K častým dotazům adresovaným Úřadu pro ochranu osobních údajů, a také našemu spřátelénému webuDatový Ochránce, patří otázka: ,,Jak přistupovat k používání a šíření fotografií, případně audiovizuálních záznamů fyzických osob z hlediska zpracování osobních údajů, podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů v návaznosti na GDPR?“
Odpověď bohužel není zcela jednoznačná a opírá se o zatím schávlené zákony, proto budeme citovat právě Úřad pro ochranu osobních údajů (dále jen Úřad)
Různé režimy nakládání se záznamy
K pořizování, používání, šíření či zveřejňování fotografií či jiných záznamů fyzických osob nebo skupin osob může docházet jak v režimu zpracování osobních údajů, tak pouze v režimu zákona č. 89/2012 Sb., občanský zákoník. V obou případech je významné, zda fyzická osoba (subjekt údajů) sama ze své vůle používá (šíří, zveřejňuje) svou vlastní fotografii nebo záznam, nebo se jedná i o fotografie či záznamy jiných osob. Při používání a šíření fotografií a audiovizuálních záznamů fyzických osob je zejména třeba brát v úvahu, zda dochází k jejich zveřejňování na internetu, kde je zvýšené nebezpečí jejich zneužití.
Pro pořízení a použití fotografie a rovněž obrazového nebo zvukového záznamu fyzické osoby je tedy možné rozlišovat čtyři různé režimy:
1. Pořízení a použití fotografie nebo záznamu – občanský zákoník
Občanský zákoník upravuje pořízení a následné použití jednotlivých fotografií nebo časově omezeného obrazového nebo zvukového záznamu projevu fyzické osoby (skupiny osob) – např. jednání, schůze, kulturní, společenské, sportovní akce, pokud z příležitostně pořízených fotografií nebo záznamů nejsou při jejich použití vytvářeny evidence o fyzických osobách1 ani nejsou k zobrazeným či zaznamenaným osobám kromě běžné identifikace jménem a příjmením systematicky přiřazovány další osobní údaje, jinak řečeno, pokud nedochází k jejich zpracování ve smyslu § 4 písm. e) zákona č. 101/2000 Sb. nebo čl. 4 odst. 2 GDPR.
Občanský zákoník v § 84 stanoví, že zachytit podobu člověka tak, aby podle zobrazení bylo možné určit jeho totožnost, je možné jen s jeho svolením a svolením podle § 85 je podmíněno i rozšiřování podoby člověka s tím, že svolí-li někdo k zobrazení své podoby za okolností, z nichž je zřejmé, že bude šířeno, platí, že svoluje i k jeho rozmnožování a rozšiřování obvyklým způsobem, jak je mohl vzhledem k okolnostem rozumně předpokládat.
Těchto ustanovení by si měl být vědom zejména ten, kdo fotografie či záznamy jiných osob zveřejňuje na internetu, např. na sociálních sítích. Jestliže mají takové fotografie ryze soukromý či dokonce intimní charakter, může být jejich šíření bez svolení zobrazené osoby tím spíše předmětem občanskoprávní žaloby na ochranu osobnosti. Ochranu soukromí zdůrazňuje občanský zákoník v § 86, kde stanoví, že nikdo nesmí zasáhnout do soukromí jiného, nemá-li k tomu zákonný důvod. Zejména nelze bez svolení člověka narušit jeho soukromé prostory, sledovat jeho soukromý život nebo pořizovat o tom zvukový nebo obrazový záznam, využívat takové či jiné záznamy pořízené o soukromém životě člověka třetí osobou, nebo takové záznamy o jeho soukromém životě šířit. Ve stejném rozsahu jsou chráněny i soukromé písemnosti osobní povahy. Podmínky pro odvolání svolení upravuje občanský zákoník v § 87.
Občanský zákoník však stanoví několik výjimek, kdy k pořízení nebo použití podobizny nebo zvukového či obrazového záznamu člověka není jeho svolení třeba. Podle § 88 odst. 1 je to možné k výkonu nebo ochraně jiných práv nebo právem chráněných zájmů jiných osob. Tím může být např. zachycení podoby a jednání pachatele trestného činu a předání takového záznamu policii. Podle § 88 odst. 2 není svolení třeba k úřednímu účelu na základě zákona, tedy např. při pořizování záznamů policií, městskou policií, správním či kontrolním orgánem, je-li zákonem předpokládán. Totéž ustanovení stanoví, že svolení není třeba ani v případě, že někdo veřejně vystoupí v záležitosti veřejného zájmu. Může tedy jít např. i o záznam vystoupení na veřejném jednání zastupitelstva obce, avšak pouze takového, které se týká záležitosti veřejného zájmu, tedy nikoli soukromých záležitostí určitého občana. Poslední výjimkou je pořízení nebo použití přiměřeným způsobem k vědeckému nebo uměleckému účelu a pro tiskové, rozhlasové, televizní nebo obdobné zpravodajství podle § 89 občanského zákoníku, tzv. zpravodajská nebo umělecká licence. Podle § 90 však zákonný důvod k zásahu do soukromí jiného nebo k použití jeho podobizny, písemnosti osobní povahy nebo zvukového či obrazového záznamu nesmí být využit nepřiměřeným způsobem v rozporu s oprávněnými zájmy člověka.
