Az országgyűlési képviselők választásán az a jelölt indulhat, aki a választókerületében élőktől összegyűjt ötszáz érvényes ajánlást. Az ajánlásgyűjtésben számos szereplő vesz részt, például jelöltek, jelölőszervezetek, politikai pártok aktivistái vagy a jelölt kampánystábjának tagjai.

A NAIH még tavaly adott ki ajánlást a politikai pártok és szervezetek adatkezelésével kapcsolatos adatvédelmi követelményekről, ebben követelményként fogalmazta meg a politikai pártokkal szemben, hogy még az adatkezelés - azaz az országgyűlési képviselőjelöltek ajánlásgyűjtésének - megkezdése előtt határozzák meg, ki a felelős a GDPR-ban meghatározott kötelezettségek végrehajtásáért, ki az adatkezelő, azaz, ki határozza meg az adatkezelés célját és módját, és ki adatfeldolgozó, aki csak az adatkezelő megbízásából kezeli a személyes adatokat.

Közös adatkezelők esetében tisztázni kell az egyes adatkezelők közötti pontos feladat- és felelősségmegosztást is, így egyebek mellett azt, hogy melyiknek a feladata az érintetti jogokkal kapcsolatos feladatok ellátása. A választópolgárt ugyanis megilleti a többi között a tájékoztatáshoz való jog (hogy megtudja, kezelik-e a személyes adatait), de helyesbítheti vagy töröltetheti is adatait az adatkezelőnél, ezek az úgynevezett érintetti jogok.

A NAIH hangsúlyozta: az adatkezelői, illetve adatfeldolgozói szerepek tisztázása azért kiemelt fontosságú, mert az adatkezelő az elsőszámú felelős az adatkezelés jogszerűségéért.

A hatóság szerint mindazon szervezet, párt, illetve természetes személy, amely-aki az adott adatkezelés céljaival és annak eszközeivel kapcsolatban valamilyen döntést hozott, adatkezelőnek tekintendő.

Az ajánlásgyűjtésben részt vevő aktivistáknak adatfeldolgozói vagy ezen feladatok meghatározására is kiterjedő megbízási szerződéssel kell rendelkezniük, és szükség esetén igazolniuk kell, hogy mely adatkezelő nevében gyűjtik az érintettek személyes adatait.

A NAIH elvárja, hogy

a pártok egyértelműen határozzák meg az adatkezelés céljait, és el kell határolniuk a különböző adatkezelési célokat,

így például az ajánlásgyűjtést és az azzal egy időben végzett szimpatizánsi adatgyűjtést.

A képviselőjelöltek ajánlására szolgáló íven a törvényben rögzített, az ajánlás érvényességéhez szükséges személyes adatokon túl egyéb személyes adatot - például olyat, amely a választó politikai véleményére utalhat - nem szabad rögzíteni. Azt azonban az ajánlásgyűjtők nyilvántarthatják, hogy a felkeresett személy otthon volt-e, vagy hogy a címe megváltozott, adott esetben azt, hogy az érintett elhunyt.

A NAIH ajánlásában kitér arra is, hogy az aláírásgyűjtésnél szükségtelen és aránytalan az aláírók személyazonosságának igazolására bármilyen személyazonosító okmányt elkérni. A szimpatizánsi adatok gyűjtésénél pedig csak a kapcsolattartáshoz szükséges személyes adatoknak lehet gyűjteni, ilyen a telefonszám vagy e-mail cím, de az igazolványszám vagy a személyi azonosítójel rögzítése tilos.

A pártoknak megfelelő belső eljárási rendet kell kialakítaniuk arra az esetre, ha valaki helyesbíteni vagy törölni kívánná az adatait, és az eljárás menetéről könnyen hozzáférhető tájékoztatást kell adniuk.

A NAIH szerint a politikai pártoknak átláthatóvá kell tenniük a kezelt személyes adatok sorsát, az adatkezelés folyamatát és könnyen elérhető formában közzé kell tenniük adatkezelési tájékoztatójukat. A közvélemény-kutatással egybekötött vagy politikai marketing célú telefonhívás, elektronikus levél küldése esetén is tájékoztatniuk kell az érintetteket az adatkezeléssel kapcsolatos legfontosabb információkról, valamint a részletes tájékoztató elérhetőségéről.

A pártoknak különösen ügyelniük kell a harmadik féltől (például adatközvetítőktől) szerzett adatoknál az érvényes jogalap fennálltára, tehát a pártok csak megfelelő jogalappal, jogszerűen megszerzett adatokat kezelhetnek.

A választópolgárok figyelmét pedig arra hívta fel a NAIH, hogy személyes adataik megadása előtt tájékozódjanak az adatkezeléssel kapcsolatos legfontosabb információkról, és erre az online térben is figyeljenek. Ha úgy ítélik meg, hogy a személyes adataik kezelése nem átlátható vagy jogszerűtlen, éljenek a GDPR-ban biztosított jogaikkal.