W związku z nieuchronnie nadciągającym terminem wyborów do Parlamentu RP, ale też w duchu możliwości wykorzystania tej wiedzy we wszystkich innych wyborach (także samorządowych) GIODO opublikowało specjalny poradnik wyborczy (o czym informowaliśmy w ubiegłym tygodniu w artykule: "Jak wykorzystywać dane w kampanii wyborczej? - poradnik dla kandydujących"). 

Aby ułatwić Państwu zapoznanie się z najważniejszymi przesłankami płynącymi z tego poradnika w kolejnych artykułach przedstawimy Państwu główne zagadnienia związane z przetwarzaniem, zabezpieczaniem oraz rejestracją danych osobowych wykorzystywanych w celach marketingu politycznego.

Przetwarzanie danych osobowych w celach marketingu politycznego

Agitacja wyborcza jest niezbędnym elementem kampanii wyborczej. Art. 105 § 1 Kodeksu wyborczego definiuje ją jako publiczne nakłanianie, zachęcanie do głosowania w określony sposób lub do głosowania na kandydata określonego komitetu wyborczego. Ustawodawca ponadto wskazuje, że każdy wyborca może prowadzić agitację wyborczą na rzecz kandydatów, w tym zbierać podpisy popierające zgłoszenia kandydatów, po uzyskaniu pisemnej zgody pełnomocnika wyborczego.

Niewątpliwie agitacja wyborcza może również przybrać formę marketingu bezpośredniego.

Ustawa, choć posługuje się pojęciem marketingu bezpośredniego, to jednak go nie definiuje. Dlatego można się posiłkować definicją zawartą w art. 1 rekomendacji R(85)20 Komitetu Ministrów Rady Europy. Zgodnie z tym przepisem, przez "marketing bezpośredni" należy rozumieć "ogół działań, a także wszelkich dotyczących go usług pomocniczych umożliwiających oferowanie produktów i usług bądź przekazywanie innych informacji do grupy ludności — za pośrednictwem poczty, telefonu lub innych bezpośrednich środków — w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą". Wyraźnie więc widać, że marketing bezpośredni obejmuje nie tylko ofertę produktów lub usług, ale także promocję celów i idei określonych organizacji, w tym partii politycznych czy komitetów wyborczych.

Jedną z częściej wykorzystywanych form marketingu bezpośredniego są przesyłki pocztowe zawierające przekazy promocyjne. Przesyłki takie mogą być bezadresowe lub adresowe. W wypadku przesyłek bezadresowych na rozpowszechnianych materiałach nie umieszcza się adresu odbiorcy. Takie przesyłki są dostarczane wszystkim osobom zamieszkującym wybrany przez nadawcę obszar. Ze względu na to, że przesyłki bezadresowe nie są kierowane do oznaczonego adresata, a więc nie zawierają danych osobowych, ustawa o ochronie danych osobowych nie będzie miała do nich zastosowania. Z kolei przesyłki adresowe są dostarczane ściśle wyselekcjonowanej grupie zindywidualizowanych odbiorców (wyborców), a zatem wiąże się to z przetwarzaniem danych osobowych i musi być zgodne z zasadami ochrony danych osobowych. Każdy administrator danych — w tym każdy komitet wyborczy — o ile gromadzi informacje wyczerpujące definicję danych osobowych, powinien przestrzegać zasad wynikających zarówno z powołanych przepisów szczególnych, jak i ustawy o ochronie danych osobowych.

Komitety wyborze przetwarzające dane osobowe na potrzeby kampanii wyborczej są obowiązane legitymować się odpowiednią przesłanką przetwarzania, o której mowa w art. 23 i art. 27 ustawy. W odniesieniu do danych zwykłych ich przetwarzanie jest dopuszczalne, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy).

Dla przykładu, komitety wyborcze zgodnie z art. 209 Kodeksu wyborczego tworzą wykazy podpisów poparcia list kandydatów. Przetwarzanie danych osobowych może się również odbywać na podstawie zgody osoby, której dane dotyczą, chyba że chodzi o usunięcie dotyczących jej danych (art. 23 ust. 1 pkt 1 ustawy).

W pewnych okolicznościach przetwarzanie danych na potrzeby marketingu wyborczego może się odbywać zgodnie z art. 23 ust. 1 pkt 5 ustawy, tj. gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów albo odbiorców danych, a przetwarzanie danych nie narusza praw i wolności osoby, której one dotyczą (art. 23 ust. 1 pkt 5 ustawy). Na tę przesłankę w szczególności można się powołać w sytuacji pozyskania danych potencjalnych wyborców ze źródeł powszechnie dostępnych, jak książki telefoniczne.

Należy zauważyć, że ma ona zastosowanie jedynie do danych, które stały się powszechnie dostępne zgodnie z prawem. Podkreślenia także wymaga, że w tym wypadku szczególnego znaczenia nabiera konieczność spełnienia w odpowiedni sposób obowiązku informacyjnego. Jakkolwiek należy mocno podkreślić, że co do zasady dane dotyczące wyborców powinny być pozyskiwane albo na podstawie uprawniających do tego przepisów prawa, albo za ich wiedzą i zgodą.

Wielu administratorów danych nie ma świadomości, że naruszają oni ustawę o ochronie danych osobowych. Wychodząc z założenia, że raz zebrane dane stają się ich własnością, zmieniają cel przetwarzania danych, np. dane zebrane w celu zawarcia lub wywiązania się z umowy są wykorzystywane w innym niż pierwotnie celu.

Zgodnie z art. 26 ust. 1 pkt 2 ustawy administrator przetwarzający dane powinien dołożyć należytej staranności w celu ochrony osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby były one zbierane dla oznaczonych zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Powyższe wiąże się również z koniecznością pozyskiwania danych do celów agitacji wyborczej ze źródeł, z których takie pozyskanie jest zgodne z prawem. Należy również pamiętać m.in. o poinformowaniu zainteresowanych osób o rzeczywistym źródle pozyskania danych osobowych do celów agitacji wyborczej.

Komitet wyborczy musi mieć pewność co do źródła oraz legalności pozyskania z niego danych.

Z tego względu w pierwszej kolejności należy rekomendować zbieranie danych bezpośrednio od osób, które one dotyczą. W przypadku pozyskania danych z innych źródeł albo ich wykorzystania w sytuacji, gdy pierwotnie zostały zebrane w innym celu, wymaga się szczególnej ostrożności i w wielu sytuacjach nie jest to zgodne z prawem.

W szczególności, fakt pełnienia przez kandydata funkcji publicznej nie uzasadnia możliwości pozyskania i dalszego przetwarzania danych pochodzących ze zbiorów prowadzonych przez instytucję, w której ta funkcja jest pełniona. W konsekwencji bez uprzedniej zgody osób, których dane dotyczą, nie jest dopuszczalne wykorzystanie ich danych w celach marketingu wyborczego ze zbiorów ewidencji ludności prowadzonej przez gminy czy archiwalnych danych osób, którym poseł lub senator udzielił wsparcia.

Ponadto poważnym naruszeniem przepisów o ochronie danych osobowych jest wykorzystanie w celach wyborczych przez różne osoby (czasami członków rodziny kandydata lub jego sympatyków) danych z różnych zbiorów, do których mają one dostęp w ramach wykonywanej przez siebie pracy, na przykład danych pełnoletnich uczniów szkoły czy danych użytkowników karty miejskiej. Wyraźnie należy zaznaczyć, że działanie oznacza udostępnienie danych osobom nieupoważnionym, a komitety wyborcze nie są uprawnione do wykorzystywania tak pozyskanych informacji.

Każdy administrator danych, w tym komitet wyborczy zbierając dane jest obowiązany spełnić obowiązek informacyjny zarówno wtedy, gdy dane są zbierane bezpośrednio od osób, których one dotyczą, jak i z innych źródeł. Podkreślenia wymaga, że realizacja tego obowiązku ma bardzo ważne znaczenie dla umożliwienia osobom, których dane dotyczą, realizacji swoich praw.

Zgodnie z art. 24 ust. 1 ustawy, w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o:

• adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna — o miejscu swojego zamieszkania oraz imieniu i nazwisku;
• celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych;
• prawie dostępu do treści swoich danych oraz ich poprawiania;
• dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Natomiast w myśl art. 25 ust. 1 ustawy, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, tylko od innych podmiotów, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

• adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna — o miejscu swojego zamieszkania oraz imieniu i nazwisku;
• celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych;
• źródle danych;
• prawie dostępu do treści swoich danych oraz ich poprawiania;
• uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.

Warto dodać, że kwestia pozyskiwania danych osobowych od innych podmiotów w kontekście działalności gospodarczej, np. w drodze zakupu, była przedmiotem rozstrzygnięć sądów administracyjnych.

I tak, Naczelny Sąd Administracyjny w wyroku z 13 lipca 2004 r. (sygn. akt OSK 507/2004) stwierdził, że "jeżeli jedna firma kupiła dane osobowe od innej, musi o tym niezwłocznie poinformować osoby, których dotyczy transakcja. Nie wolno też wysyłać jednocześnie ofert marketingowych, gdyż dalsze korzystanie z takich danych zależy od zainteresowanych, którzy mogą zgłosić sprzeciw lub skorzystać z innych form kontroli".

W tym kontekście należy zwrócić uwagę, że ustawa o ochronie danych osobowych przewiduje wyjątki, w których administrator danych zwolniony jest z dopełnienia obowiązku informacyjnego wynikającego z obu wymienionych wcześniej przepisów. I tak, zgodnie z art. 24 ust. 2 ustawy obowiązek ten nie ma zastosowania, jeżeli:

• przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania;
• osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.

Natomiast na mocy art. 25 ust. 2 ustawy obowiązku informacyjnego nie stosuje się, jeżeli:

• przepis innej ustawy przewiduje lub dopuszcza bieranie danych osobowych bez wiedzy osoby, której dane dotyczą;
• dane te są niezbędne do badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej, ich przetwarzanie nie narusza praw lub wolności osoby, której dane dotyczą, a spełnienie wymagań określonych w ust. 1 wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania;
• dane są przetwarzane przez administratora, będącego organem administracji państwem, organem samorządu terytorialnego, państwową lub komunalną jednostką organizacyjną lub podmiotem niepublicznym realizującym zadania publiczne na podstawie przepisów prawa;
• osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.

Często pojawia się również problem związany z ustaleniem okresu przechowywania danych pozyskanych na potrzeby prowadzenia kampanii wyborczej. Należy jeszcze raz zaznaczyć, że zgodnie z zasadą ograniczenia czasowego dane w postaci umożliwiającej identyfikację osób, których dotyczą, nie mogą być przetwarzane dłużej niż jest to niezbędne do osiągnięcia celu ich przetwarzania, czyli celu dla którego zostały zebrane. Oznacza to, że dłuższe przechowywanie danych jest dopuszczalne jedynie w sytuacji, gdy wymagają tego przepisy szczególne.

Źródło: "Poradnik: Ochrona danych osobowych w trakcie prowadzenia kampanii wyborczej", P. Zieliński, GIODO