Nalaganje fotografije v aplikacijo za naročanje hrane

Datum

26.04.2023

Številka

07121-1/2023/573

Kategorije

Fotografije kot OP, Informiranje posameznika, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 12.4.2023 prejeli vaše zaprosilo za mnenje v zvezi z zahtevo podjetja za dostavo hrane, za katerega kot s.p. razvažate naročila, in sicer, da jim posredujete svojo fotografijo, ki bo nameščena v aplikacijo in bo na ta način dostopna strankam podjetja (naročnikom hrane oz. drugega blaga), kar se vam zdi sporno. Razlog, ki ga je podjetje navedlo za namestitev fotografije dostavljavcev v aplikacijo je preprečevanje dela na črno. V kolikor bi imeli kot s.p. zaposlenega delavca, ki dostavlja za navedeno podjetje, bi morali vi podjetju za dostavo posredovati fotografijo tega zaposlenega, kar pa je v nasprotju z določbami Splošne uredbe, ki zavezuje le vas.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Objava fotografije dostavljavca v aplikaciji za naročanje hrane bi glede na možne pravne podlage, določene v členu 6(1) Splošne uredbe lahko bila zakonita, v kolikor bi podjetje za dostavo hrane izkazalo enega izmed navedenih pogojev iz člena 6(1) Splošne uredbe, pri čemer mora izmed vseh možnih pogojev oz. pravnih podlag izkazati tisto, ki najbolj ustreza dani situaciji (npr. če iz vseh okoliščin obdelave izhaja, da je javna objava fotografije nujno potrebna za izvajanje pogodbe o dostavi, potem se podjetje za dostavo ne bo moglo zanašati na privolitev dostavljavca za objavo njegove fotografije).

Podjetje za dostavo hrane, bi vam moralo tudi, in sicer v trenutku, ko je od vas zahtevalo posredovanje vaše fotografije, pojasniti, za kakšen namen namerava objaviti vašo fotografijo v aplikaciji za naročanje ter na kateri pravni podlagi, pri čemer bi moralo namen opredeliti tako natančno, da bi lahko vi sami presodili, ali je javna objava vaše fotografije v aplikaciji sploh ustrezna, relevantna in potrebna za dosego zatrjevanega namena. Takšna »kontrola« posameznikov nad obdelavo osebnih podatkov, ki se nanašajo nanje, je namreč bistvo pravice do varstva osebnih podatkov.

Obrazložitev

IP lahko podaja le nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih ali drugih upravnih postopkov presojati posameznih primerov obdelave osebnih podatkov.

V povezavi z vašim vprašanjem, ki se nanaša na zahtevo podjetja za dostavo hrane, da mu posredujete vašo fotografijo (pri čemer nastopate v vlogi dostavljavca, ki na podlagi pogodbe o izvajanju storitev le te izvajate kot s.p.) in objavo fotografije v aplikaciji za naročanje hrene, vam pojasnjujemo, da mora podjetje za dostavo hrane kot upravljavec osebnih podatkov za zakonito obdelavo osebnih podatkov razpolagati z ustrezno pravno podlago za objavo fotografije dostavljavcev v aplikaciji za naročanje hrane. Poleg razpolaganja z ustrezno pravno podlago mora upravljavec za zakonito obdelavo izvajati tudi druge obveznosti iz Splošne uredbe in ZVOP-2. V povezavi z vašim vprašanjem je takšna obveznost za upravljavce določena v členu 13 Splošne uredbe – zagotovitev informacij posameznikom, na katere se nanašajo osebni podatki, kadar se osebni podatki pridobijo od tega posameznika.

Objava fotografij dostavljavcev v aplikaciji za naročanje hrane bi bila po mnenju IP  lahko zakonita, v kolikor bi dotično podjetje razpolagalo z eno izmed pravnih podlag (oz. v kolikor bi bil izpolnjen katerikoli izmed spodaj navedenih pogojev), določenih v členu 6 Splošne uredbe, in sicer:

(a)privolitev posameznika, na katerega se nanašajo osebni podatki, v enega ali več določenih namenov,

(b)če bo obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika,

(c)če je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca,

(d)če je obdelava potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe,

(e)če je obdelava potrebna za opravljaje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu ali

(f)če je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi  prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob zgoraj navedenem poudarjamo, da morata biti pravni podlagi, navedeni v točkah (c) in (e), nadalje  opredeljeni v skladu s pravom EU ali nacionalnim pravom, torej morata biti določeni in razdelani v zakonu.

Objava fotografije dostavljavca v aplikaciji za naročanje hrane bi glede na navedene možne pravne podlage lahko bila zakonita, v kolikor bi podjetje za dostavo hrane izkazalo enega izmed navedenih pogojev, pri čemer mora izmed vseh možnih pogojev oz. pravnih podlag izkazati tisto, ki najbolj ustreza dani situaciji (npr. če iz vseh okoliščin obdelave izhaja, da je javna objava fotografije nujno potrebna za izvajanje pogodbe o dostavi, potem se podjetje za dostavo ne bo moglo zanašati na privolitev dostavljavca za objavo njegove fotografije).

Poleg razpolaganja z ustrezno pravno podlago za objavo fotografij v aplikaciji pa bi vam moralo podjetje za dostavo hrane, ko je od vas zahtevalo predložitev vaše fotografije, zagotoviti tudi ustrezne informacije v zvezi z obdelavo fotografije. Ta obveznost upravljavcev je določena v členu 13 Splošne uredbe in je ključna z vidika posameznikov in varstva pravice do zasebnosti, saj posameznik na podlagi teh informacij lahko učinkovito izvršuje svoje pravice v zvezi z osebnimi podatki, ki se nanašajo nanj. V členu 13 Splošne uredbe so zato natančno določene vse informacije, ki jih je upravljavec dolžan zagotoviti posamezniku in to v trenutku, ko od njega pridobi osebne podatke:

(a)obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

(b)obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov;

(c)kadar obdelava temelji na točki (a) člena 6(1) ali točki (a) člena 9(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica;

(d)pravico do vložitve pritožbe pri nadzornem organu,

(e)ali je zagotovitev osebnih podatkov statutarna ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe, ter ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se tki podatki ne zagotovijo ter

(f)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Med informacijami, ki jih je upravljavec torej dolžan zagotoviti posamezniku v trenutku, ko od njega pridobi informacije, izpostavljam določbo člena 13(1)(c) Splošne uredbe – tj.

informacija o namenih, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo

.

Glede na navedeno in v povezavi z vašim vprašanjem bi vam moralo podjetje za dostavo hrane, v trenutku, ko je od vas zahtevalo posredovanje vaše fotografije, pojasniti, za kakšen namen namerava objaviti vašo fotografijo v aplikaciji za naročanje ter na kateri pravni podlagi, pri čemer bi moral namen opredeliti tako natančno, da bi lahko vi sami presodili, ali je javna objava vaše fotografije v aplikaciji sploh ustrezna, relevantna in potrebna za dosego zatrjevanega namena. Takšna »kontrola« posameznikov nad obdelavo osebnih podatkov, ki se nanašajo nanje, je namreč bistvo pravice do varstva osebnih podatkov. Kot izhaja iz vašega vprašanja naj bi bil namen objave fotografije v aplikaciji »

preprečevanje dela na črno

«, pri čemer tudi sami navajate, da vam ni poznano, na kakšen način bi lahko objava fotografije preprečila delo na črno, iz česar bi bilo mogoče sklepati, da namen ni opredeljen določno in izrecno, kot to zahteva Splošna uredba. Nedoločenost namena oz. preohlapno določen namen, ki ga ni moč vsebinsko povezati s samo obdelavo fotografije in s tem tudi ustrezno pravno podlago, bi lahko pomenilo nezakonito obdelavo, tj. nezakonito zbiranje in objavo fotografij dostavljavcev v aplikaciji za naročanje hrane. Vendar, kot že zgoraj navedeno, IP v okviru neobvezujočega mnenja ne more podati dokončne presoje glede zakonitosti konkretne obdelave osebnih podatkov, temveč lahko opravi konkretno presojo šele v postopku inšpekcijskega nadzora.

V zvezi z vašimi pomisleki glede posredovanja fotografije morebitnega zaposlenega pri vašem s.p., ki prav tako dostavlja za navedeno podjetje, vam pojasnjujemo, da je fotografija nedvoumno osebni podatek v povezavi s posameznikom, ne glede na to, ali je ta posameznik v delovnem razmerju z vašim s.p. ali ne. V primeru, da bi bila pravna podlaga za objavo fotografije v aplikaciji privolitev, bi moral morebitni zaposleni sam privoliti v obdelavo svoje fotografije in ne vi v njegovem imenu. Z vidika pravice do varstva osebnih podatkov ima torej morebitni zaposleni pri vašem s.p. v razmerju do podjetja za dostavo hrane na podlagi Splošne uredbe enake pravice kot vi kot nosilec s.p.

IP sklepno pojasnjuje, da lahko, če menite, da je prišlo do kršitve v zvezi z varstvom osebnih podatkov, pri IP vložite prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. To lahko storite tudi preko obrazca, ki je dostopen na spletni strani IP: https://www.ip-rs.si/obrazci/ (obrazec »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«).

V upanju, da ste dobili odgovore na svoja vprašanja, vas lepo pozdravljamo.

Pripravila:

mag. Polona Štrekelj, univ. dipl. prav.

državna nadzornica za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka