Ochrona wizerunku i prywatność małoletnich – zapis wykładu
Poniższy materiał został przygotowany na podstawie wystąpienia Pauliny Dawidczyk, dyrektor Departamentu Skarg UODO, które odbyło się podczas wizyty Urzędu w Rzeszowie w ramach akcji „UODO rusza w kraj”
Ochrona wizerunku małoletnich to sprawa absolutnie zasadnicza, jeśli chodzi o społeczny wymiar ochrony danych osobowych i prawo do prywatności. To również zagadnienie istotne z perspektywy szkoły jako placówki oświatowej, czyli administratora danych, ale także z perspektywy nauczycieli, którzy przekazują uczniom informacje o tym, jak chronić dane. I istotne z perspektywy rodziców. Bo to rodzice są odpowiedzialni za udostępnianie wizerunku dzieci.
UODO od wielu lat szczególnie opiekuje się sektorem oświaty, czego wyrazem jest chociażby program „Twoje dane – Twoja sprawa”. Urząd stawia na ochronę praw małoletnich i ochronę ich wizerunku, co ma odzwierciedlenie m.in. w kontroli podmiotów oświaty (prowadzonej przez Urząd w ramach kontroli sektorowych), które udostępniają wizerunek dzieci i młodzieży.
Już samo RODO w dwóch motywach wskazuje na konieczność szczególnej ochrony danych małoletnich. W motywie 38 RODO podane jest uzasadnienie, że ta praktyka powinna wynikać z tego, że dzieci mają skromniejszą świadomość swoich praw i konsekwencji swoich działań, zabezpieczeń i tych uprawnień, które przysługują im w związku z przetwarzaniem danych osobowych. Dlatego to dorosły powinien się skupić na ochronie tychże praw. Motyw 58 natomiast wyjaśnia, że w przypadku przetwarzania danych dzieci obowiązki informacyjne odnoszące się do ich praw, wynikających z przepisów o ochronie danych osobowych, powinny być im przekazywane w sposób jasny i nieskomplikowany. Stawianie na to, aby obowiązek informacyjny był jak najbardziej klarowny, to w ogóle idea RODO – dotyczy nie tylko małoletnich, dotyczy generalnie wszystkich podmiotów danych, zatem oznacza to, że wszelkie obowiązki informacyjne powinny być przekazywane prostym językiem. Administratorom jednak nierzadko wydaje się, że to jakiś obowiązek prawny wynikający z ważnej ustawy, jaką jest RODO. Nic bardziej mylnego: to po prostu ogólna idea RODO, odnosząca się do sfery komunikowania
Wizerunek to bardzo ważne dobro i dana osobowa, które są chronione przez wiele praw. Ale dane osobowe i nasza prywatność to również dobra osobiste, a zatem są chronione przez kodeks cywilny. Naruszenie wizerunku może więc powodować odpowiedzialność na gruncie prawa cywilnego, więc osoba, której wizerunek został udostępniony wbrew jej woli, może pozwać naruszyciela czy szkołę, może również domagać się odszkodowania, bo w trybie dochodzenia roszczeń na gruncie obrony dóbr osobistych taki pokrzywdzony może właśnie tego się domagać; może się też domagać odszkodowania na gruncie RODO, jeżeli zwróci się do sądu cywilnego z zarzutem naruszenia ochrony jego danych osobowych.
Ustawa o prawie autorskim i prawach pokrewnych to kolejny akt prawny, który reguluje kwestie przetwarzania wizerunku. Trzeba także pamiętać o kodeksie rodzinnym i opiekuńczym, i o Konstytucji RP, która formułuje fundamentalne prawo do prywatności. Należy również pamiętać o katalogu praw człowieka i obywatela.
Natomiast nierzadko jest tak, i w kontekście wizerunku też trzeba to wiedzieć, że daną osobową może być także zdjęcie osoby, ale bez pokazania jej twarzy. W ostatnim czasie w Departamencie Skarg UODO była rozpatrywana skarga pani, która była zatrudniona w szkole znajdującej się w małej miejscowości, na stanowisku osoby sprzątającej, i myła okna z naruszeniem przepisów BHP. W związku z tą sytuacją ta pani została zwolniona przez dyrekcję placówki. Gazeta lokalna opisała tę historię, umieszczając zdjęcie tej osoby: ta pani była ustawiona tyłem, więc nie było tam widać jej twarzy. Natomiast w tej sytuacji UODO uznał, że doszło do przetwarzania danych osobowych. W tej szkole były zatrudnione trzy panie sprzątające. Akurat dwie z nich były wysokie i szczupłe, a zwolniona pani była niską osobą, bardziej krępej postury, zatem dla mieszkańców małej miejscowości, dla tej szkoły, dla uczniów i dla nauczycieli była absolutnie rozpoznawalna. Zatem nie zawsze jest tak, że musi być ujawniony wizerunek twarzy, abyśmy mogli powiedzieć, że mamy do czynienia z przetwarzaniem wizerunku. Czasami dana informacja wynika z kontekstu sytuacyjnego.
Niezwykle ważną kwestią jest również kwestia zgody na przetwarzanie wizerunku. Zgoda jest przesłanką, która jest wykorzystywana dla zalegalizowania przetwarzania danych, jeśli chodzi o publikację zdjęć. Szkoły używają wizerunków uczniów w celu promowania swoich imprez, w celu zareklamowania swojej działalności. To zrozumiałe i aby było to legalne, musi nastąpić za zgodą osoby, której dane dotyczą, a w przypadku osoby małoletniej – rodzica lub opiekuna prawnego. Według definicji RODO zgoda osoby, której dane dotyczą, lub rodzica, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego. Co ważne, zgoda może być odwołana w każdym momencie, zatem jeżeli rodzic zmieni zdanie, to należy to uszanować.
A jak szczegółowo powinna wyglądać zgoda na publikację wizerunku? Przede wszystkim musi być wyrażona w sposób dowolny, więc nie możemy nikogo do wyrażenia takiej zgody zmuszać, nie może być też sytuacji, że jeśli rodzic nie wyraził zgody na publikację wizerunku dziecka, to ono nie będzie mogło brać udziału w jakiejś aktywności w szkole. Zgoda powinna być również precyzyjna i przejrzysta, to znaczy, należy wskazać, czego rzeczywiście ona dotyczy. Nie wystarczy zgoda blankietowa, która wskazuje, że ktoś zgadza się na publikację wizerunku w każdym miejscu na nieokreślony czas, w jakikolwiek sposób, w jakimkolwiek celu. Bo określenie celu pozwala później w kwestiach spornych interpretować i oceniać sytuację, zatem jest czynnością nad wyraz istotną. Zgoda powinna też zawierać opis sposobu wykorzystania wizerunku, czyli powinno być np. zdefiniowane to, gdzie wizerunek będzie publikowany. Jeżeli ktoś chce go publikować w mediach społecznościowych, np. na Facebooku szkoły, to zalecane jest, aby doprecyzować, że te media społecznościowe to będzie właśnie Facebook i żadne inne medium poza nim. Zgoda musi również określać warunki wykorzystania wizerunku, czyli np. jeżeli wiemy już, że zdjęcie będzie podpisywane, opatrywane komentarzem, imieniem dziecka, to są to wszystko warunki wyrażenia zgody w sposób świadomy. I tak, jak już zostało powiedziane, zgoda musi być napisana zrozumiałym językiem, wyrażona na rzecz konkretnego podmiotu, w przypadku szkoły – to ona będzie administratorem danych. Zgoda musi też dotyczyć oznaczonego czasu, no i oczywiście musi być wyrażona przed faktem publikacji.
Jaka powinna być forma zgody? RODO nie narzuca żadnej formy, wskazując, że może być ona dowolna, chyba że mamy do czynienia z danymi szczególnie chronionymi, danymi szczególnej kategorii. Może być oczywiście mailowa, SMS-owa, aby w razie sporu istniał dowód (np. wpłynie skarga do UODO na to, że publikowane są dane, publikowany jest wizerunek dziecka, a tej zgody nie było, i szkoła zgodnie z zasadą rozliczalności będzie mogła się wykazać przed organem taką zgodą, nawet w formie SMS-owej).
A co ze zgodą samego dziecka na publikację wizerunku? Oczywiście póki nie jest pełnoletnie, to według kodeksu rodzinnego i opiekuńczego to rodzic reprezentuje dziecko. Najważniejsza jest odpowiedzialność dorosłego za ochronę prywatności małoletniego, natomiast w przypadku dzieci starszych oczywiście zalecana jest konsultacja z dzieckiem; jeżeli ono już jest na odpowiednim etapie rozwoju, ma odpowiedni stopień dojrzałości – to należałoby uszanować jego zdanie, i wynika to nie tylko z racjonalnego sposobu myślenia, ale też jest to wprost wskazane w kodeksie rodzinnym i opiekuńczym oraz w Konwencji o prawach dziecka.
Najczęściej szkoły publikują wizerunki na stronach internetowych. I nie jest to zakazane. To przecież zrozumiałe, że placówka chce promować swoją działalność. Jeżeli posiada zgodę, jest to działanie legalne.
W poradniku UODO o ochronie wizerunku dziecka można znaleźć check listę warunków dotyczących tego, czy taka publikacja jest konieczna. I tam są pytania, na które administrator danych w szkole powinien sobie odpowiedzieć, decydując się na upublicznienie wizerunku bądź nie. To pytania przede wszystkim odnoszące się do tego, czy to rzeczywiście konieczne, czy dany cel nie może zostać osiągnięty w inny sposób, czy w przyszłości nie narazimy dziecka na śmieszność? Czy te zdjęcia nie będą wykorzystane?
Ustawa o prawie autorskim i prawach pokrewnych to także akt prawny, który reguluje kwestie rozpowszechniania wizerunku i np. wyłącza on konieczność pozyskania zgody w dwóch sytuacjach: jeżeli jest to rozpowszechnianie wizerunku osoby powszechnie znanej i wizerunek jest uwieczniony w związku z pełnioną przez tę osobę funkcją, ale także jeśli publikowany jest wizerunek osoby stanowiący jedynie szczegół większej całości, takiej jak zgromadzenie, krajobraz, publiczna impreza. Oczywiście kwestii ustawy o prawie autorskim i prawach pokrewnych i kwestii realizacji wymogów tej ustawy nie ocenia Prezes UODO, ale ocenia je sąd cywilny.
To, co rekomenduje UODO, to szczególna ostrożność i pamiętanie o zagrożeniach, czyli np. o tym, że w internecie nic nie ginie: nawet jeżeli coś zostało umieszczone, a później usunięte przez administratora, to przecież w międzyczasie mogło zostać skopiowane. UODO prowadzi wiele postępowań dotyczących osób, które żądają np. od Google’a, aby usunął linki do stron, gdzie były do znalezienia informacje o nich. I czasami zdarza się, że nawet jeżeli administrator usunie te strony, to i tak te informacje są przez jakiś czas indeksowane w sieci. I jest to naprawdę trudny proces, żeby osiągnąć cel w postaci usunięcia danych, a zatem prawo do bycia zapomnianym, które gwarantuje nam RODO w przypadku internetu, czasami niełatwo zrealizować. Zdjęcia i filmy często bowiem przestają być własnością publikujących. I wówczas nie mamy już żadnej kontroli nad tym, co w internecie na nasz temat kiedyś zostało opublikowane.
Pojawia się też problem nieświadomego udostępniania wraz z wizerunkiem szerokiego zakresu informacji. Czasami jest tak, że rodzic, który udostępnia dane na Facebooku, bezwiednie udostępnia cały profil informacji o swoim dziecku, tak np. zdarza się przy fotografiach dokumentujących dzień narodzin. A sprawą już zupełnie zasługującą na potępienie jest troll parenting, czyli pokazywanie filmików z dziećmi w sytuacjach naruszających ich godność.
Kolejnym zagadnieniem jest monitoring wizyjny w szkołach. To może być najbardziej ingerująca w prywatność forma nadzoru. W placówkach edukacyjnych nierzadko jest tak, że monitoring jest wprowadzany bezrefleksyjnie, wśród rodziców panuje wręcz przekonanie, że jeżeli szkoła nie ma monitoringu, to nie jest bezpieczna.
Regulacje, które określają zasady monitoringu, przede wszystkim wskazują cele, sposób jego prowadzenia, obszary, okres przechowywania nagrań i obowiązki informacyjne. A cele to zwłaszcza zapewnianie bezpieczeństwa uczniom i pracownikom. Zatem jeśli monitoring jest wprowadzany w celach bezpieczeństwa, to nie może być wykorzystywany w innym celu, bo bywają sytuacje, że szkoła za pomocą monitoringu nagrywa np. bójkę czy kryzysową sytuację uczniów podczas przerwy i później to nagranie jest wykorzystywane jako materiał poglądowy na spotkaniu rady pedagogicznej albo psychologów szkolnych. I to jest właśnie wyjście poza cel. I taka sytuacja, jeżeli trafiłaby do rozpatrzenia np. w przypadku złożenia skargi przez osobę, której dane dotyczą, byłaby oceniona przez Prezesa UODO jako naruszenie RODO. W tym kontekście ważne jest też uznanie, że uczniowie i małoletni są podmiotem danych osobowych. Prawo oświatowe w wymogach dotyczących monitoringu szkolnego już wskazuje, z jakimi podmiotami należy skonsultować prowadzenie monitoringu. I wśród nich jest samorząd uczniowski, co świadczy o tym, że opinie ucznia i małoletniego w tym zakresie są nad wyraz istotne.
Musimy również pamiętać, że to szkoła jest administratorem danych. O tym, kto jest administratorem, decydują przepisy. W przypadku placówki edukacyjnej nie ma tu wątpliwości: przepisy oświatowe wskazują na obowiązki szkoły, więc czynią ją administratorem. Z kolei rada rodziców jest oczywiście wewnętrznym organem szkoły, którego obowiązek powołania wynika z przepisów prawa oświatowego, natomiast to zawsze jest organ wewnętrzny o charakterze społecznym, działający w ramach struktury, nieposiadający osobowości prawnej.
Napotykamy także problemy wokół udzielania informacji o uczniu osobom trzecim. Tutaj wskazana jest szczególna ostrożność, czyli nawet krótka weryfikacja, czy mamy do czynienia z rodzicem dziecka, czy opiekunem prawnym, osobą upoważnioną do pozyskania informacji o nieletnim. Możemy to zrobić chociażby przez dodanie jakiegoś pytania kontrolnego.
Jeżeli chodzi o udostępnianie danych, to również w problemach zgłaszanych Prezesowi Urzędu pojawiają się kwestie udostępniania danych o objęciu ucznia pomocą psychologiczno-pedagogiczną, o posiadaniu przez niego orzeczenia o potrzebie kształcenia specjalnego, które, o czym należy pamiętać, są danymi o stanie zdrowia, czyli są to dane szczególnej kategorii. Często też zdarza się tak, że podczas zebrań omawiana jest sytuacja w szkole i pojawia się sprawa konkretnego ucznia, i nauczyciel, prowokowany przez rodziców, którzy chcą poruszyć tę sprawę na forum, musi być ostrożny, próbując wytłumaczyć innym zachowanie ucznia.
Jest również problem publicznego ganienia uczniów. To także stanowi naruszenie prawa do prywatności. Należałoby to robić z zachowaniem wyjątkowej ostrożności i z uwzględnieniem poszanowania prywatności małoletniego.
W skargach kierowanych do UODO zdarzają się też zarzuty dotyczące wątpliwości, czy dane dzieci są odpowiednio zabezpieczone, jeżeli np. nauczyciele korzystają z prywatnych adresów mailowych albo zabierają klasówki czy dzienniki ucznia do domu. Za każdym razem należy pamiętać o wprowadzeniu odpowiednich środków bezpieczeństwa.
Jeżeli jednak już coś się stanie, to zgłaszanie naruszeń jest obowiązkiem, który ciąży na administratorze danych. Ale nie należy się obawiać, że zgłoszenie naruszenia od razu będzie generowało wszczęcie postępowania. Tak nie jest. Zgłoszenie naruszenia nie równa się automatycznemu wszczęciu postępowania, natomiast służy temu, aby administrator przeanalizował incydent, który nastąpił w jego organizacji. I co ważne: naruszenie nie może być zgłaszane przez inspektora ochrony danych osobowych (IOD nie może go także podpisywać), ponieważ jest on tym, który nadzoruje to, co robi administrator.
Paulina Dawidczyk
Dyrektor Departamentu Skarg UODO
