Bréf Persónuverndar til stjórnmálasamtaka vegna kosninga til Alþingis 25. september 2021
Hinn 7. maí 2021 sendi Persónuvernd bréf til þeirra átta stjórnmálasamtaka sem tóku sæti á Alþingi eftir kosningar til þess 2017 og þeirra stjórnmálasamtaka sem buðu sig fram til sömu kosninga. Þá var bréfið einnig sent til nýrra stjórnmálasamtaka sem samkvæmt fjölmiðlum hyggjast bjóða sig fram til kosninga til Alþingis 25. september 2021.
Í bréfinu er vísað til frumkvæðismáls stofnunarinnar á notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis 2016 og 2017 til þess að afmarka markhópa og beina markaðssetningu að þeim, dags. 5. mars 2020. Í álitinu setur Persónuvernd fram leiðbeiningar og tillögur um notkun persónuupplýsinga á samfélagsmiðlum í tengslum við kosningar til að tryggja að farið sé að persónuverndarlögum.
Í bréfi til stjórnmálasamtakanna eru raktar þær tillögur sem Persónuvernd gerði og stjórnmálasamtökin innt svara um hvort vinna við þær sé hafin.
Bréf Persónuverndar má sjá hér að neðan.
Reykjavík, 7. maí 2021
Efni: Álit Persónuverndar á notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis, dags. 5. mars 2020, í máli nr. 2020010116
Persónuvernd vísar til frumkvæðisathugunarmáls stofnunarinnar á notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis 2016 og 2017 til þess að afmarka markhópa og beina markaðssetningu að þeim. Stjórn Persónuverndar samþykkti álit í málinu 5. mars 2020. Álitið má finna á vefsíðu Persónuverndar.
Tók athugunin til þeirra átta stjórnmálasamtaka sem áttu sæti á Alþingi við lok hennar. Fór athugunin fram í tveimur áföngum, fyrst var könnuð vinnsla persónuupplýsinga um félaga stjórnmálasamtakanna sjálfra og því næst um kjósendur almennt eftir að ákveðið hafði verið að útvíkka athugunina.
Fyrir liggur að netföng félagsmanna í tvennum stjórnmálasamtökum voru sett upp í viðmóti hjá Facebook. Í því fólst að netföngin voru tengd fyrirliggjandi upplýsingum þar og auglýsingar frá samtökunum sendar félagsmönnum á grundvelli þess. Þá liggur fyrir að öll stjórnmálasamtökin notuðu persónuupplýsingar til að ná til skilgreindra hópa á samfélagsmiðlum á umræddu tímabili. Öll stjórnmálasamtökin notuðu Facebook, og flest einnig aðra samfélagsmiðla, svo sem Instagram og YouTube. Ekki verður séð að félagsmenn stjórnmálasamtakanna og kjósendur almennt hafi fengið fræðslu um það hvernig staðið væri að þessari vinnslu eða eingöngu að takmörkuðu leyti.
Í álitinu eru gefnar leiðbeiningar í ljósi núgildandi persónuverndarlöggjafar, þ.e. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679. Áréttað er að vinnsla stjórnmálasamtaka á viðkvæmum persónuupplýsingum félagsmanna og kjósenda, svo sem um stjórnmálaskoðanir, verður að byggjast á afdráttarlausu samþykki hins skráða fyrir vinnslunni. Samþykkið skal vera upplýst og skýrt um hvernig og hverjir megi nota persónuupplýsingar viðkomandi og í hvaða tilgangi. Í því felst meðal annars að gera verður ríkar kröfur til fræðslu til hins skráða og á það einnig við þegar unnið er með almennar persónuupplýsingar á grundvelli heimildarinnar um lögmæta hagsmuni.
