Informacijski pooblaščenec (v nadaljevanju IP) je prejel zaprosilo za mnenje glede soglasja staršev za objavo fotografij njihovih otrok na knjižnični spletni strani, Facebook in Instagram profilu ter v lokalnih časopisih. Prosilca zanima, če in pod kakšnimi pogoji lahko objavijo fotografije otrok na zgoraj navedenih mestih. V zvezi s soglasjem prosilec sprašuje, ali je ustrezno, da osnovne šole in vrtci v svojih soglasjih, ki jih starši podpisujejo na začetku leta, dodajo še alinejo, ki bi opredeljevala soglašanje z objavo fotografij na knjižnični spletni strani, Facebook in Instagram profilu ter v lokalnih časopisih.

IP pojasnjuje, da mora imeti upravljavec za obdelavo osebnih podatkov osebnih podatkov ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem poudarjamo, da se točka (f) prvega odstavka 6. člena Splošne uredbe ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Možna pravna podlaga v konkretnem primeru bi lahko bila privolitev po (a) točki prvega odstavka 6. člena Splošne uredbe. Več o privolitvi in njenih obveznih sestavinah si tako lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Poudarili bi radi, da mora biti privolitev vedno prostovoljna, specifična, informirana ter nedvoumna in da se lahko kadarkoli prekliče. Predlagamo vam, da natančno opredelite, kakšen je namen podane privolitve, na kakšen način bodo prejeti podatki obdelani in kje bodo objavljeni. Glede na zahtevo, da mora biti privolitev informirana, naj vsebuje torej naslednje:

- podatek o identiteti upravljavca (npr. ime podjetja, naziv organizacije ali društva),

- konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev,

- navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani,

- obstoj pravice do umika privolitve,

- obvestilo posamezniku, da ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov,

- obvestilo posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo.

Oblika pridobivanja privolitve je v celoti v rokah upravljavca, ki naj poišče način, ki najbolj ustreza organizaciji oz. posameznim poslovnim procesom. Iz dokaznega vidika priporočamo pisno obliko (v papirni ali npr. elektronski obliki), pri čemer je treba tudi zagotoviti, da je umik privolitve mogoč v tako enostavni obliki, kot je bila dana privolitev in da ga je možno kadarkoli izvesti. Pri tem IP opozarja, da v kolikor je knjižnica samostojna upravljavka osebnih podatkov, ki osebne podatke obdeluje za svoje namene, potem po mnenju IP verjetno ni primerno, da se zgolj doda alineja v zvezi z objavo fotografij v soglasju, ki ga starši podpišejo v zvezi z obdelavo osebnih podatkov glede izvajanja učnega procesa v šolah. IP predlaga, da kot samostojni upravljavec pridobijo soglasje s strani staršev in jim podajo vse informacije v zvezi s privolitvijo, ki so navedene zgoraj. Preden starši izpolnijo obrazec s privolitvijo, morajo biti tudi podrobno informirani o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe, zato IP priporoča, da informacije vključijo v samo privolitev. Vzorec glede obveščanja posameznikov je na voljo na spletni strani IP: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ (»Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe)«).