Zaračunavanje odjema digitalnih fotografij
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 08.11.2018Številka: 0712-3/2018/2223
Kategorije: Vrtec, Šolstvo
Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem sprašujete, ali je dopustno, da vrtec zaračunava bodisi sam bodisi preko obdelovalca osebnih podatkov odjem digitalnih fotografij v zbirki
zbranih podatkov z omejenim dostopom, kjer bo sledljivost zagotovljena v obliki naročila personalizirane spominske knjige, zapisa na USB ključku ali naročila enkratnega digitalnega odjema zbranih fotografij oddelka. Gre za dostop do fotografij, ki so jih tekom leta vzgojitelji posneli v vrtcu in jih dnevno nalagali na strežnik ter uredili v bazo 150 fotografij. Dostop do fotografij določenega oddelka bo brezplačen na podlagi uporabniškega imena in gesla, ki ga bodo starši prejeli po e-pošti. Vrtec želi skleniti pogodbo z obdelovalcem, ki bo zagotavljal varno hrambo osebnih podatkov na strežniku in dodatnem back up strežniku, hkrati pa bo z omejitvijo dostopov ter kontrolo nad njimi zagotavljal tudi nadzorovan odjem podatkov, glede na želje in naročilo staršev. Za vrtec bo storitev hrambe na strežniku brezplačna, zaračunaval pa se bo morebitni odjem digitalnih fotografij s strani pooblaščenih odjemalcev (staršev), cene storitev bodo določene ob podpisu pogodbe, starši bodo z njimi seznanjeni.
Navedli ste, da je stališče vrtca, da ima pravico zaračunavanja prenosa fotografij v elektronski obliki, ker sicer ne more zagotoviti varne hrambe fotografij z obstoječo infrastrukturo, hkrati pa je fotografiranje otrok za
namen spremljanja utrinkov dela v oddelkih nadstandardna storitev, ki ni vključena v ceno programa, zato vrtec s hrambo fotografij ne more imeti dodatnih stroškov. Na drugi strani je predstavnica staršev, ki meni, da vrtec ne sme zaračunati prenosa fotografij v elektronski obliki, saj bi šlo za kršitev člena 15 Splošne uredbe. Predstavnica staršev člen 15(3) Splošne uredbe interpretira tako, da mora upravljavec kopijo osebnih podatkov zagotoviti brezplačno, da lahko ob upoštevanju upravnih stroškov zaračuna razumno pristojbino za dodatne kopije in da se morajo fotografije predložiti v taki obliki, kot so posnete, npr. jpg format in ne kot print screen 2 x 5 cm velike fotografije, kar v tem primeru zagovarja vrtec, ki trdi, da je dovolj, da omogoči brezplačen vpogled v zbirko fotografij, potem pa starši glede na svoje naročilo poravnajo strošek odjema digitalnih fotografij (v vrednosti 5 EUR za celotno zbirko cca. 150 fotografij skupine) oziroma naročijo zapis na mediju ali v spominski knjigi. Na ta način se namreč pooblaščenemu pogodbenemu obdelovalcu poplača strošek uporabe in vzdrževanja neomejenega strežniškega prostora.
Prosite tudi za informacijo, ali je vrtec dolžan lastnikom osebnih podatkov (staršem, ki so podali soglasje) podati informacije o pogodbenem obdelovalcu, s katerim skladno s Splošno uredbo in Zakonom o javnem naročanju sklene pogodbo, ali je dovolj, da vrtec starše obvesti, da je za varno hrambo in obdelavo fotografij sklenjena pogodba s pogodbenim obdelovalcem, katerega izbira je vezana na poslovno odločitev upravljavca osebnih podatkov, ki je odgovoren za varovanje osebnih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 57. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Skladno s členom 15 Splošne uredbe ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, navedene v prvem odstavku tega člena. Stroški v zvezi s seznanitvijo so določeni v tretjem odstavku člena 15, ki določa, da upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo, in da lahko upravljavec za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, zaračuna razumno pristojbino ob upoštevanju upravnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana. Starši so kot zakoniti zastopniki oziroma kot nosilci roditeljske pravice upravičeni do vpogleda v osebne podatke otroka, ki jih vodi vrtec v svojih zbirkah, vrtec pa jim je skladno s členom 15 seznanitev dolžan omogočiti. Vrtci seznanitev omogočajo na klasičen način na podlagi posamičnih zahtev staršev, le redki vrtci pa se (zaradi pomanjkanja finančnih sredstev in specifičnega znanja) odločijo in ponudijo staršem seznanitev z otrokovimi podatki po elektronski poti. V konkretnem primeru torej ne gre za klasičen postopek seznanitve z lastnimi osebnimi podatki, ampak za storitev, ki je vrtec po Splošni uredbi ni dolžan zagotavljati, zato jo lahko ponuja pod pogoji, ki jih določi sam ali skupaj z zunanjim izvajalcem, starši pa se odločijo, ali bodo storitev uporabljali ali ne. Zato IP v konkretnem primeru ni pristojen presojati utemeljenosti zaračunavanja stroškov in njihove višine.
IP poudarja, da je v konkretnem primeru bistveno, da v dopisu opisani način pridobivanja fotografij formalno dejansko niti ni seznanitev z lastnimi osebnimi podatki, saj gre za pridobivanje vseh fotografij oddelka na podlagi soglasja staršev in ne zgolj pridobivanje fotografij za posameznega otroka, ki ga posamezen star zastopa kot zakoniti zastopnik. To pomeni, da mora vrtec kljub objavi fotografij na strežniku še vedno omogočati klasičen način seznanitve z lastnimi osebnimi podatki, tj. na podlagi posamičnih zahtev staršev in nikakor ni zavezan tega izvajati preko spletnega dostopa. Vsako prejeto zahtevo mora obravnavati v skladu s členom 15 Splošne uredbe in posamezniku omogočiti seznanitev z lastnimi osebnimi podatki (to pa zagotovo niso vse fotografije posameznega oddelka). Iz navedenega 15. člena Splošne uredbe pa izhaja, da upravljavec kopije osebnih podatkov posamezniku ne sme zaračunati oziroma da lahko zaračuna le stroške (razumno pristojbino ob upoštevanju upravnih stroškov) za dodatne kopije. Pri zaračunavanju stroškov lahko (ni dolžan) upravljavec kot okvir oz. pomoč uporabi Pravilnik o zaračunavanju stroškov pri izvrševanju pravice posameznika do seznanitve z lastnimi osebnimi podatki (Uradni list RS, št. 85/2007 in 5/2012), ki je bil sprejet na podlagi 31. člena ZVOP-1, ki pa se po začetku uporabe Splošne uredbe več ne uporablja.
Podatke o uporabnikih ali kategorijah uporabnikov osebnih podatkov, med katere se po Splošni uredbi štejejo tudi (pogodbeni) obdelovalci osebnih podatkov, je upravljavec posameznikom dolžan posredovati na podlagi člena 13 Splošne uredbe (ob zbiranju osebnih podatkov oziroma v konkretnem primeru ob pridobivanju privolitve staršev za fotografiranje otrok in za objavo fotografij na strežniku) in na podlagi člena 15 (v okviru pravice do seznanitve z lastnimi osebnimi podatki, če posameznik to zahteva). V primeru posredovanja informacij po členu 13 Splošne uredbe, ki jih mora upravljavec (proaktivno) zagotoviti posamezniku, se upravljavec sam odloči, kako natančno bo opredelil uporabnika; ali bo določno opredeljen (navedba podjetja) ali bo opisno opredeljeno področje oziroma naloge, v okviru katerih uporabnik obdeluje podatke (npr. obdelovalec, pooblaščen za IT podporo). V primeru posredovanja informacij, ki jih mora upravljavec zagotoviti posamezniku na njegovo zahtevo, pa je posameznik tisti, ki opredeli, katere informacije o uporabnikih želi (ali želi informacijo o konkretnih uporabnikih ali kategorijah uporabnikov).
Lepo pozdravljeni,
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka