Enotna baza fotografij občine in arhiv + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.10.2020 Številka: 07120-1/2020/546 Kategorije:Fotografije kot OP, Občine, Pravne podlage --> Kategorije: Fotografije kot OP, Občine, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da morate skladno z Zakonom o varstvu dokumentarnega in arhivskega gradiva ter arhivih in usmeritvami pristojnega arhiva kot arhivsko gradivo hraniti določene digitalne fotografije različnih sklopov (denimo iz protokolarnih dogodkov, publikacij itd.). V ta namen nameravate vzpostaviti enotno bazo fotografij mestne občine, denimo s protokolarnih in drugih prireditev. Baza fotografij bi se po novem vodila centralno, doslej so bile fotografije razpršene po oddelkih in službah mestne občine. Sprašujete nas: Ali fotobaza predstavlja zbirko osebnih podatkov in jo je treba protokolirati kot evidenco dejavnosti obdelave? Ali morate s fotografi kot zunanjimi izvajalci skleniti pogodbo o obdelavi osebnih podatkov? Ali mora biti napravljena predhodna Ocena učinka na varstvo podatkov? Ali mora biti vzpostavljena revizijska sled obdelave in ostali zaščitni ukrepi? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Ad. 1 Pri odgovoru na vaše prvo vprašanje je treba izhajati iz opredelitve pojma osebnega podatka, kot je zajeta v prvem odstavku člena 4 Splošne uredbe. Slednji določa, da »osebni podatki pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.« V kolikor podobe na fotografijah ustrezajo zgornji opredelitvi osebnih podatkov, in vsaj v primeru portretne fotografije, fotografije znanih oseb, fotografij z dodanimi drugimi identifikacijskimi podatki, kot sta ime in priimek, smo lahko prepričani, da so izpolnjeni elementi iz definicije, predstavlja fotobaza zbirko osebnih podatkov. Šesti odstavek člena 4 Splošne uredbe opredeljuje pojem zbirke, in sicer ta pomeni vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi. Če so izpolnjeni zgoraj navedeni pogoji (če torej gre za osebne podatke določljivih posameznikov in zbirka predstavlja strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili), je osebne podatke potrebno popisati v evidenci obdelave, kot to predvideva člen 30 Splošne uredbe. Na tem mestu naj pripomnimo, da bi glede na vaš opis okoliščin konkretnega primera lahko govorili o obdelavi za namene arhiviranja v javnem interesu in/ali za znanstveno- ali zgodovinskoraziskovalne namene, zato vam svetujemo, da si preberete tudi posebna pravila v Splošni uredbi, ki veljajo za tovrstno obdelavo. Slednja je treba seveda brati skupaj s področnimi predpisi, predvsem ZVDAGA, ki ga omenjate tudi sami. Ad. 2 Pri odgovoru na drugo vprašanje je prav tako treba izhajati iz definicij iz člena 4 Splošne uredbe, in sicer iz definicije »upravljavca« in »obdelovalca«. »Upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice. »Obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Kot upravljavec osebnih podatkov morate ugotoviti, ali zunanji (pogodbeni) fotograf sam določa namene in sredstva obdelave, ali pa osebne podatke obdeluje v imenu upravljavca. Pri tem morate izhajati med drugim tudi iz pogodbe o sodelovanju oziroma avtorske pogodbe s fotografom oziroma iz navodil in napotkov, ki ste mu jih dali, ter iz njegove svobode oziroma nesvobode pri obdelavi osebnih podatkov, nenazadnje pa iz umetniške svobode, ki mu je dana, ter iz vprašanja, ali lahko razpolaga s fotografijami tudi za lastne (poslovne) namene itd. IP sicer iz pregleda virov ugotavlja, da je opredelitev fotografa kot pogodbenega obdelovalca redkost, saj med drugim te situacije ne omenjajo niti Smernice Evropskega odbora za varstvo podatkov št. 07/2020 o pojmu upravljavca in obdelovalca v Splošni uredbi, ki so eden najbolj izčrpnih in vseobsegajočih dokumentov na to temo. V kolikor pa glede na podrobnosti vašega sodelovanja z zunanjim fotografom ugotovite, da je zunanji fotograf opredeljen kot pogodbeni obdelovalec, morate seveda z njimi skleniti pogodbo o obdelavi osebnih podatkov skladno z določbo člena 28 Splošne uredbe. Več o pogodbeni obdelavi si lahko preberete tudi v Smernicah IP o pogodbeni obdelavi. Ad. 3 Vse odgovore na vprašanja, povezana s predhodno oceno učinka na varstvo podatkov lahko prejmete v Smernicah IP o ocenah učinkov na varstvo podatkov, ki so dostopne prek te povezave. Kot upravljavec osebnih podatkov morate sami presoditi, ali so podani zakonski pogoji za obvezno izvedbo ocene učinkov ali pa bi bila tovrstna ocena morda priporočljiva. Ad. 4 V kolikor ste ugotovili, da gre pri fotobazi za obdelavo osebnih podatkov, morate kot upravljavec osebnih podatkov sprejeti vse potrebne zaščite ukrepe in zagotoviti ustrezno varstvo osebnih podatkov. O varnosti obdelave osebnih podatkov govori člen 32 Splošne uredbe. V prvem odstavku omenjenega člena je določeno, da upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno: (a) psevdonimizacijo in šifriranjem osebnih podatkov; (b) zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo; (c) zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta; (d) postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave. Drugi odstavek člena 32 pa določa, da se pri določanju ustrezne ravni varnosti upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Kot že omenjeno pa so za vašo specifično situacijo morda relevantne tudi določbe, ki govorijo o obdelavi osebnih podatkov za namene arhiviranja v javnem interesu in/ali za znanstveno- ali zgodovinskoraziskovalne namene (zlasti člen 89 Splošne uredbe). O tem lahko glede na konkretne okoliščine presodi le upravljavec sam. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026