Informacijski pooblaščenec Republika Slovenija
   
dekorativna slika

Obdelava fotografij zaposlenih s piknika

+ -
Datum: 30.08.2022
Številka: 07121-1/2022/935
Kategorije: Fotografije kot OP, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste s sodelavci v prostem času priredili piknik. Povabljeni so bili vsi zaposleni, vi pa ste ga organizirali (ste vodja). Na pikniku ste posneli tudi nekaj fotografij in videoposnetkov. Vsi udeleženci ste želeli, da se fotografije zberejo in si jih izmenjate. Ena od vaših zaposlenih pa temu nasprotuje in vam prepoveduje, da bi si izmenjali fotografije, na katerih je fotografirana.

 

Zanima vas, ali ima zakonsko podlago za svojo zahtevo in kakšne posledice ima lahko to za vas, saj ste zbrali vse fotografije in posnetke in jih boste razposlali med udeležence piknika.

 

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Glede na vaš opis bi lahko šlo za zbirko osebnih podatkov, zato bi morali zagotoviti ustrezno pravno podlago za obdelavo osebnih podatkov, npr. privolitev posameznika. Posameznik ima skladno s Splošno uredbo med drugim pravico do izbrisa osebnih podatkov, v kolikor pa mu upravljavec v danem roku na zahtevo ne odgovori, lahko vloži pritožbo pri IP. Določena ravnanja (npr. v zvezi z objavo fotografije) pa bi lahko predstavljala poseg v pravico do zasebnosti, ki sodi v pristojnost sodišč.

 

O b r a z l o ž i t e v:

 

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

 

Pojasnjujemo, da mora imeti upravljavec za obdelavo osebnih podatkov osebnih podatkov ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe:

 

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

IP vam dokončnega odgovora v okviru nezavezujočega mnenja v zvezi z vašim vprašanjem ne more podati, zato vam podajamo nekaj usmeritev. Kot smo poudarili v mnenju št. 0712-1/2019/3007 z dne 14.1.2020, je fotografija skladno s Splošno uredbo varovan osebni podatek tedaj, ko je oseba jasno in nedvoumno razvidna in bi se jo dalo na ta način identificirati, prepoznati in določiti ali, ko se hkrati s fotografijo obdelujejo tudi drugi osebni podatki o posamezniku. Dodatno pa prvi odstavek 2. člena Splošne uredbe določa, da se uredba uporabi tedaj, ko se obdelava v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi. Glede na vaš opis (shranjenih imate večje število fotografij zaposlenih) najverjetneje gre za zbirko osebnih podatkov, ki se obdeluje že zgolj z njenim hranjenjem kot tudi z vsemi nadaljnjimi ravnanji obdelave (npr. objavo ali posredovanjem drugim osebam). Za še več informacij predlagamo, da si preberete navedeno mnenje in druga tam citirana mnenja, ki se nanašajo na to tematiko.

 

V kolikor gre za obdelavo osebnih podatkov, bi morali kot upravljavec osebnih podatkov pred zbiranjem teh podatkov poskrbeti za primerno pravno podlago, npr. po zgoraj citirani točki (a) – privolitev. Več o privolitvi in njenih obveznih sestavinah si tako lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Že pred samo obdelavo osebnih podatkov pa bi posameznikom morali podati tudi nekatere informacije skladno s 13. členom Splošne uredbe, npr. o namenih, za katere se osebni podatki obdelujejo, pravni podlagi za njihovo obdelavo, pravicah, ki jih ima posameznik skladno s Splošno uredbo, recimo o pravici do izbrisa osebnih podatkov (17. člen Splošne uredbe). Posameznik lahko namreč zahteva izbris svojih podatkov, v kolikor seveda ne obstaja dopusten in zakonit razlog za nadaljnjo obdelavo teh podatkov. Upravljavec osebnih podatkov mora posamezniku na zahtevo odgovoriti najpozneje v enem mesecu od prejema zahteve in ga obvestiti o izvedenih ukrepih. V primeru kršitve s strani upravljavca lahko posameznik pri IP vloži pritožbo. Več informacij v zvezi z izbrisom osebnih podatkov lahko preberete na: https://tiodlocas.si/top-nasveti/izbris-osebnih-podatkov-in-pravica-do-pozabe/.

 

Opozarjamo tudi, da se lahko posameznik, če obdeluje osebne podatke, ne da bi imel za to podlago v zakonu ali v osebni privolitvi posameznika, kaznuje za prekršek z globo od 200 do 830 eurov (četrti odstavek 91. člena ZVOP-1).

 

Dodajamo tudi, da je IP pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/91 s spremembami in dopolnitvami, v nadaljevanju: Ustava RS). Določena ravnanja, kot je npr. objava posamezne fotografije na spletu brez privolitve posameznika, ne predstavlja nujno kršitve varstva osebnih podatkov, temveč bi lahko predstavljala poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč in je varovana z instituti civilnega in kazenskopravnega varstva, za posledico pa ima lahko tudi kazensko in odškodninsko odgovornost.

 

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

 

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

 

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo