Zpracování údajů o politických názorech voličů na sociálních sítích pro volební kampaně

Ačkoliv s názorem o nemožnosti využití údajů o politických názorech získaných ze sociálních sítí v rámci kampaně bez souhlasu dotčených lze v některých případech souhlasit, zejména pokud by se jednalo o činnost mající za cíl nezákonné ovlivnění voleb, argumentaci, již k tomu Úřad použil, je nutné považovat za poněkud spornou. Úřad ve svém stanovisku svůj závěr opřel o tezi, podle níž pokud uživatel sociální sítě bezděčně zveřejní informace, z nichž lze vyvodit jeho politické preference, nelze takové informace považovat za zjevné zveřejnění politických názorů ve smyslu výše uvedeného čl. 9 odst. 2 písm. e) GDPR. Tento závěr podle našeho názoru v některých případech nereflektujte plně znění a smysl dotčeného ustanovení GDPR.

Čl. 9 odst. 1 ve spojení s odst. 2 písm. e) zní:

Podle našeho názoru je nutné vykládat GDPR konzistentně tak, že přípustnost zpracování pro daný účel musí být vždy posouzena z hlediska čl. 6 GDPR a souběžně s tím, pokud se jedná o zvláštní kategorie údajů uvedené v čl. 9 odst. 1, podle ustanovení čl. 9 odst. 2 GDPR.

Z tohoto pohledu je třeba podle našeho názoru rozlišit u zpracování údajů o politických názorech tři situace:

a) Subjekt údajů přímo zveřejnil své politické preference, např. kterou stranu je rozhodnut volit, kterou stranu podporuje či je jejím členem nebo za ni kandiduje, případně se výslovně přihlásí k některé části politického spektra. V takovém případě lze pouze obtížně přijmout tezi, že se nejedná o údaje o politickém přesvědčení zjevně zveřejněné subjektem údajů.

b) Subjekt údajů nezveřejnil výslovně údaj o své politické preferenci, ale tyto údaje lze snadno bez dalšího vyvodit z jeho vědomého chování na sociální síti (např. subjekt údajů lajkuje stránky či příspěvky výhradně s určitými politickými názory či některých politických představitelů, jednoznačně se vyjadřuje v komentářích na jejich podporu apod.)

c) Subjekt údajů nezveřejnil přímo údaj o své politické preferenci, ale tyto údaje lze za použití sofistikovaných nástrojů vyvodit z jeho chování na sociální síti, resp. v celém prostředí internetu (např. srovnáním jeho chování s referenční skupinou osob, u nichž jsou jejich politické preference známé, spojením více dílčích informací o jeho názorech a aktivitě apod.).

Na rozdíl od názoru Úřadu se domníváme, že na první dva případy uvedené výše se uplatní výjimka podle čl. 9 odst. 2 písm. e) GDPR, tedy že se jedná o zpracování údajů zjevně zveřejněných subjekty údajů. GDPR v tomto obsahuje vcelku jednoznačný text, který odráží svobodnou vůli a také odpovědnost každého zveřejnit o sobě i ty nejcitlivější informace, ovšem s tím důsledkem, že v zásadě neomezený okruh příjemců může tyto informace nadále využívat. Obecně je nutno vycházet z toho, že každý uživatel sociální sítě (minimálně za předpokladu, že své příspěvky sdílí neomezenému okruhu osob, resp. má tedy takový profil povahu veřejně dostupného zdroje[1], případně za předpokladu, že sociální síť je svým charakterem určena ke zjevnému zveřejnění, jako např. sociální síť Twitter), musí počítat s tím, že se všichni uživatelé internetu dozví, jaké politické názory sdílí a mohou tyto informace určitým způsobem využít.

Ve třetím případě se podle našeho názoru tato výjimka ovšem uplatnit nemůže, neboť subjekt údajů nijak své politické názory sám nezveřejnil (resp. je nikdy, na rozdíl od přímého zveřejnění na sociální síti, neposkytoval s úmyslem demonstrativně veřejné prezentace) a ty jsou až sekundárně vyvozovány z jeho dalšího chování a na základě rámce jeho chování v celém prostředí sociální sítě či dokonce napříč internetem.

Z výše uvedeného vyplývá, že v prvních dvou případech je podle našeho názoru splněna podmínka pro výjimku ze zákazu zpracování údajů o politických názorech a čl. 9 odst. 1 GDPR se tak neuplatní. To však ještě neznamená, že je možné v těchto případech údaje o politických názorech pro účely volební kampaně bez jakéhokoliv omezení či splnění dodatečných podmínek zpracovávat. I v případě splnění některé z výjimek dle čl. 9 odst. 2 je totiž nutné posoudit přípustnost zpracování daných údajů podle čl. 6 GDPR a určit řádný právní základ zpracování ve smyslu tohoto ustanovení.

Podle čl. 6 GDPR přichází v úvahu kromě souhlasu v podstatě jediný důvod, a to (ve většině případů) oprávněné zájmy správce ve smyslu čl. 6 odst. 1 písm. f) GDPR. Musí být proto proveden balanční test, který by měl správci odpovědět na otázku, zda jeho zájmy převáží nad zájmy subjektu údajů; při tom musí být zohledněna i celková přiměřenost zpracování. Domníváme se, že např. profilování uživatelů sociální sítě podle jejich politického přesvědčení pro účely vedení volební kampaně obvykle takovým testem neprojde, nicméně zde bude třeba zohlednit všechny relevantní okolnosti (hloubku profilování, jeho trvání, oprávněná očekávání subjektů údajů, míru využití zdrojových dat, charakter sociální sítě a uživatelské nastavení soukromí na této sociální síti apod.). Jsme přesvědčeni, že výsledek balančního testu může být jiný v případě výše naznačeného plošného profilování uživatelů sociální sítě za účelem zobrazování personalizované reklamy pro volební kampaň (kde se ve shodě s Úřadem domníváme, že bude podstatně těžší hledat odůvodnění pro oprávněný zájem) a jiný v případě vyhledávání vhodných osob, které by politická strana oslovila s nabídkou kandidovat ve volbách, mezi osobami, které pravidelně navštěvují stránky této strany na sociální síti a zanechávají zde komentáře, jež podporují názory této strany nebo v případě komunikace politické strany s osobami, které se k této politické straně aktivně přihlásily např. na jejích fanouškovských stránkách.

Podle našeho názoru tak nelze zcela paušálně odmítat použití ustanovení čl. 9 odst. 2 písm. e) GDPR na informace zveřejněné subjektem na sociální síti, ale je třeba rozlišovat jednotlivé situace a podle nich rozlišovat případy, kdy bude nutné vyžadovat souhlas a kdy tento souhlas nutný nebude. U zpracování, jež nebude založeno na souhlasu, je pak následně nutné řádné provedení balančního testu ve smyslu čl. 6 odst. 1 písm. f) GDPR.

Toto stanovisko je zároveň pozičním dokumentem Spolku pro ochranu osobních údajů.

[1] K tomu srov. např. nález Ústavního soudu ze dne 30. října 2014, sp. zn. III. ÚS 3844/13. Ústavní soud se v této souvislosti vyjádřil ve vztahu k sociální síti Facebook následovně:

Povaha sociální sítě Facebook není dle názoru Ústavního soudu jednoznačně soukromá či veřejná. Vždy záleží na konkrétních uživatelích, jakým způsobem si míru soukromí na svém profilu, případně přímo u jednotlivých příspěvků, nastaví.

Teoreticky může uživatel prostřednictvím této sítě komunikovat pouze s jediným dalším uživatelem, a to aniž by tuto komunikaci mohli vidět, či do ní zasahovat, ostatní uživatelé.

Uživatel sociální sítě Facebook však má možnost učinit svůj profil také zcela veřejným, a tedy přístupným všem uživatelům sociální sítě Facebook, případně i všem uživatelům sítě internet.

© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz