Umsögn um frumvarp til laga um breytingu á lögum um fjármál stjórnmálasamtaka og frambjóðenda og um upplýsingaskyldu þeirra, nr. 162/2006 (gagnsæi, skráning og vinnsla persónuupplýsinga)
Nr. 162/2006
1.
Persónuvernd vísar til beiðni stjórnskipunar- og eftirlitsnefndar Alþingis frá 21. apríl 2021 um umsögn um frumvarp til laga um breytingu á lögum nr. 162/2006 um fjármál stjórnmálasamtaka og frambjóðenda og um upplýsingaskyldu þeirra (þskj. 1137, 668. mál á 151. löggjafarþingi).
Í b-lið 3. gr. frumvarpsins er meðal annars lagt til að sett verði ný 2. gr. b í umrædd lög, þar sem fram komi meðal annars að stjórnmálasamtökum sé óheimilt að nýta persónusnið til að beina að einstaklingum efni og auglýsingum í tengslum við stjórnmálabaráttu sem fela í sér hvatningu um að nýta ekki kosningarrétt sinn.
Í athugasemdum við ákvæðið segir að með því sé leitast við að stemma stigu við hættu á tilteknum tilburðum sem á undanförnum árum hefur orðið vart við, einkum á samfélagsmiðlum, í tengslum við kosningar víða erlendis og felast í tilraunum til að hafa óæskileg áhrif á niðurstöður kosninga með sérmiðaðri vinnslu persónuupplýsinga.
Minnt er á álit Persónuverndar í máli vegna frumkvæðisathugunar á notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis 2016 og 2017 til þess að afmarka markhópa og beina markaðssetningu að þeim, dags. 5. mars 2020. Ekki virðist hafa verið tekið tillit til þessa álits við samningu frumvarpsins. Í ljósi þess sem fram kemur í álitinu leggur Persónuvernd sérstaka áherslu á að samþykkt verði sú tillaga að breytingu á fyrrnefndu frumvarpsákvæði sem stofnunin gerir í kafla 4 í umsögn þessari. Álitið fylgir hjálagt.
2.
Frumkvæðisathugun Persónuverndar tók til þeirra átta stjórnmálasamtaka sem áttu sæti á Alþingi við lok hennar. Fór athugunin fram í tveimur áföngum, fyrst var könnuð vinnsla persónuupplýsinga um félaga stjórnmálasamtakanna sjálfra og því næst um kjósendur almennt eftir að ákveðið hafði verið að útvíkka athugunina.
Fyrir liggur að netföng félagsmanna í tvennum stjórnmálasamtökum voru sett upp í viðmóti hjá Facebook. Í því fólst að netföngin voru tengd fyrirliggjandi upplýsingum þar og auglýsingar frá samtökunum sendar félagsmönnum á grundvelli þess. Þá liggur fyrir að öll stjórnmálasamtökin notuðu persónuupplýsingar til að ná til skilgreindra hópa á samfélagsmiðlum á umræddu tímabili. Öll stjórnmálasamtökin notuðu Facebook, og flest einnig aðra samfélagsmiðla, svo sem Instagram og YouTube. Í tilvikum tveggja stjórnmálasamtaka voru einungis notaðar upplýsingar um aldur fólks og staðsetningu. Hjá öðrum stjórnmálasamtökum voru hópar skilgreindir með nákvæmari hætti út frá áhugasviði þeirra á samfélagsmiðlum með sérmiðaðri vinnslu persónuupplýsinga.
Með persónusniði (e. profiling) er átt við hvers konar sjálfvirka vinnslu persónuupplýsinga sem felst í því að nota persónuupplýsingar til að meta ákveðna þætti er varða hagi einstaklings, einkum að greina eða spá fyrir um þætti er varða frammistöðu hans í starfi, fjárhagsstöðu, heilsu, smekk, áhugamál, áreiðanleika, hegðun, staðsetningu eða hreyfanleika. Með örnálgun (e. microtargeting) er átt við tækni sem styðst við ákveðna greiningu á gögnum í þeim tilgangi að finna áhugamál eða hagsmuni einstaklinga og í kjölfarið skapa sérsniðin skilaboð sem er beint að tilteknum einstaklingum. Tæknin felur einnig í sér að unnt er að spá fyrir um áhrif hinna sérsniðnu skilaboða sem hinum tilteknu einstaklingum eru færð milliliðalaust. Persónuupplýsingar eru greindar til að búa til persónusnið í þeim tilgangi að flokka fólk eftir áhugamálum þess og eiginleikum.
