Leiðbeiningar fyrir frambjóðendur til embættis forseta Íslands 2024
Þegar frambjóðendur nota persónuupplýsingar kjósenda í markaðssetningu, á samfélagsmiðlum og með öðrum hætti, bera þeir ábyrgð á að sú vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679. Almennt er litið svo á að vinnsla persónuupplýsinga í markaðssetningarskyni geti byggst á lögmætum hagsmunum frambjóðenda nema hagsmunir eða grundvallarréttindi og frelsi kjósenda vegi þyngra. Þá kann vinnslan að vera heimil á grundvelli samþykkis kjósenda. Auk heimildar þarf vinnslan að fullnægja meginreglum um vinnslu persónuupplýsinga, svo sem um fræðslu, sanngirni, gagnsæi og meðalhóf. Þegar persónuupplýsingar eru unnar í þágu markaðssetningar eiga einstaklingar alltaf rétt á að andmæla slíkri vinnslu.
Hvað þarf að hafa í huga varðandi markaðssetningu á samfélagsmiðlum?
Samfélagsmiðlar á borð við Facebook safna ítarlegum upplýsingum um notendur, til dæmis um aldur þeirra, staðsetningu, hvað þeim líkar við, deila eða hafa áhuga á. Út frá þessum upplýsingum er unnt að búa til svokallað persónusnið (e. profiling) til að meta ákveðna þætti er varða hagi kjósenda. Á grundvelli þessara persónusniða er unnt að búa til markhópa og beina sérsniðnum skilaboðum að þeim (e. targeting).
Aðferðir Facebook til að smíða til dæmis „Eigin markhópa“ (e. custom audiences) og „Líkindamarkhópa“ (e. lookalike audiences) fela í sér nokkuð nærgöngula rýni gagnvart notendum miðilsins. Við þessa vinnslu persónuupplýsinga verður að líta til hinnar almennu gagnsæisreglu sem felur í sér ríka fræðsluskyldu ábyrgðaraðila til hins skráða svo að honum sé kleift að gæta réttar síns og standa vörð um eigin hagsmuni.
Persónuvernd bendir á að fræðsla um vinnslu persónuupplýsinga á samfélagsmiðlum er samkvæmt fyrirkomulagi sem samfélagsmiðlarnir sjálfir ákveða og geta frambjóðendur ekki gengið út frá því sem vísu að fræðsla miðlanna sé í samræmi við persónuverndarlöggjöfina.
Því beinir Persónuvernd þeim leiðbeiningum til frambjóðenda, vegna notkunar þeirra á samfélagsmiðlum, að þeir:
· Merki auglýsingar þannig að fram komi hver kosti þær.
· Merki auglýsingar þannig að skýrt sé að þær séu vegna kosninga.
· Geri auglýsingar svo úr garði að notendur samfélagsmiðla séu leiddir með einföldum hætti inn á vefsíður frambjóðenda þar sem verði að finna aðgengilega og skýra fræðslu um hvaða persónuupplýsingar unnið er með, hvernig þær eru notaðar og í hvaða tilgangi. Einnig verði þar að finna leiðbeiningar um hvernig notendur samfélagsmiðla geta leitað til frambjóðenda um nánari skýringar og hvernig þeir geta nýtt andmælarétt sinn.
· Forðist að nota aðferðirnar „Eigin markhópar“ (e. custom audiences) og „Líkindamarkhópar“ (e. lookalike audiences) á Facebook – en noti fremur almenna markhópa, svo sem á grundvelli staðsetningar, kyns og aldurs.
· Forðist að nota afleiddar persónuupplýsingar, þ.e. þær sem eru ráðnar af virkni og hegðun notenda á samfélagsmiðlum, svo sem því sem notendur líka við, deila eða hafa áhuga á.
· Noti ekki persónusnið til að hvetja einstaklinga til að nýta ekki kosningarétt sinn.
Hvað þarf að hafa í huga varðandi markaðssetningu svo sem með útsendingu auglýsinga- og tölvupósts, símhringingum og hliðstæðum aðferðum?
Ávallt verður að virða andmæli einstaklinga við frekari markpósti eða símtölum hafi þeir komið þeim á framfæri við frambjóðendur sem stunda markaðssetningu.
Þá eiga einstaklingar rétt á skv. reglum nr. 36/2005 að andmæla því að nöfn þeirra séu notuð í markaðssetningarskyni og geta skráð sig á bannskrá Þjóðskrár og/eða látið bannmerkja (x-merkja) sig í símaskránni. Frambjóðendur sem hyggjast stunda markaðssetningu þurfa að bera lista sína saman við bannskrána áður en hafist er handa við markaðssetningu. Skyldan um samkeyrslu við bannskrána á þó ekki við ef eingöngu er notast við netföng.
Óumbeðin fjarskipti, þ.m.t. markaðssetning í tölvupósti, falla undir eftirlit Fjarskiptastofu og vísast til leiðbeininga stofunnar þar um, en jafnframt fer um skráningu og miðlun persónuupplýsinga í tengslum við slík fjarskipti eftir persónuverndarlögum.
Því beinir Persónuvernd þeim leiðbeiningum til frambjóðenda, vegna notkunar þeirra á persónuupplýsingum kjósenda í þágu markaðssetningar, að:
· Ganga úr skugga um að heimilt sé að nota persónuupplýsingar kjósenda, t.d. nöfn, símanúmer, heimilisföng og netföng, í þessum tilgangi.
· Öll skilaboð, hvort sem þau eru send með tölvupósti eða öðrum hætti, beri skýrt með sér hvaðan þau koma og gefi raunverulegan kost á einfaldri leið fyrir kjósendur til að andmæla vinnslunni.
· Bera lista sína saman við bannskrá Þjóðskrá áður en hafist er handa við markaðssetningu.
· Andmæli kjósenda við frekari markpósti eða -símtölum verði virt, óháð því hvort viðkomandi sé skráður á bannskrá Þjóðskrár.
Hvað þarf að hafa í huga ef notaðar eru auglýsingastofur?
Leiti frambjóðendur til vinnsluaðila, t.d. auglýsingastofa, með fyrirmæli um hvaða hópi skuli beina auglýsingum og skilaboðum að og með hvaða hætti, þurfa frambjóðendur að gera vinnslusamning við hlutaðeigandi aðila. Þá ber frambjóðendum að sannreyna að viðkomandi vinnsluaðili geri viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vinnslan uppfylli kröfur reglugerðar (ESB) 2016/679 og að réttindi skráðra einstaklinga séu tryggð.
Ákveði auglýsingastofur tilgang og aðferðir við vinnslu persónuupplýsinga bera þær og frambjóðendur sameiginlega ábyrgð á þeirri vinnslu persónuupplýsinga sem um ræðir og er þá eðli málsins samkvæmt ekki þörf á vinnslusamningum. Þegar svo háttar til þarf að huga að heimild til miðlunar persónuupplýsinga milli þeirra, sem og því að veita fullnægjandi fræðslu. Þá skulu þeir, á gagnsæjan hátt, ákveða ábyrgð hvors um sig á því að skuldbindingar samkvæmt reglugerð (ESB) 2016/679 séu uppfylltar, einkum hvað snertir beitingu réttinda hinna skráðu og fræðsluskyldu hvors um sig, með samkomulagi sín á milli.