Izbris fotografij nekdanjih zaposlenih

Datum

21.09.2023

Številka

07121-1/2023/1184

Kategorije

Fotografije kot OP, Delovna razmerja, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 19. 6. 2023 prejeli vaše zaprosilo za mnenje glede dopustnosti obdelave fotografij nekdanjih delavcev podjetja. Zanima vas, ali morate fotografije po prenehanju delovnega razmerja izbrisati.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Zbiranje osebnih podatkov, njihova hramba ali javna objava so oblike obdelave osebnih podatkov, zato so dopustne samo v primeru, da zanje obstaja zakonita pravna podlaga iz 6(1) člena Splošne uredbe. Glede obdelave fotografij delavcev v okviru delovnega razmerja sta kot pravni podlagi relevantni predvsem privolitev (6(1)(a) člen Splošne uredbe) ter določba prvega odstavka 48. člena Zakona o delovnih razmerjih (ZDR) v smislu pravne podlage iz 6(1)(c) člena Splošne uredbe.

2. Presoja dopustnosti in roka obdelave osebnih podatkov delavcev na podlagi prvega odstavka 48. člena ZDR je odvisna od okoliščin vsakega posameznega primera, predvsem od namena obdelave podatkov. Praviloma zato obdelava fotografij delavcev po prenehanju delovnega razmerja na podlagi tega člena ni dopustna, ker ni več potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja, razen če obstajajo utemeljeni razlogi, zaradi katerih je obdelava podatkov še vedno potrebna.

3. Pravno podlago za obdelavo fotografij delavcev po prenehanju delovnega razmerja potencialno lahko predstavljala privolitev, če bi izpolnjevala vse pogoje za veljavno privolitev v skladu s 4(11) členom Splošne uredbe, predvsem bi moral biti delavec preden poda privolitev ustrezno obveščen o tem, da se privolitev nanaša na obdelavo podatkov po prenehanju delovnega razmerja, privolitev bi moral imeti možnost tudi zavrniti oziroma kadarkoli kasneje preklicati.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu z definicijo pojma osebnega podatka iz 1. točke 4. člena Splošne uredbe je osebni podatek vsaka informacija v zvezi z določenim ali določljivim posameznikom. Zato ni nujno, da vsaka fotografija predstavlja obdelavo osebnih podatkov, temveč gre za obdelavo osebnih podatkov le takrat, kadar so posamezniki, ki jih prikazuje fotografija, določeni ali vsaj določljivi. V primeru, da se posameznikov, ki jih prikazujejo posnetki, zaradi slabe resolucije fotografije ali kakršnegakoli drugega razloga ne da določiti, ne gre za obdelavo osebnih podatkov, s tem pa je izključena pristojnost IP.

Zbiranje osebnih podatkov (na primer fotografij), njihova hramba ali javna objava so oblike obdelave osebnih podatkov, zato so dopustne samo v primeru, da zanje obstaja zakonita pravna podlaga iz 6(1) člena Splošne uredbe. Glede obdelave fotografij delavcev v okviru delovnega razmerja sta kot pravni podlagi relevantni predvsem privolitev (6(1)(a) člen Splošne uredbe) ter določba prvega odstavka 48. člena Zakona o delovnih razmerjih (ZDR)[1] v smislu pravne podlage iz 6(1)(c) člena Splošne uredbe. Navedena določba ZDR določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Kot je IP že pojasnil v mnenju št. 07121-1/2022/1362 z dne 12. 1. 2023, mora delodajalec glede zbiranja in objave osebnih podatkov glede na okoliščine posameznega primera presoditi, ali je takšna obdelava osebnih podatkov posameznega delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja. Ob tem mora upoštevati načelo najmanjšega obsega podatkov, ki zahteva, da se obdelava osebnih podatkom omeji zgolj na tisto obdelavo podatkov, ki je potrebna za namene, za katere se obdelujejo. To pomeni, da se lahko objavijo le tisti osebni podatki in zgolj na način, ki je nujno potreben z vidika uresničevanja pravic in obveznosti iz delovnega razmerja. Poleg tega morajo delodajalci spoštovati tudi načelo omejitve shranjevanja, ki je tesno povezano z načelom najmanjšega obsega podatkov in določa, da so lahko osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Na podlagi navedenega IP meni, da je presoja dopustnosti in roka obdelave osebnih podatkov delavcev na podlagi prvega odstavka 48. člena ZDR odvisna od okoliščin vsakega posameznega primera, predvsem namena obdelave podatkov. Praviloma zato obdelava fotografij delavcev po prenehanju delovnega razmerja na podlagi tega člena ni dopustna, ker ni več potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja, razen če obstajajo utemeljeni razlogi, zaradi katerih je obdelava podatkov še vedno potrebna.

