi irányelv szabályokat állapít meg az információk tárolására és a már tárolt információkhoz való hozzáférés megszerzésére, például a felhasználók online magatartásának a végberendezéseken, például okostelefonon vagy számítógépen történő nyomon követésére használható cookie-kra (sütikre) nézve. Az elektronikus hírközlési adatvédelmi rendeletre irányuló bizottsági javaslat (a továbbiakban: elektronikus hírközlési adatvédelmi rendelet) 9 amely jelenleg tárgyalási szakaszban van, hasonló elveken alapul mint az elektronikus hírközlési adatvédelmi irányelv. Az új rendelet a hagyományos távközlési szolgáltatók körén túlra is kiterjeszti hatályát, hogy az internetalapú elektronikus hírközlési szolgáltatásokat is magában foglalja.
2.A különböző szereplők kulcsfontosságú kötelezettségei
Az általános adatvédelmi rendeletet alkalmazni kell a választásokkal kapcsolatos tevékenységet folytató valamennyi szereplőre, például az európai és nemzeti politikai pártokra (a továbbiakban: politikai pártok), az európai és nemzeti politikai alapítványokra (a továbbiakban: alapítványok), a platformokra, az adatelemző vállalatokra és a választási eljárásért felelős hatóságokra. Ezek kötelesek a személyes adatokat (például neveket és címeket) jogszerűen, tisztességesen és átláthatóan, kizárólag meghatározott célokból kezelni. Azokat nem használhatják fel tovább olyan módon, amely összeegyeztethetetlen az adatgyűjtés eredeti céljaival. Az újságírói célú kezelés elvben szintén az általános adatvédelmi rendelet hatálya alá tartozik, azonban élvezheti a nemzeti jogban előírt mentességeket és eltéréseket, tekintettel a véleménynyilvánítás és a tájékozódás szabadságához fűződő alapvető jog jelentőségére a demokratikus társadalomban 10 .
A személyes adatok fogalma átfogó jellegű. Személyes adat az azonosított vagy azonosítható természetes személyre vonatkozó bármely adat. A választásokkal kapcsolatosan kezelt adatok gyakran tartalmaznak a személyes adatok különleges kategóriáiba tartozó adatokat (a továbbiakban: különleges adatok), így például a politikai véleményekre, szakszervezeti tagságra, etnikai származásra, szexuális élet stb. vonatkozó adatokat, amelyek nagyobb védelmet nyújtó szabályozás alá tartoznak 11 . Ezenfelül az adatelemzők nem különleges adatkészletekből is származtathatnak „különleges adatokat” (például politikai vélemények, de akár a vallási meggyőződések vagy szexuális irányultság is). E származtatott adatok kezelése ugyancsak az általános adatvédelmi rendelet hatálya alá tartozik, és ezért valamennyi adatvédelmi szabálynak meg kell felelnie.
Összefoglalva, a választásokkal összefüggésben gyakorlatilag minden adatkezelési művelet az általános adatvédelmi rendelet hatálya alá tartozik.
Szem előtt tartva a Cambridge Analytica ügyben tett első megállapításokat, valamint azt, hogy biztosítani kell a választási eljárásban részt vevő szereplők tisztánlátását, a következő szakaszokban kiemeljük azokat az adatvédelmi kötelezettségeket, amelyek láthatólag különös jelentőséggel bírnak a választásokkal összefüggésben. Ezeket a melléklet foglalja össze.
2.1Adatkezelők és adatfeldolgozók
Az adatkezelők és közös adatkezelők elszámoltathatóságának fogalma az általános adatvédelmi rendelet egyik központi eleme. Az adatkezelő az a szervezet, amely önállóan vagy másokkal együttműködve dönt arról, miért és hogyan kezeli a személyes adatokat; az adatfeldolgozó kizárólag az adatkezelő nevében és utasításai alapján kezeli a személyes adatokat (kapcsolatukat szerződésben vagy más jogilag kötelező aktusban határozzák meg). Az adatkezelőknek a kockázatoknak megfelelő intézkedéseket kell hozniuk és kezdettől fogva beépített adatvédelmet kell megvalósítaniuk, valamint képesnek kell lenniük az általános adatvédelmi rendeletnek való megfelelés igazolására (az elszámoltathatóság elve).
Az adatkezelő vagy adatfeldolgozó szerepét minden egyes esetben értékelni kell. A választásokkal összefüggésben számos szereplő lehet adatkezelő: a politikai pártok, az egyéni jelöltek és az alapítványok a legtöbb esetben adatkezelők; a platformok és az adatelemző vállalatok (közös) adatkezelők vagy adatfeldolgozók lehetnek az adott adatkezelés tekintetében attól függően, hogy milyen mértékű ellenőrzést gyakorolnak az érintett kezelés felett 12 ; a nemzeti választási hatóságok a választói névjegyzékek adatkezelői.
Ha a kezelési tevékenységük Unióban élő egyéneknek történő termék- és szolgáltatásnyújtással vagy az egyének magatartásának az Unión belüli nyomon követésével kapcsolatos, az Unión kívüli székhellyel rendelkező vállalatoknak is meg kell felelniük az általános adatvédelmi rendeletnek. Ez számos platform és adatelemző vállalat esetében igaz.
2.2Alapelvek, az adatkezelés jogszerűsége és a „különleges adatokra” vonatkozó sajátos feltételek
A választások során megjelenő szereplők kizárólag a személyes adatok kezelésére vonatkozó elvekkel összhangban, és az általános adatvédelmi rendeletben egyértelműen meghatározott, korlátozott számú indok alapján kezelhetnek szerzett adatokat, ideértve a nyilvános forrásokból beszerzett adatokat is 13 . A választásokkal összefüggésben történő jogszerű adatkezelés tekintetében a következők látszanak a leginkább releváns indokoknak: az egyén hozzájárulása, az uniós vagy nemzeti jogszabályok szerinti jogi kötelezettség teljesítése, közérdekből végzett feladat elvégzése és a szereplők egyikének jogos érdeke. A választásokkal összefüggésben eljáró szereplők azonban csak akkor hivatkozhatnak jogos érdekekre, ha az érintett személyek érdekei vagy alapvető jogai és szabadságai nem élveznek elsőbbséget azokkal szemben.
A végberendezésen (számítógép, okostelefon stb.) tárolt információk tárolása vagy a már tárolt információkhoz való hozzáférés megszerzése során meg kell felelni az elektronikus hírközlési adatvédelmi irányelv végberendezések védelmére vonatkozó követelményeinek, vagyis az érintett személynek hozzájárulását kell adnia.
Ha a hozzájárulást jogalapként használják, az általános adatvédelmi rendelet előírja, hogy azt egyértelmű megerősítő cselekedet formájában, önként és tájékozottan kell megadni 14 .
A választási folyamatban részt vevő hatóságok jogi kötelezettség teljesítése vagy közfeladat gyakorlása érdekében kezelnek személyes adatokat. A választásokkal összefüggésben eljáró egyéb szereplők hozzájárulás vagy jogos érdek alapján kezelhetnek adatoknak 15 . Politikai pártok és alapítványok szintén kezelhetnek adatokat a közérdek alapján, ha azt a nemzeti jog előírja 16 .
A hatóságok csak akkor közölhetik a politikai pártokkal a választói névjegyzékben vagy a lakosok címjegyzékében szereplő egyénekre vonatkozó egyes adatokat, ha a tagállami jog ezt kifejezetten lehetővé teszi, továbbá ezt kizárólag a választásokkal összefüggő hirdetés céljából teheti meg, ha e célból szükség van például a névre és címre.
A választásokkal összefüggésben történő adatkezelés gyakran érint „különleges adatokat”. Az ilyen adatok kezelése – a származtatott „különleges adatokat is ideértve – általában véve tilos, kivéve ha az általános adatvédelmi rendelet által előírt 17 konkrét indokok egyike alkalmazandó. A „különleges adatok” kezeléséhez különleges, szigorúbb feltételeket kell teljesíteni: a személynek kifejezett hozzájárulását kellett adnia 18 vagy az érintett adatokat nyilvánosságra kellett hoznia 19 . A politikai pártok és alapítványok szintén kezelhetnek „különleges adatokat”, ha az uniós vagy tagállami jog alapján jelentős közérdek valósul meg és megfelelő biztosítékok állnak rendelkezésre 20 . Az általános adatvédelmi rendelet úgy rendelkezik, hogy „különleges adatokat” is kezelhetnek, amennyiben azok kizárólag tagjaikra vagy volt tagjaikra vagy velük rendszeres kapcsolatban álló személyekre vonatkoznak – azonban csak a politikai pártjukon vagy alapítványon belüli közzététel céljából 21 . Ez a különleges rendelkezést azonban egy politikai párt nem használhatja leendő tagok vagy szavazók adatainak kezelésére.
Az adatkezelés célját a gyűjtés időpontjában kell meghatározni („célhoz kötöttség” elve) 22 . A gyűjtött adatok csak egy összeegyeztethető célra kezelhetők tovább; máskülönben az általános adatvédelmi rendelet által előírt új jogalapot, például a hozzájárulást, kell megállapítani az új cél érdekében történő adatkezeléshez. Először is, ha adatközvetítők vagy platformok kereskedelmi célokból gyűjtenek életmódra vonatkozó adatokat, a választásokkal összefüggésben nem lehet tovább kezelni ezeket az adatokat.
Ha a politikai pártok és alapítványok nem járnak el kellő gondossággal és nem ellenőrzik, hogy jogszerűen szerezték-e az adatokat, nem használhatják fel a harmadik féltől kapott ilyen adatokat.
2.3Átláthatósági követelmények
A Cambridge Analytica ügy rámutatott annak fontosságára, hogy küzdjenek az átláthatatlanság ellen, és megfelelően tájékoztassák az érintett személyeket. Az egyének gyakran nem tudják, hogy ki és milyen célokból kezeli személyes adataikat. A tisztességes és átlátható adatkezelés elve megköveteli, hogy az egyének tájékoztatást kapjanak az adatkezelés tényéről és céljairól 23 . Az általános adatvédelmi rendelet tisztázza az adatkezelők ezzel kapcsolatos kötelezettségeit. Tájékoztatniuk kell az egyéneket a személyes adataik kezelésének legfontosabb aspektusairól, például az alábbiakról:
·az adatkezelő személye,
·az adatkezelés célja,
·a személyes adatok címzettjei,
·a nem közvetlenül a személytől gyűjtött adatok forrása,
·az automatizált döntéshozatal megléte és
·a tisztességes és átlátható kezelés biztosításához szükséges további információk 24 .
Az általános adatvédelmi rendelet előírja továbbá, hogy a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva kell nyújtani 25 . Például nem felelne meg az átláthatósági követelményeknek a választási anyagokban csak kisbetűkkel szereplő rövid, homályos adatvédelmi közlemény.
Az előzetes megállapítások szerint a Cambridge Analytica ügyben az adatgyűjtés céljára vonatkozó hiányos tájékoztatás volt a legfontosabb hiányosság, amely az érintett személyek hozzájárulásának érvényességét is megkérdőjelezte. A választásokkal összefüggésben személyes adatokat kezelő szervezeteknek gondoskodniuk kell arról, hogy az egyéneknek teljes mértékben tisztában legyenek azzal, hogyan és milyen célból használják fel személyes adataikat, mielőtt hozzájárulásukat adják ahhoz, vagy az adatkezelő bármely más indok alapján megkezdi az adatok kezelését.
Az egyéneket a kezelés minden szakaszában tájékoztatni kell, nem csak az adatgyűjtés során.
Először is, amennyiben politikai pártok harmadik felektől (például választói névjegyzékekből, adatközvetítőktől, adatelemzőktől és egyéb forrásokból) szerzett adatokat kezelnek, általában tájékoztatást és magyarázatot kell adniuk az érintett személyek számára arról, hogyan ötvözik és használják ezeket az adatokat a tisztességes adatkezelés biztosítása érdekében 26 .
2.4Profilalkotás, automatizált döntéshozatal és mikrocélzás
A profilalkotás a személyes adatok automatizált kezelésének olyan formája, amelynek során a személyes adatokat például személyes preferenciákhoz, érdeklődéshez, gazdasági helyzethez stb. kapcsolódó jellemzők elemzésére vagy előrejelzésére használják 27 . A profilalkotás felhasználható egyénekre irányuló mikocélzáshoz, vagyis személyes adatok (például az interneten történő keresési előzmények) elemzésére abból a célból, hogy meghatározzák egy konkrét közönség vagy egyén különleges érdeklődését az illető(k) cselekedeteinek befolyásolása céljából. A mikrocélzás arra is felhasználható, hogy online szolgáltatás, pl. közösségi média segítségével személyre szabott üzenet juttassanak el egy adott személyhez vagy közönséghez.
A Cambridge Analytica ügy megmutatta, hogy a közösségi médiára irányuló mikrocélzási módszerek különleges kihívást jelentenek. A szervezetek a választói profilok létrehozása céljából bányászhatják a közösségi média felhasználóitól gyűjtött adatokat. Ez lehetővé teheti az ilyen szervezetek számára a könnyebben befolyásolható választók azonosítását, és ezáltal az ilyen szervezetek hatást gyakorolhatnak a választások eredményére.
Az általános adatvédelmi rendelet valamennyi általános elvét és szabályát – például a jogszerűség, a tisztességesség és átláthatóság, valamint a célhoz kötöttség elvét – alkalmazni kell az ilyen adatkezelésre. Az egyének igen gyakran nincsenek tisztában azzal, hogy profilalkotás tárgyát képezik: nem értik, hogy miért kapnak olyan reklámokat, amelyek egyértelműen az általuk végzett legutóbbi keresésekhez kapcsolódnak, vagy miért kapnak személyre szabott üzenetet különböző szervezetektől. Az általános adatvédelmi rendelet arra kötelezi az adatkezelőket, például a politikai pártokat vagy az adatelemzőket, hogy tájékoztassák az egyéneket arról, ha ilyen technikákat alkalmaznak és azok alkalmazásának következményeiről 28 .
Az általános adatvédelmi rendelet elismeri, hogy az automatizált döntéshozatal, így a profilalkotás is súlyos következményekkel járhat. Az általános adatvédelmi rendelet úgy rendelkezik, hogy az egyén jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené, kivéve ha az ilyen adatkezelésre szigorú feltételek mellett kerül sor, vagyis ha az egyének kifejezett hozzájárulásukat adják, vagy a megfelelő biztosítékokat meghatározó uniós, illetve tagállami jog azt lehetővé teszi 29 .
A választásokkal összefüggésben alkalmazott mikrocélzási gyakorlatok ebbe a kategóriába tartoznak, ha kellően jelentős hatást gyakorolnak az egyénekre. Az Európai Adatvédelmi Testület kimondta, hogy ez az eset áll fenn, ha a határozat jelentősen befolyásolhatja az egyének körülményeit, magatartását vagy döntéseit, illetve ha tartós vagy folyamatos hatást gyakorol az egyénre 30 . A Testület úgy vélte, hogy a célzott online reklám bizonyos körülmények között képes lehet kellően jelentős mértékben befolyásolni az egyéneket, ha például tolakodó jellegű vagy a személyek kiszolgáltatottságával kapcsolatos ismereteket használ fel. Figyelemmel a demokratikus szavazati jog gyakorlásának jelentőségére, azok a személyre szabott üzenetek, amelyek például elriaszthatják az egyéneket a szavazástól vagy egy konkrét módon történő szavazásra vehetik rá őket, alkalmasak lehetnek a jelentős hatás kritériumának teljesítésére.
Ezért a választásokkal összefüggésben az adatkezelőknek gondoskodniuk kell arról, hogy az ilyen technikák alkalmazásával végzett adatkezelés jogszerű legyen az általános adatvédelmi rendelet fent említett elveivel és szigorú feltételeivel összhangban.
2.5A személyes adatok biztonsága és pontossága
A biztonság különösen fontos a választásokkal összefüggésben, tekintettel az érintett adatkészletek méretére, és arra, hogy az ilyen adatkészletek gyakran „különleges adatokat” tartalmaznak. Az általános adatvédelmi rendelet előírja, hogy a személyes adatokat kezelő üzemeltetők (mind az adatkezelők, mind az adatfeldolgozók) megfelelő technikai és szervezési intézkedéseket hajtsanak végre annak érdekében, hogy a természetes személyek jogaira és szabadságaira jelentett kockázat mértékének megfelelő szintű adatbiztonságot garantálják 31 .
Az általános adatvédelmi rendelet arra kötelezi az adatkezelőket, hogy az adatvédelmi incidenseket indokolatlan késedelem nélkül, és legkésőbb 72 órán belül jelentsék be az illetékes felügyeleti hatóságnak. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintett egyént is erről az adatvédelmi incidensről 32 .
A választási eljárásban részt vevő politikai pártoknak és egyéb szereplőknek különös figyelmet kell fordítaniuk a személyes adatok pontosságának biztosítására nagy adathalmazok esetében, amikor az adatokat különböző, heterogén forrásokból állítják össze. A pontatlan adatokat haladéktalanul törölni vagy helyesbíteni kell, és szükség esetén naprakésszé kell tenni azokat.
2.6Adatvédelmi hatásvizsgálat
Az általános adatvédelmi rendelet az adatkezelés megkezdése előtt kockázatértékelésre szolgáló új eszközt vezetett be: az adatvédelmi hatásvizsgálatot. Erre minden olyan esetben szükség van, amikor az adatkezelés valószínűleg nagy kockázatot jelent az egyének jogaira és szabadságaira nézve 33 . Ez a helyzet a választásokkal összefüggésben, amikor egy adatkezelő módszeres és kiterjedt értékelést véget az egyének személyes jellemzőiről (ideértve a profilalkotást is) jelentős hatást gyakorolva az egyénre, továbbá amikor az adatkezelő nagy számban kezel „különleges adatokat”. Előfordulhat, hogy a közfeladataik ellátása során eljáró nemzeti választási hatóságoknak nem kell adatvédelmi hatásvizsgálatot végezniük, ha egy jogszabályok elfogadása keretében már végeztek adatvédelmi hatásvizsgálatot.
A különböző szereplők által a választásokkal összefüggésben elvégzendő hatásvizsgálatoknak ki kell terjedniük az ilyen adatkezeléssel járó kockázatok kezeléséhez szükséges elemekre, különös tekintettel a harmadik felektől származó adatkészletek kezelésének jogszerűségére és az átláthatósági követelményekre.
3.Az egyének jogai
Az általános adatvédelmi rendelet az alábbi kiegészítő és erősebb jogokat biztosítja az egyéneknek az Unión belül, ami különösen fontos a választásokkal összefüggésben:
·a rájuk vonatkozó személyes adatokhoz való hozzáférés joga;
·a személyes adatok törlésének kéréséhez való jog, ha az adatkezelés hozzájáruláson alapul és a hozzájárulást visszavonták, ha az adatok már nem szükségesek vagy ha az adatkezelés jogszerűtlen; valamint
·a helytelen, pontatlan vagy hiányos személyes adatok helyesbítésének joga.
Az egyéneknek emellett jogukban áll tiltakozni az adatkezeléssel szemben (például a politikai pártoknak továbbított választói névjegyzékekben szereplő adatok esetében), ha adataik kezelés a „jogos érdeken” vagy a „közérdeken” alapul.
Az egyének jogosultak arra, hogy ne terjedjen ki rájuk a kizárólag automatizált adatkezelésen alapuló döntés hatálya. Ilyen esetekben az egyén kérheti természetes személy beavatkozását, valamint jogosult kifejteni álláspontját és megtámadni a döntést.
Annak érdekében, hogy az egyének gyakorolhassák ezeket a jogokat, valamennyi érintett szereplőnek biztosítania kell a szükséges eszközöket és beállításokat. Az általános adatvédelmi rendelet lehetővé teszi adatvédelmi hatóság által jóváhagyott magatartási kódex kidolgozását, amely pontosítja a rendelet alkalmazását egyes területeken, többek között a választásokkal összefüggésben.
Az általános adatvédelmi rendelet feljogosítja az egyéneket arra, hogy panaszt nyújtsanak be a felügyeleti hatósághoz, valamint biztosítja számukra a bírósági jogorvoslathoz való jogot. Emellett feljogosítja az egyéneknek arra, hogy nem kormányzati szervezeteket bízzanak meg azzal, hogy a nevükben panaszt nyújtsanak be
34
. Egyes tagállamokban a nemzeti jogszabályok lehetővé teszik a nem kormányzati szervezetek számára, hogy panaszt nyújtsanak be anélkül, hogy az egyén megbízná őket. Ez különösen fontos a választásokkal összefüggésben, tekintettel a potenciálisan érintett személyek nagy számára.
A választási eljárás szempontjából fontos, alapvető adatvédelmi kérdések 35
|
Politikai pártok és alapítványok |
A politikai pártok és alapítványok adatkezelők. |
|
|
·Tartsák be a célhoz kötöttséget, csak összeegyeztethető céllal (például az adatok platformokkal való megosztása esetén) kezeljék tovább az adatokat ·Válasszák ki az adatkezelés megfelelő jogalapját (a származtatott adatok esetében is) az alábbiak közül: hozzájárulás, jogos érdek, közérdekű feladat (ha törvény írja elő), a „különleges adatokra” vonatkozó sajátos feltételek (például: politikai vélemény) ·Végezzenek adatvédelmi hatásvizsgálatot ·Tájékoztassák az egyének minden egyes adatkezelési célról (átláthatósági követelmények), amikor közvetlenül gyűjtenek adatokat vagy azoknak harmadik felektől történő beszerzéskor ·Gondosodjanak az adatok pontosságáról, különösen különböző forrásokból származó adatok és származtatott adatok esetén ·Ellenőrizzék, hogy a harmadik felektől kapott adatokat jogszerűen szerezték-e be és mely célokra történt azok beszerzése (például: az érintett egyének tájékoztatáson alapuló hozzájárulásukat adták-e az adott célhoz) ·Vegyék figyelembe a profilalkotás sajátos kockázatait és fogadjanak el megfelelő biztosítékokat ·Teljesítsék a különleges feltételeket automatizált döntéshozatal alkalmazása esetén (például szerezzenek be kifejezett hozzájárulást és alakítsanak ki megfelelő biztosítékokat) ·Egyértelműen határozzák meg, hogy ki férhet hozzá az adatokhoz ·Technikai és szervezési intézkedések révén gondoskodjanak az adatkezelés biztonságáról; jelentsék az adatvédelmi incidenseket ·Tisztázzák a kötelezettségeket az adatfeldolgozókkal, például az adatelemző vállalatokkal kötött szerződésekben vagy más jogilag kötelező aktusokban ·Töröljék az adatokat, ha azok már nem szükségesek gyűjtésük eredeti céljára |
||
|
Adatközvetítők és adatelemző vállalatok |
Az adatelemzők és adatközvetítők (közös) adatkezelők vagy adatfeldolgozók attól függően, hogy milyen mértékű ellenőrzést gyakorolnak a kezelése felett. |
|
|
Adatkezelőként |
Adatfeldolgozóként |
|
|
·Tartsák be a célhoz kötöttséget, csak összeegyeztethető céllal (különösen adatok harmadik személyekkel történő megosztása esetén) kezeljék tovább az adatokat ·Válasszák ki az adatkezelés megfelelő jogalapját az alábbiak közül: hozzájárulás, jogos érdek. „Különleges adatok” tekintetében az adatkezelés kizárólag kifejezett hozzájárulás vagy nyilvánvalóan nyilvános adatok esetén lehetséges ·Végezzenek adatvédelmi hatásvizsgálatot ·Tájékoztassák az egyének minden egyes adatkezelési célról (átláthatósági követelmények) – különösen abban az esetben, ha hozzájárulást kérnek, mivel az adatokat általában harmadik félnek értékesítik ·Teljesítsék a különleges feltételeket automatizált döntéshozatal alkalmazása esetén (pl. szerezzenek be kifejezett hozzájárulást és alakítsanak ki megfelelő biztosítékokat) ·Szenteljenek kitüntetett figyelmet az adatkezelés jogszerűségének és a pontosságnak különböző adatkészletek ötvözése esetén ·Technikai és szervezési intézkedések révén gondoskodjanak az adatkezelés biztonságáról; jelentsék az adatvédelmi incidenseket |
·Teljesítésék az adatkezelővel kötött szerződésből vagy más jogilag kötelező aktusból eredő kötelezettségeket ·Technikai és szervezési intézkedések révén gondoskodjanak az adatkezelés biztonságáról ·Támogassák az adatkezelőt az adatvédelmi hatásvizsgálat vagy az érintettek jogainak gyakorlása során vagy annak révén, hogy az adatvédelmi incidenseket haladéktalanul közlik az adatkezelővel, mihelyst azok a tudomásukra jutnak |
|
|
A platformok általában adatkezelők a platformjukon végzett adatkezelés tekintetében, és esetleg más szervezetekkel közös adatkezelők |
||
|
Közösségi média platformok/online reklámhálózatok |
·Válasszák ki az adatkezelés megfelelő jogalapját az alábbiak közül: az egyénekkel kötött szerződés, hozzájárulás, jogos érdek. „Különleges adatok” tekintetében az adatkezelés kizárólag kifejezett hozzájárulás vagy nyilvánvalóan nyilvános adatok esetén lehetséges ·Kizárólag olyan adatokat használjanak, amelyek szükségesek az azonosított célhoz ·Végezzenek adatvédelmi hatásvizsgálatot ·Gondoskodjanak a jogszerűségről a tagok adatainak harmadik felekkel való megosztása esetén ·Teljesítsék az átláthatósági követelményeket, különösen a szerződési feltételek tekintetében, ha az adatokat később megosztják valamely harmadik féllel, stb. ·Teljesítsék a különleges feltételeket automatizált döntéshozatal alkalmazása esetén (pl. szerezzenek be kifejezett hozzájárulást és alakítsanak ki megfelelő biztosítékokat) ·Technikai és szervezési intézkedések révén gondoskodjanak az adatkezelés biztonságáról; jelentsék az adatvédelmi incidenseket ·Biztosítsanak megfelelő ellenőrzéseket és beállításokat az egyéneknek jogaik hatékony gyakorlása érdekében, beleértve azt a jogosultságot, hogy ne terjedjen ki rájuk a kizárólag automatizált adatkezelésen alapuló döntés hatálya, a profilalkotást is ideértve |
|
|
A nemzeti választási hatóságok adatkezelők |
||
|
Nemzeti választási hatóságok |
·Az adatkezelés jogalapja: jogi kötelezettség vagy jogszabályon alapuló közérdekű feladat ·Végezzenek adatvédelmi hatásvizsgálatot, ha a jogszabály még nem vizsgálta a hatást |
|
A brit adatvédelmi hatóságok (Információs Biztos Hivatala – ICO) 2018. július 10-i jelentései: „Investigation into the use of data analytics in political campaigns – Investigation update” (Az adatelemzés politikai kampányokban való használatának kivizsgálása – Új vizsgálati eredmények) és „Democracy Disrupted? Personal information and political influence” (A demokrácia zavara? Személyes adatok és politikai befolyás).
https://edps.europa.eu/sites/edp/files/publication/18-03-19_online_manipulation_en.pdf.
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3013267 “Provvedimento in materia di trattamento di dati presso i partiti politici e di esonero dall’informativa per fini di propaganda elettorale” (Személyes adatok politikai pártok által választási kampányok céljából történő kezelésére és a tájékoztatás alóli mentességre vonatkozó előírások) – közzétéve az olasz adatvédelmi hatóság 71. sz. Hivatalos Közlönyében 2014. március 26-án [web dok. sz.: 3013267]; https://www.cnil.fr/fr/communication-politique-quelles-sont-les-regles-pour-lutilisation-des-donnees-issues-des-reseaux „Communication politique: quelles sont les règles pour l’utilisation des données issues des réseaux sociaux?” (Politikai kommunikáció: milyen szabályok vonatkoznak a közösségi médiából származó adatok felhasználására?) – közzétette a Commission Nationale de l’informatique et des libertés (a francia Nemzeti Informatikai és Szabadságjogi Bizottság), 2016. november 8.; https://ico.org.uk/media/for-organisations/documents/1589/promotion_of_a_political_party.pdf Az Információs Biztos Hivatala „Guidance on political campaigning” (Útmutató a politikai kampányról)[20170426].
Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L 119., 2016.5.4., 1. o.).
A Bizottság iránymutatása az általános adatvédelmi rendeletről: https://ec.europa.eu/commission/priorities/justice-and-fundamental-rights/data-protection/2018-reform-eu-data-protection-rules_hu.
Az általános adatvédelmi rendelet 83. cikke.
Az európai adatvédelmi biztos véleményeket is kibocsát.
Az Európai Parlament és a Tanács 2002/58/EK irányelve (2002. július 12.) az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről (Elektronikus hírközlési adatvédelmi irányelv) (HL L 201., 2002.7.31., 37. o.).
