Fotografiranje javnega dogodka in objava fotografij na socialnem omrežju X

Datum

22.11.2023

Številka

07120-1/2023/501

Kategorije

Fotografije kot OP, Pravne podlage, Prenos osebnih podatkov v tretje države ali mednarodne organizacije

Pri Informacijskem pooblaščencu (IP) smo dne 13. 11. 2023 prejeli vaše zaprosilo za mnenje glede fotografiranja javnega dogodka, ki ga organizira javna agencija v okviru svojih nalog in objave fotografij na družbenem omrežju X. Dogodek boste prenašali v živo preko spleta, v ta namen bo zagotovljeno snemanje nastopajočih. Poleg tega se bo dogodek tudi fotografiral, tako fotografije in videoposnetke pa želite objaviti na vaši spletni strani in družbenem omrežju X. Zanima vas, na kakšni pravni podlagi lahko obdelujete navedene osebne podatke (fotografije in videoposnetke) in na kakšen način morate posameznike, na katere se podatki nanašajo, obvestiti o prenosu podatkov v tretjo državo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Pri obdelavi fotografij z dogodkov pride v poštev zlasti privolitev posameznika po točki (a) prvega odstavka 6. člena Splošne uredbe, ki mora biti prostovoljna, specifična, informirana in nedvoumna.

2.2. Ni vsaka obdelava podatkov, ki upravljavcu koristi ali je morda potrebna za uresničevanje njegovih namenov, tudi potrebna za izvajanje pogodbe v skladu s točko (b) prvega odstavka 6. člena Splošne uredbe, temveč ta pogoj izpolnjuje le obdelava osebnih podatkov, ki jo upravljavec iz objektivnih razlogov mora izvajati, zato da pogodbeno obveznost lahko izpolni.

3.3. Dodatno lahko pravno podlago za obdelavo določenih kategorij osebnih podatkov (vključno s fotografijami in videoposnetki) predstavlja tudi tretji odstavek 93. člena ZVOP-2. IP opozarja, da gre za izjemo, ki jo je treba tolmačiti ozko in v skladu z načelom sorazmernosti.

4.4. Pri deljenju fotografij in videoposnetkov na družbenem omrežju X in obveščanju o tovrstni obdelavi osebnih podatkov je ključno, da glede na dejanske okoliščine obdelave določite, kdo nastopa v vlogi upravljavca (… ali družbeno omrežje X, ali pa gre za skupno upravljavstvo) in bo v skladu z načelom odgovornosti moral obvestiti posameznike, na katere se podatki nanašajo, o nameravanem prenosu v tretjo državo.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Glede na zakonska pooblastila IP ne more in ne sme odgovarjati na vprašanja glede zakonitosti konkretnih obdelav osebnih podatkov. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Ad. 1 Glede ustreznih pravnih podlag za obdelavo osebnih podatkov

V skladu z definicijo pojma osebnega podatka iz 1. točke 4. člena Splošne uredbe je osebni podatek vsaka informacija v zvezi z določenim ali določljivim posameznikom. Zato ni nujno, da vsaka fotografija predstavlja obdelavo osebnih podatkov, temveč gre za obdelavo osebnih podatkov le takrat, kadar so posamezniki, ki jih prikazuje fotografija, določeni ali vsaj določljivi. V primeru, da se posameznikov, ki jih prikazujejo posnetki, zaradi slabe resolucije fotografije ali kakršnegakoli drugega razloga ne da določiti, ne gre za obdelavo osebnih podatkov, s tem pa je izključena tudi pristojnost IP.

Zbiranje osebnih podatkov (na primer fotografij), njihova hramba ali javna objava so oblike obdelave osebnih podatkov, zato so dopustne samo v primeru, da zanje obstaja zakonita pravna podlaga iz 6(1) člena Splošne uredbe. Kot je IP že pojasnil v več mnenjih (na primer Mnenje št. 07121-1/2023/624 z dne 12. 5. 2023), pride pri obdelavi fotografij z dogodkov v poštev zlasti privolitev posameznika po točki (a) prvega odstavka 6. člena Splošne uredbe, ki mora biti prostovoljna, specifična, informirana in nedvoumna. Posameznik ima pravico, da privolitev kadarkoli prekliče, pri čemer pa preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. Več o pridobivanju veljavnih privolitev si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/ in v smernicah Evropskega odbora za varstvo podatkov: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sl_0.pdf.