Pravna podlaga za zbiranje, hrambo in objavo osebnih podatkov (fotografij) bi lahko predstavljala tudi privolitev posameznika v skladu s 6(1)(a) členom Splošne uredbe. Splošna uredba privolitev definira kot vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. IP meni, da bi pravno podlago za obdelavo fotografij delavcev po prenehanju delovnega razmerja potencialno lahko predstavljala privolitev, če bi izpolnjevala vse pogoje za veljavno privolitev v skladu s 4(11) členom Splošne uredbe, predvsem bi moral biti delavec preden poda privolitev ustrezno obveščen o tem, da se privolitev nanaša na obdelavo podatkov po prenehanju delovnega razmerja, privolitev bi moral imeti možnost tudi zavrniti oziroma kadarkoli kasneje preklicati.

IP ob tem opozarja, da je privolitev delavca kot pravna podlaga v delovnih razmerjih dopustna le izjemoma, saj je prostovoljnost podane privolitve lahko vprašljiva glede na to, da je delavec v delovnem razmerju praviloma šibkejša stranka. Delavec tudi ne sme trpeti nobenih škodljivih posledic za delovno razmerje, če privolitve v tovrstno zbiranje osebnih podatkov ne poda.

Več o pridobivanju veljavnih privolitev si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/ in v smernicah Evropskega odbora za varstvo podatkov: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sl_0.pdf.

Več o obdelavi osebnih podatkov v delovnih razmerjih je dostopnih v smernicah Informacijskega pooblaščenca: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf.

Dodatno bi lahko pravno podlago za objavo fotografij delavcev predstavljal tudi tretji odstavek 93. člena ZVOP-2, ki osebam javnega ali zasebnega sektorja za namene obveščanja javnosti dopušča obdelavo, vključno z objavo, osebnih imen, nazivov, fotografij in videoposnetkov posameznikov, pridobljenih na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, če posameznik te obdelave ni prepovedal. Prenehanje delovnega razmerja delavca na obstoj te pravne podlage nima vpliva, lahko pa posameznik obdelavo podatkov, ki se nanašajo nanj, prepove. IP ob tem opozarja, da gre za izjemo, ki jo je treba tolmačiti ozko in v skladu z načelom sorazmernosti.

Ob tem IP izpostavlja, da je ena temeljnih dolžnosti upravljavca (v navedenem primeru je to delodajalec), ki izhaja iz 13. člena Splošne uredbe, da obvesti posameznike, katerih osebne podatke obdeluje, o nekaterih temeljnih okoliščinah obdelave njihovih osebnih podatkov, predvsem kdo jih obdeluje, s kakšnim namenom in na kakšni pravni podlagi. Pravica do obveščenosti je predpogoj za uveljavljanje vseh ostalih pravic posameznika, tj. pravice dostopa do lastnih osebnih podatkov, popravka, izbrisa, omejitve obdelave in ugovora.

IP dodatno pojasnjuje, da ima posameznik v skladu s 7 (3) členom Splošne uredbe pravico, da kadarkoli prekliče privolitev, na podlagi 17. člena Splošne uredbe pa lahko tudi zahteva izbris podatkov, ki se nanašajo nanj, če ne obstaja dopusten in zakonit razlog za nadaljnjo obdelavo teh podatkov.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22 in 54/22 – ZUPŠ-1.