Obdelava osebnih podatkov po 93/3 ZVOP-2

Datum

18.04.2025

Številka

07121-1/2025/494

Kategorije

Fotografije kot OP, Mediji, fotografije kot OP, Pravne podlage, Snemanje sej in javnih dogodkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede obdelave osebnih podatkov po tretjem odstavku 93. člena ZVOP-2. Sprašujete sledeče:

1.

Ali je 3. odstavek 93. člena ZVOP-2 zadostna pravna podlaga za snemanje in fotografiranje dogodkov, njihovo obdelavo in kasnejšo objavo na socialnih omrežjih upravljavca za promocijo nadaljnjih dogodkov? Zanima nas ali je obdelava mogoča na podlagi 3. odstavka 93. člena ZVOP-2 v povezavi s 6/1/c GDPR (pravna podlaga zakon), ali potrebujemo še dodatno pravno podlago bodisi 6/1/b (pogodba) bodisi na 6/1/a (privolitev) ali 6/1/f (zakonitih interesov)?

2.

ZVOP-2 v 3. odstavku 93. člena predvideva opt-out sistem, kar pomeni da morajo udeleženci podati ugovor v primeru, da ne želijo obdelave svojih osebnih podatkov. Zanima nas, ali mora biti ugovor podan že pred dogodkom ali kasneje v fazi snemanja ali lahko ugovor podajo tudi po objavi posnetkov? Oziroma, ali jim pravica do ugovora v skladu s 93/3 ZVOP-2 po samem dogodku oziroma objavi prekludira?

3.

Ali ima v primeru, da se upravljavec v zgoraj navedenem primeru obdelave sklicuje na pravno podlago 6/1/f GDPR, možnost zavrnitve ugovora na podlagi zakonitih interesov, če je ugovor podan po objavi?

4.

V kolikor je odgovor na prejšnje vprašanje negativen, ali mora upravljavec objavljene fotografije in posnetke odstraniti in jih tako obdelati, da osebni podatki osebe, ki je dala ugovor niso več v obdelavi?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Zagotovitev ustrezne pravne podlage za obdelavo osebnih podatkov je dolžnost upravljavca. Po mnenju IP bi ureditev v tretjem odstavku 93. člena ZVOP-2, ki se nanaša na obveščanje javnosti, lahko šteli za nacionalno ureditev vsebin iz 85. člena Splošne uredbe, torej za posebno zakonsko ureditev in dodatna pravna podlaga po 6. členu Splošne uredbe za snemanje in fotografiranje dogodkov ter njihovo kasnejšo objavo, v skladu s to določbo, ne bi bila potrebna. Upravljavec mora posameznike o obdelavi podatkov pravočasno ustrezno obvestiti (13. člen Splošne uredbe). Prav tako mora upravljavec pri obdelavi osebnih podatkov upoštevati načelo sorazmernosti ter presoditi, kdaj in v kolikšnem obsegu je obdelava, zlasti pa objava, res ustrezna, relevantna in potrebna za zakonsko dopusten namen – tj. obveščanje javnosti.

2. Posameznik lahko obdelavo prepove oziroma obdelavi ugovarja kadarkoli; pred dogodkom, med snemanjem/fotografiranjem in po objavi osebnih podatkov.

3. Upravljavec bi lahko obdelavo osebnih podatkov udeležencev dogodka utemeljeval na podlagi člena 6(1)(f) Splošne uredbe, pri čemer bi moral izkazati da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (izvajalca dogodka) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo – upravljavec mora opraviti t. i. test tehtanja. V kolikor upravljavec obdelavo osebnih podatkov utemeljuje na podlagi člena 6(1)(f) Splošne uredbe, ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kadarkoli taki obdelavi ugovarja (člen 21(1) Splošne uredbe). V primeru ugovora posameznika mora upravljavec prenehati obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

4. V skladu s členom 17(1)(c) Splošne uredbe mora upravljavec osebne podatke brez nepotrebnega odlašanja izbrisati, če posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi[, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2)].

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Odgovori na vaša vprašanja:

1.

Ali je 3. odstavek 93. člena ZVOP-2 zadostna pravna podlaga za snemanje in fotografiranje dogodkov, njihovo obdelavo in kasnejšo objavo na socialnih omrežjih upravljavca za promocijo nadaljnjih dogodkov? Zanima nas ali je obdelava mogoča na podlagi 3. odstavka 93. člena ZVOP-2 v povezavi s 6/1/c GDPR (pravna podlaga zakon), ali potrebujemo še dodatno pravno podlago bodisi 6/1/b (pogodba) bodisi na 6/1/a (privolitev) ali 6/1/f (zakonitih interesov)?

Zagotovitev ustrezne pravne podlage za obdelavo osebnih podatkov je dolžnost upravljavca. Po mnenju IP bi ureditev v tretjem odstavku 93. člena ZVOP-2, ki se nanaša na obveščanje javnosti, lahko šteli za nacionalno ureditev vsebin iz 85. člena Splošne uredbe, torej za posebno zakonsko ureditev in dodatna pravna podlaga po 6. členu Splošne uredbe, kot omenjate v vašem dopisu, za snemanje in fotografiranje dogodkov ter njihovo kasnejšo objavo, v skladu s to določbo, ne bi bila potrebna. Ob tem IP dodaja, da tretji odstavek 93. člena ZVOP-2 določa, da sme oseba javnega ali zasebnega sektorja za namene obveščanja javnosti obdelovati, vključno z objavo, osebna imena, nazive, fotografije in videoposnetke posameznikov, pridobljene na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, če posameznik te obdelave ni prepovedal. Če torej na dogodku, ki ga organizirate (npr. seminar, konferenca ipd.) zajamete fotografije udeležencev ali pa dogodek posnamete, lahko to tudi objavite, ob tem pa morate paziti, da:

-so bili posamezniki pred tem ustrezno obveščeni o obdelavi osebnih podatkov (v skladu s 13. členom Splošne uredbe);

-gre za namen obveščanja javnosti (v tem okviru bi po mnenju IP moral organizator dogodka vzpostaviti tudi ustrezen način presoje sorazmernosti - torej presoje, kdaj in v kolikšnem obsegu je obdelava, zlasti pa objava, res ustrezna, relevantna in potrebna za zakonsko dopusten namen - to je obveščanje javnosti, še posebej v primeru nejavnih dogodkov);

-to ne velja, če so posamezniki takšno uporabo ali objavo prepovedali.

Če ne gre za situacijo, ki jo obravnava 93. člen ZVOP-2 (npr. da gre za druge vrste osebnih podatkov, za drugačne vrste dogodkov ali namene) pa je treba za obdelavo osebnih podatkov pri organizaciji dogodkov zagotoviti ustrezno pravno podlago v skladu s 6. členom Splošne uredbe.

2.

ZVOP-2 v 3. odstavku 93. člena predvideva opt-out sistem, kar pomeni da morajo udeleženci podati ugovor v primeru, da ne želijo obdelave svojih osebnih podatkov. Zanima nas, ali mora biti ugovor podan že pred dogodkom ali kasneje v fazi snemanja ali lahko ugovor podajo tudi po objavi posnetkov? Oziroma, ali jim pravica do ugovora v skladu s 93/3 ZVOP-2 po samem dogodku oziroma objavi prekludira?

Določba tretjega odstavka 93. člena ZVOP-2 predvideva obdelavo tam določenih osebnih podatkov za namene obveščanja javnosti, če posameznik te obdelave ni prepovedal. Ker določba vsebuje besedo prepovedal, ne pa ugovarjal (21. člen Splošne uredbe), je po mnenju IP določbo mogoče razlagati tako, da lahko posameznik prepove obdelavo, vključno z objavo, svojih osebnih podatkov že pred samim dogodkom, torej pred zbiranjem in nadaljnjo obdelavo osebnih podatkov, ki se nanašajo nanj. V skladu s členom 21(1) Splošne uredbe lahko posameznik kadarkoli ugovarja obdelavi osebnih podatkov, ki temelji na točki (e) [ali (f)] člena 6(1) Splošne uredbe – v konkretnem primeru torej tudi v fazi snemanja ali po objavi posnetkov. V kolikor posameznik obdelavi osebnih podatkov ugovarja, v skladu z navedeno določbo upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Upravljavec bo torej ustrezne osebne podatke morda moral tudi izbrisati (člen 17(1)(c) Splošne uredbe). Po mnenju IP določbe tretjega odstavka 93. člena ZVOP-2 nikakor ni mogoče razumeti na način, da bi bil posameznik po dogodku ali objavi osebnih podatkov prekludiran pri uveljavljanju svojih pravic po Splošni uredbi oziroma da bi bil pri izvrševanju določenih pravic omejen.

