Wizerunek osoby fizycznej – rozumiany jako jej podobizna utrwalona na zdjęciu, nagraniu wideo czy transmisji – może stanowić daną osobową, jeżeli umożliwia identyfikację danej osoby, bezpośrednio lub pośrednio. W takiej sytuacji jego przetwarzanie podlega ogólnemu rozporządzeniu o ochronie danych osobowych (RODO). Wyjaśniamy, kiedy wizerunek podlega ochronie na gruncie RODO, kiedy potrzebna jest zgoda na wykorzystanie wizerunku, w jakiej formie powinna być udzielona oraz jakie obowiązki spoczywają na administratorze danych. Wskazujemy również, co grozi za bezprawne przetwarzanie wizerunku i kiedy można się odwołać do innych podstaw niż zgoda.
Czym jest wizerunek i kiedy podlega ochronie RODO?
Wizerunek osoby, jeśli pozwala na jej identyfikację – samodzielnie lub w połączeniu z innymi informacjami – jest daną osobową w rozumieniu art. 4 pkt 1 RODO. Może to być zdjęcie portretowe, kadr z monitoringu, nagranie z wydarzenia firmowego czy materiał promocyjny z udziałem konkretnej osoby.
Przykładowo: fotografia pracownika opublikowana na stronie internetowej z imieniem i stanowiskiem jednoznacznie identyfikuje daną osobę – dlatego jej przetwarzanie wymaga spełnienia wymogów RODO. Nawet jeśli nie podano imienia i nazwiska, ale osoba może zostać rozpoznana (np. przez rodzinę, współpracowników, lokalną społeczność), wizerunek nadal traktowany jest jako dana osobowa.
RODO będzie miało zastosowanie zarówno wtedy, gdy wizerunek jest przetwarzany cyfrowo (np. publikacja na stronie, przesłanie mailem, archiwizacja zdjęć), jak i w formie fizycznej (np. drukowane materiały promocyjne z utrwalonym wizerunkiem osób).
Czy zgoda na wykorzystanie wizerunku jest zawsze konieczna?
W zdecydowanej większości przypadków, gdy administrator zamierza opublikować lub w inny sposób upowszechnić wizerunek osoby fizycznej, konieczne jest uzyskanie jej uprzedniej zgody. Dotyczy to przede wszystkim sytuacji, w których wizerunek ma być wykorzystany w materiałach promocyjnych, na stronie internetowej, w mediach społecznościowych, w filmach reklamowych czy relacjach z wydarzeń firmowych. Zgoda na wykorzystanie wizerunku powinna być udzielona dobrowolnie, świadomie i w odniesieniu do konkretnych celów przetwarzania, a także możliwa do udokumentowania – na przykład w formie podpisanego formularza, kliknięcia checkboxa w systemie elektronicznym lub jednoznacznego potwierdzenia mailowego. Nie wystarczy domniemanie zgody, ogólne odniesienie do regulaminu czy brak sprzeciwu ze strony osoby, której wizerunek ma być przetwarzany. Warto jednak pamiętać, że zgoda nie zawsze jest jedyną możliwą podstawą przetwarzania danych – RODO przewiduje także inne przesłanki legalności, takie jak uzasadniony interes administratora, wykonanie umowy czy obowiązek prawny. Niemniej jednak, w przypadku upubliczniania wizerunku osoby fizycznej, zgoda pozostaje najbezpieczniejszą i najczęściej stosowaną podstawą prawną, która daje jasność zarówno administratorowi, jak i osobie, której dane dotyczą.
Kiedy można przetwarzać wizerunek bez zgody?
Choć zgoda jest najczęściej stosowaną i najbezpieczniejszą podstawą przetwarzania wizerunku, RODO dopuszcza również inne przesłanki legalności, które w określonych przypadkach mogą zastąpić konieczność jej uzyskania. Wizerunek można przetwarzać bez zgody, jeżeli istnieje inna podstawa prawna wynikająca z art. 6 RODO. Przykładowo, przetwarzanie może być uzasadnione realizacją umowy, gdy wykorzystanie wizerunku jest jej elementem – jak ma to miejsce w przypadku modeli, aktorów czy osób zatrudnionych do udziału w kampanii reklamowej. Innym przypadkiem jest sytuacja, w której przetwarzanie wizerunku jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, np. w związku z obowiązkiem publikacji zdjęcia osoby poszukiwanej przez organy ścigania. Czasem przetwarzanie wizerunku może być również uzasadnione prawnie usprawiedliwionym interesem administratora, pod warunkiem że interesy i podstawowe prawa osoby, której dane dotyczą, nie przeważają – dotyczy to na przykład monitoringu wizyjnego w budynkach, zabezpieczenia mienia czy relacjonowania wydarzeń publicznych. W każdym takim przypadku administrator powinien jednak przeprowadzić test równowagi interesów oraz ocenić, czy zastosowane środki nie naruszają prywatności osób, których wizerunek jest przetwarzany. Jeśli istnieje jakakolwiek wątpliwość co do legalności działań, zalecane jest uzyskanie zgody – jej brak może bowiem prowadzić do poważnych konsekwencji prawnych i reputacyjnych.
