Czy wizerunek to dana osobowa i kiedy warto o tym pamiętać?

Wizerunek może być daną osobową zawsze wtedy, gdy pozwala zidentyfikować konkretną osobę, a jeśli tak się dzieje, jego wykonanie, zapis, przechowywanie i publikacja to przetwarzanie danych zgodnie z RODO [1][2][3][4]. Nie każda utrwalona postać człowieka spełni to kryterium, ale gdy rozpoznawalność wynika z samego obrazu lub w powiązaniu z innymi informacjami, obowiązują zasady ochrony danych osobowych [1][2].

Równolegle wizerunek pozostaje chronionym dobreem osobistym na gruncie prawa cywilnego, a w środowisku cyfrowym szczególne znaczenie ma ochrona wizerunku dzieci [1][5]. Gdy wizerunek służy do jednoznacznej identyfikacji z użyciem technik rozpoznawania, wchodzi w zakres danych biometrycznych i podlega surowszym wymogom [1][6].

RODO definiuje dane osobowe jako informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania. Wizerunek mieści się w tej definicji, jeśli samodzielnie albo łącznie z innymi informacjami umożliwia przypisanie obrazu do konkretnej osoby fizycznej [1][3]. Oznacza to, że rozstrzygające jest kryterium rozpoznawalności, a nie techniczna forma utrwalenia [1][2].

Jeżeli z utrwalonego obrazu da się ustalić tożsamość, dochodzi do przetwarzania danych osobowych wymagającego podstawy prawnej i spełnienia obowiązków z RODO [1][3][4]. Jeśli identyfikacja nie jest możliwa w rozsądny sposób, wizerunek nie będzie w danej sytuacji daną osobową [1][2].

O podleganiu RODO decyduje to, czy osoba na obrazie jest rozpoznawalna bezpośrednio lub pośrednio, także przy użyciu innych dostępnych danych lub kontekstu. Gdy odpowiedź brzmi tak, zastosowanie mają przepisy o ochronie danych osobowych [1][2][7]. Brak podpisu z imieniem i nazwiskiem nie wyłącza ochrony, jeżeli odbiorcy potrafią powiązać obraz z konkretną osobą [7][8].

Za przetwarzanie uznaje się cały cykl operacji na wizerunku, w tym wykonanie, zapis, kopiowanie, udostępnianie, publikację, archiwizację i usuwanie. Każda z tych czynności wymaga legalnej podstawy oraz przestrzegania zasad RODO [3][4][9].

Identyfikacja może być bezpośrednia, gdy cechy obrazu wystarczają do rozpoznania, albo pośrednia, kiedy rozpoznawalność powstaje po zestawieniu z innymi informacjami. W praktyce znaczenie mają elementy wyglądu, oznaczenia, otoczenie, rola osoby czy informacje dostępne w powiązanych kanałach komunikacji [1][2][7][8]. Im silniejsza rozpoznawalność, tym większe prawdopodobieństwo, że wizerunek zostanie uznany za dane osobowe [1][7].

Przetwarzanie w rozumieniu RODO to każda operacja wykonywana na danych osobowych, niezależnie od narzędzi i celu. W odniesieniu do wizerunku obejmuje to utrwalenie obrazu, organizowanie, przechowywanie, modyfikowanie, udostępnianie, publikowanie, profilowanie, a także usuwanie. Każda z tych czynności wymaga zgodności z zasadami legalności, minimalizacji, ograniczenia celu i integralności danych [3][4][9].

Trzeba wyraźnie odróżnić zgodę w rozumieniu prawa do wizerunku jako dobra osobistego od podstawy prawnej przetwarzania danych. Zgoda cywilnoprawna dotyczy upoważnienia do rozpowszechniania wizerunku, natomiast przesłanki z art. 6 RODO określają legalność operacji na danych osobowych. W konkretnym przypadku może być potrzebna zarówno zgoda w zakresie prawa do wizerunku, jak i właściwa podstawa z RODO, ale są to odrębne reżimy [1][10].

Jeśli wizerunek jest daną osobową, administrator musi wskazać odpowiednią przesłankę przetwarzania, spełnić obowiązki informacyjne, wdrożyć zasadę minimalizacji oraz zapewnić bezpieczeństwo danych. Wybór między zgodą na przetwarzanie a inną podstawą prawną powinien wynikać z analizy celu, niezbędności oraz oczekiwań osoby, której dane dotyczą [2][4][10].

Ryzyko naruszeń rośnie, gdy wizerunek jest wykorzystywany w celach zawodowych, komercyjnych, promocyjnych lub organizacyjnych, ponieważ łatwiej o rozpoznawalność i szeroki zasięg. W takich sytuacjach częściej dochodzi do przetwarzania w rozumieniu RODO i do powstania obowiązków po stronie administratora [4][9].

Szczególną uwagę należy zwrócić na środowisko internetowe, gdzie publikacja radykalnie zwiększa krąg odbiorców i skutki ewentualnego błędu. UODO podkreśla w tym kontekście ochronę wizerunku osób małoletnich, łącząc wymiar prywatności i ochrony danych osobowych [9][5].

Brak podpisu i innych bezpośrednich oznaczeń nie wyłącza ochrony, jeśli osoba jest rozpoznawalna dla odbiorców lub można ją zidentyfikować przez kontekst. Dlatego ocena musi obejmować nie tylko sam obraz, ale także to, jakie informacje i zależności pozostają w zasięgu typowego odbiorcy [7][8].

Wizerunek jest chronionym dobrem osobistym niezależnie od tego, czy stanowi daną osobową. Ochrona cywilnoprawna działa równolegle z reżimem RODO, co w praktyce oznacza możliwość kumulacji wymogów i odpowiedzialności. Ma to znaczenie zwłaszcza przy publicznym utrwalaniu i rozpowszechnianiu, a także w kontekście osób małoletnich, gdzie UODO akcentuje konieczność szczególnej ostrożności [1][5].

Gdy wizerunek jest przetwarzany przy użyciu technik służących do jednoznacznej identyfikacji osoby, może wejść w zakres danych biometrycznych. Taka kwalifikacja pociąga za sobą reżim danych szczególnych kategorii i dodatkowe wymogi, w tym ograniczone podstawy legalności przetwarzania oraz wzmocnione środki bezpieczeństwa [1][6].

Administrator powinien przeprowadzić ocenę, która koncentruje się na rozpoznawalności, celu, skali udostępnienia, podstawie prawnej i ryzyku dla praw i wolności osoby. W praktyce pomocna jest lista kontrolna oparta na zasadach RODO [2][4][10]:

• Ustal, czy osoba na obrazie jest rozpoznawalna samodzielnie lub po połączeniu z innymi informacjami [1][2][7].
• Określ cel i niezbędność utrwalenia oraz zakres planowanego udostępniania, w tym kanały publikacji [4][9].
• Wskaż właściwą podstawę z art. 6 RODO i rozważ, czy oprócz tego wymagana jest zgoda w rozumieniu prawa do wizerunku [1][10].
• Spełnij obowiązki informacyjne, zastosuj zasadę minimalizacji i adekwatnego okresu przechowywania [2][4][10].
• Zapewnij środki bezpieczeństwa i możliwość realizacji praw osoby, której dane dotyczą [3][9][10].

Odpowiedź na pytanie, czy wizerunek to dana osobowa, sprowadza się do kryterium identyfikacji. Jeśli obraz pozwala rozpoznać osobę samodzielnie albo z pomocą innych informacji, zastosowanie mają przepisy RODO, w tym wymóg podstawy prawnej, obowiązki informacyjne i zasada minimalizacji. Równolegle wizerunek jest chronionym dobreem osobistym, a w środowisku cyfrowym szczególna ochrona dotyczy osób małoletnich. Gdy wizerunek służy do jednoznacznej identyfikacji technicznej, może stać się daną biometryczną, co wymaga podwyższonych zabezpieczeń i ostrożności [1][2][3][5][6].