Varstvo osebnih podatkov, ki se obdelujejo na družbenih omrežjih

Datum

01.08.2024

Številka

07121-1/2024/891

Kategorije

Fotografije kot OP, Svetovni splet, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 29. 7. 2024 prejeli vaše zaprosilo za mnenje glede uporabe določb Splošne uredbe in ZVOP-2 pri objavah na družbenih omrežjih. Zanima vas, ali objave na družbenih omrežjih Facebook, Instagram in Snapchat predstavljajo zasebne objave, njihove avtorje pa ščiti zgoraj navedena zakonodaja s področja varstva osebnih podatkov. Dodatno še sprašujete, kdo izvrši zlorabo takšnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Splošna uredba in ZVOP-2 se uporabljata glede obdelave osebnih podatkov na družbenih omrežjih, če podatki, ki se obdelujejo, ustrezajo definiciji osebnega podatka in ne gre za obdelavo osebnih podatkov v okviru osebne ali domače dejavnosti.

2.2. IP kot samostojen in neodvisen državni organ lahko opravlja le nadzor nad izvrševanjem pravice do varstva osebnih podatkov, nedopustnost posegov v pravico do zasebnosti ter osebnostne pravice pa je v pristojnosti civilnih in kazenskih sodišč.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V zaprosilu za mnenje ne navajate nobenih konkretnejših okoliščin objav na družbenih omrežjih, na katere se nanaša zaprosilo, na primer ali gre za objave na uporabniškem profilu posameznika ali podjetja, ali gre za javen ali zaseben profil, kakšni podatki so bili objavljeni (na primer fotografije, videoposnetki, identifikacijski podatki, občutljivi podatki), zato IP v nadaljevanju podaja samo splošne usmeritve glede zastavljenega vprašanja.

Splošna uredba se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Uporaba pravil s področja varstva osebnih podatkov je v določenih primerih izključena, na primer če gre za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. V skladu s sodno prakso SEU, pa dejavnosti ni mogoče šteti za popolnoma osebno ali domačo v smislu te določbe, če je njen cilj, (1) da se dostop do osebnih podatkov omogoči nedoločenemu številu oseb; ali (2) če se ta dejavnost razširja – četudi le delno – v javni prostor in je tako usmerjena iz zasebnega okolja tistega, ki opravi obdelavo podatkov.

Pravila s področja varstva osebnih podatkov se nadalje uporabljajo le za obdelavo osebnih podatkov, medtem ko ne vplivajo na zakonitost obdelave vseh ostalih podatkov. V skladu z definicijo iz 4(1) člena Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Splošna uredba in ZVOP-2 se uporabljata glede obdelave osebnih podatkov na družbenih omrežjih, če podatki, ki se obdelujejo, ustrezajo definiciji osebnega podatka in ne gre za obdelavo osebnih podatkov v okviru osebne ali domače dejavnosti.

Posebej glede objave fotografij in videoposnetkov IP izpostavlja, da lahko pomeni njihova objava tako poseg v posameznikovo zasebnost in osebnostne pravice (varovane v 35. členu Ustave) kot tudi poseg v pravico do varstva osebnih podatkov (38. člen Ustave). Kljub temu, da gre za več tesno povezanih pravic, ki varujejo posameznikovo zasebno sfero, gre za vsebinsko in formalno ločene pravice. IP kot samostojen in neodvisen državni organ lahko opravlja le nadzor nad izvrševanjem pravice do varstva osebnih podatkov, nedopustnost posegov v pravico do zasebnosti ter osebnostne pravice pa je v pristojnosti civilnih in kazenskih sodišč.

Poleg tega ni nujno, da vsaka fotografija ali videoposnetek predstavlja obdelavo osebnih podatkov, temveč gre za obdelavo osebnih podatkov le takrat, kadar so posamezniki, ki jih prikazuje fotografija ali videoposnetek, določeni ali vsaj določljivi. V primeru, da se posameznikov, ki jih prikazujejo posnetki, zaradi slabe resolucije, postavitve kamere ali kakršnegakoli drugega razloga ne da določiti, ne gre za obdelavo osebnih podatkov, s tem pa je izključena pristojnost IP.

V zvezi z vašim drugim vprašanjem, tj. kdo stori zlorabo takšnih podatkov, IP pojasnjuje, da na podlagi prvega odstavka 2. člena Zakona o informacijskem pooblaščencu nima pooblastil za presojo, ali so izpolnjeni zakonski znaki kaznivega dejanja zlorabe osebnih podatkov iz 143. člena Kazenskega zakonika.

Na splošno pa IP pojasnjuje, da mora za vsako obdelavo osebnih podatkov – na primer za hrambo, posredovanje, dostop, itd. – obstajati pravna podlaga. V skladu s členom 6(1) Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ta točka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Če ni podana nobena izmed pravnih podlag iz 6(1) člena Splošne uredbe, se osebni podatki ne smejo obdelovati.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

dr. Jelena Virant Burnik, informacijska pooblaščenka