RODO a fotografia – ochrona danych osobowych w Projekcie 365
Artykuł 83 RODO przewiduje kary sięgające 20 milionów euro lub 4% rocznego obrotu firmy – i choć te kwoty dotyczą głównie dużych podmiotów, zasady rozporządzenia obowiązują każdego, kto przetwarza dane osobowe. Fotografowie nie są tu wyjątkiem. Projekt 365, czyli zobowiązanie do wykonania co najmniej jednego zdjęcia każdego dnia przez rok, brzmi jak czysto twórcze przedsięwzięcie. Jednak gdy tylko na kadrze pojawia się rozpoznawalna twarz, wchodzimy na grunt przepisów, które warto znać, zanim naciśniemy migawkę.
RODO a fotografia to temat, który w Polsce przez lata traktowano marginalnie, a dziś staje się jednym z ważniejszych zagadnień dla każdego, kto dokumentuje codzienność i publikuje efekty w sieci. Wizerunek człowieka stanowi daną osobową w rozumieniu rozporządzenia – wynika to wprost z motywu 51 preambuły RODO, który wskazuje fotografię jako szczególną kategorię danych umożliwiających identyfikację. Nie ma tu znaczenia, czy zdjęcie powstało smartfonem, czy aparatem systemowym. Liczy się to, czy osoba na fotografii jest rozpoznawalna.
Przejdziemy przez najważniejsze kwestie prawne związane z fotografowaniem ludzi w ramach Projektu 365 – od podstaw prawnych przetwarzania wizerunku, przez zasady publikacji w mediach społecznościowych, aż po praktyczne narzędzia ochrony danych, które możesz wdrożyć od ręki.
Czym jest wizerunek jako dana osobowa?
Zanim zajmiemy się konkretnymi sytuacjami, warto ustalić, kiedy fotografia w ogóle podlega RODO. Decyduje pojęcie identyfikowalności: zdjęcie staje się daną osobową wtedy, gdy pozwala – bezpośrednio lub pośrednio – ustalić tożsamość konkretnej osoby. Twarz jest najbardziej oczywistym przykładem, ale identyfikatorem może być też charakterystyczna sylwetka, tatuaż w widocznym miejscu czy numer rejestracyjny pojazdu w tle kadru.
Przetwarzanie danych osobowych w rozumieniu RODO to każda operacja wykonywana na danych – i tu wielu fotografów się zaskakuje. Samo wykonanie zdjęcia to przetwarzanie. Przechowywanie pliku RAW na dysku to przetwarzanie. Wgranie fotografii na serwer czy opublikowanie na blogu – każde z tych działań mieści się w definicji z artykułu 4 rozporządzenia.
RODO przewiduje jednak wyłączenie dla aktywności czysto osobistej lub domowej – tak zwany household exemption z artykułu 2 ust. 2 lit. c. Jeśli fotografujesz własną rodzinę i trzymasz zdjęcia wyłącznie dla siebie, rozporządzenie formalnie nie ma zastosowania. Problem pojawia się w chwili, gdy te same fotografie trafiają do publicznej galerii na blogu, na profil w mediach społecznościowych czy do otwartego albumu online. Wtedy wyłączenie przestaje działać, a ty stajesz się administratorem danych osobowych z pełnią wynikających z tego obowiązków.
Projekt 365 prowadzony publicznie – z blogiem, profilem na Instagramie lub kanałem YouTube – oznacza, że każde zdjęcie z rozpoznawalną osobą wymaga podstawy prawnej przetwarzania.
Jakie podstawy prawne pozwalają fotografować i publikować wizerunek?
Artykuł 6 RODO wymienia sześć podstaw legalności przetwarzania danych. W praktyce fotograficznej najczęściej stosuje się cztery z nich:
- zgoda osoby fotografowanej (art. 6 ust. 1 lit. a) – najbardziej czytelna podstawa, wymaga dobrowolności, konkretności i możliwości wycofania w każdej chwili;
- prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f) – możliwy np. przy fotografii reportażowej lub dokumentalnej, lecz wymaga przeprowadzenia testu równowagi interesów, który waży twój interes twórczy przeciwko prawu do prywatności fotografowanej osoby;
- wykonanie umowy (art. 6 ust. 1 lit. b) – dotyczy zleceń komercyjnych, gdy fotografujesz na podstawie podpisanego kontraktu z klientem;
- wypełnienie obowiązku prawnego (art. 6 ust. 1 lit. c) – rzadziej stosowane w fotografii amatorskiej, pojawia się np. przy dokumentacji zdarzeń wymaganych przepisami prawa.
Zgoda to rozwiązanie, po które sięga większość fotografów amatorów prowadzących Projekt 365. Musi być jednak udzielona świadomie: osoba fotografowana powinna wiedzieć, kto przetwarza jej dane, w jakim celu i gdzie zdjęcie zostanie opublikowane. Zgoda udzielona ustnie jest ważna, lecz trudna do udowodnienia – dlatego przy fotografiach publikowanych publicznie warto zadbać o formę pisemną lub mailową.
Ochrona danych osobowych w fotografii nie polega na zakazie fotografowania, lecz na świadomym wyborze podstawy prawnej i jej konsekwentnym stosowaniu. Zdjęcia wykonane w przestrzeni publicznej nie są automatycznie wolne od RODO – jeśli publikujesz je na blogu z rozpoznawalnymi twarzami, potrzebujesz podstawy prawnej tak samo, jak przy fotografii portretowej.
Szczególną uwagę należy zwrócić na zdjęcia dzieci. Zgody w ich imieniu udzielają rodzice lub opiekunowie prawni, a RODO wymaga tu wzmożonej ostrożności. Fotografie małoletnich opublikowane bez zgody opiekunów to nie tylko naruszenie przepisów – to też ryzyko odpowiedzialności na gruncie prawa cywilnego.
Projekt 365 a prawa autorskie – gdzie kończy się jedno, zaczyna drugie?
Fotografowie prowadzący Projekt 365 często mylą dwa porządki prawne: prawo autorskie i ochronę danych osobowych. To zrozumiałe, bo oba dotyczą fotografii, ale regulują zupełnie różne sfery.
Prawo autorskie chroni twórcę – daje mu wyłączne prawo do decydowania o tym, jak i gdzie jego dzieło jest rozpowszechniane. Prawo do wizerunku, uregulowane w artykule 81 ustawy o prawie autorskim i prawach pokrewnych, chroni osobę sfotografowaną – i to niezależnie od tego, kto jest autorem zdjęcia. RODO dokłada do tego trzecią warstwę: obowiązek posiadania podstawy prawnej przetwarzania danych osobowych.
Możesz być jednocześnie autorem fotografii i mieć zgodę na jej publikację od sfotografowanej osoby, a mimo to naruszać RODO. Dzieje się tak na przykład, gdy przechowujesz dane dłużej, niż wynika to z celu, dla którego zostały zebrane, albo gdy udostępniasz je podmiotom trzecim bez wiedzy fotografowanego. Zasada minimalizacji danych, wynikająca z artykułu 5 ust. 1 lit. c RODO, nakazuje zbierać i przechowywać tylko te dane, które są niezbędne do realizacji konkretnego celu.
W praktyce Projektu 365 oznacza to: jeśli twoim celem jest dokumentacja roku w formie bloga fotograficznego, nie powinieneś gromadzić dodatkowych metadanych pozwalających na profilowanie osób, które pojawiają się na zdjęciach. Pliki EXIF zawierają dokładną lokalizację GPS – ich publiczne udostępnienie razem ze zdjęciem może ujawniać miejsce zamieszkania lub pracy fotografowanych osób bez ich wiedzy.
Prawo do wizerunku przewiduje wyjątki – m.in. dla osób publicznych w związku z pełnioną funkcją czy dla uczestników wydarzeń publicznych – jednak wyjątki te nie rozciągają się automatycznie na RODO. Dwie regulacje nakładają się na siebie, ale żadna nie zastępuje drugiej.
Jak prowadzić Projekt 365 zgodnie z RODO w praktyce?
Codzienne fotografowanie przez rok brzmi jak wyzwanie logistyczne. Gdy dołożyć do tego obowiązki wynikające z ochrony danych osobowych w fotografii, lista rzeczy do przemyślenia wydłuża się – lecz wcale nie musi komplikować procesu twórczego.
Pierwszym krokiem jest określenie, gdzie zdjęcia będą publikowane i kto na nich się pojawi. Fotografie wyłącznie krajobrazowe lub martwej natury nie budzą wątpliwości. Problem pojawia się, gdy w kadrze regularnie goszczą te same osoby – rodzina, współpracownicy, znajomi. Tu warto ustalić formę zgody przed rozpoczęciem projektu, nie po fakcie.
Drugi obszar to przechowywanie plików. Zdjęcia ze wbudowanymi danymi GPS przechowywane w chmurze publicznej mogą ujawniać wzorce zachowań fotografowanych osób – codzienne trasy, miejsca pobytu, rytm dnia. Usunięcie metadanych EXIF przed publikacją to czynność zajmująca kilkanaście sekund w każdym popularnym edytorze, a znacząco ogranicza ryzyko niezamierzonego ujawnienia danych.
Retencja danych to kolejny element, o którym fotografowie amatorzy rzadko myślą. Jeśli zbierasz zgody pisemne od osób fotografowanych, przechowuj je tak długo, jak długo zdjęcia pozostają publicznie dostępne – i usuń je razem z fotografiami, gdy projekt dobiegnie końca lub gdy osoba cofnie zgodę. Według wytycznych Europejskiej Rady Ochrony Danych z 2020 roku brak polityki retencji to jeden z najczęściej wskazywanych uchybień podczas kontroli administratorów danych.
Kiedy zdjęcia z Projektu 365 można publikować bez zgody?
Odpowiedź zależy od kontekstu, miejsca i sposobu publikacji. Kilka sytuacji, w których zgoda fotografowanej osoby nie jest wymagana, warto jednak znać.
Poniżej zestawienie przypadków, w których publikacja jest dopuszczalna bez odrębnej zgody osoby fotografowanej:
- zdjęcia wykonane w miejscach publicznych, na których dana osoba stanowi jedynie element tła, a nie główny motyw kadru;
- fotografie osób publicznych związane bezpośrednio z pełnioną przez nie funkcją zawodową lub publiczną aktywnością;
- zdjęcia z imprez masowych, wernisaży, konferencji i podobnych wydarzeń otwartych, gdzie uczestnik godzi się na obecność fotografów;
- publikacja w celach wyraźnie niekomercyjnych, gdy wizerunek nie jest używany do promocji produktu ani usługi.
Granica między „elementem tła” a „głównym motywem” bywa płynna. Jeśli twój Projekt 365 z dnia na dzień skupia się na konkretnej osobie – nawet sfotografowanej przypadkowo na ulicy – a jej twarz jest wyraźnie rozpoznawalna, wyjątek przestaje działać. Rozpoznawalność to kryterium decydujące, nie odległość od obiektywu.
RODO a fotografia – jak zadbać o dokumentację zgód?
Zbieranie zgód to jedno. Ich przechowywanie i zarządzanie nimi to osobna kwestia, którą Projekt 365 wymusza w sposób szczególny – bo zdjęć przez rok przybywa, a wraz z nimi rośnie liczba osób, których dane przetwarzasz.
Prosta ewidencja zamiast skomplikowanych systemów
Nie potrzebujesz specjalistycznego oprogramowania. Wystarczy arkusz kalkulacyjny z kolumnami: imię i nazwisko lub pseudonim osoby, data udzielenia zgody, forma zgody (pisemna, mailowa), zakres zgody (jakie zdjęcia, gdzie publikowane) i data ewentualnego cofnięcia. Taka ewidencja pozwala w każdej chwili wykazać, że przetwarzanie danych ma podstawę prawną – co jest jednym z podstawowych wymogów rozporządzenia RODO. Urząd Ochrony Danych Osobowych może zażądać przedstawienia takiej dokumentacji w ciągu 72 godzin od wszczęcia postępowania wyjaśniającego.
Co zrobić, gdy ktoś cofnie zgodę?
Cofnięcie zgody jest prawem każdej osoby fotografowanej i nie wymaga uzasadnienia. Gdy to nastąpi, masz obowiązek usunąć zdjęcia z wszystkich miejsc, w których są publicznie dostępne – bloga, mediów społecznościowych, galerii online. Termin nie jest sztywno określony w przepisach, ale praktyka wskazuje na niezwłoczne działanie, rozumiane jako kilka dni roboczych, nie tygodni.
Czy musisz informować fotografowanych o przetwarzaniu danych?
Tak – i to niezależnie od tego, czy zbierasz zgodę, czy opierasz się na innej podstawie prawnej. Obowiązek informacyjny wynikający z artykułu 13 RODO oznacza, że osoba fotografowana powinna wiedzieć, kto przetwarza jej dane, w jakim celu, jak długo i jakie ma prawa. W praktyce Projektu 365 sprowadza się to do krótkiej rozmowy lub informacji przekazanej mailowo przed pierwszą sesją.
Projekt 365 i RODO – świadome fotografowanie przez cały rok
Roczny projekt fotograficzny to zobowiązanie, które warto zacząć z jasno określonymi zasadami. Ochrona danych osobowych w fotografii nie jest przeszkodą twórczą – jest ramą, która chroni zarówno fotografowanych, jak i samego fotografa przed konsekwencjami nieprzemyślanych decyzji.
Zanim opublikujesz pierwsze zdjęcie z projektu, sprawdź dwie rzeczy: czy masz podstawę prawną do przetwarzania danych każdej rozpoznawalnej osoby w kadrze i czy usunąłeś metadane GPS z pliku przed jego udostępnieniem. To zajmuje mniej niż minutę, a eliminuje dwa najczęstsze błędy, które fotografowie popełniają przy tego rodzaju projektach.
Jeśli chcesz mieć pewność, że twój Projekt 365 jest prowadzony zgodnie z przepisami – skontaktuj się z nami. Oferujemy audyty zgodności z RODO dla fotografów i twórców cyfrowych, a nasi specjaliści pomogą dostosować zasady przetwarzania danych do specyfiki twojego projektu.
FAQ
Czy fotografowanie przechodniów na ulicy wymaga ich zgody?
Samo fotografowanie w przestrzeni publicznej nie wymaga zgody – jednak jej brak nie zwalnia z obowiązku posiadania innej podstawy prawnej przetwarzania danych, jeśli zdjęcia są publikowane. Gdy rozpoznawalna twarz przechodnia staje się głównym motywem kadru opublikowanego na blogu, potrzebujesz podstawy z artykułu 6 RODO. Wyjątek dotyczy sytuacji, gdy dana osoba stanowi jedynie nieistotny element tła.
Czy mogę publikować zdjęcia dzieci w ramach Projektu 365?
Możesz, ale wyłącznie za pisemną zgodą rodziców lub opiekunów prawnych. Zgoda powinna precyzować, jakie zdjęcia i gdzie będą publikowane. Jej brak naraża cię na odpowiedzialność zarówno na gruncie RODO, jak i przepisów prawa cywilnego dotyczących ochrony dóbr osobistych.
Co grozi za naruszenie RODO przy fotografowaniu?
Kary administracyjne dla osób fizycznych są niższe niż dla przedsiębiorstw, ale UODO może nałożyć upomnienie, nakazać usunięcie danych lub ograniczenie przetwarzania. Niezależnie od postępowania administracyjnego, osoba fotografowana może dochodzić roszczeń cywilnych z tytułu naruszenia dóbr osobistych – w tym odszkodowania za szkodę niemajątkową.
