Objava fotografij zaposlenih na spletu

Datum

26.09.2023

Številka

07121-1/2023/1203

Kategorije

Delovna razmerja, Fotografije kot OP, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo 20. 9. 2023 prejeli vaše zaprosilo za mnenje glede fotografiranja delavcev na dogodku ter objave teh fotografij na družbenih omrežjih. Pojasnjujete, da ima delavec podpisano soglasje o prepovedi objavljanja njegovih fotografij na družbenih omrežjih. Na dogodek podjetja so povabljeni tudi novinarji, ki posnete fotografije objavijo na družbenih omrežjih, zato ste se obrnili na kadrovsko službo, kjer so vam odgovorili, da se lahko delavec sam obrne na urednike družbenih omrežij, da odstranijo slike.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelavo osebnih podatkov v delovnem razmerju primarno ureja Zakon o delovnih razmerjih, iz katerega izhaja, da bi delodajalec delavca lahko fotografiral na podlagi 48. člena ZDR-1, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec je v tem primeru dolžan za vsakega delavca natančno obrazložiti oziroma izkazati, za kakšen namen (ki mora biti povezan z uresničevanjem pravic in obveznosti iz delovnega razmerja) delavca fotografira.

V primeru javnih dogodkov pride v poštev tudi objava s strani delodajalca na podlagi tretjega odstavka 93. člena ZVOP-2, če bi šlo za objavo za namene obveščanja javnosti in, če gre za fotografije pridobljene na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira delodajalec ter posameznik te obdelave ni prepovedal.

Če gre za fotografiranje in objavo s strani medijev, ki so se udeležili javnega dogodka, ki ga je organiziral delodajalec, veljajo določbe 73. člena ZVOP-2, pri čemer konkretne presoje zakonitosti objave IP v mnenju ne more narediti. Zahtevo za izbris pa mora posameznik podati neposredno mediju, ki je fotografijo objavil. IP za nadzor teh objav v skladu z 19. členom ZVOP-2 ni pristojen, ampak je zanje predvideno sodno varstvo.

Obrazložitev

Za vsako obdelavo osebnih podatkov (fotografije se kot osebni podatek smatrajo le, če so osebe na njih določljive) mora obstajati ustrezna pravna podlaga. Obdelava je namreč zakonita le, v kolikor obstaja ena izmed pravnih podlag, ki jih določa 1. odstavek 6. člena Splošne uredbe:

•privolitev posameznika (točka (a)),

•sklenitev ali izvajanje pogodbe (točka (b)),

•izpolnitev zakonske obveznosti (točka (c)),

•zaščita življenjskih interesov posameznika (točka (d)),

•izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1),

•zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka (f)).

Glede na okoliščine konkretnega primer bi lahko šlo v vašem konkretnem primeru bodisi za obdelavo osebnih podatkov v delovnem razmerju bodisi za obdelavo osebnih podatkov s strani medijev, odvisno od tega kdo je fotografije ustvaril in objavil.

V prvem primeru – obdelave s strani delodajalca – splošno pravno podlago načeloma predstavlja Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – z dop. in popr.; v nadaljevanju ZDR-1). Delodajalec sme torej osebne podatke delavca obdelovati primarno v okviru določb ZDR-1. Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

Delodajalec bi lahko torej delavca fotografiral na podlagi 48. člena ZDR-1, in sicer pod pogojem, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To pomeni tudi, da je delodajalec dolžan za vsakega delavca natančno obrazložiti oziroma izkazati, za kakšen namen (ki mora biti povezan z uresničevanjem pravic in obveznosti iz delovnega razmerja) delavca fotografira. Ob tem je treba upoštevati načelo najmanjšega obsega, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5(1)(c) Splošne uredbe o varstvu podatkov).

Pri tem je treba izpostaviti, da je privolitev delavca oziroma zaposlenega kot pravna podlaga v delovnih razmerjih uporabljiva le izjemoma. Splošna uredba o varstvu podatkov namreč v 11. točki člena 4 določa, da pomeni privolitev vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Glede na to, da gre v delovnem razmerju za neenakopravno razmerje moči med delodajalcem in delavcem, kjer je delavec praviloma šibkejša stranka, je veljavnost privolitve, predvsem njena prostovoljnost, zato mnogokrat vprašljiva.

Sicer pa mora biti privolitev, da se ta lahko šteje kot veljavna pravna podlaga za obdelavo osebnih podatkov, skladna z določbami 7. člena Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno prostovoljno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost posameznika tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen (npr. za konkreten dogodek oziroma konkretno objavo). Če vključuje storitev več obdelav osebnih podatkov za več namenov, morajo biti nameni granulirani, privolitev pa mora biti dana za vsak namen posebej. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

Nadalje pojasnjujemo, da sme delodajalec (oseba javnega ali zasebnega sektorja) na podlagi 93. člena ZVOP-2 obdelovati (sem spada tudi objava), osebna imena, nazive, fotografije in videoposnetke posameznikov, in sicer če so ti podatki pridobljeni na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, v kolikor posameznik te obdelave ni prepovedal.

Če gre za fotografiranje in objavo s strani medijev, ki so bili prisotni na javnem dogodku, organiziranem s strani delodajalca, pa pridejo v poštev določbe 73. člena ZVOP-2, pri čemer konkretne presoje zakonitosti objave IP v mnenju ne more narediti. Kot določa 2. odstavek omenjenega člena, se lahko za namene obveščanja javnosti s strani medijev osebni podatki obdelajo, objavijo ali drugače razkrijejo, če:

1.je posameznik za obdelavo, objavo ali razkritje osebnih podatkov dal privolitev;

2.je posameznik osebne podatke že javno objavil ali dal na razpolago javnosti;

3.so osebni podatki na zakonit način že bili dostopni javnosti;

4.so bili osebni podatki pridobljeni na podlagi prisotnosti posameznika na javno dostopnih krajih ali dogodkih, kjer posameznik glede na vse okoliščine ne more razumno pričakovati varstva zasebnosti, ter na način, ki ne pomeni občutnega posega v razumno pričakovano zasebnost;

5.gre za zakonito objavo mnenja ali vrednostne ocene, kjer je objava osebnih podatkov nujna za utemeljitev tega mnenja ali vrednostne ocene;

6.so bili osebni podatki pridobljeni na drug zakonit način;

7.javni interes po obveščanju javnosti, pravica do obveščenosti ter svoboda izražanja prevladajo nad upravičenimi interesi varstva zasebnosti in drugih osebnostnih pravic posameznika ali

8.tako določa drug zakon.

Zahtevo za izbris mora posameznik nasloviti neposredno na medij, ki je fotografijo objavil. IP za nadzor teh objav v skladu z 19. členom ZVOP-2 ni pristojen, temveč je zanje predvideno sodno varstvo.

V upanju, da smo odgovorili na vaše vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka