Dostałem niechcianą ulotkę wyborczą, maila, przesyłkę z agitacją wyborczą. Co na to przepisy RODO?

Ochrona danych osobowych w czasie wyborów – najważniejsze pojęcia

Warto zacząć od wyjaśnienia najważniejszych pojęć w zakresie ochrony danych osobowych.

Co to są dane osobowe?

Według przepisów RODO dane osobowe, to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Osoba taka to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, np. na podstawie: identyfikatora takiego jak imię i nazwisko, numeru identyfikacyjnego (np. PESEL), identyfikatora internetowego, danych o lokalizacji, czy cech fizycznych albo genetycznych, a także szeregu innych właściwości lub czynników.

Do danych osobowych zalicza się również informacje dotyczące osób fizycznych prowadzących działalność gospodarczą.

Przepisy RODO stosuje się do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz w przypadku przetwarzania w sposób inny niż zautomatyzowany, np. w formie tradycyjnej – papierowej, jeżeli dane stanowią lub mogą stanowić część zbioru.

Dane osobowe dzielą się na trzy kategorie:
a) dane tzw. zwykłe, takie jak: imię, nazwisko, numer PESEL, adres zamieszkania, data i miejsce urodzenia, numer telefonu, wykonywany zawód, wizerunek, adres e-mail itp. (art. 6 RODO),
b) szczególne kategorie danych osobowych, ujawniające informacje takie jak np. stan zdrowia i poglądy polityczne (art. 9 RODO), np. dane osoby popierającej utworzenie komitetu wyborczego albo zgłoszenie danego kandydata,
c) dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa (art. 10 RODO).

Co to jest przetwarzanie danych osobowych?

Jak informuje UODO „Przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany. Przykładowo jest to zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

W trakcie wyborów dochodzi do wielorakich procesów przetwarzania danych osobowych, m.in. gdy komitety wyborcze zbierają podpisy pod listami poparcia kandydatów, przy aktualizowanym przez gminę w Centralnym Rejestrze Wyborców spisie wyborców. 

Do przetwarzania danych osobowych dochodzi również gdy wójt rozpatruje reklamację na nieprawidłowości w Centralnym Rejestrze Wyborców, jeżeli wyborca nie został ujęty w Centralnym Rejestrze Wyborców lub nie ujęto go w żadnym obwodzie głosowania albo został on nieprawidłowo ujęty w obwodzie głosowania czy wskutek prowadzenia rejestracji listy kandydatów przez komisje wyborcze.

Kim jest administrator?

Kolejnym ważnym pojęciem, które jest zdefiniowane w przepisach RODO, jest pojęcie „administratora”’. To przede wszystkim na niego nakłada się obowiązki związane z przetwarzaniem, w tym ochroną danych osobowych. W świetle RODO może nim być osoba fizyczna, osoba prawna, organ publiczny, jednostka organizacyjna i inne podmioty, które ustalają cele i sposoby przetwarzania danych. Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni współadministratorami.

W czasie kampanii wyborczej dane przetwarzają różni administratorzy na różnych jej etapach. 

Obowiązki poszczególnych administratorów danych zależą również od typu kampanii wyborczej.

Kodeks wyborczy odmiennie reguluje prowadzenie kampanii w:

• wyborach do Sejmu i do Senatu oraz w wyborach do Parlamentu Europejskiego w Rzeczypospolitej Polskiej;

• wyborach Prezydenta Rzeczypospolitej Polskiej;

• wyborach do organów stanowiących jednostek samorządu terytorialnego (rad gmin, rad powiatów i sejmików województw) oraz wyborach wójta (burmistrza i prezydenta miasta).

W zależności od typu wyborów inne są przepisy dotyczące funkcjonowania komitetów wyborczych oraz komisji wyborczych. Wśród wskazanych w kodeksie wyborczym podmiotów przetwarzających dane osobowe – w zależności od funkcji, jakie pełnią w kampanii wyborczej – możemy wyróżnić administratorów, którzy odpowiadają za przetwarzanie danych w ramach przyznanych im ustawowo kompetencji w postaci:

- stałych organów wyborczych: Państwowej Komisji Wyborczej i komisarzy wyborczych; przy czym każdy z tych organów administruje danymi osobowymi w innym zakresie i celu określonym ściśle w przepisach odrębnych, np. PKW będzie administratorem danych osób, wobec których wydano prawomocne orzeczenie sądu stwierdzające utratę prawa wybieralności, zaś komisarz wyborczy administratorem danych osób wnoszących skargi na działalność terytorialnych komisji wyborczych;

- Krajowego Biura Wyborczego – w zakresie obsługi organizacyjno-administracyjnej oraz finansowej i technicznej organów wyborczych powołanych w związku z zarządzonymi wyborami – okręgowe, rejonowe i terytorialne komisje wyborcze (wojewódzkie, powiatowe i gminne komisje wyborcze) oraz obwodowe komisje wyborcze;

- wójta (burmistrza, prezydenta), starosty, marszałka województwa  – w zakresie obsługi i technicznomaterialnych warunków pracy obwodowych i terytorialnych komisji wyborczych oraz wykonywania zadań związanych z organizacją i przeprowadzeniem wyborów gminy, powiatu lub województwa;

- komitetów wyborczych – komitety wyborcze mogą być tworzone w wyborach do Sejmu i do Senatu oraz w wyborach do Parlamentu Europejskiego w Rzeczypospolitej Polskiej przez partie polityczne i koalicje partii politycznych oraz przez wyborców. W wyborach na Prezydenta Rzeczypospolitej Polskiej wyłącznie przez wyborców, a w wyborach do organów stanowiących jednostek samorządu terytorialnego oraz w wyborach wójta mogą być tworzone przez partie polityczne i koalicje partii politycznych, stowarzyszenia i organizacje społeczne oraz przez wyborców;

- ministra właściwego do spraw informatyzacji, ministra właściwego do spraw zagranicznych; wójta (burmistrza, prezydenta), Państwowej Komisji Wyborczej i komisarzy wyborczych, konsulów – w związku z przetwarzaniem danych w Centralnym Rejestrze Wyborców

Obowiązki administratora

Obowiązki administratorów uczestniczących w procesie wyborczym na podstawie przepisów Kodeksu wyborczego są związane z zadaniami i uprawnieniami, które nakłada na nich Kodeks wyborczy. Podstawowym obowiązkiem administratora, wynikającym z zasady legalizmu, jest przetwarzanie danych osobowych na podstawie właściwej przesłanki.

Przesłanki te wymienione są w art. 6, 9 i 10 RODO, w zależności od kategorii przetwarzanych danych. Ponadto, administrator jest zobowiązany do przestrzegania zasad dotyczących przetwarzania danych osobowych, w tym m.in. do:

• spełnienia względem osób, których dane dotyczą, obowiązku informacyjnego, o którym mowa w art. 13 i 14 RODO,

• zabezpieczenia danych osobowych przez zastosowanie odpowiednich środków technicznych i organizacyjnych, tak aby dane te nie były udostępniane osobom nieupoważnionym oraz aby dane te były chronione przed zniszczeniem albo utratą (np. poprzez szyfrowanie danych, pseudonimizację, zapewnienie integralności i poufności danych),

• respektowania praw osób, których dane są przetwarzane, np. udzielania informacji co do celów, sposobów, źródeł, zakresu przetwarzania danych osobowych, spełniania żądań sprostowania, uaktualnienia albo uzupełnienia czy też ograniczenia przetwarzania.

Komitety wyborcze - obowiązki w zakresie RODO

W przypadku komitetów wyborczych podstawy ich działania zostały wskazane m.in. w art. 84 i nast. Kodeksu wyborczego. Oprócz przepisów bezpośrednio wskazujących uprawnienia do zbierania i przetwarzania danych osobowych w związku z zgłaszaniem kandydatów w wyborach, zbieraniem i dalszym przetwarzaniem danych z list wyborczych, pozyskiwaniem wpłat finansowych na kampanie, w których to przypadkach przetwarzanie danych osobowych odbywa się bezpośrednio na podstawie przepisów prawa i ma zastosowanie art. 6 ust. 1 lit. c RODO, komitety wyborcze przetwarzają także dane osobowe w związku z agitacją wyborczą, której zakres nie został doprecyzowany w przepisach pod kątem ochrony danych osobowych.

Przesłanka zgody jest najczęściej konieczna do przetwarzania danych wyborców w związku z prowadzeniem wobec nich agitacji wyborczej w formie zindywidualizowanej informacji.

Natomiast realizacją prawnie uzasadnionego interesu administratora będzie pozyskanie danych w sposób inny niż od osoby, której dane dotyczą (np. z powszechnie dostępnych rejestrów publicznych – np. KRS, CEDG i in. czy też baz danych marketingowych). Warunkiem legalności wykorzystania danych z takiego źródła jest jednak uprzednie spełnienie wobec osoby, której dane dotyczą obowiązku informacyjnego określonego w art. 14 RODO. Osoba taka ma bowiem prawo do zgłoszenia sprzeciwu na podstawie art. 21 RODO. Wówczas administrator traci prawo do dalszego przetwarzania danych w celach nim objętych i powinien dane usunąć.

UODO podkreśla zatem, że przetwarzając dane osobowe na potrzeby wyborów należy więc wyraźnie odróżnić sytuację, w której przetwarzanie danych osobowych wiąże się bezpośrednio z realizacją przepisów prawa wyborczego od sytuacji, w której przetwarzanie, pomimo że wiąże się z wyborami, nie ma wprost oparcia w przepisach regulujących tę materię, co będzie się wiązało z koniecznością uzyskania zgody na przetwarzanie lub poszukiwania innej przesłanki legalizującej ten proces.

Administratorzy przetwarzający dane osobowe w celach wynikających z Kodeksu wyborczego mogą również przetwarzać dane osobowe na podstawie art. 6 ust. 1 lit. e RODO, o ile są w stanie wykazać, że wykonują zadanie w interesie publicznym lub w ramach sprawowania władzy publicznej.

Zasady dotyczące przetwarzania danych osobowych

RODO wprowadza w art. 5 obowiązek przestrzegania następujących zasad dotyczących przetwarzania danych osobowych, zgodnie z którymi dane osobowe muszą być:

a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość);

b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (ograniczenie celu);

c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych);

d) prawidłowe i w razie potrzeby uaktualniane, a dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą być niezwłocznie usunięte lub sprostowane (prawidłowość);

e) przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (ograniczenie przechowywania);

f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (integralność i poufność).

Administrator jest odpowiedzialny za przestrzeganie powyższych zasad i musi być w stanie to wykazać (rozliczalność). Ta zasada kładzie nacisk na praktyczne aspekty wdrożenia RODO w każdej jednostce poprzez wprowadzenie i stosowanie odpowiednich procedur i innych działań zapewniających przestrzeganie przepisów o ochronie danych osobowych. 

Niezależnie od środków wynikających bezpośrednio z przepisów Kodeksu wyborczego, administrator powinien rozważyć wdrożenie działań pomagających stosować zasadę rozliczalności, np. poprzez szkolenia dla pracowników komitetów wyborczych w zakresie ochrony danych osobowych. W kontekście zasady rozliczalności można wskazać przykładowo motyw 42 RODO, zgodnie z którym, jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania. W szczególności, w przypadku oświadczenia składanego w innej sprawie, powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu.

 

Przejrzyste informowanie i przejrzysta komunikacja – obowiązek informacyjny, realizacja zasady przejrzystości

Administrator obowiązany jest respektować prawa osób, których dane dotyczą, uregulowane w rozdziale III RODO (prawo do przejrzystej informacji i komunikacji, informacji i dostępu do danych osobowych, prawo do sprostowania danych, prawo do usunięcia danych – tzw. „prawo do bycia zapomnianym”, prawo do ograniczenia przetwarzania, prawo do przenoszenia danych, prawo do sprzeciwu). Poszanowanie zasady przejrzystości nabiera szczególnego znaczenia w kształtowaniu zaufania podmiotu danych jako wyborcy do podmiotu, które je pozyskuje.

Zgodnie z art. 12 RODO, administrator powinien zapewnić przejrzyste informowanie i przejrzystą komunikację oraz tryb wykonywania praw przez osobę, której dane dotyczą. Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą, wszelkich informacji. W artykule tym doprecyzowano procedury i terminy udzielenia takiej informacji. 

Administrator ma obowiązek spełnienia wobec osoby, której dane przetwarza obowiązku informacyjnego. Jeżeli pozyskuje dane osobowe bezpośrednio od tej osoby, powinien przekazać jej informacje określone w art. 13 RODO.

W sytuacji, gdy pozyskał jej dane z innego źródła, powinien poinformować o kwestiach wymienionych w art. 14 RODO. Administrator ma prawo do zaniechania tego obowiązku na podstawie art. 14 ust. 5 lit. c RODO, gdy pozyskanie lub ujawnienie danych jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą.

 

Przetwarzanie danych osobowych w celach marketingu wyborczego (agitacji wyborczej)

Agitacja wyborcza jest niezbędnym elementem kampanii wyborczej. Artykuł 105 § 1 Kodeksu wyborczego definiuje ją jako publiczne nakłanianie, zachęcanie do głosowania w określony sposób lub do głosowania na kandydata określonego komitetu wyborczego. Ustawodawca wskazuje ponadto, że każdy wyborca może prowadzić agitację wyborczą na rzecz kandydatów, w tym zbierać podpisy popierające ich zgłoszenia, po uzyskaniu pisemnej zgody pełnomocnika wyborczego. Niewątpliwie agitacja wyborcza może również przybrać formę marketingu bezpośredniego.

Komitety wyborcze przed przeprowadzeniem agitacji wyborczej powinny dokonać analizy ryzyka i oceny skutków dla ochrony danych. Powinny także projektować ochronę danych osobowych na każdym etapie przetwarzania danych i dokonać oceny, czy w określonych sytuacjach rzeczywiście konieczne jest przeprowadzanie agitacji z wykorzystaniem danych osobowych konkretnych osób. Wskazać należy, że różne są formy agitacji wyborczej, a przetwarzanie danych konkretnych osób musi być do nich dostosowane i niezbędne do realizacji zakładanego celu. 

Zgodnie z definicją zawartą w art. 1 rekomendacji R(85)20 Komitetu Ministrów Rady Europy przez „marketing bezpośredni” należy rozumieć „ogół działań, a także wszelkich dotyczących go usług pomocniczych umożliwiających oferowanie produktów i usług, bądź przekazywanie innych informacji do grupy ludności – za pośrednictwem poczty, telefonu lub innych bezpośrednich środków – w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą”. Wyraźnie widać więc, że marketing bezpośredni obejmuje nie tylko ofertę produktów lub usług, ale także promocję celów i idei określonych organizacji, w tym partii politycznych czy komitetów wyborczych. 

Przesyłki pocztowe

Jedną z częściej wykorzystywanych form marketingu bezpośredniego są przesyłki pocztowe zawierające przekazy promocyjne. Przesyłki takie mogą być bezadresowe lub adresowe. 

W przypadku przesyłek bezadresowych, na rozpowszechnianych materiałach nie umieszcza się adresu odbiorcy. Takie przesyłki są dostarczane wszystkim osobom zamieszkującym wybrany przez nadawcę obszar. Ze względu na to, że przesyłki bezadresowe nie są kierowane do oznaczonego adresata, a więc nie zawierają danych osobowych, przepisy o ochronie danych osobowych nie będą miały do nich zastosowania. 

Natomiast przesyłki adresowe są dostarczane ściśle wyselekcjonowanej grupie zindywidualizowanych odbiorców (wyborców), a zatem wiąże się to z przetwarzaniem danych osobowych i musi być zgodne z zasadami ochrony danych osobowych. Każdy administrator – w tym każdy komitet wyborczy – o ile gromadzi informacje wyczerpujące definicję danych osobowych, powinien przestrzegać zasad wynikających zarówno z powołanych przepisów szczególnych, jak i RODO.

Komitety wyborcze przetwarzające dane osobowe na potrzeby kampanii wyborczej mają obowiązek legitymować się odpowiednią przesłanką przetwarzania, o której mowa w art. 6 i 9 ust. 2 RODO.

W odniesieniu do przetwarzania danych osobowych w celach marketingowych podstawę tę może stanowić art. 6 ust. 1 lit. a lub lit. f RODO, tj. zgoda osoby, której dane dotyczą, lub prawnie uzasadniony interes administratora lub strony trzeciej. Dla przykładu, przetwarzanie danych na potrzeby marketingu wyborczego może się odbywać zgodnie z art. 6 ust. 1 lit. f RODO, w szczególności w sytuacji pozyskania danych potencjalnych wyborców ze źródeł powszechnie dostępnych, jak rejestry publiczne powszechnie dostępne (np. KRS, CEIDG itp.). 

UODO zauważa, że przesłanka ta ma zastosowanie jedynie do danych, które stały się powszechnie dostępne zgodnie z prawem.

W takim przypadku szczególnego znaczenia nabiera konieczność uprzedniego spełnienia w odpowiedni sposób obowiązku informacyjnego. Każdy administrator danych, w tym komitet wyborczy, zbierając dane, jest obowiązany spełnić obowiązek informacyjny zarówno wtedy, gdy dane są zbierane bezpośrednio od osób, których one dotyczą, jak i z innych źródeł.

Realizacja tego obowiązku ma podstawowe znaczenie dla umożliwienia osobom, których dane dotyczą, realizacji ich praw ochrony danych osobowych, np. prawa sprzeciwu wobec przetwarzania danych osobowych w celach marketingowych czy wycofania zgody.

Z prawnego punktu widzenia komitet wyborczy jest odrębnym bytem od podmiotów go tworzących. Jeżeli komitet wyborczy pozyskał dane osobowe w celu prowadzenia agitacji wyborczej w konkretnej kampanii wyborczej, nie oznacza to, że dane te będą mogły być automatycznie wykorzystane w innej kampanii wyborczej, czy przekazywane bez zgody osoby, której dane dotyczą, np. partii politycznej tworzącej ten komitet wyborczy. Komitet wyborczy może pozyskiwać dane do celów agitacji wyborczej ze źródeł, z których takie pozyskanie jest zgodne z prawem. W konsekwencji komitet wyborczy musi mieć pewność co do źródła oraz legalności pozyskania z niego danych. Z tego względu w pierwszej kolejności należy rekomendować zbieranie danych bezpośrednio od osób, których one dotyczą. W przypadku pozyskania danych z innych źródeł albo ich wykorzystania w sytuacji, gdy pierwotnie zostały zebrane w innym celu, wymaga się szczególnej ostrożności i w wielu sytuacjach może to nie być zgodne z prawem. W szczególności, fakt pełnienia przez kandydata funkcji publicznej nie uzasadnia możliwości pozyskania i dalszego przetwarzania danych pochodzących ze zbiorów prowadzonych przez instytucję, w której ta funkcja jest pełniona. Z tego powodu nie jest dopuszczalne wykorzystanie w celach marketingu wyborczego danych ze zbiorów ewidencji ludności prowadzonej przez gminy, gdyż warunki dla udostępnienia danych z tej ewidencji przewidują odrębne przepisy (Ustawa z dnia 24 września 2010 r. o ewidencji ludności), czy też z ewidencji ksiąg wieczystych.

Komitety wyborcze nie mogą przekazywać przetwarzanych przez siebie danych osobowych pozyskanych na podstawie przepisów Kodeksu wyborczego (np. listy poparcia, rejestrów wpłat środków finansowych na kampanie) innym podmiotom danych poza sytuacjami wyraźnie uregulowanymi w przepisach ww. aktu prawnego. Odnosi się to również do podmiotów, które na podstawie art. 84 Kodeksu wyborczego tworzą komitety wyborcze (partie polityczne, koalicje partii politycznych, stowarzyszenia i organizacje społeczne). 

W przypadku przetwarzania przez komitety wyborcze w ramach agitacji wyborczej danych osobowych, które nie zostały pozyskane bezpośrednio na podstawie przepisów Kodeksu wyborczego, przekazywanie takich danych jest możliwe, jednak pod warunkiem spełnienia wymagań wynikających z przepisów RODO. 

Media społecznościowe

Obok reklam internetowych w kampaniach wyborczych powszechnie już wykorzystywane są media społecznościowe. Łatwość z jaką można dotrzeć do potencjalnych wyborców i zwolenników ze swoim programem wyborczym przemawia za zwiększaniem wydatków z budżetów komitetów wyborczych na te formy agitacji. Kierowanie komunikatów i weryfikowanie ich skuteczności (w tym typów reakcji na treści) jest związane z przetwarzaniem danych osobowych odbiorców takich przekazów. Jednocześnie osoby te nie mają pełnej świadomości, kto, w jakich celach i jak długo przetwarza dotyczące ich informacje.
Działania w mediach społecznościowych i reklama internetowa pozwalają na kierowanie przekazów wyborczych do precyzyjnie zdefiniowanych grup odbiorców. Mogą się one opierać nie tylko na kategoriach wiekowych, płciowych czy miejscu zamieszkania, ale także na poglądach politycznych, przekonaniach religijnych albo światopoglądowych czy też danych dotyczących orientacji seksualnej. Ryzyka związane z nieprawidłowym wykorzystaniem takich informacji wymagają zapewnienia zgodności z zasadami przetwarzania, w tym ochrony danych. 
Dlatego też koniecznym jest, obok stosowania zabezpieczeń, realizowanie obowiązków informacyjnych i sprawne reagowanie na żądania osób, których dane dotyczą. Komitety wyborcze oraz partie polityczne są zobowiązane do informowania w sposób przejrzysty swoich potencjalnych i zdeklarowanych zwolenników o celach przetwarzania, potencjalnych odbiorcach danych, okresach ich przechowywania oraz źródłach, z których pozyskały informacje, jeżeli nie zebrały ich samodzielnie. W przypadku wątpliwości w sprawie udzielenia informacji odbiorcy komunikatu, którego dane osobowe są przetwarzane, można posiłkować się treścią motywu 58 RODO. Przewiduje on, że zasada przejrzystości wymaga, by wszelkie informacje kierowane do ogółu społeczeństwa lub osoby, której dane dotyczą, były zwięzłe, łatwo dostępne i zrozumiałe, by były formułowane jasnym i prostym językiem, a w stosownych przypadkach dodatkowo wizualizowane. Informacje te mogą być przekazywane w formie elektronicznej, na przykład za pomocą strony internetowej, gdy są kierowane do ogółu społeczeństwa.

Dotyczy to w szczególności sytuacji, gdy duża liczba podmiotów i złożoność technologiczna działań sprawiają, że osobie, której dane dotyczą, trudno jest dowiedzieć się i zrozumieć, czy dotyczące jej dane osobowe są zbierane, przez kogo oraz w jakim celu, na przykład w przypadku reklamy w internecie.

Z RODO wynika także obowiązek prowadzenia oceny skutków dla ochrony danych zgodnie z art. 35 z uwagi na przetwarzanie na dużą skalę szczególnych kategorii danych osobowych.

W pewnym zakresie zastosowanie, obok przepisów ogólnego rozporządzenia o ochronie danych osobowych, mogą mieć także przepisy ustawy o świadczeniu usług drogą elektroniczną i Prawa telekomunikacyjnego. Jest to związane z brakiem przepisów szczególnych o ochronie danych osobowych w ustawie o partiach politycznych oraz Kodeksie wyborczym, które regulowałyby w sposób odmienny zasady przetwarzania danych zwolenników i darczyńców przetwarzanych w ramach kampanii wyborczych. 

UODO wskazuje tu na zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO), z której wynika, że dane osobowe muszą być przetwarzane jedynie w zakresie niezbędnym do celów, w których są przetwarzane. Numer telefonu czy adres e-mail może być podany opcjonalnie.

 

Zapewnienie zasady integralności i poufności – bezpieczeństwo przetwarzania danych osobowych

Jednym z obowiązków administratora wynikającym z RODO jest właściwe zabezpieczenie danych osobowych, polegające na wdrożeniu środków technicznych i organizacyjnych odpowiadających m.in. charakterowi, zakresowi, kontekstowi i celom przetwarzania oraz ryzykom naruszenia praw lub wolności podmiotów danych. Administratorzy przetwarzający dane na potrzeby kampanii wyborczej, zgodnie z art. 32 RODO, przy uwzględnieniu różnych czynników o charakterze technicznym oraz organizacyjnym, są zobowiązani zapewnić należyte bezpieczeństwo przetwarzanych danych oraz prowadzić rejestr czynności przetwarzania zgodnie z art. 30 RODO.

Przykładowe środki służące zabezpieczeniu danych to:

• pseudonimizacja i szyfrowanie danych osobowych, (Pseudonimizacja oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej - art. 4 pkt 5 RODO).

• zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,

• zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie uszkodzenia fizycznego lub technicznego,

• regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

RODO nie zawiera szczegółowych wymogów dotyczących organizacyjnego i technicznego zabezpieczenia danych osobowych, lecz określa jedynie ogólne zasady w tym zakresie. Środki te powinny być dostosowane do zidentyfikowanych ryzyk w organizacji oraz uwzględniać aktualny stan wiedzy w tym zakresie. Administracja wyborcza powinna wziąć pod uwagę wymogi określone przepisami rozporządzenia Rady Ministrów z 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. 

Kodeks wyborczy jako odpowiedzialnego za bezpieczeństwo przetwarzania danych osobowych w Centralnym Rejestrze Wyborców wprost wskazuje w art. 18 § 4 ministra właściwego do spraw informatyzacji. Organ ten prowadzi w systemie teleinformatycznym Centralny Rejestr Wyborców, a także zapewnia jego utrzymanie i rozwój w celu realizacji zadań określonych w Kodeksie, w tym:

1) zapewnia ochronę przed nieuprawnionym dostępem do Centralnego Rejestru Wyborców;

2) zapewnia integralność danych w Centralnym Rejestrze Wyborców;

3) zapewnia dostępność systemu teleinformatycznego, w którym Centralny Rejestr Wyborców jest prowadzony, dla podmiotów przetwarzających dane w tym rejestrze;

4) przeciwdziała uszkodzeniom systemu teleinformatycznego, w którym Centralny Rejestr Wyborców jest prowadzony;

5) określa zasady bezpieczeństwa przetwarzanych danych, w tym danych osobowych;

6) określa zasady zgłaszania naruszenia ochrony danych osobowych;

7) zapewnia rozliczalność działań dokonywanych na danych zgromadzonych w Centralnym Rejestrze Wyborców;

8) zapewnia poprawność danych przetwarzanych w Centralnym Rejestrze Wyborców.

Każdy z administratorów odpowiada za bezpieczeństwo przetwarzanych danych, za wydanie stosownych upoważnień, za szkolenie pracowników, wolontariuszy, np. w zakresie, aby dane osobowe nie znalazły się na prywatnych kontach społecznościowych tych osób oraz, aby danych nie rozpowszechniano wbrew przyjętym procedurom bezpieczeństwa czy cyberbezpieczeństwa.

Wskazać należy, że wpływanie na wybory to ryzyko naruszenia nie tylko danych osobowych, ale i podstawowych interesów państwa.

 

Przetwarzanie danych osobowych dotyczących poglądów politycznych wymaga odpowiednich

zabezpieczeń

 

W kontekście przeprowadzania wyborów na uwagę zasługuje motyw 56 RODO, z którego wynika, że jeżeli w ramach działań związanych z wyborami funkcjonowanie systemu demokratycznego w państwie członkowskim wymaga zbierania przez partie polityczne danych osobowych dotyczących poglądów politycznych obywateli, można zezwolić na przetwarzanie tych danych z uwagi na względy interesu publicznego pod warunkiem ustanowienia odpowiednich zabezpieczeń. Kodeks wyborczy w art. 106 reguluje zasady zbierania podpisów przez komitety wyborcze i wyborców. Należy również wskazać, że ww. Kodeks w art. 8 wskazuje na zasady postępowania z dokumentami z wyborów po ich zakończeniu. Przepis ten zawiera delegację ustawową do wydania rozporządzenia mającego regulować sposoby i okres przechowywania takich dokumentów w archiwach.

Ustawodawca w art. 8a Kodeksu wyborczego reguluje także zasady postępowania z kartami wykazu podpisów obywateli popierających utworzenie komitetu wyborczego albo zgłoszenie listy kandydatów lub kandydata – w przypadku niedokonania zawiadomienia o utworzeniu komitetu wyborczego w wyborach albo niedokonania zgłoszenia listy kandydatów lub kandydata w wyborach. Pełnomocnik wyborczy komitetu wyborczego dokonuje w takim przypadku protokolarnego zniszczenia ww. kart, które powinno nastąpić nie później niż w ciągu 3 dni po upływie terminu na dokonanie zawiadomienia o utworzeniu komitetu wyborczego albo zgłoszenia listy kandydatów lub kandydata. Z tej czynności sporządzany jest protokół potwierdzający zniszczenie, który pełnomocnik wyborczy niezwłocznie przekazuje organowi wyborczemu właściwemu do przyjęcia zawiadomienia o utworzeniu komitetu wyborczego albo komisji właściwej do przyjęcia zgłoszenia listy kandydatów lub kandydata.

 

Wybory a RODO – pytania i odpowiedzi UODO

Kto jest odpowiedzialny za przetwarzanie danych osobowych znajdujących się na listach poparcia kandydatów w trakcie kampanii wyborczej?

UODO wyjaśnia: 

Na etapie zbierania podpisów pod listami poparcia kandydatów administratorami tych danych są poszczególne komitety wyborcze, a po ich przekazaniu – komisje wyborcze. Administrator ma różne – opisane w poradniku – obowiązki związane z ich przetwarzaniem. Odnoszą się one zarówno do danych dotyczących osób udzielających poparcia komitetowi wyborczemu, jak i danych o kandydatach startujących w wyborach. Administrator powinien zapewnić przestrzeganie zasad przetwarzania danych osobowych, o których mowa w art. 5 RODO. Wśród nich w kontekście zbierania danych osobowych poprzez pozyskiwanie podpisów na listach poparcia, szczególną uwagę należy zwrócić na zasadę integralności i poufności, zgodnie z którą dane powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (art. 5 ust. 1 lit. f RODO). Ponadto administrator powinien m.in. spełnić obowiązek informacyjny wobec osoby, której dane dotyczą (art. 13 RODO i art. 14 RODO), a także zapewnić realizację praw osób, których dane dotyczą (np. prawo dostępu, prawo do sprostowania danych).

 

Czy komitet wyborczy może przesyłać komunikaty marketingowe pocztą elektroniczną, SMS-em, MMS-em bez wcześniejszej zgody adresatów?

UODO wyjaśnia: Nie. Zgodnie z art. 172 ust. 1 ustawy – Prawo telekomunikacyjne, zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. W myśl art. 209 ust. 1 pkt 25 Prawa telekomunikacyjnego, kto nie wypełnia obowiązków uzyskania zgody abonenta lub użytkownika końcowego, o której mowa m.in. w art. 172, podlega karze pieniężnej. Karę tę nakłada prezes Urzędu Komunikacji Elektronicznej (UKE), w drodze decyzji, po przeprowadzeniu w sprawie stosownego postępowania. Zatem jeżeli działalność operatora telekomunikacyjnego narusza wymieniony przepis, można zwrócić się w tej sprawie również do UKE z prośbą o jej rozpoznanie. Z art. 172 ust. 1 Prawa telekomunikacyjnego wynika również konieczność uzyskania zgody użytkownika końcowego na używanie telekomunikacyjnych urządzeń końcowych (a więc np. telefonów) dla celów marketingu bezpośredniego. Czyli również prowadzenie agitacji poprzez tradycyjny telemarketing w imieniu komitetów wyborczych wymaga zgody użytkownika końcowego.

 

Czy komitety wyborcze muszą informować osoby, których dane dotyczą, o naruszeniach ochrony danych osobowych?

UODO wyjaśnia: Tak, choć istnieją w tym zakresie ograniczenia. Zgodnie z art. 34 ust 1. RODO, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Z powołanego przepisu wynika, że administrator będzie zobowiązany do zawiadomienia osoby, której dane dotyczą, wówczas, gdy spełnione zostaną łącznie dwie przesłanki. 

Po pierwsze, musi dojść do naruszenia ochrony danych osobowych rozumianego jako „naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych” (art. 4 pkt 12 RODO). 

Po drugie, może ono powodować wysokie ryzyko naruszenia praw lub wolności osoby, której dane dotyczą. Do takich przypadków należą sytuacje, w których naruszenie prowadzi do dyskryminacji, kradzieży tożsamości, oszustwa, straty finansowej lub uszczerbku na reputacji. Jeżeli naruszenie dotyczy danych wrażliwych, można założyć, że jest prawdopodobne, iż takie naruszenie może prowadzić do wskazanych wyżej szkód.

UODO wskazuje, że nie jest konieczne, aby wysokie ryzyko zmaterializowało się i by faktycznie doszło do naruzenia praw lub wolności. Dlatego nie ma znaczenia, czy ostatecznie ich naruszenie nastąpi. Wystarczający jest fakt samego pojawienia się wysokiego ryzyka naruszenia praw lub wolności. RODO wymaga, aby osoby fizyczne zostały zawiadomione o naruszeniu ich danych „bez zbędnej zwłoki”. Oznacza to, że administrator powinien zrealizować ten obowiązek tak szybko, jak pozwalają na to okoliczności danej sprawy. Należy przyjąć, że im poważniejsze jest ryzyko naruszenia praw lub wolności podmiotu danych, tym szybciej powinno nastąpić zawiadomienie, na co wskazuje motyw 86 RODO. Poinformowanie na czas osób fizycznych o zaistniałym naruszeniu ma na celu umożliwienie podmiotom danych podjęcie niezbędnych działań zapobiegawczych dla ochrony przed negatywnymi skutkami naruszenia.

Zgodnie z art. 34 ust. 2 RODO, zawiadomienie osoby, której dane dotyczą, nie jest wymagane, w następujących przypadkach:

• administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i zostały one zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności chodzi tu o szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych,

• administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, o którym mowa w ust. 1,

• wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

 

Czy komitety wyborcze mogą w ramach prowadzonej przez siebie agitacji wyborczej przetwarzać dane osobowe pozyskane z innych źródeł niż wskazane bezpośrednio w przepisach Kodeksu wyborczego?

UODO wyjaśnia:
Tak, komitety wyborcze mogą na potrzeby prowadzenia agitacji wyborczej zbierać dane ze źródeł powszechnie dostępnych, jak: książki telefoniczne, powszechnie dostępne rejestry publiczne (np. KRS, CEIDG itp.), a także z komercyjnych baz marketingowych, pod warunkiem spełnienia wymogów określonych przez RODO. Wśród nich szczególne znaczenie ma realizacja zasady rzetelności i przejrzystości, o których mowa w art. 5 ust 1. lit. a RODO. 
Potencjalni wyborcy nie powinni być- bowiem zaskakiwani działaniami komitetu wyborczego. Dlatego jest on obowiązany przekazać tym osobom określone informacje zgodnie z art. 14 RODO. Komitet wyborczy musi poinformować te osoby, np. przy pierwszym kontakcie z nimi, m.in. o źródle pozyskania danych czy celu ich przetwarzania. Osoby te muszą być też poinformowane o swoich prawach, w tym o prawie do złożenia sprzeciwu wobec przetwarzania danych w celach marketingowych. 
Podkreślenia wymaga, że po wyrażeniu sprzeciwu wobec przetwarzania danych przez komitet wyborczy w celach marketingu wyborczego, dane należy niezwłocznie usunąć z posiadanej bazy. Brak realizacji zasady przejrzystości w takim przypadku będzie dyskwalifikował przesłankę określoną w art. 6 ust. 1 lit f RODO a przetwarzanie danych będzie mogło się odbywać wyłącznie za zgodą osób, których dane dotyczą (art. 6 ust. 1 lit a RODO).

 

Więcej na temat ochrony danych osobowych w czasie wyborów w poradniku UODO „Ochrona danych osobowych w kampanii wyborczej”.

Podstawa prawna: 

- rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwane RODO, 

- ustawa z 10 maja 2018 r. o ochronie danych osobowych - Dz. U. z 2019 r. poz. 1781.

 

Źródło: „Ochrona danych osobowych w kampanii wyborczej” – poradnik Urzędu Ochrony Danych Osobowych – aktualizacja z 2023 roku