Polityka prywatności w związku z kampanią informacyjną EIO

Operacja przetwarzania danych osobowych: Kampania informacyjna EIO

Administrator danych: Komisja Europejska, Sekretariat Generalny, Dział SG.C.1 „Program Prac i Prognozowanie”

Współadministratorzy: Meta Platforms Ireland Limited, obsługujący serwisy Facebook i Instagram

Numer w rejestrze: DPR-EC-09286

1. Wprowadzenie

Komisja Europejska jest zobowiązana do ochrony danych osobowych i do poszanowania prywatności użytkowników. Komisja gromadzi i przetwarza dane osobowe zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych.

W tym oświadczeniu o ochronie prywatności wyjaśniamy, dlaczego przetwarzamy dane osobowe, w jaki sposób je gromadzimy i przetwarzamy oraz jak zapewniamy ich ochronę, a także w jaki sposób wykorzystywane są pozyskiwane informacje oraz jakie prawa przysługują osobom, których dotyczą dane, w odniesieniu do tych danych. Podajemy w nim również dane kontaktowe odpowiedniego administratora danych/współadministratorów danych, u których można dochodzić swoich praw, inspektora ochrony danych i Europejskiego Inspektora Ochrony Danych. 

Poniżej przedstawiono informacje dotyczące operacji przetwarzania danych osobowych w ramach kampanii informacyjnej na temat europejskiej inicjatywy obywatelskiej (EIO), prowadzonych przez dział C.1 w Sekretariacie Generalnym Komisji Europejskiej (dział SG.C.1).

2. Dlaczego i jak przetwarzamy dane osobowe?

Kampania informacyjna EIO jest prowadzona przez Komisję Europejską zgodnie z art. 18 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/788 z dnia 17 kwietnia 2019 r. w sprawie europejskiej inicjatywy obywatelskiej. Jej celem jest „zwiększenie publicznej świadomości na temat istnienia, celów i funkcjonowania europejskiej inicjatywy obywatelskiej (..), przyczyniając się tym samym do promowania aktywnego uczestnictwa obywateli w życiu politycznym Unii”.

Przetwarzanie na potrzeby udziału w kampanii i działaniach partycypacyjnych

Dział SG.C.1 gromadzi i przetwarza dane kontaktowe zainteresowanych stron związanych z EIO lub innych zainteresowanych obywateli (w tym osób niepełnoletnich), aby umożliwić im udział we wszelkich działaniach w ramach kampanii informacyjnej EIO, takich jak ukierunkowane konsultacje, konkursy wideo lub inne działania partycypacyjne, udział w wydarzeniach w charakterze prelegentów, figurowanie w materiałach promocyjnych i treściach audiowizualnych itp. W tym celu dział SG.C.1 przetwarza dane kontaktowe odpowiednich zainteresowanych stron związanych z EIO i zainteresowanych obywateli.

W większości przypadków dane kontaktowe są przetwarzane, w następstwie wcześniejszego przetwarzania lub w ramach wcześniejszego przetwarzania, w kontekście jednej z innych operacji przetwarzania istotnych w odniesieniu do kampanii informacyjnej EIO, w szczególności:

• dane organizatorów EIO lub urzędników organów krajowych zaangażowanych we wdrażanie rozporządzenia w sprawie europejskiej inicjatywy obywatelskiej są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-00068,
• dane ambasadorów EIO lub osób, które podzieliły się swoim doświadczeniem związanym z EIO lub dostarczyły treści audiowizualnych w ramach konkursów wideo lub innych działań partycypacyjnych, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-09286 oraz zgodnie z oświadczeniem o ochronie prywatności dotyczącym danego działania partycypacyjnego,
• dane osób, które uczestniczyły w wydarzeniu komunikacyjnym dotyczącym europejskiej inicjatywy obywatelskiej w charakterze prelegenta, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01063 oraz oświadczeń o ochronie prywatności dotyczących danego wydarzenia,
• dane osób, które uczestniczyły w ukierunkowanych konsultacjach dotyczących europejskiej inicjatywy obywatelskiej, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01011 oraz oświadczeń o ochronie prywatności dotyczących danej konsultacji,
• dane osób, które aktywnie kontaktowały się z Komisją w sprawie związanej z europejską inicjatywą obywatelską, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01386.

Wszelkie tego rodzaju przetwarzanie danych do wspomnianych powyżej celów zawsze wymaga odpowiedniego oświadczenia o ochronie prywatności oraz, w stosownych przypadkach, konkretnej zgody.

Komisja lub jej podwykonawcy (działający jako podmioty przetwarzające dane) mogą również określić osoby jako potencjalne zainteresowane strony związane z EIO na podstawie informacji pochodzących z odpowiednich oficjalnych baz danych lub baz danych Komisji, istniejących lokalnych partnerów Komisji lub agencji oraz publicznie dostępnych źródeł.

Przetwarzanie na potrzeby płatnych ogłoszeń

W ramach kampanii informacyjnej EIO wykorzystujemy również płatne reklamy internetowe na platformach mediów społecznościowych, takich jak Instagram, Facebook, YouTube i LinkedIn, wykorzystując technologie cyfrowe do podnoszenia świadomości społecznej na temat europejskiej inicjatywy obywatelskiej, jej celów i funkcjonowania. Promowanie europejskiej inicjatywy obywatelskiej za pośrednictwem mediów społecznościowych nie wiąże się z gromadzeniem danych osobowych przez Komisję. 

Dane osobowe nie będą wykorzystywane do zautomatyzowanego podejmowania decyzji ani do profilowania.

3. Na jakiej podstawie prawnej przetwarzamy dane osobowe?

Zgodnie z art. 18 ust. 1 rozporządzenia w sprawie europejskiej inicjatywy obywatelskiej „Komisja zwiększa publiczną świadomość na temat istnienia, celów i funkcjonowania europejskiej inicjatywy obywatelskiej poprzez działania komunikacyjne i kampanie informacyjne, przyczyniając się tym samym do promowania aktywnego uczestnictwa obywateli w życiu politycznym Unii”.

W motywie 33 rozporządzenia w sprawie EIO zapisano, że „[a]by przyczynić się do promowania aktywnego uczestnictwa obywateli w życiu politycznym Unii Komisja powinna zwiększać świadomość społeczną na temat europejskiej inicjatywy obywatelskiej, wykorzystując w szczególności technologie cyfrowe i media społecznościowe oraz działania propagujące obywatelstwo Unii i prawa obywateli.”. 

W tym kontekście podstawą prawną gromadzenia i przetwarzania danych kontaktowych odpowiednich i zainteresowanych stron związanych z EIO, jak również przetwarzania danych osobowych za pośrednictwem płatnych ogłoszeń, jest art. 5 ust. 1 lit. a) rozporządzenia (UE) 2018/1725, ponieważ uznaje się je za niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej instytucji lub organowi Unii. 

Płatne reklamy na platformach mediów społecznościowych są wykorzystywane do zwiększania świadomości obywateli na temat EIO zgodnie z art. 18 i motywem 33 rozporządzenia w sprawie EIO. Tego rodzaju przetwarzanie jest niezbędne do promowania interesu publicznego i koncentruje się wyłącznie na rozpowszechnianiu informacji za pośrednictwem zakupionych reklam, a nie obejmuje bezpośredniego gromadzenia danych osobowych ani dostępu Komisji do danych osobowych użytkowników mediów społecznościowych.

Niektóre operacje przetwarzania istotne w kontekście kampanii informacyjnej EIO mogą wymagać specjalnej zgody osoby, której dane dotyczą, zgodnie z art. 5 ust. 1 lit. d) rozporządzenia (UE) 2018/1725. Do takich operacji należą: gromadzenie indywidualnych wypowiedzi, treści audiowizualnych oraz tworzenie materiałów promocyjnych i szkoleniowych na temat EIO zawierających takie wypowiedzi lub treści, a także zaangażowanie ambasadorów EIO do pomocy w promowaniu wartości EIO i rozprzestrzenianiu informacji w państwach członkowskich UE lub na szczeblu UE. 

4. Jakie dane osobowe gromadzimy i przetwarzamy?

Na potrzeby udziału w kampanii i działaniach partycypacyjnych

Aby zaprosić zainteresowaną stronę EIO do udziału w wydarzeniu komunikacyjnym dotyczącym EIO, konkursie wideo lub innym działaniu partycypacyjnym lub w ukierunkowanych konsultacjach, możemy przetwarzać następujące dane: dane kontaktowe otrzymane od zainteresowanych stron lub pochodzące z odpowiednich oficjalnych baz danych lub baz danych Komisji, od lokalnych partnerów Komisji lub agencji oraz publicznie dostępnych źródeł, w szczególności imię, nazwisko, stanowisko/funkcja, nazwa organizacji/inicjatywy (w przypadku organizatorów EIO), zainteresowania, obywatelstwo/preferencje językowe, numer telefonu, adres e-mail, głos i wizerunek zapisane w formacie audio i wideo oraz zdjęcia/materiały wizualne.

W przypadku ambasadorów EIO oprócz wymienionych powyżej danych będziemy przetwarzać również następujące dane: oceny Komisji i podmiotów przetwarzających dane, na podstawie których wybrano ambasadorów EIO, podpisane Karty ambasadora EIO, krótkie notki biograficzne, głos i wizerunek zapisane w formacie audio i wideo oraz zdjęcia i materiały wizualne, poglądy i opinie wyrażone w wymianie informacji z Komisją i podmiotami przetwarzającymi dane, nazwy użytkownika kont w mediach społecznościowych, sprawozdania z działań w mediach społecznościowych i innych działań promocyjnych przygotowane przez podmioty przetwarzające dane w oparciu o publicznie dostępne informacje lub informacje dostarczone bezpośrednio przez ambasadora.

Jeżeli ambasador EIO wyrazi zgodę na dzielenie się swoim doświadczeniem związanym z EIO w ramach kampanii informacyjnej, przetwarzamy również krótkie notki biograficzne, głos i wizerunek zapisane w formacie audio i wideo oraz zdjęcia/materiały wizualne, informacje dotyczące wieku, płci, zainteresowań, narodowości/preferencji językowych, numer telefonu, adres e-mail, nazwy użytkownika konta w mediach społecznościowych, poglądy i opinie wyrażone w wymianie informacji z Komisją i podmiotami przetwarzającymi dane. 

Na potrzeby płatnych ogłoszeń

Komisja i podmioty przetwarzające dane na jej zlecenie mogą wybrać pewne ograniczone parametry lub kryteria (w stosownych przypadkach, takie jak grupa wiekowa, obszar geograficzny, odpowiednie zainteresowania) dla każdej kampanii reklamowej, w oparciu o opcje udostępnione przez platformy mediów społecznościowych. Komisja i podmioty przetwarzające dane na jej zlecenie nie gromadzą jednak żadnych danych osobowych użytkowników mediów społecznościowych i nie mają do nich dostępu. Administrator danych odpowiedzialny za operację przetwarzania nie przetwarza żadnych szczególnych kategorii danych osobowych za pośrednictwem reklam w mediach społecznościowych.

Jeżeli chodzi o przetwarzanie danych osobowych przez platformy mediów społecznościowych w kontekście reklamy ukierunkowanej, proszę zapoznać się z ich polityką prywatności:

• Facebook i Instagram: https://www.facebook.com/privacy/policy
• YouTube : https://policies.google.com/privacy#enforcement
• LinkedIn: https://www.linkedin.com/legal/privacy-policy

5. Jak długo przechowujemy dane osobowe?

Na potrzeby udziału w kampanii i działaniach partycypacyjnych

Dział SG.C.1 przechowuje dane kontaktowe przez okres niezbędny do realizacji celu gromadzenia lub dalszego przetwarzania danych, tj. przez okres maksymalnie 5 lat od daty zgromadzenia danych lub od ostatniego kontaktu nawiązanego z Komisją w kontekście europejskiej inicjatywy obywatelskiej, w zależności od tego, co nastąpi później. Dane usuniemy wcześniej, jeżeli otrzymamy informacje, że osoba przestała być odpowiednim kontaktem w kontekście EIO (np. w przypadku zmiany miejsca pracy). 

Nagrania poszczególnych doświadczeń przechowuje się przez okres maksymalnie 3 lat od daty ich zgromadzenia. Dokumenty (sprawozdania, korespondencja, informacje finansowe itp.) zawierające dane osobowe zgromadzone lub sporządzone w kontekście rejestrowania doświadczeń przechowuje się przez okres 10 lat od ich zgromadzenia lub sporządzenia. Publikowane treści promocyjne, audiowizualne i szkoleniowe są przechowywane przez czas nieokreślony.

Na potrzeby płatnych ogłoszeń

Jeżeli chodzi o płatne reklamy na platformach mediów społecznościowych, Komisja i podmioty przetwarzające dane na jej zlecenie nie gromadzą żadnych danych osobowych od użytkowników mediów społecznościowych, w związku z czym w tym kontekście nie ma zastosowania polityka zatrzymywania danych osobowych.

Proszę pamiętać, że do przetwarzania danych osobowych zgromadzonych na potrzeby innych operacji przetwarzania w ramach kampanii informacyjnej EIO mają zastosowanie inne okresy przechowywania danych osobowych zgodnie z odpowiednimi oświadczeniami o ochronie prywatności.

6. Jak chronimy i zabezpieczamy dane osobowe?

Na potrzeby udziału w kampanii i działaniach partycypacyjnych

Wszystkie dane osobowe w formacie elektronicznym (wiadomości e-mail, dokumenty, bazy danych, przesłane zbiory danych, treści audiowizualne itp.) są przechowywane na serwerach Komisji Europejskiej lub jej podwykonawców (działających jako podmioty przetwarzające dane). Wszystkie operacje przetwarzania danych prowadzone są zgodnie z decyzją Komisji (UE, Euratom) 2017/46 z dnia 10 stycznia 2017 r. w sprawie bezpieczeństwa systemów teleinformatycznych w Komisji Europejskiej.

Podczas przetwarzania danych w imieniu Komisji podwykonawcy (jako podmioty przetwarzające dane) Komisji muszą przestrzegać specjalnej klauzuli umownej, a także obowiązków w zakresie poufności danych wynikających z ogólnego rozporządzenia o ochronie danych (rozporządzenie (UE) 2016/679 – RODO). Serwery hostingowe, na których GOPA COM oraz European Citizen Action Service przetwarzają i przechowują swoje bazy danych, znajdują się wyłącznie na terytorium Unii Europejskiej.

Komisja wprowadziła szereg środków technicznych i organizacyjnych służących ochronie danych osobowych. Środki techniczne obejmują m.in. odpowiednie działania w zakresie bezpieczeństwa online, ryzyka utraty danych, zmiany danych lub nieuprawnionego dostępu, z uwzględnieniem ryzyka związanego z przetwarzaniem danych oraz charakteru przetwarzanych danych. Środki organizacyjne obejmują ograniczenie dostępu do danych osobowych do upoważnionych osób z zastosowaniem uzasadnionej zasady ograniczonego dostępu do celów tej operacji przetwarzania.

Na potrzeby płatnych ogłoszeń

Jeżeli chodzi o płatne reklamy na platformach mediów społecznościowych, platformy stosują własne środki bezpieczeństwa i są odpowiedzialne za zapewnienie integralności i poufności danych. Więcej informacji na temat środków bezpieczeństwa stosowanych przez platformy mediów społecznościowych można znaleźć w ich polityce prywatności wymienionej w pkt 4.  

7. Kto ma dostęp do danych osobowych i komu są one ujawniane?

Na potrzeby udziału w kampanii i działaniach partycypacyjnych

Dostęp do Państwa danych osobowych mają pracownicy Komisji odpowiedzialni za prowadzenie danej operacji przetwarzania danych, upoważnieni pracownicy zgodnie z zasadą ograniczonego dostępu oraz upoważnieni pracownicy wykonawcy działający jako podmioty przetwarzające dane (GOPA COM oraz European Citizen Action Service). Personel ten musi przestrzegać zobowiązań regulaminowych dotyczących poufności danych, a w razie potrzeby dodatkowych postanowień umownych w tym zakresie. 

Publicznie dostępne dane kontaktowe możemy przekazać innym zainteresowanym stronom EIO. 

Na potrzeby płatnych ogłoszeń

W przypadku płatnych ogłoszeń na platformach mediów społecznościowych pracownicy administratora danych i jego podmiotu przetwarzającego (GOPA COM) nie mają dostępu do danych osobowych użytkowników mediów społecznościowych.

Platformy mediów społecznościowych gromadzą i przetwarzają dane osobowe zgodnie ze swoją polityką prywatności.

8. Jakie prawa przysługują osobom, których dane dotyczą, i jak można ich dochodzić?

Zgodnie z rozdziałem III (art. 14–25) rozporządzenia (UE) 2018/1725 i rozporządzeniem (UE) 2016/679 (RODO) „osobom, których dane dotyczą”, przysługują szczególne prawa, a mianowicie prawo dostępu do danych osobowych i ich sprostowania, jeżeli dane osobowe są niedokładne lub niekompletne, a w stosownych przypadkach prawo do zażądania usunięcia danych osobowych, prawo do ograniczenia przetwarzania danych osobowych oraz prawo do przenoszenia danych. 

Przysługuje Państwu prawo wniesienia sprzeciwu wobec przetwarzania Państwa danych osobowych, które odbywa się zgodnie z prawem na podstawie art. 5 ust. 1 lit. a) rozporządzenia (UE) 2018/1725. 

W zakresie, w jakim osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie jej danych osobowych przez administratora danych w związku z niniejszą operacją przetwarzania, może ona w każdej chwili wycofać swoją zgodę, powiadamiając administratora danych. Wycofanie zgody nie będzie miało wpływu na zgodność z prawem operacji przetwarzania danych dokonanych przed wycofaniem zgody.

Aby skorzystać z tych praw, należy skontaktować się z administratorem danych/podmiotami przetwarzającymi dane lub, w przypadku konfliktu, z inspektorem ochrony danych. W razie potrzeby mogą również zwrócić się do Europejskiego Inspektora Ochrony Danych. Dane kontaktowe do tych organów podano poniżej w pkt 9. 

W przypadku gdy osoby, których dane dotyczą, chcą dochodzić swoich praw w odniesieniu do jednej lub kilku konkretnych operacji przetwarzania, powinny podać we wniosku ich opis (tj. ich numer w rejestrze zgodnie z pkt 10 poniżej).

9. Dane kontaktowe

• Administrator danych

Aby skorzystać z praw na podstawie rozporządzenia (UE) 2018/1725 lub przesłać uwagi, pytania lub zastrzeżenia, ewentualnie aby złożyć skargę w związku z gromadzeniem i wykorzystywaniem danych osobowych, należy skontaktować się z administratorem danych: Komisja Europejska, Sekretariat Generalny, dział SG.C.1 „Program Prac i Prognozowanie”: SG-ECI-mailingec [dot] europa [dot] eu (SG-ECI-mailing[at]ec[dot]europa[dot]eu) 

• Inspektor ochrony danych Komisji Europejskiej

W odniesieniu do kwestii związanych z przetwarzaniem danych osobowych na podstawie rozporządzenia (UE) 2018/1725 można kontaktować się z inspektorem ochrony danych Komisji Europejskiej (DATA-PROTECTION-OFFICERec [dot] europa [dot] eu (DATA-PROTECTION-OFFICER[at]ec[dot]europa[dot]eu)).

• Europejski Inspektor Ochrony Danych (EIOD)

Osoby, których dane dotyczą, mają również prawo do odwołania się (tj. do wniesienia skargi) do Europejskiego Inspektora Ochrony Danych pod adresem edpsedps [dot] europa [dot] eu (edps[at]edps[dot]europa[dot]eu), jeżeli uważają, że ich prawa wynikające z rozporządzenia (UE) 2018/1725 zostały naruszone w wyniku przetwarzania danych przez administratora danych.

• Konkretna platforma mediów społecznościowych

Aby skorzystać z praw na podstawie rozporządzenia (UE) 2016/679 lub przesłać uwagi, pytania lub zastrzeżenia, ewentualnie aby złożyć skargę w związku z gromadzeniem i wykorzystywaniem danych osobowych przez konkretną platformę mediów społecznościowych, należy skontaktować się z tą platformą lub jej inspektorem ochrony danych. 

W zależności od tego, na której platformie mediów społecznościowych wykupiono reklamę i na której została ona obejrzana, mogą to być Facebook, Instagram, YouTube lub LinkedIn. Dane kontaktowe tych platform mediów społecznościowych i ich inspektorów ochrony danych można znaleźć w informacjach o ich polityce ochrony prywatności wymienionych w pkt 4.

10. Gdzie można znaleźć więcej informacji?

IOD w Komisji publikuje rejestr wszystkich udokumentowanych i zgłoszonych mu operacji przetwarzania danych osobowych przez Komisję Europejską. Rejestr ten jest dostępny pod adresem: https://ec.europa.eu/dpo-register.

Ta operacja przetwarzania została ujęta w rejestrze publicznym inspektora ochrony danych pod numerem: DPR-EC-09286.