Objava fotografij otrok na socialnem omrežju Facebook

Datum

05.06.2024

Številka

07120-1/2024/220

Kategorije

Fotografije kot OP, Pravica do izbrisa - pozabe

Pri Informacijskem pooblaščencu (IP) smo dne 31. 5. 2024 prejeli vaše zaprosilo za mnenje glede dopustnosti obdelave fotografij mladoletnih oseb. Navajate, da osnovna šola na spletni strani objavlja fotografije učencev, za kar je pridobila predhodno privolitev, en izmed staršev pa je fotografije poobjavil na svojem Facebook profilu. Zanima vas, ali je takšno ravnanje zakonito in kdo ga mora prijaviti Informacijskemu pooblaščencu, šola ali starši otrok, ki so na fotografijah?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Splošna uredba se ne uporablja za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. Dejavnosti ni mogoče šteti za popolnoma osebno ali domačo v smislu te določbe, če je njen cilj, (1) da se dostop do osebnih podatkov omogoči nedoločenemu številu oseb; ali (2) če se ta dejavnost razširja – četudi le delno – v javni prostor in je tako usmerjena iz zasebnega okolja tistega, ki opravi obdelavo podatkov.

2. Če izjema domače rabe ni podana in objavljene fotografije ustrezajo definiciji osebnega podatka, se za takšno obdelavo osebnih podatkov uporabljajo vse določbe Splošne uredbe. Da bi bila obdelava osebnih podatkov zakonita, mora zanjo najprej obstajati zakonita pravna podlaga.

3. Prijavo Informacijskemu pooblaščencu zaradi nezakonite obdelave osebnih podatkov lahko poda kdorkoli, torej bodisi starši ali šola, pri tem pa vam je lahko v pomoč enotna vloga zaradi kršitve varstva osebnih podatkov.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Prav tako Informacijski pooblaščenec nima pooblastil na področju avtorskega prava. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

IP dodatno opozarja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/91 s spremembami in dopolnitvami, v nadaljevanju Ustava RS). Objava fotografije posameznika pa ne predstavlja nujno kršitve predpisov s področja varstva osebnih podatkov. V primeru javne objave fotografije, na kateri je upodobljen posameznik, gre lahko za poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč. Pri tem velja poudariti, da nobena od teh ustavnih pravic ni absolutna ter da je treba pravico do zasebnosti in pravico do varstva podatkov razumeti tudi v kontekstu njunega razmerja do pravice do svobode izražanja, ki je zagotovljena v 39. členu Ustave RS.

V skladu z definicijo pojma osebnega podatka iz 1. točke 4. člena Splošne uredbe je osebni podatek vsaka informacija v zvezi z določenim ali določljivim posameznikom. Zato ni nujno, da vsaka fotografija predstavlja obdelavo osebnih podatkov, temveč gre za obdelavo osebnih podatkov le takrat, kadar so posamezniki, ki so prikazani na fotografiji, določeni ali vsaj določljivi. V primeru, da se posameznikov, ki jih prikazujejo fotografije, zaradi slabe resolucije ali kakršnegakoli drugega razloga ne da določiti, ne gre za obdelavo osebnih podatkov, s tem pa je izključena pristojnost IP.

IP pojasnjuje, da se Splošna uredba prav tako ne uporablja za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. V skladu s sodno prakso SEU, pa dejavnosti ni mogoče šteti za popolnoma osebno ali domačo v smislu te določbe, če je njen cilj, (1) da se dostop do osebnih podatkov omogoči nedoločenemu številu oseb; ali (2) če se ta dejavnost razširja – četudi le delno – v javni prostor in je tako usmerjena iz zasebnega okolja tistega, ki opravi obdelavo podatkov. IP v okviru nezavezujočega mnenja ne more podati končnega odgovora na vprašanje, ali gre v navedenem primeru za izjemo domače rabe.

Če izjema domače rabe ni podana in objavljene fotografije ustrezajo definiciji osebnega podatka, se za takšno obdelavo osebnih podatkov uporabljajo vse določbe Splošne uredbe. Da bi bila obdelava osebnih podatkov zakonita, mora zanjo najprej obstajati zakonita pravna podlaga. Ena izmed pravnih podlag je privolitev, vendar pa Splošna uredba dopušča tudi obdelavo osebnih podatkov na drugih pravnih podlagah. V skladu s členom 6(1) Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ta točka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Poleg tega mora upravljavec (v tem primeru starš, ki je slike objavil na Facebook profilu) posameznikom omogočiti izvrševanje pravic, ki jih imajo v skladu s Splošno uredbo. V takem primeru lahko posameznik pod določenimi pogoji pri upravljavcu podatkov uveljavlja svojo pravico do izbrisa osebnih podatkov. Več o pravici do izbrisa je dostopno na: https://tiodlocas.si/top-nasveti/izbris-osebnih-podatkov-in-pravica-do-pozabe/.

Prijavo Informacijskemu pooblaščencu zaradi nezakonite obdelave osebnih podatkov lahko poda kdorkoli, torej bodisi starši ali šola, pri tem pa vam je lahko v pomoč enotna vloga zaradi kršitve varstva osebnih podatkov, ki jo najdete na spletnem naslovu: https://www.ip-rs.si/fileadmin/user_upload/doc/obrazci/ZVOP/Enotni%20obrazec.docx.

IP je v preteklosti že odgovarjal na vsebinsko podobna vprašanja, zato vam priporočamo, da se seznanite z vsebino neobveznih mnenj, ki jih poiščete s pomočjo iskalnika na spletni strani: https://www.ip-rs.si/mnenja-gdpr/ (v iskalniku pa izberete kategorijo Fotografije kot OP).

IP še pojasnjuje, da tudi družbeno omrežje Facebook omogoča prijavo fotografij, ki predstavljajo poseg v zasebnost posameznikov, spletni obrazec je dostopen na spletni strani: https://www.facebook.com/help/1561472897490627.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka