Informacijski pooblaščenec Republika Slovenija
SLO | ENG

Iskalnik po odločbah in mnenjih GDPR

+ -
Datum: 18.03.2019
Naslov: Fotografiranje na turističnih potovanjih
Številka: 0712-1/2019/637
Vsebina: Fotografije kot OP
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede uporabe Splošne uredbe o varstvu podatkov (ang. GDPR) pri fotografiranju na turističnih potovanjih. Zanima vas, v kolikšni meri ta uredba dopušča izdelavo promocijskih videoposnetkov in objavo tako fotografij kot videoposnetkov s potovanj, ki jih organizirajo turistične agencije, z vidika varstva osebnih podatkov, ter kakšno soglasje udeleženca na potovanju je v takšnih primerih zahtevano. Pojasnjujete, da gre za vprašanje snemanja predvsem na zaprtih dogodkih, na katerih obiskovalci (udeleženci potovanja) za vstop potrebujejo vstopnico. Menite, da je podlaga za tovrstno snemanje v členu 6(1)(f) Splošne uredbe o varstvu podatkov, torej legitimni poslovni interesi (trženje dogodkov). Sprašujete pa, ali v teh primerih zadostuje zapis v splošnih pogojih oz. v pogodbi o potovanju ali voucherju, da se na dogodku izvaja promocijsko snemanje ter da se posneti material uporablja za promocijo nadaljnjih dogodkov, fotografije pa objavijo na določeni spletni strani.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Prav tako izven posameznega inšpekcijskega postopka IP ne sme preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Zato vam v nadaljevanju podajamo splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.

 

IP uvodoma opozarja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/1991 s spremembami in dopolnitvami, v nadaljevanju Ustava RS). Vaš primer pa se nanaša tudi na del širše pravice, katere meje so začrtane v 35. členu Ustave RS. Ta določa, da je zagotovljena nedotakljivost človekove telesne in duševne celovitosti, njegove zasebnosti ter osebnostnih pravic.

 

IP zato v nadaljevanju pojasnjuje nekaj splošnih pojmov, ki so relevantni v konkretnem primeru. Po členu 4(6) Splošne uredbe pomeni zbirka vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi. Osebni podatki predstavljajo skladno s členom 4(1) Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

 

Glede na navedeno lahko fotografije oziroma videoposnetki pomenijo varovane podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na fotografiji oziroma videoposnetku jasno in nedvoumno razviden in bi se ga dalo na ta način identificirati, prepoznati in določiti ali, ko se hkrati s fotografijo obdelujejo tudi drugi osebni podatki o posamezniku (npr. njegovo ime in priimek, njegova letnica rojstva in podobno). Torej, če lahko glede na pojasnjeno fotografije udeležencev določenega dogodka štejemo za varovane osebne podatke, gre najverjetneje za zbirko osebnih podatkov, ki se obdeluje že zgolj z njenim hranjenjem kot tudi z vsemi nadaljnjimi ravnanji obdelave (npr. objavo).

 

Za zakonito obdelavo osebnih podatkov pa mora obstajati zakonita in ustrezna pravna podlaga. Pravne podlage za obdelavo običajnih osebnih podatkov so določene v členu 6(1) Splošne uredbe in so za zasebni sektor naslednje:

-      privolitev (točka (a)),

-      sklenitev ali izvajanje pogodbe (točka (b)),

-      zakon oziroma izvajanje javnih nalog (točka (c) oziroma (e)),

-      zakoniti interesi, ki prevladajo nad interesi posameznika (točka (f)).

 

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca. IP poudarja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od samostojnih pravnih podlag, ki jih določa člen 6(1) Splošne uredbe. To pomeni, da v kolikor upravljavec osebne podatke obdeluje npr. na podlagi zakonitih interesov, za te podatke privolitev ni dolžan pridobivati, pod pogojem seveda, da je v posameznem primeru uporaba posamezne pravne podlage res utemeljena glede na pogoje določene v Splošni uredbi in morebitnih drugih predpisih. V zvezi s pravnimi podlagami v zasebnem sektorju si lahko ogledate tudi infografiko, objavljeno na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/pravne_podlage_zasebni_sektor_s_pogoji_privolitve.pdf.

 

IP je v preteklosti že odgovarjal na vprašanja v zvezi z objavo fotografij oziroma videoposnetkov, zato vam priporočamo, da se seznanite z vsebino neobveznih mnenj, ki jih poiščete s pomočjo iskalnika na spletni strani https://www.ip-rs.si/varstvo-osebnih-podatkov, in sicer tako, da v iskalnik vnesete ključne besede (npr. objava fotografije). Iz objavljenih mnenj IP izhaja priporočilo, da za uporabo fotografij oziroma videoposnetkov (npr. v marketinške namene) na način, ki omogoča enostavno prepoznavo upodobljenega posameznika, upravljavci vnaprej pridobijo osebno privolitev tega posameznika skladno s členom 6(1)(a) Splošne uredbe.

 

Splošna uredba v členu 4 opredeljuje privolitev posameznika, na katerega se nanašajo osebni podatki, kot vsako prostovoljno, konkretno, informirano in nedvoumno izkazano voljo posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Informirana in posledično veljavna privolitev vsebuje najmanj naslednje informacije: identiteto upravljavca, konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev, navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani, obstoj pravice do umika privolitve, obvestilo posamezniku, da ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, obvestilo posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo. Splošna uredba sicer ne določa oblike, kako naj bodo te informacije posamezniku posredovane (ustno, pisno, avdio ali video sporočilo), vendar naj bodo dane v jasnem in preprostem jeziku, ki ga lahko povprečna oseba razume. Privolitev mora biti ločena od ostalih izjav in ne sme biti npr. del splošnih pogojev poslovanja. Tudi v pogodbi v pisni obliki mora biti privolitev predložena na način, ki se jasno razlikuje od drugih zadev, najbolje v ločenem dokumentu. Več o pogojih za veljavno privolitev si lahko preberete na spletni strani IP, ki je dostopna na naslednji povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

 

Pravna podlaga po členu 6(1)(f) Splošne uredbe (zakoniti interesi, ki prevladajo nad interesi posameznika) načeloma ni nujno ustrezna pravna podlaga za fotografiranje oziroma snemanje udeležencev določenega dogodka in nadaljnjo objavo teh fotografij oziroma videoposnetkov v tržne namene. Ta pravna podlaga zahteva sorazmernost posega v interese ali temeljne pravice in svoboščine posameznika, sicer obdelava na tej podlagi ni zakonita. Zaradi načela poštene obdelave osebnih podatkov (člen 5 Splošne uredbe) pa praviloma ni ustrezno, da upravljavci obdelujejo osebne podatke na podlagi zakonitih interesov, kadar bi bilo mogoče in smotrno pridobiti osebno privolitev. Podlaga po členu 6(1)(f) Splošne uredbe se zato tipično uporablja v situacijah, ko od posameznika ni mogoče ali pa ne bi bilo smotrno (ker bi na primer to bilo povezano z nesorazmernimi stroški), pridobiti njihove osebne privolitve.

 

Konkretno presojo, ali gre v primeru, ki ga opisujete, za zbirko osebnih podatkov, ter ustreznost izbrane pravne podlage za obdelavo osebnih podatkov lahko opravi IP le v inšpekcijskem postopku. IP ob tem še pojasnjuje, da v primeru, ko posameznika na fotografiji oziroma videoposnetku ni mogoče prepoznati, določbe Splošne uredbe ne zavezujejo. Če pa na fotografiji oziroma videoposnetku upodobljeni meni, da se z uporabo fotografij oziroma videoposnetkov posega v njegove osebnostne pravice, lahko uporabi institute civilnega ali kazenskopravnega varstva, ki mu jih daje zakonodaja in sodijo v pristojnost sodišč.

 

 

Lep pozdrav,

 

 

Mojca Prelesnik, univ. dipl. prav.,                                               

informacijska pooblaščenka

 

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov