Obveznosti fotografa s področja varstva osebnih podatkov

Datum

12.05.2023

Številka

07121-1/2023/624

Kategorije

Fotografije kot OP, Informiranje posameznika, Pogodbena obdelava podatkov, Pravne podlage, Privolitev, Skupni upravljavci, Zakoniti interesi

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje v zvezi z odgovornostjo fotografa za zagotovitev skladnosti s Splošno uredbo o varstvu podatkov (ang. GDPR). Navajate, da vaše posnetke uporablja javna institucija, ki ima za uporabo fotografij v smislu avtorskih pravic vaše vsakokratno pisno soglasje. Pojasnjujete, da gre za posnetke dogodkov v naravi in na javnih prostorih v organizaciji ali pokroviteljstvom iste institucije, z živo udeležbo publike, pri čemer so udeleženci na posnetkih lahko, ne pa nujno, prepoznavni. Posnetke institucija uporablja za svojo promocijo v pisnih dokumentih in publikacijah, socialnih omrežjih in drugih digitalnih vsebinah. Dodajate, da se sami objavljanju teh posnetkov izogibate. Zanima vas, kakšne so vaše obveznosti kot fotografskega dokumentarista za skladnost s Splošno uredbo o varstvu podatkov za posnetke s teh dogodkov, ki jih objavlja institucija.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Če fotograf obdeluje fotografije, ki ustrezajo opredelitvi osebnih podatkov, ter določa namene in sredstva obdelave, nastopa kot upravljavec. To pomeni, da mora spoštovati obveznosti, ki jih ima po Splošni uredbi, med katere spadajo zagotovitev zakonite in ustrezne pravne podlage za obdelavo, informiranje posameznikov, skrb za varnost obdelave ipd.

Fotograf in naročnik fotografskih storitev sta lahko ločena upravljavca osebnih podatkov, ki morata imeti vsak svojo pravno podlago za obdelavo za svoje namene in ločeno odgovarjata za zakonitost posameznih obdelav.

Za obdelavo fotografij z dogodkov, na katerih so zajeti določljivi posamezniki, lahko pravno podlago predstavlja privolitev, zakoniti interesi upravljavca ali tretje osebe oziroma v določenih primerih tretji odstavek 93. člena ZVOP-2. To je odvisno od konkretnega dejanja in namena obdelave ter drugih relevantnih okoliščin v zvezi z obdelavo.

Pri objavi takšnih fotografij z dogodkov je treba upoštevati tudi načelo najmanjšega obsega podatkov ter biti pazljiv, katere osebne podatke je primerno in ustrezno objaviti, da se v čim manjši možni meri poseže v zasebnost posameznika.

Če na fotografijah ni določljivih posameznikov, se pravila varstva osebnih podatkov ne uporabljajo, kar pa še ne pomeni, da pri tem ne more priti do drugih posegov v osebnostne pravice posameznika, presoja kršitev katerih sodi v pristojnost sodišč.

Obrazložitev

IP uvodoma pojasnjuje, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/91 s spremembami in dopolnitvami; v nadaljevanju Ustava RS). V primeru javne objave fotografije z osebnimi podatki pa gre lahko (tudi) za poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč ter je varovana z instituti civilnega in kazenskopravnega varstva. Prav tako IP dodaja, da ni pristojen podajati mnenj s področja avtorskega prava, zato je to mnenje podano izključno z vidika varstva osebnih podatkov.

Osebni podatki predstavljajo skladno s 1. točko 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Glede na navedeno fotografije pomenijo varovane osebne podatke po Splošni uredbi takrat, kadar omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na fotografiji jasno in nedvoumno razviden ter se ga lahko na ta način identificira, prepozna in določi oziroma ko se hkrati s fotografijami obdelujejo tudi drugi osebni podatki o posamezniku, npr. njegovo ime in priimek, letnica rojstva in podobno. Če je ločljivost fotografij torej dovolj velika in je posameznike na njih mogoče prepoznati, lahko pri takšnem fotografiranju dogodkov pride do obdelave osebnih podatkov. V tem primeru je treba imeti za obdelavo fotografij pravno podlago ter zagotoviti druge pogoje za zakonito obdelavo, ki jih predpisuje Splošna uredba (informiranje posameznikov, zagotovitev varne obdelave podatkov, spoštovanje načel iz 5. člena Splošne uredbe in podobno).

Upravljavec je skladno s 7. točko 4. člena Splošne uredbe fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Gre torej za subjekt, ki odloča o posameznih ključnih vidikih obdelave. Kadar je v obdelavo vključen več kot en subjekt, pa lahko pride do skupnega upravljanja, in sicer v primerih, ko dva ali več upravljavcev sodeluje pri določitvi namenov in sredstev dejanja obdelave. Obdelovalec je skladno z 8. točko 4. člena Splošne uredbe fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Fotograf v primeru obdelave fotografij, ki ustrezajo opredelitvi osebnih podatkov, pod zgoraj navedenimi pogoji šteje za (samostojnega) upravljavca, oziroma lahko morda v določenih okoliščinah za posamezno dejanje obdelave nastopa v vlogi skupnega upravljavca z javno institucijo ali celo obdelovalca. Pri tej presoji je treba izhajati predvsem iz medsebojne (npr. avtorske) pogodbe ter oceniti, ali za kakšno dejanje obdelave (npr. zbiranje) fotograf sodeluje pri določitvi namenov in sredstev oziroma kakšna je njegova stopnja vpliva na odločitve v zvezi z obdelavo, ali oziroma v kakšni meri je vezan na navodila javne institucije, do kam seže njegova umetniška svoboda, ali lahko razpolaga s fotografijami tudi za lastne poslovne namene in podobno. IP poudarja, da vloga (skupnega) upravljavca/obdelovalca ne izhaja iz vrste subjekta, ki obdeluje podatke, ampak iz njegovih konkretnih dejavnosti v določenem okviru. Isti subjekt lahko namreč hkrati deluje kot samostojni upravljavec za ena dejanja obdelave in kot skupni upravljavec/obdelovalec za druga, odvisno od konkretne dejavnosti obdelave in narave storitve.

Pri presoji vloge fotografa z vidika pravil o varstvu osebnih podatkov so lahko v pomoč smernice Evropskega odbora za varstvo podatkov št. 7/2020 o pojmu upravljavca in obdelovalca v Splošni uredbi (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl).

Če se glede na okoliščine sodelovanja med fotografom in javno institucijo ugotovi, da gre pri določenem dejanju obdelave za skupno upravljanje, IP opozarja na določbe 26. člena Splošne uredbe ter dolžnost sklenitve medsebojnega dogovora. Več o tem si lahko preberete na spletni strani https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/skupni-upravljavci. Če pa bi šlo za pogodbeno obdelavo, je treba upoštevati določbe 28. člena Splošne uredbe in skleniti pogodbo o obdelavi osebnih podatkov. Več o pogodbeni obdelavi si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov, denimo za njihovo pridobivanje, hrambo, objavo ali drugačno uporabo, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, pogodba, zakonska obveznost, zakoniti interesi itn.).

IP je že večkrat zavzel stališče, da pride pri obdelavi fotografij z dogodkov v poštev zlasti privolitev posameznika po točki a) prvega odstavka 6. člena Splošne uredbe, ki mora biti prostovoljna, specifična, informirana in nedvoumna. Posameznik ima pravico, da privolitev kadarkoli prekliče, pri čemer pa preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. Več o pogojih za veljavno privolitev si lahko preberete na spletni strani IP https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev.

Kadar zaradi posebnih okoliščin privolitev ni mogoče zbrati (npr. snemanje dogodka na javnem kraju, ki se ga udeleži veliko ljudi, tudi snemanje javnih površin), je lahko ustrezna tudi podlaga po točki f) prvega odstavka 6. člena Splošne uredbe, torej zakoniti interesi upravljavca ali tretje osebe, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov (ta pravna podlaga se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog).

Izbira pravne podlage je glede na konkretne okoliščine obdelave odgovornost upravljavca. IP opozarja, da mora imeti fotograf za obdelavo osebnih podatkov samostojno pravno podlago, ki bo, kot že pojasnjeno, pri njihovem zbiranju ter objavi za lastne namene načeloma v privolitvi posameznikov oziroma zakonitem interesu upravljavca oziroma javne institucije. Za nadaljnjo obdelavo, denimo za posredovanje fotografij javni instituciji, pa bo lahko ustrezna druga pravna podlaga, denimo izvrševanje pogodbene obveznosti po točki b) prvega odstavka 6. člena Splošne uredbe. IP ob tem poudarja, da mora imeti javna institucija za pridobivanje in objavo fotografij posameznikov svojo, ločeno pravno podlago. V zvezi s tem IP izpostavlja tretji odstavek 93. člena ZVOP-2, skladno s katerim sme oseba javnega ali zasebnega sektorja za namene obveščanja javnosti obdelovati, vključno z objavo, osebna imena, nazive, fotografije in videoposnetke posameznikov, pridobljene na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, če posameznik te obdelave ni prepovedal.

IP nadalje izpostavlja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Upravljavec je namreč dolžan posameznike seznaniti z določenimi informacijami o obdelavi, kot to določata 13. in 14. člen Splošne uredbe (npr. kakšen je namen in pravna podlaga za obdelavo osebnih podatkov, komu se osebne podatke posreduje, koliko časa se bodo osebni podatki hranili). Navedene informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne. Več o tej obveznosti upravljavcev si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov. Na tej podstrani lahko najdete tudi vzorca obvestila posameznikom po 13. oziroma 14. členu Splošne uredbe.

Ob tem IP dodaja, kot je zapisal že v smernicah »Organizacija dogodkov in varstvo osebnih podatkov« (https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-za-organizatorje-dogodkov), da je treba pri objavi fotografij z dogodkov upoštevati načelo sorazmernosti in najmanjšega obsega podatkov ter biti pazljiv, katere osebne podatke je primerno in ustrezno objaviti. Splošno pravilo naj bi bilo, da se posameznikov ne prikazuje v nerodnih situacijah in ne postavlja v ospredje posnetka, če to ni nujno, torej izbrati način, ki najmanj posega v zasebnost posameznika.

Če pa na fotografijah ni določljivih posameznikov, ne gre za vprašanje varstva osebnih podatkov. To pomeni, da se Splošna uredba v takšnem primeru ne uporablja ter da takšno fotografiranje in objava fotografije z vidika zakonodaje, ki ureja varstvo osebnih podatkov, nista prepovedana. To pa še ne pomeni, da posameznik nima pravice do morebitnega drugega pravnega varstva zaradi morebitnih posegov v njegove osebnostne pravice. Vendar pa, kot že navedeno, IP v zvezi z zahtevki posameznikov, ki temeljijo na 35. členu Ustave RS, nima pristojnosti, pač pa so v teh primerih pristojna sodišča.

IP je v preteklosti že odgovarjal na vsebinsko podobna vprašanja, zato vam priporočamo, da se seznanite z vsebino neobveznih mnenj, ki jih poiščete s pomočjo iskalnika na spletni strani https://www.ip-rs.si/mnenja-zvop-2/ in https://www.ip-rs.si/mnenja-gdpr/ (kategorija »Fotografije kot OP«; npr. mnenje št. 0712-3/2018/98 z dne 14. 3. 2018 ali št. 07121-1/2020/1635 z dne 17. 9. 2020). Veliko uporabnih informacij za upravljavce pa je na voljo tudi na spletnih straneh IP https://www.ip-rs.si/varstvo-osebnih-podatkov/ ter https://upravljavec.si/.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka