GDPR, politik og valgkampagner

26.10.22

Datatilsynet har i oktober 2022 udgivet en ny vejledning omkring databeskyttelsesreglerne i forbindelse med valgkampagner.

I en moderne folketingsvalgkamp bruger partierne og de enkelte kandidater e-mails, sociale medier og andre online tjenester til at markedsføre og målrette budskaber. Hvis de politiske aktører ikke har styr på GDPR, løber de en stor risiko for at bryde reglerne i forordningen og dermed for at få bøder.

Politiske aktørers ytringsfrihed
Når der føres valgkamp, behandler politiske partier og kandidater ofte persondata om både potentielle vælgere, partimedlemmer og andre kandidater, og i alle behandlinger skal de politiske aktører sikre sig, at de overholder GDPR.

Når det handler om politik og politiske interesser og overbevisninger, er der dog en grundlæggende undtagelse, der altid skal tages hensyn til, nemlig ytrings- og informationsfriheden. Der er således i den danske databeskyttelseslov en undtagelse, der sikrer, at blandt andet politiske kandidater og andre meningsdanneres udtalelser, der har til formål at udbrede information, meninger og idéer til offentligheden, er undtaget fra GDPR. Undtagelsen gælder uanset, om der er tale om chokerende eller forstyrrende meninger.

Et eksempel på hvor undtagelsen skal bruges, er, når en politisk kandidat skriver på et socialt medie, at hun går stærkt ind for at bekæmpe ulovlig udenlandsk arbejdskraft og i samme opslag med navn afslører, at en anden kandidat, som også siger, at han vil bekæmpe ulovlig udenlandsk arbejdskraft, selv tidligere har gjort brug af ulovlig udenlandsk arbejdskraft.

Når én kandidat offentliggør andres personoplysninger som led i en naturlig politisk diskussion, og oplysningerne har en nær sammenhæng med én anden kandidats politiske virke, må kandidaten således tåle, at der er en vis offentlig interesse i at få oplysninger frem. Dette gælder uanset, at oplysningerne ville være private for andre mennesker.

Behandling af personers politiske overbevisning
Som udgangspunkt er alle oplysninger om en persons politiske overbevisning følsomme personoplysninger, der er forbudt at behandle.

Uanset udgangspunktet gælder dog en række undtagelser til reglen, hvor den første og mest oplagte selvfølgelig er, at politiske partier kan behandle oplysninger om medlemmers og andre tilknyttede personers politiske overbevisning som led i partiets legitime aktiviteter. Partierne skal dog huske på, at oplysningerne ikke uden videre må videregives til tredjeparter uden samtykke fra personerne.

Af andre relevante undtagelser er blandt andet, at en person kan give sit udtrykkelige samtykke til, at den dataansvarlige kan bruge oplysningerne til en anden type behandling, ligesom personen selv tydeligt kan have offentliggjort oplysningerne, eksempelvis når en person stiller op for et bestemt parti og bliver kandidat med valgplakater, offentlige profiler på sociale medier mv.

Brug af sociale medier
Når et parti eller en kandidat gør brug af sociale medier til at målrette politiske budskaber, er ansvaret for behandlingen af personoplysning placeret hos både de politiske aktører og det sociale medie, der altså bliver fælles dataansvarlige. Det betyder, et begge parter har et ansvar for at overholde databeskyttelsesreglerne, som i denne forbindelse ofte kan omfatte behandling af følsomme politiske oplysninger og derfor kræver ekstra sikkerhed og lovgrundlag.

Der er en lang række muligheder for, at politiske aktører lovligt kan anvende sociale medier i deres markedsføring. Det kan for eksempel være ved brug af sporingspixels, men på den anden side, er der også en lang række værktøjer, som ikke lovligt kan anvendes, ligesom en aktør nemt kan risikere at anvende værktøjer forkert.

Det vigtigste er, at alle politiske aktører gør sig bekendt med de betingelser, som de sociale medier opstiller for brug af værktøjer, og at den fastlagte ansvarsfordeling er retvisende, for at begge parter kan overholde databeskyttelsesreglerne.

Politiske aktørers oplysningspligt
Når en politiske aktør har indsamlet personoplysninger om eksempelvis potentielle vælgere, skal aktøren altid informere personerne om, at deres personoplysninger vil blive behandlet. Den information som skal gives, skal være fyldestgørende og skal blandt andet indeholde oplysninger om identiteten på den politiske aktør, altså partiet eller kandidaten, hvad formålet med indsamlingen er, hvad vælgernes rettigheder er, og i hvor lang tid aktøren vil beholde oplysningerne.

Informationerne skal de politiske aktører give vælgerne allerede på tidspunktet for indsamlingen. Hvis en personoplysning eksempelvis blev indsamlet kun med den formål, at et parti kunne udsende materiale om afstemningen om forsvarsforbeholdet i foråret 2022, kan partiet ikke gemme oplysningerne til den igangværende valgkamp og bruge dem til at sende materiale ud nu i oktober 2022 – det uanset om det er materiale om EU- eller forsvarspolitik.

Der er ingen faste regler for, hvordan oplysninger skal gives til den enkelte person, og det afhænger af indsamlingsmetoden hvilken løsning, der passer bedst. Indsamles oplysningerne ved at gå dør-til-dør, kan de frivillige indsamlere eksempelvis være udstyret med trykte brochurer, som indeholder alle relevante informationer og med links til, hvor vælgerne kan finde yderligere information. Indsamler et parti derimod oplysningerne på sin hjemmeside, online eller via apps, kan partiet i stedet give oplysningerne via en notifikation med alle relevante informationer. Det er dog et godt råd, at alle aktører sørger for altid at have en oplysende og overskuelig privatlivspolitik på deres hjemmeside, som giver alle nødvendige oplysninger.

Hvem har egentlig ansvaret?
I en valgkampagne indtager partierne, kandidaterne, reklamebureauerne, de sociale medier, osv. en lang række forskellige roller. Rollerne kan skifte fra kampagne til kampagne alt efter, hvordan en kampagne gennemføres, og hvilken indflydelse den enkelte har på kampagnen og behandlingen af personoplysninger.

Det er vigtigt for alle organisationer at overveje hvilken rolle, den enkelte har, da rollen er med til at afgøre, hvor det juridiske ansvar er placeret, og dermed også hvilke oplysninger personerne skal have. Indsamler en lokalforening i et politisk parti for eksempel navne og e-mailadresser på lokale beboere til brug for den lokale kandidats maillister, så er kandidaten eller den lokale partiforening dataansvarlig med det fulde juridiske ansvar. Men indsamler de frivillige i stedet de samme oplysninger via en konkurrence, som partiets hovedkontor har arrangeret, og overdrager alle oplysninger til partiet, så er partiet dataansvarlig med det fulde juridiske ansvar.

Når valgkampen er slut
Når valgkampen er slut, skal de politiske aktører sørge for at gennemgå alle personoplysninger, som de har indsamlet og behandlet i valgkampen. Den enkelte politiske aktør skal nemlig vurdere hvilke persondata, der kan og må gemmes til fremtidige valgkampagner og politiske aktiviteter, hvilke oplysninger der skal gemmes af hensyn til dokumentation for, at aktøren har levet op til sit juridiske ansvar – og selvfølgelig hvilke personoplysninger, der umiddelbart efter valget skal slettes.