Fotografija kot občutljivi osebni podatki + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.04.2012 Številka: 0712-1/2012/1477 Kategorije:Mediji, fotografije kot OP --> Kategorije: Mediji, fotografije kot OP Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2012 prejel vaše elektronsko sporočilo, v katerem nas sprašujete, ali slika posameznika (ki bi jo zbirali za namene delovanja ženitne agencije) šteje za osebni ali občutljiv osebni podatek. Zanima vas tudi, ali je potrebno vzpostaviti tudi katalog zbirk osebnih podatkov in podobno. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Fotografija posameznika lahko v določenih primerih predstavlja občutljive osebne podatke, kadar sporoča podatke o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške. Pooblaščenec meni, da predvsem digitalne fotografije določljivih posameznikov lahko vsebujejo občutljive osebne podatke. Če je namen obdelave fotografije identifikacija občutljivih osebnih podatkov (denimo rasnega porekla, verskega prepričanja itd.), gre brez dvoma za občutljive osebne podatke. V drugih primerih pa moramo presojati vsako fotografijo od primera do primera, upoštevati njeno naravo in kontekst (tako kontekst vsebine fotografije kot okoliščine njenega zajema in objave) ter v mejnih primerih ravnati previdnostno. Priporočamo vam, da v vsakem primeru pridobite pisno privolitev posameznikov za obdelavo njihovih osebnih podatkov (tudi če fotografije ne bi vsebovale občutljivih osebnih podatkov, vam lahko posamezniki v opisih razkrijejo občutljive osebne podatke), prijavite katalog zbirk osebnih podatkov in sprejmete notranje akte o zavarovanju osebnih podatkov. Občutljivi osebni podatki morajo biti posebej označeni kot taki in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih. Obseg osebnih podatkov, ki jih zbirate, mora biti sorazmeren namenom, zaradi katerih jih zbirate, določiti pa morate tudi roke hrambe osebnih podatkov, ki morajo odsevati dejansko potrebo, da določene osebne podatke hranite določen čas. Po preteku tega obdobja jih morate uničiti ali anonimizirati. V vsem času obdelave osebnih podatkov morajo biti ti dobro zavarovani. O b r a z l o ž i t e v: Fotografija posameznika je vsekakor osebni podatek, če je na njej določen ali določljiv posameznik in če je vključena ali namenjena vključitvi v zbirko osebnih podatkov ali če gre za digitalno fotografijo (v primeru digitalne fotografije ni potrebno, da je fotografija del zbirke osebnih podatkov). Ali štejemo fotografijo za občutljiv osebni podatek, je odvisno od tega, kakšna je vsebina in narava konkretne fotografije. Podoba posameznika ali druge informacije na fotografiji lahko predstavljajo občutljive osebne podatke, če sporočajo podatke o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške. Znano je, da fotografije, na katerih so vidni verski simboli, specifično zdravstveno stanje itd., lahko predstavljajo občutljive osebne podatke. Presoja, ali gre za občutljiv osebni podatek, je včasih težka, saj ne moremo z gotovostjo trditi, da za občutljive osebne podatke vedno štejejo denimo fotografije osebe z očali (ker lahko kaže na zdravstveno stanje posameznika, npr. dioptrija), osebe na invalidskem vozičku, osebe, ki izstopa iz cerkve ali mošeje, ... Pravzaprav pa lahko praktično vsaka fotografija osebe sporoča podatek o njenem rasnem poreklu. A čeprav s tem v zvezi v Sloveniji še ni upravne ali sodne prakse, gre interpretacija pojma "občutljivi osebni podatek" v smeri, da so fotografije (predvsem digitalne) določljivih posameznikov občutljivi osebni podatki. Sodišče v Veliki Britaniji je denimo v razvpitem primeru Murray v Express Newspapers & Big Pictures (UK) Ltd [2007], v katerem je pisateljica JK Rowling v imenu svojega mladoletnega sina tožila medijsko hišo, eksplicitno odločilo, da vsebuje fotografija, ki razkriva, da je posameznik belec (kavkazijske rase), občutljive osebne podatke. Prav tako je nizozemsko Vrhovno sodišče ugotovilo, da lahko digitalne fotografije vsebujejo občutljive osebne podatke, če razkrivajo rasno poreklo posameznika. Ker ustaljene prakse na tem področju še ni, ne preostane drugega kot presoja v vsakem primeru posebej, pri čemer lahko priporočamo "preventivno" oziroma previdnostno delovanje. Kadar je fotografija določljivega posameznika namenjena identifikaciji občutljivih osebnih podatkov (denimo rasnega porekla, verskega prepričanja itd.) pa gre brez dvoma za občutljive osebne podatke. Fotografija lahko šteje tudi za biometrični osebni podatek, če je iz nje moč razbrati "telesne, fiziološke ter vedenjske značilnosti, ki jih imajo vsi posamezniki, so pa edinstvene in stalne za vsakega posameznika posebej in je možno z njimi določiti posameznika". Digitalna fotografija je lahko vključena tudi v sisteme obrazne prepoznave (t.i. facial recognition systems), kar je z razvojem tehnologije postalo celo običajno, kadar se fotografije objavijo na svetovnem spletu in so dosegljive tovrstnim sistemom (npr. fotografije na Facebooku, v iskalniku Google itd.). Tudi fotografije za namene izdelave osebnih izkaznic in potnih listov vsebujejo biometrične podatke in vsebnost biometričnih značilnosti je pravzaprav njihova glavna lastnost in namen. Kadar fotografija vsebuje biometrične značilnosti, gre lahko za občutljive osebne podatke, če je z uporabo biometričnih značilnosti mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin (posebej denimo podatke o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, zdravstvenem stanju). Sistem, ki temelji na prepoznavi obrazov, bi lahko poleg same prepoznave obraza, prepoznal podatek o verskem prepričanju posameznika (krščanski križ, judovska jarmelka, muslimanska burka so samo trije zelo očitni primeri). Posebej, kadar so fotografije digitalne in objavljene na spletu, iz njih pa je mogoče razbrati podatke o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, zdravstvenem stanju ipd., štejejo takšne fotografije za občutljive osebne podatke. V vašem dopisu navajate, da razmišljate o odprtju ženitne agencije in zaradi narave dela takšnih agencij vam lahko posamezniki zaupajo tudi podatke o njihovih političnih, verskih in filozofskih prepričanjih, o spolni usmerjenosti in podobnem. Tudi navedeni podatki bi šteli za občutljive osebne podatke.
- člen ZVOP-1 določa, da se lahko občutljivi osebni podatki obdelujejo med drugim le, če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna.
- točka tega člena določa še, da se občutljivi osebni podatki lahko obdelujejo, če je posameznik, na katerega se nanašajo občutljivi osebni podatki, te javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe. V vsakem primeru vam svetujemo, da pridobite pisno privolitev posameznikov, na katere se osebni podatki nanašajo. V primerih obdelave občutljivih osebnih podatkov mora upravljavec osebnih podatkov, tudi če ne zaposluje več kot 50 delavcev, v register zbirk osebnih podatkov skladno s
- členom v povezavi s
- odstavkom
- člena ZVOP-1 prijaviti kataloge zbirk osebnih podatkov, vendar le, če je obdelava občutljivih osebnih podatkov del njihove registrirane dejavnosti. Na vprašanje, ali obdelujete občutljive osebne podatke in ali je to del vaše registrirane dejavnosti, si boste morali glede na zgornja pojasnila odgovoriti sami. Pooblaščenec pa vam priporoča, da v vsakem primeru, posebej pa v primeru dvoma, vzpostavite in prijavite kataloge zbirk osebnih podatkov. Postopek je preprost in brezplačen, opravi pa se preko spletne strani (https://www.ip-rs.si/varstvo-osebnih-podatkov/register-zbirk/). Če se vam kje v postopku zatakne, nas lahko pokličete tudi po telefonu in z veseljem vam bomo pomagali. Upravljavci zbirk osebnih podatkov pa imajo še nekatere druge obveznosti. Opozorili bi vas na pomembno načelo v ZVOP-1, načelo sorazmernosti, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. To pomeni, da od posameznikov, kljub temu, da dajo svojo privolitev, ne smete zahtevati več podatkov, kot je potrebno za dosego namena (primer: konjički in interesi posameznikov so seveda pomembni za izvajanje dejavnosti ženitne agencije, ne smete pa od njih zahtevati tudi davčne številke ipd.). Pomembno pa je tudi, da osebne podatke shranjujete le toliko časa, dokler je to potrebno za dosego namena, zaradi katerega so se zbirali ali nadalje obdelovali (
- odstavek
- člena ZVOP-1). Po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo. Priporočamo vam, da v svojih notranjih aktih predpišete rok hrambe posameznih kategorij osebnih podatkov in se jih seveda držite, po preteku roka pa morate osebne podatke zbrisati, uničiti ipd. in jih ne smete hraniti v nedogled. Posamezniki morajo biti seznanjeni z roki hrambe njihovih osebnih podatkov, saj le tako lahko podajo informirano privolitev v obdelavo njihovih osebnih podatkov. Pomembno je tudi ustrezno zavarovanje osebnih podatkov, kar je urejeno v
- členu, za občutljive osebne podatke pa tudi v
- členu ZVOP-
- odstavek
- člena ZVOP-1 določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
- člena ZVOP-
- V
- odstavku istega člena pa je določeno, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Dolžnosti sprejetja aktov o zavarovanju osebnih podatkov so upravičeni upravljavci, ki imajo manj kot 50 zaposlenih, a tudi tu je izjema v primeru obdelave občutljivih osebnih podatkov, kadar je ta del njihove registrirane dejavnosti (v tem primeru obstaja obveznost sprejetja internih aktov ne glede na število zaposlenih). Posebna dolžnost zavarovanja velja za občutljive osebne podatke, saj
- odstavek
- člena ZVOP-1 določa, da morajo biti občutljivi osebni podatki pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
- točke
- člena tega zakona (če je občutljive osebne podatke posameznik sam javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe). Zaključimo lahko z mislijo, da je treba z občutljivimi osebnimi podatki ravnati posebej previdno, a visoke zaščite morajo biti deležni vsi osebni podatki, ki jih zbirate in obdelujete. Posebej velja to poudariti v primeru ženitnih in podobnih agencij, katerih narava delovanja je, da zbirajo in obdelujejo veliko količino zelo različnih podatkov iz zasebne sfere posameznikov. Dobra obveščenost posameznikov preden dajo svojo privolitev, je ključnega pomena, kasneje pa je izjemno pomembno primerno zavarovanje osebnih podatkov in njihovo uničenje po uresničenju namena, za katerega so bili zbrani. Lepo pozdravljeni, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026