Bezpieczne głosowanie elektroniczne wymaga połączenia odpowiedniej technologii z jasno określonymi procedurami. Sam wybór systemu działającego offline ogranicza ekspozycję na część zagrożeń internetowych, ale zgodność z RODO zależy również od zakresu zbieranych danych, kontroli dostępu, czasu ich przechowywania oraz podziału odpowiedzialności między organizatorem a dostawcą usługi.
Jakie dane są potrzebne podczas głosowania?
Przy obsłudze walnego zgromadzenia przetwarzane mogą być dane identyfikujące uczestnika, informacje o liczbie przysługujących mu głosów, obecności oraz uprawnieniu do udziału w konkretnym głosowaniu.
Zgodnie z zasadą minimalizacji należy wykorzystywać wyłącznie dane rzeczywiście potrzebne do prawidłowej organizacji wydarzenia. Organizator powinien wcześniej ustalić cel przetwarzania, podstawę prawną, zakres danych oraz okres ich przechowywania. RODO wymaga także zapewnienia integralności, poufności i rozliczalności przetwarzania.
Administrator czy podmiot przetwarzający?
Najczęściej administratorem danych pozostaje spółka, organizacja lub stowarzyszenie, które określa cel głosowania i decyduje o wykorzystaniu danych uczestników.
Jeżeli zewnętrzny dostawca realizuje elektroniczną obsługę głosowań w imieniu organizatora, należy przeanalizować jego rolę i zasadność zawarcia umowy powierzenia. UODO wskazuje, że powierzenie występuje wtedy, gdy zewnętrzny podmiot przetwarza dane w imieniu administratora i zgodnie z jego poleceniami.
Jak chronić poufność oddawanych głosów?
W głosowaniu jawnym raport może umożliwiać odtworzenie przebiegu głosowania zgodnie z przyjętymi zasadami. W głosowaniu tajnym należy natomiast oddzielić identyfikację osoby uprawnionej od treści jej decyzji.
System Edan Vouting wykorzystuje indywidualne mandaty z zakodowaną siłą głosu. Według informacji na stronie dane dotyczące głosowań tajnych są usuwane, a wyniki prezentowane są w formie zbiorczej.
Jakie zabezpieczenia organizacyjne warto wdrożyć?
Ochrona danych powinna obejmować cały przebieg wydarzenia:
- bezpieczne przekazanie listy uczestników,
- dostęp do danych wyłącznie dla upoważnionych osób,
- weryfikację tożsamości przy rejestracji,
- kontrolę wydawania i zwrotu urządzeń,
- procedurę reagowania na nieprawidłowości,
- określenie czasu przechowywania danych,
- bezpieczne usuwanie plików po zakończeniu obsługi,
- regularne testowanie skuteczności zabezpieczeń.
Artykuł 32 RODO wymaga zastosowania środków technicznych i organizacyjnych odpowiednich do ryzyka. UODO podkreśla także potrzebę regularnego testowania, mierzenia i oceniania ich skuteczności.
Głosowanie offline a bezpieczeństwo danych
Elektroniczne systemy głosowania działające bez dostępu do internetu ograniczają możliwość zdalnej ingerencji oraz przesyłania danych do zewnętrznych usług. Edan Vouting deklaruje lokalne przetwarzanie danych na własnym sprzęcie i usuwanie informacji po zakończeniu obsługi zgodnie z przyjętą polityką.
Najwyższy poziom ochrony zapewnia jednak dopiero połączenie technologii z właściwą dokumentacją, przeszkoleniem zespołu i jednoznacznym określeniem odpowiedzialności. Dzięki temu uczestnicy wiedzą, w jaki sposób wykorzystywane są ich dane, a organizator zachowuje kontrolę nad całym procesem.