IP še pojasnjuje, da ima upravljavec dolžnost, da sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz 13. in 14. člena ter sporočila iz členom 15 do 22 ter 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku (12(1) člen Splošne uredbe). Upravljavec je posamezniku dolžan tudi olajšati uresničevanje njegovih pravic iz 15 do 22 člena Splošne uredbe (12(2) Splošne uredbe). Navedeno pomeni, da mora upravljavec poskrbeti za vzpostavitev ustrezne in učinkovite poti za uveljavljanje pravice do prepovedi obdelave in za uveljavljanje drugih pravic posameznika. Smiselno bi bilo torej že ob objavi predvideti možnost in način umika oziroma anonimizacije določene fotografije ali posnetka ali njunega dela.

3.

Ali ima v primeru, da se upravljavec v zgoraj navedenem primeru obdelave sklicuje na pravno podlago 6/1/f GDPR, možnost zavrnitve ugovora na podlagi zakonitih interesov, če je ugovor podan po objavi?

Kot omenjeno zgoraj, je izbira ustrezne pravne podlage za obdelavo osebnih podatkov odgovornost upravljavca. Upravljavec bi lahko obdelavo osebnih podatkov, vključno z objavo, udeležencev dogodka utemeljeval tudi na podlagi člena 6(1)(f) Splošne uredbe, pri čemer bi moral izkazati da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (izvajalca dogodka) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo – upravljavec mora opraviti t. i. test tehtanja (LIA – legitimate interest assessment). Ob tem mora upravljavec izpolniti tudi druge obveznosti, ki jih nalaga Splošna uredba (npr. po obveščenosti posameznikov (13. člen Splošne uredbe)) in upoštevati načelo sorazmernosti (člen 5(1)(c) Splošne uredbe).

V kolikor upravljavec obdelavo osebnih podatkov utemeljuje na podlagi člena 6(1)(f) Splošne uredbe, ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kadarkoli (torej tudi po objavi fotografij/posnetkov) taki obdelavi ugovarja (člen 21(1) Splošne uredbe). V primeru ugovora posameznika mora upravljavec prenehati obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Iz besedila člena 21 Splošne uredbe je jasno, da se test tehtanja razlikuje od tistega iz člena 6(1)(f) Splošne uredbe. Z drugimi besedami, ne zadostuje, da upravljavec le dokaže, da je njegova prejšnja analiza legitimnega interesa pravilna. S tem testom tehtanja se zahteva, da je zakoniti interes nujen, kar pomeni višji prag za prevlado nad ugovori.

IP je pripravil Smernice za organizatorje dogodkov, ki vsebujejo številne informacije o tem, kako ustrezno obdelovati osebne podatke v tem okviru. Smernice so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20za%20organizatorje%20dogodkov_2.0%20(ZVOP-2).pdf

4.

V kolikor je odgovor na prejšnje vprašanje negativen, ali mora upravljavec objavljene fotografije in posnetke odstraniti in jih tako obdelati, da osebni podatki osebe, ki je dala ugovor niso več v obdelavi?

V skladu s členom 17(1)(c) Splošne uredbe mora upravljavec osebne podatke brez nepotrebnega odlašanja izbrisati, če posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi[, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2)].

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]Glej Evropski odbor za varstvo podatkov (EDPB), Smernice o avtomatiziranem sprejemanju posameznih odločitev in oblikovanju profilov za namene Uredbe (EU) 2016/679 (wp251rev.01), kot so bile nazadnje revidirane in sprejete 6. Februarja 2018, str. 19.