Öll stjórnmálasamtökin notuðu Facebook, og flest einnig aðra samfélagsmiðla, svo sem Instagram og YouTube. Í tilvikum tveggja stjórnmálasamtaka voru einungis notaðar upplýsingar um aldur fólks og staðsetningu. Hjá öðrum stjórnmálasamtökum voru hópar skilgreindir með nákvæmari hætti út frá áhugasviði þeirra á samfélagsmiðlum. Áhugasviðin voru ýmist skráð af notendum sjálfum eða þau voru ákveðin af samfélagsmiðlinum út frá virkni notenda á miðlinum, svo sem því sem hann líkaði við, deildi eða hafði áhuga á. Þannig beindu sum stjórnmálasamtök sérsniðnum skilaboðum til tiltekinna hópa kjósenda sem í ljósi persónusniða voru taldir ýmist líklegir til að kjósa þau eða vera óákveðnir (e. swing voters). Dæmi um þetta var þegar tiltekið var sérstaklega að ekki skyldi birta skilaboð fyrir kjósendum sem aðhylltust ákveðna stefnu í stjórnmálum. Fyrir liggur að sumar af þeim breytum sem stjórnmálasamtökin notuðu fólu í sér nokkuð aðgangsharða rýni, sbr. hér:
„Íslendingur, staðsetning (t.d. kjördæmi og bæjarfélög), kyn og aldur (t.d. 18-30 ára, 45-65 ára +, 18-65 ára +). Þá hafi flokkurinn birt auglýsingar fyrir þeim sem höfðu sýnt markaðsefni flokksins áhuga og heimsótt síðu flokksins. Hið sama gildi um þá sem líkað höfðu við síðuna og í gögnum með svari [flokksins] sést að skilaboðum var einnig beint til vina þeirra“
„ ...beint eingöngu að þeim hópi skilaboðum sem tengdust breyttri staðsetningu Landspítala og áherslum sem sneru að heilbrigðisstefnu flokksins. Þær breytur sem hafi verið notaðar til að smíða þann hóp séu Íslendingur, staðsetning, aldur (18-65 ára +), áhugamál (læknisfræði). Einnig hafi starfsheiti í heilbrigðisstétt verið notuð, svo sem barna-, hjarta-, svæfingar-, tauga-, lýta- og húðsjúkdómalæknir“
„ ...dæmi um markhópa: (a) Karlkyn og kvenkyn, 20 ára og eldri í Reykjanesbæ og nágrenni. (b) Konur, 25-64 ára, í þéttbýli, með áhuga á mannréttindum, þróunaraðstoð, ESB, UNICEF, UN Women, lýðræði og dýrum“
„Allir í Garðabæ, Hafnarfirði, Kópavogi, Mosfellsbæ, og Seltjarnarnesi, 18 ára og eldri. (b) Allir í Garðabæ, Hafnarfirði, Kópavogi, Mosfellsbæ og Seltjarnarnesi, 18 ára +, áhersla á þá sem höfðu áhuga á pólska hernum, pólsku, „ég elska Pólland“, Gdansk, menningu í Póllandi, Varsjá og þá sem höfðu búið í Póllandi samkvæmt skilgreiningu Facebook“
„ ...dæmi um markhópa: (a) Konur 18-40 ára á Íslandi. (b) Staðsetning (Reykjavík, höfuðborgarsvæðið, Borgarnes, Vesturland, Selfoss, Suðurland), aldur (18-65 ára +), menntunarstig (fólk í háskóla, fólk sem hefur útskrifast úr háskóla, fólk með meistara- eða doktorsgráðu o.fl.), áhugamál (frumkvöðlastarfsemi, sprotafyrirtæki og sjálfstætt starfandi fólk), vinnuveitendur (lítið fyrirtæki, eigandi fyrirtækis og sjálfstætt starfandi) og starfsheiti (framkvæmdastjóri, formaður, verkefnastjóri, fjármálastjóri, forstjóri, stofnandi og eigandi, framkvæmdastjóri og eigandi o.fl.)“
„ ...dæmi um markhópa: (a) Allir 18-65 ára + í 25 kílómetra radíus frá Selfossi. (b) Karlkyn og kvenkyn, 18-65 ára + á landinu öllu, áhugamál (svo sem Austurland, menntun, rafeindasmásjár, vinstristefna, félagsmál, umhverfisvernd, stjórnmál)“
3.
Almennt má ætla að stjórnmálasamtök hafi lögmæta hagsmuni af því að beina auglýsingum og skilaboðum til kjósenda á samfélagsmiðlum fyrir kosningar. Við mat á því hvort vegið sé um of að grundvallarréttindum og frelsi kjósenda verður að líta til meginreglna persónuverndarlaga og til þeirrar fræðslu sem veitt er.
Í álitinu eru gefnar leiðbeiningar í ljósi núgildandi persónuverndarlöggjafar, þ.e. laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679. Áréttað er að vinnsla stjórnmálasamtaka á viðkvæmum persónuupplýsingum félagsmanna og kjósenda, svo sem um stjórnmálaskoðanir, verður að byggjast á afdráttarlausu samþykki hins skráða fyrir vinnslunni. Samþykkið skal vera upplýst og skýrt um hvernig og hverjir megi nota persónuupplýsingar viðkomandi og í hvaða tilgangi. Í því felst meðal annars að gera verður ríkar kröfur til fræðslu til hins skráða og á það einnig við þegar unnið er með almennar persónuupplýsingar á grundvelli heimildarinnar um lögmæta hagsmuni. Kjósendur verða að fá skýra og aðgengilega fræðslu um að unnið sé með persónuupplýsingar þeirra í þessum tilgangi, þ. á m. um þær breytur sem notast er við. Ef ekki er gætt að þessu með fullnægjandi hætti er vegið að þeim grundvallarréttindum kjósenda að unnið sé með persónuupplýsingar þeirra í samræmi við persónuverndarlög.
Einnig kemur fram í álitinu að þegar stjórnmálasamtök leita til auglýsingastofa og/eða greiningaraðila (e. data brokers, data analysts, ad tech companies), með fyrirmæli um hvaða hópum skuli beina auglýsingum og skilaboðum til og með hvaða hætti, verður að gera vinnslusamning við hlutaðeigandi aðila. Þá segir að ákveðnar líkur standi til þess samkvæmt lögum nr. 90/2018 að stjórnmálasamtök og auglýsingastofur og/eða greiningaraðilar beri sameiginlega ábyrgð á þeirri vinnslu persónuupplýsinga sem hér um ræðir þegar auglýsingastofur og/eða greiningaraðilar ákveða upp á sitt eindæmi tilgang og aðferðir við vinnslu persónuupplýsinga. Eðli málsins samkvæmt sé þá ekki þörf á vinnslusamningum. Loks segir að þegar um tvo ábyrgðaraðila er að ræða þurfi að huga að heimild til miðlunar persónuupplýsinga milli þeirra, t.d. samþykki, sem og því að veita fullnægjandi fræðslu. Þá skuli þeir, á gagnsæjan hátt, ákveða ábyrgð hvors um sig á því að skuldbindingar samkvæmt reglugerð (ESB) 2016/679 séu uppfylltar, einkum hvað snertir beitingu réttinda hinna skráðu og fræðsluskyldu hvors um sig, með samkomulagi sín á milli.
4.
Með vísan til framangreinds leggur Persónuvernd til breytingu á tillögu b-liðar 3. gr. frumvarpsins að nýrri 2. gr. b í lögum nr. 162/2006. Nánar tiltekið leggur stofnunin til að 3. tölul. ákvæðisins verði svohljóðandi:„Skilyrðum laga um persónuvernd og vinnslu persónuupplýsinga. Þá er stjórnmálasamtökum að auki óheimilt að nýta persónusnið í því skyni að hafa óeðlileg áhrif á niðurstöður kosninga með því að beina að einstaklingum efni og auglýsingum í tengslum við stjórnmálabaráttu sem innihalda hvatningu um að kjósa tiltekin stjórnmálasamtök án þess að virt séu ákvæði laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, eða hvatningu um að nýta ekki kosningarrétt sinn.“
5.
Þá leggur Persónuvernd til viðbót við tillögu c-liðar 3. gr. frumvarpsins að nýrri 2. gr. c í lögum nr. 162/2006, svohljóðandi:„Að því marki sem Þjóðskrá Íslands og Póst- og fjarskiptastofnun er falið eftirlit samkvæmt þeirri löggjöf sem þær stofnanir starfa eftir eiga ákvæði þar að lútandi einnig við um vinnslu samkvæmt þessum kafla.“
---------------
Að öðru leyti en að framan greinir gerir Persónuvernd ekki athugasemdir við frumvarpið, en tekið skal fram að verði frekari umsagnar óskað verður hún fúslega veitt.F.h. Persónuverndar,
Helga Þórisdóttir Gyða Ragnheiður Bergsdóttir
Hjálagt:
Álit Persónuverndar í frumkvæðisathugunarmáli hennar á notkun stjórnmálasamtaka á samfélagsmiðlum fyrir kosningar til Alþingis 2016 og 2017, dags. 5. mars 2020.