Javaslat: az Európai Parlament és a Tanács rendelete az elektronikus hírközlés során a magánélet tiszteletben tartásáról és a személyes adatok védelméről, valamint a 2002/58/EK irányelv hatályon kívül helyezéséről (elektronikus hírközlési adatvédelmi rendelet), COM(2017)10 final.
Az általános adatvédelmi rendelet 85. cikkének (2) bekezdése.
Az általános adatvédelmi rendelet 9. cikkének (1) bekezdése.
Az Európai Unió Bíróságának közelmúltbeli ítélkezési gyakorlata (a C-25/17. sz., Jehova tanúi ügyben 2018. július 10-én hozott ítélet) egyértelművé tette, hogy a személyes adatok gyűjtésével és kezelésével járó tevékenység feletti „befolyást gyakorló” szervezet bizonyos körülmények között adatkezelőnek tekinthető.
Az általános adatvédelmi rendelet 5. és 6. cikke.
Az általános adatvédelmi rendelet 7. cikke és 4. cikkének 11. pontja.
Feltéve, hogy ez nem gyakorol komoly hatást az érintett egyének jogaira és szabadságaira.
Lásd az általános adatvédelmi rendelet (56) preambulumbekezdését: „ha választással kapcsolatos tevékenységek során valamely tagállamban a demokratikus rendszer működése megkívánja, hogy a politikai pártok személyes adatokat gyűjtsenek az emberek politikai véleményéről, akkor az ilyen adatok kezelése közérdekből megengedhető, feltéve hogy megfelelő garanciák vannak érvényben”.
Az általános adatvédelmi rendelet 9 cikke.
Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének a) pontja.
Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja.
Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének g) pontja.
Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének d) pontja. A politikai párt vagy alapítvány az érintett személy hozzájárulása nélkül nem oszthatja meg harmadik féllel a tagjaival vagy volt tagjaival vagy vele rendszeres kapcsolatban álló személyekkel kapcsolatos adatokat.
Az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) pontja.
Az általános adatvédelmi rendelet 5. cikke (1) bekezdésének a) pontja.
Az általános adatvédelmi rendelet 13. és 14. cikke.
Az Európai Adatvédelmi Testület átláthatóságra vonatkozó iránymutatása.
Az általános adatvédelmi rendelet 14. cikke.
Az általános adatvédelmi rendelet 4. cikkének 4. pontjába foglalt meghatározás szerint.
Az általános adatvédelmi rendelet 13. cikkének (2) bekezdése.
Az általános adatvédelmi rendelet 22. cikke.
Az Európai Adatvédelmi Testület iránymutatása az automatizált döntéshozatalról, WP251rev.01, legutóbbi felülvizsgálat és elfogadás: 2018.2.6.
Az általános adatvédelmi rendelet 32. cikke.
Az általános adatvédelmi rendelet 33. és 34. cikke; valamint az Európai Adatvédelmi Testület iránymutatása az adatvédelmi incidensek bejelentéséről.
Az általános adatvédelmi rendelet 35. és 36. cikke; valamint az Európai Adatvédelmi Testület iránymutatása az adatvédelmi hatásvizsgálatról.
Az általános adatvédelmi rendelet 80. cikkének (1) bekezdése.
A fenti információk egyáltalán nem kimerítő jellegűek. Céljuk, hogy kiemeljék az általános adatvédelmi rendeleten alapuló azon kulcsfontosságú kötelezettségeket, amelyek a választási eljárás szempontjából fontos adatokhoz kapcsolódnak. Azok olyan eshetőségnek felelnek meg, amelyben a politikai pártok maguk gyűjtik be az adatokat (nyilvános forrásokból, a közösségi médiában való jelenlétük révén, közvetlenül a választóktól, stb.), továbbá adatközvetítő és adatelemző vállalatok szolgáltatásait veszik igénybe azzal a céllal, hogy a közösségi média platformokon keresztül célzott üzeneteket juttassanak el a választókhoz. A platformok adatforrásul is szolgálhatnak a fenti szereplők számára. Más jogszabályok szintén relevánsak lehetnek, mint például az elektronikus hírközlési adatvédelmi irányelvbe foglalt, a kéretlen kommunikáció küldésére és a végberendezés védelmére vonatkozó szabályok.