Privolitev za objavo fotografij na socialnih omrežjih

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem vas zanima; kako lahko vašemu delodajalcu podate splošno soglasje za fotografiranje in objavo vaših fotografij na socialnih omrežjih, kjer ste razločno prepoznana -  za namen krepitve pozitivne podobe družbe. Zanima vas tudi primer, kdaj bi lahko pri obdelavi tovrstnih osebnih podatkov šlo za uporabo pravne podlage zakonitega interesa.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

1.     Delodajalec nima splošne pravice fotografirati svojih zaposlenih brez njihove privolitve, razen takrat, kadar bi nedvoumno lahko izkazal, da je fotografiranje oz. morebitna objava nujno potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.

2.     Privolitev delavca mora biti aktivna, prostovoljno podana, specifična, informirana in dokazljiva, kjer ima  delavec možnost, da jo kadarkoli lahko prekliče.

3.     V kolikor splošna privolitev, ki bi jo podali zaposleni (npr. ob sklenitvi delovnega razmerja) v celoti ne pokriva želene obdelave osebnih podatkov (npr. po namenih, upravljavcih, vrsti osebnih podatkov ipd.) ali če konkretno fotografiranje oz. morebitna javna objava fotografij in videoposnetkov zaposlenih iz dogodkov ni možno šteti kot sorazmerni in legitimni del izhajajoč iz namena že pridobljene splošne privolitve, bi bilo za tako obdelavo potrebno pridobiti novo oz. dodatno privolitev

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da je na podobno vprašanje vašemu že večkrat odgovoril, zato vas glede slednjega napotuje na že objavljena neobvezujoča mnenja in smernice IP, kjer boste našli odgovor na svoje vprašanje ter se seznanili o relevantnih pravnih podlagah, ki pridejo v poštev pri fotografiranju zaposlenih:

-       Fotografiranje in snemanje zaposlenih na internih dogodkih; št. 07121-1/2022/799 z dne 20. 7. 2022: https://www.ip-rs.si/mnenja-gdpr/fotografiranje-in-snemanje-zaposlenih-na-internih-dogodkih-1658485914;

-       Delovno razmerje, socialna omrežja, št. 0712-1/2019/2664 z dne 19. 11. 2019: https://www.ip-rs.si/mnenja-gdpr/6048a48796757

-       Smernice IP o tem, kako so vaši podatki varovani v delovnem razmerju: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf

IP na podlagi zgoraj izpostavljenih mnenj in smernic torej poudarja, da delodajalec nima splošne pravice fotografirati svojih zaposlenih brez njihove privolitve, razen takrat, kadar bi nedvoumno lahko izkazal, da je fotografiranje oz. morebitna objava nujno potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, kot to določa 48. člen Zakona o delovnih razmerjih. Veljavna privolitev po Splošni uredbi o varstvu podatkov šteje le aktivna in prostovoljno podana, specifična, informirana in nedvoumna vnaprejšnja privolitev posameznika v obdelavo podatkov, ki pa omogoča, da jo lahko upravljavec kadarkoli izkaže – torej tudi dokazljiva.

Več o privolitvi si lahko preberete v smernicah Evropskega odbora za varstvo podatkov in na naslednjih spletnih straneh IP:

-          Smernice EDPB o privolitvi so dostopne na: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_sl

-          Stališče IP o privolitvi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnihpodatkov/ključna-področja-uredbe/privolitev

Dodatno poudarjamo, da v kolikor splošna privolitev, ki bi jo podali zaposleni (npr. ob sklenitvi delovnega razmerja) v celoti ne pokriva želene obdelave osebnih podatkov (npr. po namenih, upravljavcih, vrsti osebnih podatkov ipd.) ali če konkretno fotografiranje oz. morebitna javna objava fotografij in videoposnetkov zaposlenih iz dogodkov ni možno šteti kot sorazmerni in legitimni del izhajajoč iz namena že pridobljene splošne privolitve, bi bilo za tako obdelavo potrebno pridobiti novo oz. dodatno privolitev.

Kot ključni element veljavne privolitve izpostavljamo predvsem njeno informiranost, kjer mora upravljavec natančno opredeliti, kakšen je namen podane privolitve, na kakšen način bodo prejeti podatki obdelani in kje bodo objavljeni. Upravljavec mora posameznikom podati tudi nekatere druge informacije o obdelavi osebnih podatkov, npr. informacije o upravljavcu, namenu, pravni podlagi za obdelavo osebnih podatkov, itd. (člen 13. Splošne uredbe o varstvu podatkov). Več o dolžnosti informiranja posameznikov pa lahko preberete na spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov

Glede pravne podlage zakonitih interesov pa pojasnjujemo, da bi pri fotografiranju posameznikov zadevna pravna podlaga po členu 6(1)(f) Splošne uredbe prišla v poštev izključno le v posebnih okoliščinah (npr. snemanje dogodka na javnem kraju, ki se ga udeleži veliko ljudi; snemanje javnih površin; snemanje posameznika pri uporabi bankomata itd.), kjer razumno ni mogoče zbrati privolitev posameznikov. Upravljavec pa mora za ustrezno utemeljitev pravne podlage zakonitih interesov pred samo obdelavo presoditi, ali zakoniti interes prevlada nad upravičenim pričakovanjem posameznika in v primerih, ko le ta ne prevlada, potem mora upravljavec pravno podlago iskati drugje; npr. v privolitvi posameznika.

Izbor pravne podlage mora vedno ustrezati vsem okoliščinam konkretnega primera, odgovornost za izbiro pa nosi upravljavec.

IP sklepno še poudarja, da je bilo to mnenje napisano v obziru do trenutno veljavne zakonodaje na področju varstva osebnih podatkov, kjer pa se z dnem 26. 1. 2023 le ta v določenih delih spreminja. Sprejet je bil namreč nov zakon (Zakon o varstvu osebnih podatkov 2), ki pa začne veljati konec meseca. Besedilo zakona je dostopno na slednji povezavi:

https://www.uradni-list.si/glasilo-uradni-list-rs/vsebina/2022-01-4187?sop=2022-01-4187

V zvezi s tem zato predlagamo, da si preberete še določbe novega zakona (predvsem tretji odstavek 93. člena ZVOP-2), ki določa, da lahko upravljavec, za namene obveščanja javnosti, obdeluje, vključno z objavo, osebna imena, nazive, fotografije in videoposnetke posameznikov, pridobljene na dogodkih, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti organizira ta oseba, če posameznik te obdelave ni prepovedal.

V kolikor bo posameznik torej želel delodajalcu prepovedati objavo fotografij in videoposnetkov iz dogodkov, ki jih v okviru svojih nalog, pristojnosti ali dejavnosti izvaja, bo moral takšno obdelavo delodajalcu izrecno prepovedati.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravil:                                                                                                                                  

Grega Rudolf,

asistent svetovalca pri IP          

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka