Adatvédelmi Szakmai Egyesület Aktuális RÖVIDEN A FELVÉTELEKRŐL

RÖVIDEN A FELVÉTELEKRŐL


– a pillanat elszáll, a megörökítéséhez szükséges hozzájárulást viszont őrizni kell

Mit kell tudnunk az álló- és mozgóképek és a GDPR kapcsolatáról?

Először is azt, hogy a felvétel, legyen az akár álló- vagy mozgókép (hanggal vagy hang nélkül) bizony személyes adat, amennyiben az természetes személyt ábrázol. Sőt, ha nem természetes személyt ábrázol, hanem például egy olyan házikedvencet, amelyet a fél világ ismer, akkor erről a kutyáról-macskáról készült kép is személyes adattá válhat, gondoljunk csak Facebook alapítójának kedvenc fehér pulijára.

Megjegyzés: a továbbiakban az álló- és mozgókép (akár hangos akár nem) mint képmás, illetve felvétel egy kalap alá kerül az egyszerűség kedvéért, ahol a megítélésükben eltérés van, ott ez külön említésre kerül. Jelen írásban nem esik szó a felvételekkel kapcsolatos biometrikus adatokról („arcfelismerés”).

A GDPR szerint személyes adatnak számít az azonosított vagy azonosítható természetes személyre (érintettre) vonatkozó bármely információ. A meghatározás alapján kézenfekvő a kérdés, és ki az azonosítható természetes személy? Az, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy egy, vagy több tényező alapján azonosítható.

A képmás (álló- vagy mozgókép) ezek után mindenképpen személyes adat, hiszen tökéletesen azonosíthatóak vagyunk a képmásunk alapján. Ha ez nem így lenne, mi célt szolgálnának a körözési fotók? Sőt, még a kamerafelvételen látható magatartásunk is személyes adatnak számít. Itt ugyan lehetnek kétségeink, hogy hátulról sötétben egy mozgó paca mennyiben tekinthető személyes adatnak, de van az a személy, aki még egy elmosódott folt alapján is beazonosítható. Gondoljunk csak arra az esetre, amikor a falusi kisbolt videófelvételen megörökített betörője pontosan ugyanúgy sántít, mint a Fő utca kettőben lakó fickó, de a gyermekünk tanárát is felismerjük az osztályvideón még akkor is, ha csak hátulról látjuk.

Ha ezek után még valaki mer kételkedni, az Infotv. adatkezelés-fogalom meghatározása végképp meggyőzi, miszerint az adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, külön meg is említi a fénykép-, hang- vagy képfelvétel készítést.

Ha tehát fénykép, akkor GDPR, akár akarjuk, akár nem, azonban ez esetben nem hibáztatjuk a külhoni bürokratákat, mert már 2018. május 25. előtt is igen szigorú szabályok vonatkoztak hazánkban az álló- és mozgókép készítésére, valamint felhasználásra. A jelenleg hatályos Polgári Törvénykönyvünk is kimondja, hogy képmás vagy hangfelvétel elkészítéséhez és felhasználásához az érintett személy hozzájárulása szükséges, kivétel pedig az a helyzet, amikor tömegfelvételről és nyilvános közéleti szereplésről készült felvételről van szó. A technika előhaladásával lehet azon vitatkozni, hogy mikortól tömegfelvétel a tömegfelvétel és az egyre nagyobb pixelszámot felhasználva mi van akkor, ha a tömegfelvételből személy azonosítására alkalmas egyéni (portré) felvétel varázsolható, ezért, ha kétségünk van abban a tekintetben, hogy jogszerűen járunk-e el a felvétel közzétételénél, határozzuk meg mi a felbontást. A tömegkép maradjon tömegkép és ne rakjunk fel a honlapunkra olyan mértékben nagyítható felvételeket, ahol az előadáson az ötödik sor második székén ülő illető fogsoráról látszik, hogy dohányzik-e az illető vagy sem. Ha pedig mégis ilyen képekkel szeretnénk elárasztani a netet, akkor szerezzük be az érintettek hozzájárulását.

Mankóul szolgálhat még a korábbi bírói gyakorlat, miszerint „a képmás nyilvánosságra hozatalának tilalma nem vonatkozik a nyilvános eseményekről, rendezvényekről, táj- és utcarészletekről készült felvételekre, amikor tehát az ábrázolás módja nem egyéni, amikor a felvétel összhatásában örökít meg a nyilvánosság előtt lezajlott eseményeket (1985).”

A Hatóság is hasonló állásponton van, eszerint, ha olyan felvételt készítünk például egy nyílt rendezvényen, amelyeken sok jelenlévő látható, és a felvételen az ábrázolás módja nem egyedi, úgy ez a nyilvános rendezvényen készült felvétel tömegfelvételnek minősül, azaz a rendező szervezet honlapján közzétételhez nem feltétlen szükséges az érintettek hozzájárulását beszerezni. A Hatóság tanácsa, hogy minden egyes felvétel esetében külön-külön meg kell vizsgálnunk, hogy az tömegfelvételnek minősül-e, mert ha nem, mindenképpen szükséges a közzétételhez az érintettek hozzájárulását kikönyörögnünk.

Ami feltétlen kell a fényképek és videofelvételek jogszerű kezeléséhez, az a hozzájárulás 

A GDPR alapján a hatból az egyik adatkezelési jogalapunk a hozzájárulás és felvételek készítése esetén erre bizony nagy szükségünk is van. A felvételek esetén ráadásul rögtön minimum három hozzájárulást is kell kérnünk, az egyiket a felvétel készítéséhez, a másodikat a tároláshoz/archiváláshoz, a harmadikat pedig a nyilvánosságra hozatalhoz (pontosan megnevezve, hol is történik ez), ezen kívül mindig figyelmeztetnünk is kell az érintettet a hozzájárulás visszavonásának lehetőségére.

Arra azonban vigyázzunk, hogy a hozzájárulás nem lehet bármilyen, tartalmát illetően szigorú követelményei vannak, ha ezeknek nem felel meg, akkor bizony érvénytelen lesz. A hozzájárulásnak a GDPR alapján

  • megfelelő tájékoztatáson kell alapulnia (azaz előzetesen kell megadni, nem utólag!),
  • önkéntesen és egyértelmű megerősítő cselekedettel kifejezett nyilatkozatnak kell lennie (a hallgatás nem beleegyezés), valamint
  • bizonyíthatónak is kell lennie (a szó elszáll az írás megmarad).

Fontos tehát, hogy

  • előre eláruljuk, hol és mire szeretnénk a felvételt használni, milyen jogai vannak az érintettnek az adatkezelésünkkel kapcsolatban és a hozzájárulás visszavonásának lehetőségéről is tájékoztatnunk kell őt. A felhasználás esetében jobb, ha a „valamire csak jó lesz” felhasználási célnál egy kicsit konkrétabbat jelölünk meg, például a szervezetünk újságjában, honlapján, illetve az évkönyvében szeretnénk majd megjelentetni a képeket egy esemény illusztrálásaként. Ez utóbbi főleg akkor ajánlott, ha nem akarunk jogosulatlan adatkezelésbe keveredni, meg a későbbiek során felesleges, drága perekkel szembesülni.
  • a hozzájárulás szempontjából minden adatkezelő külön adatkezelő (azaz még a rokonságban álló adatkezelőknek is külön-külön kell hozzájárulást kérniük), a cégcsoport pedig még akkor sem egyetlen egy adatkezelő, ha az ázsiai/amerikai anyavállalatnak ez a megingathatatlan meggyőződése.
  • amennyiben az adatkezelésünk egyszerre több célt is szolgál, a hozzájárulást az összes adatkezelési célra be kell szereznünk, tehát amennyiben a fénykép elkészítése mellett például hírlevél küldésére használjuk fel a természetes személy adatait, vagy a fényképet a honlapon és más kiadványban is meg kívánjuk jelentetni, esetleg külföldre (pl. egy konferenciára, nemzetközi kiadványba továbbítjuk), úgy a tájékoztatásnak és a hozzájárulásnak ezekre is ki kell terjednie.
  • az önkéntesség, mint követelmény elsőre furán néz ki (általában senkit sem szoktunk fenyegetéssel rávenni, álljon már modellt nekünk), de gondoljunk bele, ha az érintettel a hozzájárulást jelentő aláírása elé négy különféle témájú hozzájárulás-nyilatkozatot is „egybe szerkesztünk”, akkor vajon melyikre szól az aláírás? Elviekben mind a négyre, de mi van akkor, ha az érintett szíve szerint csak hármat írna alá, a negyediket pedig egyfajta árukapcsolásnak értékeli és muszájból, mivel a többit akarja, ezt is aláírja? Abban az esetben is kétséges az önkéntesség, ha egy rendezvényen csak úgy vehet részt valaki, ha fotó készül róla. Mert azt elvárni, hogy az érintett egyfolytában úgy helyezkedjen, hogy egyetlen kamera látószögébe se kerüljön be, elég botor dolog lenne és az az állatkert sem úszta meg büntetés nélkül, amelyikbe csak úgy lehetett belépni, hogy a bejáratnál bele kellett egyezni egy kedves, mosolygós felvétel elkészítésbe. A hozzájárulás önkéntessége különösen fontos akkor, amikor – munkaköri kötelezettség híján – a munkavállalónk fotóját, videofelvételét szeretnénk például a honlapunkra kitenni.
  • a hozzájárulásnak nem kell írásban megtörténnie, de vajon mennyivel könnyebb helyzetben vagyunk (illetve leszünk), ha vita esetén az érintett elé tudunk tenni egy bizonyító erejű papírt? Természetesen nem minden helyzetben életszerű az, hogy papír hátán papírt gyártunk, ezért vannak olyan generális megoldások, amelyek valamiféle tevőleges magatartás segítségével igazolják utólag a hozzájáruló szándékot.
  • a hozzájárulás visszavonható, azonban az érintettnek is tudatában kell lennie annak, hogy vannak olyan helyzetek, amikor már igen nehéz visszagyömöszölni a szellemet a palackba. Ha hozzájárult a felvétel elkészítéséhez és nyilvánosságra hozásához, ám később rájött, nem is olyan jó ötlet volt ez, akkor nekünk mindent meg kell tennünk a kívánságának teljesítése érdekében: a felvételt meg kell semmisítenünk, illetve le kell vennünk a honlapunkról attól függően, mire is irányult az eredeti engedély és mire a visszavonás. Abban az esetben, ha valaki fél év elteltével jön rá, hogy furán áll a nyakkendője a szervezetünk marketingkiadványában leközölt fotón és emiatt utólag nagyon-nagyon rosszul érzi magát és sérelmesnek tartja a helyzetet, nem igazán elvárható, hogy mind a ki tudja hány ezer példányt visszahívjuk és megsemmisítsük. Arról pedig ne is beszéljünk, a hozzájárulást minden egyes külön adatkezelés tekintetében vissza lehet vonni külön-külön és együttesen is, tehát lehet fejfájást okozni a másiknak azzal, hogy csak a nyilvánosságra hozásra vonatkozó hozzájárulást vonjuk vissza, a készítésre vonatkozót nem, és fordítva. Vagy reklámkiadványba mehet a kép, honlapra viszont nem.
  • különösen vigyázni kell a 18 év alattiakról képmás készítésével és nyilvánosságra hozatalával kapcsolatban, ez esetben ugyanis a szülői felügyeleti jogot gyakorló személy engedélye szükséges ahhoz, hogy a hozzájárulás érvényes legyen. A Hatóság korábban azt is megkövetelte (még a GDPR előtt, amikor az adatvédelmi korhatár 16 év volt), hogy a 14-16 év közötti gyermekek esetén mind a szülő, mint a gyermek hozzájárulása meglegyen. Szerencsére az nincs előírva, hogy ki kell kutatnunk, tényleg gyakorolja-e az adott szülő a felügyeleti jogot, szóbeli tájékoztatást vagy írásbeli nyilatkozatot is elfogadhatunk e tárgyban és valószínűleg akkor járunk el a legóvatosabban, ha a 14-18 év közötti érintett esetén nemcsak a szülői felügyeleti joggal rendelkező személy, hanem a gyermek hozzájárulását is beszerezzük – ki viaskodik szívesen egy vagy több dühös tinédzserrel?

Végezetül vegyünk néhány gyakori képmás-esetet:

Munkavállalóinkról készítünk fotókat és azt rakjuk ki a honlapunkra, szórólapunkra stb.

Egyetlen alkalmazottnak sem kötelessége önként pózolni és arcát adni (kivéve természetesen, ha ez a munkaszerződésében vagy a munkaköri leírásában szerepel), azaz az ő esetükben is mindig meg kell kérnünk a hozzájárulásukat a felvétel elkészítéséhez és nyilvánosságra hozásához. Ha nincs ilyen hozzájárulásunk (és utólag sem tudjuk azt beszerezni), akkor ezeket a képeket, videofelvételeket bizony le kell szednünk mind a hivatalos honlapunkról, mind a szervezetünk Facebook oldaláról és bármilyen más nyilvános helyről is. Arról pedig ne is beszéljünk, mi történik akkor, ha egyrészt elfelejtettünk hozzájárulást kérni a munkavállalónktól, másrészt pedig olyan felvételt engedünk szabadjára a neten, amely mélyen belegázol a privát szférájába, netalán sértő helyzetbe hozza őt például azzal, hogy rendezetlen ruhában, kócosan, piszkosan, netalán a kamerabeállítás miatt túlságosan vastag lábbal, eltorzult arccal tesszük közzé. Ha pedig még a porig alázott munkavállalónk kérése sem vagyunk hajlandóak eltávolítani a netről a felvételt, ne csodálkozzunk, ha pert akaszt a nyakunkba és sérelmi díjat követel azt sem bánva, ha emiatt elveszti az állását. Arra is nagyon kell ügyelnünk, ha a munkavállalónk nem járul hozzá ahhoz, hogy róla álló- vagy mozgókép készüljön és/vagy nyilvánosságra kerüljön, emiatt nem érheti semmilyen joghátrány, azaz nem diszkriminálhatjuk őt ezért és a bónuszát sem vonhatjuk meg.

Ügyfelekről, partnereinkről készült felvételek honlapokon, reklámkiadványokban

Amennyiben például egy állatorvos esetében a gazdi nincs rajta a képen csak a nagy, szőrös, tizenkettő egy tucat kinézetű négylábú kedvence, az állatorvos nem kezel személyes adatot. Ha a gazdi is ott van és látszik a képen, netalán olyan kutyája van, amelyről a tulajdonosa beazonosítható (lásd például mém-állatok, díjnyertes meg celeb-ebek stb.), akkor bizony az állatorvosnak kérnie kell a gazdi hozzájárulását a felvétel készítéséhez és nyilvánosságra hozatalához. Ugyanez vonatkozik arra az esetre is, amikor belső építészként a megbízásunk végeredményt akarjuk bemutatni úgy, hogy a minket megbízó ingatlantulajdonos kalauzolja végig a nézőt a lakásán, irodáján.

Rendezvényeken készült felvételek

A Hatóság álláspontja szerint a rendezvényen résztvevőket előzetesen, megfelelő formában, igazolhatóan tájékoztatnunk szükséges a felvételkészítésről és annak jogalapjáról (leginkább a meghívóban). Amennyiben a rendezvényre nem lehet belépni úgy, hogy a kép/videó készítése kizárható lenne, akkor önkéntes hozzájárulásról, mint adatkezelési jogalapról nem beszélhetünk, ebben az esetben például a mi, vagy harmadik személy jogos érdekére hivatkozva kezelhetjük az adatot. Ha pedig a jogos érdeket választjuk jogalapnak, akkor érdekmérlegelési tesztet kell végeznünk, illetve tájékoztatnunk kell a jogos érdekről a megjelenteket is. Az érdekmérlegelési tesztnek ki kell térni olyan körülményekre, amelyek az adatkezelés jogszerűségét támasztják alá (például az adatkezelés céljának és tárolási időnek a meghatározása stb.)

A Hatóság szerint nem életszerű, hogy nyilvános rendezvényeken történő felvételkészítések esetén a rendezvények megkezdése előtt minden részletre kiterjedő tájékoztatás nyújtsunk, inkább azt javasolja, hogy a rendezvény megkezdése előtt egy szóbeli, vagy a rendezvényt hirdető felületen egy írásbeli rövid tájékoztatás nyújtsunk

  • az adatkezelőről (ki vagyunk),
  • az adatkezelés céljáról (milyen célból és milyen felületen tesszük közzé vagy használhatjuk fel a felvételeket),
  • kiknek adhatjuk át a felvételeket,
  • az adatkezelés időtartamáról,
  • a felvételek elérhetőségének helyéről, továbbá arról, hogy
  • milyen módon kérheti azt az érintett személy, hogy a felvételt ne hozzuk nyilvánosságra, illetve
  • miként van lehetőség a felvétel törlésére, továbbá
  • a részletes és minden releváns tényt tartalmazó adatkezelési tájékoztatónkat hol ismerhetik meg az érintettek (például a honlapunkon).

Amennyiben nem tájékoztatható az érintett a kapcsolat hiánya miatt, akkor a személyes adatát tartalmazó felvételt vagy törölni vagy anonimizálni kell (azaz a felvételt személyazonosításra alkalmatlanná kell tenni, mint ahogy a Google street view-n szokták).