W jakiej formie powinna być zgoda na wykorzystanie wizerunku?
Zgoda na wykorzystanie wizerunku powinna być:
- konkretna – nie może być ogólna ani blankietowa, musi dotyczyć konkretnych zdjęć/nagrań i celu (np. „wyrażam zgodę na publikację mojego wizerunku z wydarzenia X na stronie www…”),
- dobrowolna – osoba nie może być zmuszana do jej wyrażenia (np. nie można uzależniać udziału w wydarzeniu od wyrażenia zgody na publikację wizerunku),
- świadoma – osoba powinna otrzymać pełną informację przed wyrażeniem zgody,
- jednoznaczna – np. podpisanie formularza, zaznaczenie checkboxa w systemie, odpowiedź mailowa,
- łatwa do wycofania – użytkownik powinien mieć możliwość cofnięcia zgody w dowolnym momencie, bez negatywnych konsekwencji.
Dobrą praktyką jest przygotowanie osobnego formularza zgody na wykorzystanie wizerunku, który zawiera dane administratora, opis celu i zakresu przetwarzania oraz informację o prawie do wycofania zgody i przysługujących prawach.
Co grozi za przetwarzanie wizerunku bez podstawy prawnej?
Nielegalne wykorzystanie wizerunku osoby może skutkować poważnymi konsekwencjami. Przede wszystkim, zgodnie z RODO, przetwarzanie danych osobowych bez podstawy prawnej stanowi naruszenie przepisów i może prowadzić do:
- skargi do Prezesa UODO,
- nakazu usunięcia danych lub zaprzestania ich przetwarzania,
- kary pieniężnej – w przypadku rażących naruszeń nawet do 20 milionów euro lub 4% rocznego obrotu,
- roszczeń cywilnych – osoba, której wizerunek został bezprawnie użyty, może żądać zadośćuczynienia i odszkodowania na podstawie RODO oraz przepisów krajowych (np. art. 23 kodeksu cywilnego).
Należy też pamiętać, że w Polsce wizerunek podlega dodatkowej ochronie na gruncie prawa autorskiego – jego rozpowszechnianie co do zasady wymaga zgody, niezależnie od przepisów RODO (art. 81 ustawy o prawie autorskim i prawach pokrewnych).
Jakie obowiązki ma administrator danych?
Administrator danych przetwarzający wizerunek osoby fizycznej musi:
- określić podstawę prawną przetwarzania (najczęściej będzie to zgoda),
- spełnić obowiązek informacyjny (art. 13/14 RODO),
- umożliwić realizację praw osoby, w tym prawo dostępu, sprostowania, usunięcia danych, cofnięcia zgody, sprzeciwu itp.,
- zadbać o bezpieczeństwo przetwarzania – np. kontrolę dostępu do materiałów, szyfrowanie, ograniczenie dostępności,
- wdrożyć procedury dokumentowania zgód i ich obsługi,
- ująć proces przetwarzania wizerunku w rejestrze czynności przetwarzania danych (art. 30 RODO), jeśli jest to wymagane.
Dobrą praktyką jest również przeprowadzenie oceny ryzyka lub – w razie potrzeby – oceny skutków dla ochrony danych (DPIA), zwłaszcza jeśli wizerunek ma być publikowany na dużą skalę lub w sposób zautomatyzowany (np. monitoring rozpoznający twarze).
Jak legalnie wykorzystywać wizerunek i nie narazić się na odpowiedzialność?
Wizerunek osoby, będący daną osobową, wymaga szczególnej ostrożności przy jego utrwalaniu i rozpowszechnianiu. W świetle przepisów RODO to nie tylko kwestia techniczna, ale przede wszystkim prawna i organizacyjna. Uzyskanie prawidłowej zgody, przejrzysta informacja dla osoby, zabezpieczenie danych i dokumentowanie procesów – to elementy, które pozwalają uniknąć sporów, sankcji i naruszeń prywatności.
Biuro Porad Prawnych Zacharski wspiera organizacje w zakresie zgodnego z prawem przetwarzania danych osobowych – w tym również przy opracowywaniu klauzul zgody na wykorzystanie wizerunku, analizie ryzyka oraz wdrażaniu zgodnych z prawem rozwiązań komunikacyjnych i promocyjnych.
