Modelovým případem je obchodní společnost, která se podílí na nějaké kulturní, společenské či sportovní akci a fotografie nebo videozáznam následně použije na svém webu. Ačkoliv pro tento postup může mít legitimní důvod (jako například vlastní propagaci, plnění závazku spolupořadatele apod.), nestačí to pro možnost takovéhoto zveřejnění. Tento článek neřeší případy, kdy je zveřejnění fotografie předmětem závazku obchodní společnosti vůči subjektu údajů, protože řešení takového případu není právně složité s ohledem na čl. 6 odst. 1 písm. b) GDPR..

Dle čl. 5 odst. 1 písm. b) GDPR musejí být osobní údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely s tím, že takovéto zpracování musí splňovat podmínky zákonnosti ve smyslu čl. 6 odst. 1 GDPR. Pokud nejde o důvod zpracování dle čl. 6 odst. 1 písm. b) GDPR[1], nezbude než vyžadovat souhlas subjektu údajů. Jiný důvod pro takovéto zpracování bude jen těžko použitelný.

Na první pohled by bylo možno použít národní legislativy v podobě zákona č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů (dále jen „o. z.“), zejména jeho ustanovení § 85 odst. 2 o. z., § 88 o. z., § 89 o. z.). Tato ustanovení umožňují v souladu se zákonem zveřejnění podobizny bez současného souhlasu dotčené osoby.

Avšak výše uvedené případy legálního použití podobizny člověka nelze vztáhnout na všechny případy. Zejména ne na modelový případ v úvodu tohoto článku. Ačkoliv podmínky pro aplikaci § 85 odst. 2 o. z. mohou být dány, je pravděpodobnější, že půjde o výjimku než o pravidlo. Navíc je třeba se připravit na situaci, kdy práva subjektu údajů budou posuzována obdobně jako práva slabších smluvních stran a výklad bude ve vztahu ke správci či zpracovateli restriktivní. Stejně tak bude obtížně doložitelný úřední účel nebo veřejný zájem.

Bude tak na každém správci či zpracovateli, aby si velmi důsledně posoudil, zda fotografie a videa může zveřejnit a za jakých podmínek. Zpravidla se to bez souhlasu neobejde, a proto je třeba míti na paměti, že správce musí být schopen existenci souhlasu a jeho náležitostí (čl. 7 GDPR) kdykoliv doložit, musí řešit proces odvolání souhlasu (čl. 7 odst. 3 GDPR) a smazání (čl. 17 GDPR). Dále by měl mít k dispozici poučení pro subjekt údajů obsahující všechna nezbytná poučení a návody dle čl. 12 odst. 1 GDPR a na ně navazující ustanovení.

Z výše uvedeného je zřejmé, že existují situace, kdy pro zveřejnění nebude souhlas subjektu údajů vyžadován. Nicméně půjde spíše o výjimky než o pravidla a proces pro legální získání souhlasu a udržení možnosti zpracování bude poměrně složitý. Je tak na zváženou, zda se vyplatí tyto osobní údaje zveřejňovat. Reálným rizikem je uložení sankce dle čl. 83 odst. 5 písm. a) GDPR za nezískání či neschopnost prokázání existence souhlasu s horní hranicí pokuty až 20.000.000 EUR či 4 % ročního obratu.




Mgr. Miroslav Galvas,
advokát


ARROWS advokátní kancelář, s.r.o.  

V Jámě 1
110 00  Praha 1

Tel.:    +420 910 058 058
e-mail:    office@arws.cz
 

_________________________________
[1] Zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů.


© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz