Wizerunek osoby fizycznej jest niewątpliwie daną osobową i jego przetwarzanie należy rozpatrywać na gruncie przepisów dotyczących ochrony danych osobowych. Przetwarzanie wizerunku jest zgodne z prawem, wtedy gdy spełniony jest co najmniej jeden z warunków określonych w art. 6 ust. 1 RODO.
Dane osobowe, które pracodawca obowiązkowo zbiera od pracownika wskazany jest w art. 221 § 1-3 Kodeksu pracy. Ponadto § 4 określa, że pracodawca może żądać od pracownika podania innych danych osobowych niż określone w § 1 i 3 (jak m.in. imię, nazwisko, adres zamieszkania, numer PESEL), gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Z przepisu tego nie wynika wprost, że pracownik musi udostępnić swój wizerunek, ale często jest to niezbędne do wykonywania obowiązków służbowych. Podstawą przetwarzania będzie w tym przypadku art. 6 ust. 1 lit. b RODO (przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą). Wówczas można powołać się na tę podstawę i zamieścić wizerunek pracownika, który pełni funkcję np. rzecznika prasowego. Umowę o pracę można doprecyzować za pomocą regulaminu pracy czy zakresu obowiązków.
Kiedy może?
Informacje o pracowniku takie jak: imię i nazwisko, stanowisko, służbowy adres e-mail są ściśle związane z życiem zawodowym pracownika i z wykonywaniem przez niego obowiązków służbowych. Dane te mogą być wykorzystywane (np. udostępniane na stronie internetowej) przez pracodawcę nawet bez zgody pracownika, którego one dotyczą.
Gdy przetwarzanie wizerunku pracownika następuje w innych celach niż w zakresie realizacji jego obowiązków służbowych uregulowanych w dokumentach, wówczas można rozważać zastosowanie przesłanki zgody (art. 6 ust. 1 lit. a RODO).
Jest to uregulowane w 221a § 1 Kodeksu pracy, gdzie wskazuje się, iż zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO (danych osobowych dotyczących wyroków skazujących i naruszeń prawa).
Kiedy nie może?
Zatem, gdy do wizerunku pracownika mają dostęp osoby spoza firmy, ale nie jest to immanentnie związane z realizacją stosunku pracy, niezbędne jest udzielenie przez pracownika dobrowolnej zgody.
Zgoda na wykorzystanie wizerunku nie jest potrzebna, gdy wizerunek jest przetwarzany tylko na potrzeby wewnętrznej komunikacji, np. zdjęcie pracownika jest umieszczone w firmowym intranecie, do którego ma dostęp tylko określony krąg osób, tj. pracownicy, którzy znają się nawzajem, oraz z uwagi na cel, jaki przyświeca tego typu działaniom pracodawcy, jakim jest usprawnienie procesu zarządzania oraz wewnętrznej komunikacji w firmie.
Takie działanie będzie się mieściło w granicach jego prawnie uzasadnionego interesu, zgodnie z art. 6 ust. 1 lit. f) RODO. Gdyby jednak w ocenie pracownika wspomniana praktyka godziła w jego dobro, może on skorzystać z unormowań art. 21 ust. 1) RODO regulującego prawo do sprzeciwu z przyczyn związanych ze szczególną sytuacją takiej osoby, a pracodawca ma obowiązek indywidualnie go rozpatrzyć.
Powyższe zasady można także zastosować do wykorzystania wizerunku pracownika w systemach informatycznych i aplikacjach używanych do komunikacji oraz w skrzynce mailowej, gdy dostęp do zdjęcia posiadają osoby spoza firmy.
Przy pobieraniu zgody od pracownika należy mieć na uwadze to, aby udzielona zgoda była zgodna z wytycznymi wskazanymi w RODO (art. 7 RODO):
Oświadczenie o wyrażeniu zgody musi być wyraźne, w zrozumiałej i łatwo dostępnej formie.
Osoba, której dane dotyczą, ma prawo wycofać zgodę w dowolnym momencie oraz musi być poinformowana o tym, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
Zgoda musi być dobrowolna. Od wyrażenia zgody nie może być uzależnione wykonanie umowy, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.
Zgoda na przetwarzanie danych musi wymieniać w treści podmiot, który będzie przetwarzał dane.
Zgoda dobrowolna
Należy przede wszystkim zaznaczyć, że zgoda musi być udzielona dobrowolnie, a zatem pracownik ma możliwość odmowy jej udzielenia i nie spotkają go z tego powodu żadne negatywne konsekwencje. Warto dodać, że zgoda może być odwołana przez pracownika w każdym czasie.
Jeśli pracownik odmówi udzielenia zgody na wykorzystanie jego zdjęcia w mediach czy aplikacjach używanych do komunikacji, wówczas należy zastosować inny sposób weryfikacji pracownika jeśli jest on niezbędny, np. umieszczenie dodatkowych danych.
W zgodzie trzeba wymienić, gdzie dokładnie będziemy umieszczać wizerunek pracownika – nazwa strony internetowej, portalu, aplikacji czy systemu informatycznego. Ponadto zgoda na przetwarzanie wizerunku powinna być określona czasowo.
Konieczne jest także spełnienie obowiązku informacyjnego (zgodnie z art. 13-14 RODO) wobec każdej osoby fizycznej, której dane dotyczą, podczas zbierania danych osobowych. Osoba, której zdjęcie jest pobierane powinna być poinformowana o przetwarzaniu jej danych osobowych już na tym etapie. Istotne jest udokumentowanie spełnienia obowiązku informacyjnego, tak aby w razie potrzeby była możliwość wykazania spełnienia go.
Podkreślenia wymaga tutaj informacja, że to na administratorze — pracodawcy spoczywa obowiązek każdorazowej oceny podstawy przetwarzania danych w indywidualnych przypadkach dla każdego stanowiska. Przede wszystkim należy zwrócić uwagę na zasady dotyczące przetwarzania danych osobowych określone w art. 5 RODO, które mają charakter podstawowy w odniesieniu do całej regulacji. Przetwarzanie danych osobowych musi być zawsze zgodne z tymi zasadami.
W kwestii przetwarzania wizerunku pracownika należy szczególnie mieć na uwadze:
Zasadę minimalizacji danych – należy przetwarzać tylko zakres danych osobowych jaki jest niezbędny do realizacji celu, w którym są one przetwarzane;
Zasadę poufności – przetwarzanie danych osobowych odbywa się w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem;
Zasadę ograniczonego przechowywania – dane osobowe mogą być przechowywane tylko przez okres nie dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane. Pracodawca powinien pamiętać, aby usuwać wizerunki pracowników, którzy zakończyli współpracę. W tym celu można stworzyć procedury i osoby odpowiedzialne za terminową aktualizację zdjęć dostępnych osobom spoza firmy. Trzeba pamiętać, że zgoda pracownika nie uprawnia do bezterminowego udostępniania wizerunku osoby fizycznej.
Zasadę rozliczalności – administrator jest odpowiedzialny za przestrzeganie wszystkich zasad w trakcie przetwarzania danych osobowych i musi być w stanie wykazać ich przestrzeganie. Na pracodawcy ciąży zatem ciężar dowodowy, czyli konieczność udokumentowania przestrzegania wszystkich zasad przetwarzania danych osobowych.