Upravljavec lahko obdelavo podatkov opre na pravno podlago iz točke (b) prvega odstavka 6. člena Splošne uredbe, če so izpolnjeni naslednji pogoji: (1) pogodbeno razmerje dejansko obstaja; (2) pogodbeno razmerje je veljavno v skladu z relevantno nacionalno zakonodajo; in (3) obdelava podatkov je objektivno potrebna glede na namen, ki ga zasleduje sklenjena pogodba. IP opozarja, da ni vsaka obdelava podatkov, ki upravljavcu koristi ali je morda potrebna za uresničevanje njegovih namenov, tudi potrebna za izvajanje pogodbe v skladu tem členom, temveč ta pogoj izpolnjuje le obdelava osebnih podatkov, ki jo upravljavec iz objektivnih razlogov mora izvajati, zato da pogodbeno obveznost lahko izpolni. Povedano drugače, če obdelava podatkov ni nujno potrebna za izvajanje pogodbe s posameznikom, na katerega se podatki nanašajo, je pa nujna za uresničevanje drugih (legitimnih) namenov upravljavca, mora upravljavec najti drugo pravno podlago za obdelavo podatkov.

Dodatno lahko pravno podlago za obdelavo določenih kategorij osebnih podatkov (vključno s fotografijami in videoposnetki) predstavlja tudi tretji odstavek 93. člena ZVOP-2, če so izpolnjeni ostali pogoji iz tega člena. Ta dopušča, da se omejen nabor osebnih podatkov obdeluje z namenom obveščanja javnosti, če obdelavo izvaja oseba javnega ali zasebnega sektorja in zgolj glede osebnih podatkov, pridobljenih na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba. Dopustnost sklicevanja na pravno podlago iz tretjega odstavka 93. člena ZVOP-2 je treba presojati skozi prizmo namena tovrstne obdelave podatkov, tj. obveščanje javnosti. Če tovrstna obdelava ni potrebna za obveščanje javnosti, ker gre na primer za bližnje fotografije oseb, ki niso (relativno) javne osebe, se upravljavec nanjo ne more opreti. Posamezniku mora biti obenem omogočeno, da prepove tovrstno obdelavo podatkov. IP opozarja, da gre za izjemo, ki jo je treba tolmačiti ozko in v skladu z načelom sorazmernosti.

Ob tem IP izpostavlja, da je ena temeljnih dolžnosti upravljavca, ki izhaja iz 13. in 14. člena Splošne uredbe, da obvesti posameznike, katerih osebne podatke obdeluje, o nekaterih temeljnih okoliščinah obdelave njihovih osebnih podatkov, predvsem kdo jih obdeluje, s kakšnim namenom in na kakšni pravni podlagi. Če gre za obdelavo podatkov na podlagi tretjega odstavka 93. člena ZVOP-2, morajo biti posamezniki obveščeni tudi o tem, da lahko takšno obdelavo podatkov prepovejo. Pravica do obveščenosti je predpogoj za uveljavljanje vseh ostalih pravic posameznika, tj. pravice dostopa do lastnih osebnih podatkov, popravka, izbrisa, omejitve obdelave in ugovora.

Ad. 2 Glede obveščanja o objavi fotografij na družbenem omrežju X

Kot pravilno ugotavljate v zaprosilu za mnenje, mora upravljavec posameznike med drugim obvestiti tudi o nameravanem prenosu osebnih podatkov v tretjo državo ter nekaterih okoliščinah nameravanega prenosa, ki se razlikujejo glede na to, na kateri pravni podlagi bodo podatki preneseni v tretjo državo. Splošna uredba tako določa, da mora upravljavec, kadar je to ustrezno, posameznike obvestiti o tem, da namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz 46. ali 47. ali drugega pododstavka člena prvega odstavka 49. člena Splošne uredbe sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo.

Dolžnost obveščanja posameznikov, na katere se podatki nanašajo, nosi upravljavec, to je tisti subjekt, ki usmerja obdelavo osebnih podatkov s tem da določa namene in sredstva njihove obdelave. Namene in načine obdelave lahko določa tudi več upravljavcev, ki v tem primeru postanejo skupni upravljavci. Pri deljenju fotografij in videoposnetkov na družbenem omrežju X in obveščanju o tovrstni obdelavi osebnih podatkov je zato ključno, da glede na dejanske okoliščine obdelave določite, kdo nastopa v vlogi upravljavca (… ali družbeno omrežje X, ali pa gre za skupno upravljavstvo) in bo v skladu z načelom odgovornosti moral obvestiti posameznike, na katere se podatki nanašajo, o nameravanem prenosu v tretjo državo.

Ker gre za obveznost, ki se nanaša le na prenose osebnih podatkov v tretje države in mednarodne organizacije, IP svetuje, da upravljavec v prvem koraku najprej identificira tretje države, v katere se bodo osebni podatki prenesli, pri tem pa upošteva, da prenosov v države članice EU ne štejemo za prenos v tretjo državo.

V drugem koraku naj upravljavec za vsako posamezno tretjo državo, kamor se bodo osebni podatki prenesli, ugotovi, kaj predstavlja pravno podlago takšnega prenosa. Splošna uredba pravne podlage za prenos osebnih podatkov v tretje države ureja v Poglavju V Splošne uredbe in sicer so to: sklep o ustreznosti, ustrezni zaščitni ukrepi ali prenos na podlagi odstopanj v posebnih primerih.

Če Komisija odloči, da tretja država ali njen del zagotavlja ustrezno raven varstva podatkov, upravljavec za prenos osebnih podatkov v to državo ne potrebuje posebnega dovoljenja. Seznam držav, za katere je izdan sklep o ustreznosti (adequacy decision), je dostopen na spletni strani Komisije (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en), med drugim ustrezno raven zaščite zagotavljajo Združene države Amerike, Združeno kraljestvo, Švica, Andora, Japonska, Nova Zelandija, Argentina in Izrael. V primeru prenosa na podlagi sklepa o ustreznosti zadostuje, da upravljavec posameznike obvesti o nameravanem prenosu na tej pravni podlagi.

Osebni podatki se lahko posredujejo v tretjo državo, ki ne zagotavlja ustrezne ravni varstva osebnih podatkov tudi, če upravljavec osebnih podatkov zagotovi ustrezne zaščitne ukrepe in pod pogojem, da imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva (člen 46 Splošne uredbe o varstvu podatkov). V primeru prenosa na tej pravni podlagi Splošna uredba zahteva, da upravljavec posameznike obvesti tudi o ustreznih ali primernih zaščitnih ukrepih in sredstvih za pridobitev njihove kopije ali kje so na voljo.

Več o prenosih osebnih podatkov si lahko preberete v Smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov in ZVOP-2, ki so dostopne na spletni strani Informacijskega pooblaščenca (https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.5.pdf). Smernice vsebujejo tudi več uporabnih povezav do dodatnega gradiva o prenosih podatkov v tretje države, na primer do priporočil Evropskega odbora za varstvo podatkov in izvedbenih aktov Komisije, ki so vam lahko v pomoč pri vzpostavljanju ustreznih mehanizmov za prenos podatkov v tretje države.

IP izpostavlja, da je v skladu z načelom odgovornosti upravljavec tisti, ki je dolžan zagotoviti skladnost obdelave osebnih podatkov s Splošno uredbo, vključno z zagotavljanjem ustrezne pravne podlage za obdelavo podatkov in zakonitosti prenosov osebnih podatkov v tretje države.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka