Informacijski pooblaščenec (v nadaljevanju IP) je prejel prošnjo za mnenje zvezi s pravno podlago in pravicami posameznikov v zvezi s fotografiranjem in snemanjem dogodkov ter objavo v internem glasilu oz. na digitalnih kanalih. Gre za interne dogodke, na katerih bodo zaposleni v družbi predavali o posameznih temah s svojih področij dela (v nekaterih primerih bodo predavali tudi zunanji izvajalci), udeleženci teh dogodkov pa bodo tisti zaposleni v družbi, ki se bodo na takšen dogodek prostovoljno prijavili (udeležba ni za nikogar obvezna).
IP podaja svoje neobvezujoče mnenje:
Pravno podlago za fotografiranje/snemanje delavca in objavo teh fotografij/posnetkov bi v primeru opisanih okoliščin lahko predstavljala privolitev (člen 6(1)(a) Splošne uredbe o varstvu podatkov), pri čemer izpostavljamo, da mora biti ta prostovoljna, specifična, informirana ter nedvoumna in podana mora biti možnost, da se kadarkoli prekliče. Upravljavec mora natančno opredeliti, kakšen je namen podane privolitve, na kakšen način bodo prejeti podatki obdelani in kje bodo objavljeni. Skladno s členom 13 Splošne uredbe o varstvu podatkov mora upravljavec posameznikom podati tudi nekatere druge informacije o obdelavi osebnih podatkov, npr. informacije o upravljavcu, namenu, pravni podlagi za obdelavo osebnih podatkov, itd.
O b r a z l o ž i t e v:
Za vsako obdelavo osebnih podatkov (če bodo zaposleni na fotografijah/posnetkih določljivi) je treba imeti zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so naslednje:
Glede na to, da gre za obdelavo osebnih podatkov v delovnem razmerju, splošno pravno podlago načeloma predstavlja zakon, in sicer sme delodajalec osebne podatke delavca obdelovati primarno v okviru določb Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS; v nadaljevanju ZDR-1). Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
Glede na navedeno bi lahko delodajalec fotografiral/snemal delavca na podlagi 48. člena ZDR-1 pod pogojem, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To pomeni tudi, da je delodajalec dolžan za vsakega delavca natančno obrazložiti oziroma izkazati, za kakšen namen (ki je povezan z uresničevanjem pravic in obveznosti iz delovnega razmerja) delavca fotografira/snema. Ob tem je treba upoštevati načelo najmanjšega obsega, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5(1)(c) Splošne uredbe o varstvu podatkov). IP pa opozarja, da delodajalec nima splošne pravice fotografirati/snemati svojih zaposlenih brez njihove privolitve.
Tudi objava fotografij/posnetkov zaposlenih v internem glasilu ali na spletni strani delodajalca je dopustna le, če je to nujno zaradi uresničevanja pravic in obveznosti, ki izhajajo iz delovnega razmerja oziroma iz narave delovnega razmerja ali če je podana prostovoljna privolitev zaposlenega. Če okoliščine delovnega razmerja ne terjajo objave fotografije/posnetka zaposlenega, se ga v to ne sme prisiliti, delavec pa pri tem ne sme trpeti nikakršnih škodljivih posledic za delovno razmerje, če privolitve ne poda.
Pri tem je treba izpostaviti, da je privolitev delavca oziroma zaposlenega kot pravna podlaga v delovnih razmerjih uporabljiva le izjemoma. Splošna uredba o varstvu podatkov namreč v 11. točki člena 4 določa, da pomeni privolitev vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Glede na to, da gre v delovnem razmerju za neenakopravno razmerje moči med delodajalcem in delavcem, kjer je delavec praviloma šibkejša stranka, je veljavnost privolitve, predvsem njena prostovoljnost, zato mnogokrat vprašljiva.
Sicer pa mora biti privolitev, da se ta lahko šteje kot veljavna pravna podlaga za obdelavo osebnih podatkov, skladna z določbami 7. člena Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno prostovoljno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost posameznika tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen (npr. za konkretno izobraževanje in konkretno objavo). Če vključuje storitev več obdelav osebnih podatkov za več namenov, morajo biti nameni granulirani, privolitev pa mora biti dana za vsak namen posebej. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.
Predhodna informiranost posameznika o obdelavi njegovih podatkov je prav tako ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. Posebno pozornost je tako treba nameniti ustreznemu informiranju posameznikov o vseh pomembnih vidikih obdelave osebnih podatkov v skladu s prvim odstavkom 12. člena in v skladu s 13. oziroma 14. členom Splošne uredbe o varstvu podatkov ter ustrezni formulaciji in obliki privolitvene izjave, ki mora ustrezati zlasti standardom iz (11) točke 4. člena, 7. člena, (a) točke drugega odstavka 9. člena ter uvodnim recitalom (32), (42) in (43) Splošne uredbe o varstvu podatkov.
Celotno mnenje lahko preberete TUKAJ