Izbris posnetkov zaradi preklica soglasja

Datum

06.09.2024

Številka

07121-1/2024/1038

Kategorije

Delovna razmerja, Fotografije kot OP, Pravica do izbrisa - pozabe, Privolitev

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Opisujete, da v podjetju večkrat snemate promocijske videoposnetke, v katerih nastopajo vaši zaposleni. Posnetke objavite na družbenih omrežjih, sejmih, predavanjih in drugih javnih prireditvah. Pred snemanjem pridobite soglasje posameznikov. Težava nastane, če posameznik umakne privolitev in zahteva izbris osebnih podatkov. Sprašujete, ali morate zahtevi ugoditi in izbrisati vse posnetke iz vseh platform. Navajate, da bi tak izbris zahteval nesorazmeren napor, saj ne veste kdo je posnetke delil preko platform. Podoben izziv vidite v primeru, če bi fotografije objavili v tiskanih medijih. Sprašujete tudi, ali zakonodaja razlikuje med glavnimi akterji v posnetku in statisti (torej osebami, ki se pojavijo na posnetku znotraj večje množice ljudi).

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Posebej poudarjamo, da je v okviru delovnega razmerja privolitev dopustna le izjemoma pod pogojem, da zavrnitev soglasja nima posledic na delovno razmerje oziroma na delavčev pravni položaj. Če je privolitev res pravna podlaga za obdelavo osebnih podatkov, lahko posameznik na podlagi Splošne uredbe pri upravljavcu osebnih podatkov uveljavlja pravico do izbrisa oz. do pozabe, ker prekliče privolitev, na podlagi katere poteka obdelava, pa zanjo ne obstaja druga pravna podlaga. Pravica do izbrisa pa ni neomejena in je ni mogoče uveljavljati npr. v primeru, če je potrebna za uveljavljanje pravice do svobode izražanja in obveščanja.

Kadar upravljavec objavi osebne podatke in je osebne podatke obvezan izbrisati, mora ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejeti razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije. Skladno z določbo 19. člena Splošne uredbe upravljavcu uporabnikom, ki so jim bili podatki razkriti, ni treba sporočiti izbrisov osebnih podatkov, če so to izkaže za nemogoče ali vključuje nesorazmeren napor. Ali so v konkretnem primeru izpolnjeni navedeni pogoji, bi lahko IP ugotavljal v konkretnem inšpekcijskem postopku.

Pojasnjujemo tudi, da lahko delodajalec osebne podatke delavca obdeluje na podlagi 48. člena Zakona o delovnih razmerjih (ZDR-1), če je to npr. potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Eventualni možni pravni podlagi za objavo posnetkov sta tudi drugi odstavek 74. člena ZVOP, ki ureja obdelavo osebnih podatkov v namene obveščanja javnosti v okviru svobode izražanja ter tretji odstavek 93. člena ZVOP-2, ki ureja obdelavo osebnih podatkov za izvajanje določenih dejavnosti osebe javnega ali zasebnega sektorja.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

IP vam dokončnega odgovora v okviru nezavezujočega mnenja v zvezi z vašim vprašanjem ne more podati, zato vam podajamo nekaj usmeritev. Kot smo poudarili v mnenju št. 07121-1/2020/1398 z dne 11.8.2020, je fotografija skladno s Splošno uredbo varovan osebni podatek tedaj, ko je oseba jasno in nedvoumno razvidna in bi se jo dalo na ta način identificirati, prepoznati in določiti ali, ko se hkrati s fotografijo obdelujejo tudi drugi osebni podatki o posamezniku. Podobno velja tudi za videoposnetke, kar pomeni, da v konkretnem primeru ni bistveno, ali gre na fotografiji oz. na posnetku za glavnega akterja ali statista, pomembno je, ali je posameznika mogoče prepoznati oz. identificirati.

Ob tem bi radi poudarili tudi, da mora biti privolitev (točka (a) prvega odstavka 6. člena Splošne uredbe) vedno prostovoljna, specifična, informirana in nedvoumna. Posameznik ima pravico, da privolitev kadarkoli prekliče, pri čemer pa preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. Več o privolitvi in njenih obveznih sestavinah lahko preberete v mnenjih IP (ki so dostopna s pomočjo iskalnikov na https://www.ip-rs.si/mnenja-zvop-2/) in tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

Posebej pa poudarjamo, da je v okviru delovnega razmerja privolitev kot pravna podlaga dopustna le izjemoma pod pogojem, da zavrnitev soglasja nima posledic na delovno razmerje oziroma na delavčev pravni položaj. V konkretnem primeru predlagamo, da delodajalec preveri, ali je privolitev ustrezna pravna podlaga za obdelavo osebnih podatkov. Namreč osebni podatki zaposlenih se lahko obdelujejo na podlagi c) točke prvega odstavka 6. člena Splošne uredbe v povezavi z 48. členom Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmIS-A, 202/21 – odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23 in 136/23 – ZIUZDS, ZDR-1). Osebni podatki se lahko skladno z 48. členom zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob tem mora delodajalec upoštevati načelo najmanjšega obsega podatkov in obdelati le tiste osebne podatke in na način, ki je za dosego namena nujno potreben, npr. presodi naj, ali se določenega posameznika posname od blizu, ali zadostujejo npr. zgolj panoramski posnetki. Čeprav je posameznik zaposlen, s tem ne izgubi pravico do zasebnosti in osebnostnih pravic v zvezi z delom, kar velja tudi za tovrstne obdelave, kot so snemanje in objave, ki nujno ne sodijo v opis del in nalog določenega delovnega mesta.

Nadalje pojasnjujemo, da je možna pravna podlaga za objavo posnetkov (na katero se lahko sklicuje vsakdo) drugi odstavek 74. člena ZVOP-2, ki določa, da se lahko v okviru svobode izražanja osebni podatki za namene obveščanja javnosti s strani medijev, književnega, umetniškega ali raziskovalnega ustvarjanja, resne kritike, obrambe kakšne pravice ali varstva upravičene koristi in izobraževanja ali izobraževanja prek javno dostopnih objav in publikacij, obdelajo, objavijo ali drugače razkrijejo, če:

1.je posameznik za obdelavo, objavo ali razkritje osebnih podatkov dal privolitev;

2.je posameznik osebne podatke že javno objavil ali dal na razpolago javnosti;

3.so osebni podatki na zakonit način že bili dostopni javnosti;

4.so bili osebni podatki pridobljeni na podlagi prisotnosti posameznika na javno dostopnih krajih ali dogodkih, kjer posameznik glede na vse okoliščine ne more razumno pričakovati varstva zasebnosti, ter na način, ki ne pomeni občutnega posega v razumno pričakovano zasebnost;

5.gre za zakonito objavo mnenja ali vrednostne ocene, kjer je objava osebnih podatkov nujna za utemeljitev tega mnenja ali vrednostne ocene;

6.so bili osebni podatki pridobljeni na drug zakonit način;

7.javni interes po obveščanju javnosti, pravica do obveščenosti ter svoboda izražanja prevladajo nad upravičenimi interesi varstva zasebnosti in drugih osebnostnih pravic posameznika ali

8.tako določa drug zakon.

Opozarjamo tudi na tretji odstavek 93. člena ZVOP-2, ki določa, da sme oseba javnega ali zasebnega sektorja za namene obveščanja javnosti obdelovati, vključno z objavo, osebna imena, nazive, fotografije in videoposnetke posameznikov, pridobljene na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, če posameznik te obdelave ni prepovedal.

V vseh primerih obdelave pa mora upravljavec upoštevati načela Splošne uredbe, npr. zgoraj omenjeno načelo najmanjšega obsega podatkov in obdelovati zgolj tiste osebne podatke, ki so za obdelavo nujno potrebni.

Bistveno je, da so posamezniki o obdelavi osebnih podatkov vselej obveščeni že pred samo obdelavo, skladno s 13. členom Splošne uredbe. Tako morajo npr. prejeti informacije o namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd.

V zvezi s pravico do izbrisa nadalje pojasnjujemo, da ima vsak posameznik pravico do izbrisa oz. do pozabe skladno s Splošno uredbo, ki je opredeljena v 17. členu Splošne uredbe. Prvi odstavek 17. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, med drugim v primerih: kadar osebni podatki niso več potrebni za namene, za katere so bili zbrani ali kako drugače obdelani; kadar posameznik, na katerega se osebni podatki nanašajo, prekliče privolitev, na podlagi katere poteka obdelava, in za obdelavo ne obstaja nobena druga pravna podlaga ali npr. kadar so bili osebni podatki obdelani nezakonito.

Upravljavec mora podatke izbrisati, razen v primerih, ki so opredeljeni v tretjem odstavku 17. člena Splošne uredbe. Pravica do izbrisa namreč ni neomejena, saj Splošna uredba določa, da izbrisa osebnih podatkov ni mogoče uveljavljati, če je obdelava potrebna npr. za uresničevanje pravice do svobode izražanja in obveščanja, za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene ali npr. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe). IP v primeru kršitve deluje kot pritožbeni organ.[1]

O posameznikovi zahtevi za izbris morate obvestiti tudi druge osebe, katerim ste posredovali njegove podatke oz. s katerimi je bila deljena konkretna vsebina. Drugi odstavek 17. člena Splošne uredbe namreč določa, da kadar upravljavec objavi osebne podatke in je v skladu s prvim odstavkom osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije. Kot dodatno razlagajo Smernice 3/2019 o obdelavi osebnih podatkov z video napravami (dostopne na: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en), je treba, če je upravljavec objavil video posnetek (npr. ga je predvajal ali prenašal prek spleta), sprejeti razumne ukrepe, da se o zahtevi obvesti druge upravljavce (ki zdaj obdelujejo zadevne osebne podatke). Razumni ukrepi bi morali vključevati tehnične ukrepe, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja. Če je to mogoče, bi moral upravljavec po izbrisu osebnih podatkov obvestiti vse, ki so jim bili osebni podatki pred tem razkriti, in sicer v skladu z 19. členom Splošne uredbe o varstvu podatkov. 19. člen Splošne uredbe pa določa, da mora upravljavec vsakemu uporabniku, ki so mu bili osebni podatki razkriti, sporočiti vse popravke ali izbrise osebnih podatkov ali omejitve obdelave v skladu s 16. členom, prvim odstavkom 17. člena in 18. členom, razen če se to izkaže za nemogoče ali vključuje nesorazmeren napor. Upravljavec o teh uporabnikih obvesti posameznika, na katerega se nanašajo osebni podatki, če ta posameznik tako zahteva.

Glede tiskanih medijev IP meni, da je v trenutku obdelave osebnih podatkov (izdaje tiskane verzije) upravljavec imel ustrezno pravno podlago, vendar že po naravi stvari ne more več izvesti izbrisa osebnih podatkov (razen če gre hkrati za spletne objave, na katerih še ima možnost npr. zamegliti obraz konkretnega posameznika).

V upanju, da ste prejeli odgovor na svoje vprašanje, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo

---

[1]Več informacij o pravici do izbrisa in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.