Einnig kemur fram í álitinu að þegar stjórnmálasamtök leita til auglýsingastofa og/eða greiningaraðila (e. data brokers, data analysts, ad tech companies), með fyrirmæli um hvaða hópum skuli beina auglýsingum og skilaboðum til og með hvaða hætti, verður að gera vinnslusamning við hlutaðeigandi aðila. Þá segir að ákveðnar líkur standi til þess samkvæmt lögum nr. 90/2018 að stjórnmálasamtök og auglýsingastofur og/eða greiningaraðilar beri sameiginlega ábyrgð á þeirri vinnslu persónuupplýsinga sem hér um ræðir þegar auglýsingastofur og/eða greiningaraðilar ákveða upp á sitt eindæmi tilgang og aðferðir við vinnslu persónuupplýsinga. Eðli málsins samkvæmt sé þá ekki þörf á vinnslusamningum. Loks segir að þegar um tvo ábyrgðaraðila er að ræða þurfi að huga að heimild til miðlunar persónuupplýsinga milli þeirra, t.d. samþykki, sem og því að veita fullnægjandi fræðslu. Þá skuli þeir, á gagnsæjan hátt, ákveða ábyrgð hvors um sig á því að skuldbindingar samkvæmt reglugerð (ESB) 2016/679 séu uppfylltar, einkum hvað snertir beitingu réttinda hinna skráðu og fræðsluskyldu hvors um sig, með samkomulagi sín á milli.
Í ljósi framangreinds gerði Persónuvernd m.a. eftirfarandi tillögur um notkun persónuupplýsinga á samfélagsmiðlum í tengslum við kosningar:
- Að stjórnmálasamtök og hlutaðeigandi stjórnvöld vinni að sameiginlegum verklagsreglum, í samráði við Persónuvernd, sem taki sérstaklega mið af ríkri fræðsluskyldu ábyrgðaraðila, til að unnt verði að tryggja gagnsæi við vinnslu persónuupplýsinga á samfélagsmiðlum í framtíðinni í tengslum við kosningar. Einnig að þær verklagsreglur verði kynntar fyrir starfsmönnum stjórnmálasamtaka og öllum þeim sem vinna fyrir þau, þ.m.t. auglýsingastofum og greiningaraðilum.
- Að stjórnmálasamtök setji hlekk inn í auglýsingar á samfélagsmiðlum sem vísi notendum á vefsíður þeirra, þar sem verði að finna aðgengilega og skýra fræðslu um hvaða persónuupplýsingar unnið sé með, hvernig þær séu notaðar og í hvaða tilgangi. Einnig verði þar að finna leiðbeiningar um hvernig notendur samfélagsmiðla geti leitað til stjórnmálasamtaka um nánari skýringar og hvernig þeir geti nýtt andmælarétt sinn.
- Að auglýsingastofur og greiningaraðilar (e. data brokers, data analysts, ad tech companies) gæti þeirra sjónarmiða sem rakin eru í umræddu áliti, sér í lagi ríkrar fræðsluskyldu ábyrgðaraðila.
Með vísan til kosninga til Alþingis 25. september nk. óskar Persónuvernd nú eftir eftirfarandi upplýsingum frá [...]:
1. Hvort vinna við gerð verklagsreglna þeirra sem getið er í 1. tölul. sé hafin. Persónuvernd ítrekar að stofnunin er reiðubúin til að taka drög að þeim til skoðunar.
2. Hvort settur hafi verið hlekkur sem getið er um í 2. tölul. í þær auglýsingar sem þegar hafa verið birtar á samfélagsmiðlum fyrir kosningar til Alþingis 25. september nk. Einnig hvort fyrirhugað sé að setja slíkan hlekk á þær auglýsingar sem birtar verða fyrir sömu kosningar.
3. Hvernig tryggt verði, komi til samstarfs við auglýsingastofur og/eða greiningaraðila fyrir kosningar til Alþingis 25. september nk., að þeir aðilar starfi í samræmi við lög nr. 90/2018.
Þess er óskað að svör berist Persónuvernd fyrir 25. maí nk.
Um valdheimildir vísar Persónuvernd
til 1. tölul. 41. gr. laga nr. 90/2018.
F.h. Persónuverndar,
Þórður Sveinsson Gyða Ragnheiður Bergsdóttir