S občanskoprávní žalobou na porušení citovaných ustanovení občanského zákoníku, včetně posouzení přiměřenosti při použití fotografií a záznamů, se lze v souladu s § 12 občanského zákoníku obrátit na soud.
2. Zpracování pro osobní a domácí činnosti – občanský zákoník
Zákon o ochraně osobních údajů se nevztahuje na zpracování pro osobní potřebu podle § 3 odst. 3 tohoto zákona2, kdy nejde o prosté pořízení a použití fotografie nebo časově omezeného záznamu, ale operace prováděné s pořízenými fotografiemi nebo záznamy ve smyslu § 4 písm. e) zákona o ochraně osobních údajů3, avšak výlučně pro osobní potřebu nebo výkon domácích činností. Může jít např. o zpracování fotografií příbuzných v rodokmenu používaném pro rodinnou potřebu či shromažďování fotografií osob, které jsou předmětem výlučně osobního (např. fanouškovského) zájmu. Může jím být i monitorování vlastního obydlí kamerovým systémem se záznamem.
Pokud se bude jednat o pořizování a využívání fotografií či obrazových záznamů, na které se zákon o ochraně osobních údajů nevztahuje, nelze vyloučit odpovědnost za soukromoprávní delikt v souvislosti s porušením práva na ochranu osobnosti, nebo případně i trestněprávní odpovědnost, např. pokud by provozování kamerového systému v obydlí bylo v rozporu s právem na soukromí dalších osob žijících v tomto obydlí, případně návštěv nebo sousedů.
3. Zpracování osobních údajů používáním fotografií nebo záznamů – zákon o ochraně osobních údajů /Obecné nařízení o ochraně osobních údajů 2016/679 – GDPR, Směrnice 2016/680/
Jde o zpracování osobních údajů zachycených fotografiemi nebo obrazovými a zvukovými záznamy projevů fyzických osob v evidencích nebo monitorování prostoru kamerovým systémem se shromažďováním údajů o osobách do tohoto prostoru vstupujících, aniž by bylo úmyslem zpracovávat rovněž údaje citlivé a za podmínky, že tomu odpovídají použité prostředky a způsoby zpracování, to znamená, že neumožňují citlivé údaje /zvláštní kategorie osobních údajů/ zpracovávat.
V rámci plnění právní povinnosti podle § 5 odst. 2 písm. a) zákona o ochraně osobních údajů lze provádět zpracování souborů fotografií nebo pořizování záznamů při monitorování prostoru, které stanoví zvláštní zákon. Může jím být např. uchovávání podobizen nebo záznamů v informačních systémech Policie ČR a pořizování záznamů stálými automatickými technickými systémy podle zákona o Policii ČR nebo zákona o obecní policii4 nebo zpracování fotografií za účelem vydání zákonem stanovených služebních průkazů.
V jistých případech může zpracování probíhat k ochraně práv a právem chráněných zájmů správce osobních údajů nebo jiných dotčených osob podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů5, a to při zachování požadavku na princip proporcionality (přiměřenosti), které toto ustanovení obsahuje. Tak tomu může být např. při zpracování fotografií zaměstnanců v informačním systému zaměstnavatele za účelem vydání zákonem nestanovených zaměstnaneckých průkazů, ale i při zákonem nestanoveném provozování kamerových systémů se záznamem všech osob vstupujících do sledovaného veřejného prostoru, prováděném za účelem ochrany majetku či života a zdraví osob.
Příkladem zpracování osobních údajů prováděného pouze se souhlasem subjektu údajů podle § 5 odst. 2 zákona o ochraně osobních údajů7 je zveřejňování portrétních fotografií všech zaměstnanců zaměstnavatelem v souboru fotografií na internetu, zpravidla spolu s dalšími informacemi o těchto zaměstnancích. Na rozdíl od informací o pracovním zařazení, které mohou být zveřejněny i bez souhlasu zaměstnance, je k takovému systematickému zveřejňování portrétních fotografií dobrovolný souhlas subjektu údajů nutný.
4. Zpracování citlivých údajů /zvláštních kategorií osobních údajů/ – zákon o ochraně osobních údajů /Obecné nařízení o ochraně osobních údajů 2016/679 – GDPR, Směrnice 2016/680/
Zvláštním pravidlům v zákoně o ochraně osobních údajů podléhá zpracování citlivých údajů získávaných z fotografií nebo jiných záznamů projevů fyzických osob.
V souladu s § 9 písm. c) zákona o ochraně osobních údajů mohou být, bez výslovného souhlasu subjektu údajů, snímky a obrazové nebo zvukové záznamy vypovídající jako citlivé údaje o zdravotním stavu pacienta za účelem stanovení postupů při léčbě zpracovávány zdravotnickým zařízením a být součástí zdravotnické dokumentace.
Zpracování bez výslovného souhlasu subjektu údajů podle § 9 písm. i) zákona o ochraně osobních údajů je podle zvláštních zákonů možné při předcházení, vyhledávání, odhalování trestné činnosti, stíhání trestných činů a pátrání po osobách, které provádějí k tomu oprávněné subjekty. Příkladem je využívání biometrických systémů umožňujících identifikaci osob podle obličeje prováděné Policií ČR např. při ostraze letiště.
V jiných případech je zpracování citlivých údajů i při stanovení legitimního účelu možné pouze s výslovným souhlasem subjektu údajů podle § 9 písm. a) zákona o ochraně osobních údajů.
Povaha pořizovaných údajů
Fotografie fyzických osob, obrazové a zvukové záznamy jejich projevů jsou dokumenty obsahující osobní údaje a často umožňující identifikaci těchto osob na základě jejich podoby, případně hlasu. Je zřejmé, že portrétní fotografie vypovídá o rasovém nebo etnickém původu zobrazené osoby, oblečení nebo pokrývka hlavy může vypovídat o náboženství apod. Fotografie nebo jiný záznam fyzické osoby je dokumentem osobní povahy, který mimo jiné obsahuje biometrické i jiné charakteristiky subjektu údajů, které vypovídají o skutečnostech definovaných v § 4 písm. b) zákona o ochraně osobních údajů jako citlivý údaj11 a může být proto jako nosič informací zdrojem pro zpracování citlivých údajů, pro které zákon o ochraně osobních údajů stanoví přísnější režim12.
Jestliže jsou však informace z fotografie subjektu údajů používány pro pouhé rozlišení jeho podoby ve srovnání s jinými osobami a tyto informace nejsou dále zpracovávány, nelze takové používání fotografií posuzovat jako zpracování citlivých osobních údajů /zvláštních kategorií osobních údajů/.
Obdobné stanovisko zastávala i Pracovní skupina pro ochranu údajů zřízená podle článku 29 směrnice Evropského parlamentu a Rady 95/46/ES, která ve svém stanovisku č. 5/2009 k internetovým sociálním sítím13, v bodě 3.4 citlivé údaje, konstatovala, že „pracovní skupina obecně nepovažuje snímky na internetu za citlivé údaje, nejsou-li snímky jednoznačně použity k odhalení citlivých údajů o fyzických osobách“. Tomuto přístupu odpovídá i text recitálu 51 Obecného nařízení o ochraně osobní údajů, kde je uvedeno, že zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby.
Závěr
Z výše uvedeného je zřejmé, že ne každé pořizování nahrávek a fotografií podléhá režimu zákona o ochraně osobních údajů, resp. bude podléhat režimu Obecného nařízení o ochraně osobních údajů /GDPR/. Ovšem i v případech působnosti předpisů o ochraně osobních údajů může mít soukromoprávní ochrana prostřednictvím žaloby na ochranu osobnosti s ohledem na princip ultima ratio14 přednost před veřejnoprávním dozorem ze strany Úřadu. V konkrétních hraničních případech bude záležet na posouzení, zda pořizování nebo používání fotografií či záznamů naplňuje pojem zpracování osobních údajů.
Doplňující informace pod čarou
Strukturované soubory osobních údajů uspořádané nebo zpřístupnitelné podle společných nebo zvláštních kritérii – § 4 písm. m) zákona o ochraně osobních údajů, článek 4 odst. 6 GDPR
čl. 2.(2) c) Obecného nařízení
čl. 4(2) Obecného nařízení
čl. 8 Směrnice 2016/680
čl. 6(1) f) Obecného nařízení
Viz stanoviska Úřadu č. 1/2006 a 1/2016
čl. 6(1) a) Obecného nařízení
čl. 9(2) h) Obecného nařízení
čl. 10 Směrnice 2016/680
čl. 9(2) a) Obecného nařízení
zvláštní kategorie osobních údajů podle čl. 9.1 Obecného nařízení
čl. 9(2) Obecného nařízení
Věstník Úřadu pro ochranu osobních údajů, částka 54, str. 3124, nebo http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp163_cs.pdf.
Např. nález Ústavního soudu sp. zn. I ÚS 4/04, nebo sp. zn. III. ÚS 1148/09
