Przetwarzanie danych osobowych w trakcie kampanii wyborczej.

Kampania wyborcza związana z wyborami samorządowymi nabiera rumieńców. Kampania rządzi się swoimi prawami, ale od 1 maja 2018 r. musimy także pamiętać o uwzględnieniu zasad wynikających z RODO w trakcie jej przygotowywania i prowadzenia. Nie można prowadzić kampanii bez przetwarzania danych osobowych, co jest oczywiste. Na gruncie RODO pojęcie przetwarzania danych osobowych zostało zdefiniowane w art. 4 ust. 2. Przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie danych. Przesłanki legalizujące przetwarzanie danych zostały wskazane w art. 6 RODO (dane osobowy zwykłe) oraz art. 9 ust. 2 RODO (szczególna kategoria danych). Przetwarzanie danych osobowych zwykłych jest zatem zgodne z prawem wyłącznie wtedy, gdy: 

  • osoba, której dane dotyczą, wyraziła zgodę na ich przetwarzanie,
  • przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub jest konieczne do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
  • przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
  • przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej,
  • przetwarzanie jest niezbędne do wykonywania zadania realizowanego w interesie publicznym,
  • przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub prawa i wolności osoby, której dane dotyczą. Na przesłankę prawnie uzasadnionego interesu realizowanego przez administratora lub osobę trzecią nie mogą się powołać organy publiczne w ramach wykonywania swoich zadań. Należy pamiętać, iż komitety wyborcze nie są traktowane jako organy publiczne w rozumieniu tego przepisu.

W przypadku wyborów podstawowym aktem prawnym regulującym przedmiotową tematykę jest Kodeks Wyborczy (Dz.U. z 2018 r., poz. 754 tj., z zm.; dalej jako KW). Zgodnie
z nim procedura uzyskiwania zgody kandydata w wyborach na prezydenta przez komitety wyborcze przewiduje, w myśl art. 297 § 4 KW, iż zgoda kandydata powinna zawierać imię (imiona), nazwisko, nazwisko rodowe, imiona rodziców, datę i miejsce urodzenia oraz obywatelstwo kandydata, a także wskazanie jego przynależności do partii politycznej (co ujawnia poglądy polityczne kandydata). Zgoda powinna ponadto zawierać numer ewidencyjny PESEL kandydata oraz informację o udokumentowanym wykształceniu, wykonywanym zawodzie i miejscu (zakładzie) pracy, a także o adresie zamieszkania kandydata. Obywatele wspierający kandydata na prezydenta, na podstawie art. 296 i 297 § 6 KW, oświadczają na piśmie o utworzeniu komitetu wyborczego, podając swoje imiona i nazwiska, adresy zamieszkania i numery ewidencyjne PESEL.

Przetwarzanie danych na podstawie Kodeksu wyborczego nie wymaga wyrażenia odrębnej zgody na gruncie RODO przez osobę, której dane dotyczą i są przetwarzane.

Jeśli przesłanką legalizującą przetwarzanie danych osobowych przez Komitet Wyborczy jest „zgoda”, to wówczas Komitet musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. RODO podpowiada, że jeżeli oświadczenie o wyrażeniu zgody jest zawarte w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Pamiętać należy, iż zgoda może być w dowolnym momencie wycofana. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. O możliwości wycofania zgody należy poinformować osobę, której dane dotyczą, zanim wyrazi zgodę, a wycofanie zgody musi być równie łatwe jak jej wyrażenie.

Odrębnym zagadnieniem jest przetwarzanie danych osobowych przez PKW. Zadania Państwowej Komisji Wyborczej jak i okręgowej, rejonowej i terytorialnej komisji wyborczej oraz obwodowych komisji wyborczych oraz innych organów, uregulowano poprzez wymienienie w KW ich uprawnień i obowiązków związanych z organizacją wyborów. Przetwarzanie takich danych osobowych odbywać się będzie zatem na podstawie prawa, czyli na podstawie art. 6 ust 1 lit. c RODO.

Oprócz przepisów bezpośrednio wskazujących uprawnienia do zbierania i przetwarzania danych osobowych w związku ze zgłaszaniem kandydatów w wyborach, zbieraniem i dalszym przetwarzaniem danych z list wyborczych, pozyskiwaniem wpłat środków finansowych na kampanie, w których to przypadkach przetwarzanie danych osobowych odbywa się bezpośrednio na podstawie przepisów prawa i ma zastosowanie art. 6 ust 1 lit. c RODO, komitety wyborcze przetwarzają także dane osobowe w związku z agitacją wyborczą, zakres takiej działalności komitetów nie został doprecyzowany w ustawie pod kątem ochrony danych osobowych. Skoro zatem przetwarzanie danych osobowych przez komitety wyborcze na potrzeby kampanii wyborczej nie wynikające bezpośrednio z uprawnień wskazanych w KW, przetwarzanie takich danych możliwe będzie, ale na podstawie innej przesłanki niż lit. c art. 6 ust. 1 RODO. Przetwarzanie takich danych możliwe będzie albo na podstawie zgody dysponenta - art. 6 ust 1 lit. a RODO, albo wiązać się będzie z koniecznością wykazania prawnie uzasadnionego interesu administratora, określonego w art. 6 ust. 1 lit. f RODO.

Przetwarzanie danych wiąże się z koniecznością zapewnienia należytego bezpieczeństwa procesom przetwarzania danych osobowych. Obowiązek ten spoczywa na administratorze danych osobowych, który przetwarza dane w ramach kampanii wyborczej. Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator (i podmiot przetwarzający) ma obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Art. 32 RODO zawiera otwarty katalog środków mogących zostać wykorzystanych do zabezpieczenia danych, są to m.in.: pseudonimizacja i szyfrowanie danych osobowych, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie uszkodzenia fizycznego lub technicznego, regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Urząd Ochrony Danych Osobowych w wydanym przez siebie poradniku (dostępnym pod adresem: https://uodo.gov.pl/pl/138/497) wskazuje, iż konieczne jest również prowadzenie przez administratora danych rejestru czynności przetwarzania, o jakim mowa w art. z art. 30 RODO.
Przetwarzanie danych osobowych w ramach kampanii wyborczej zgodnie z obowiązującymi regulacjami prawnymi jest swoistym wyzwaniem, przed którym stoją wszyscy administratorzy danych osobowych przetwarzający takie dane. RODO nakłada na administratorów liczne obowiązki, z których administratorzy powinni umieć się „rozliczyć” w ramach zasady rozliczalności. Praktyczne problemy związane z przetwarzaniem danych osobowych w ramach kampanii pojawiają się i będą się pojawiały niemalże każdego dnia. Warto zatem, za Urzędem Ochrony Danych Osobowych, przytoczyć niezwykle ważne wskazówki, mogące choć trochę gorący okres wyborczy uczynić mniej stresogennych.

Pamiętajmy zatem, iż:

  • na etapie zbierania podpisów pod listami poparcia kandydatów administratorami tych danych są poszczególne komitety wyborcze, a po ich przekazaniu – Komisje Wyborcze;
  • Komitet wyborczy nie może przesyłać komunikatów marketingowych w sposób automatyczny bez wcześniejszej zgody adresatów;
  • nie można odmówić podania informacji zawierających dane służbowe (adres poczty elektronicznej, numer telefonu) funkcjonariusza publicznego sprawującego urząd z wyboru i kandydującego w wyborach;
  • Burmistrz (odpowiednio Wójt, Prezydent) w trakcie kampanii wyborczej nie może wykorzystać do celów związanych z własną kampanią wyborczą danych osobowych mieszkańców znajdujących się w zbiorze danych osobowych urzędu gminy;
  • wyborca nie ma prawa odmówienia okazania dokumentu tożsamości komisji wyborczej;
  • dane osobowe zawarte w spisie wyborców nie powinny być widoczne dla osób, które biorąc udział w wyborach, swoim podpisem potwierdzają odbiór kart do głosowania;
  • dane kandydatów w wyborach muszą być archiwizowane;
  • kandydatowi w wyborach przysługuje szczególna ochrona przed nieprawdziwymi informacjami;
  • Osoba, która dokonuje wpłaty na komitet wyborczy w celu poparcia kandydata nie może zastrzec, aby jej dane nie były ujawniane;
  • Poseł nie może przekazać danych osobowych pozyskanych w ramach wykonywania przez siebie obowiązków poselskich do wykorzystywania komitetowi wyborczemu w prowadzeniu agitacji wyborczej (pełen poradnik autorstwa Urzędu Ochrony Danych Osobowych nt. Ochrony Danych Osobowych w Kampanii Wyborczej, dostępny jest pod adresem: https://uodo.gov.pl/pl/138/497 ).

Kampania samorządowa jest niezwykle ciekawa z punktu widzenia ochrony danych osobowych, wnioski z niej płynące na pewno pozwolą z większym spokojem przygotować się administratorom danych osobowych do kolejnych kampanii wyborczych, które są przed nami.

dr Marcin Adamczyk, radca prawny
Narodowy Instytut Samorządu Terytorialnego
Wydział Prawa i Administracji UWM w Olsztynie

Wydawca: SKIBNIEWSKI MEDIA, Warszawa