RODO fotografia: termin na pismo i skutki zwłoki

W dobie powszechnej cyfryzacji i mediów społecznościowych, fotografia przestała być jedynie pamiątką czy dziełem artystycznym, a stała się jednym z najczęstszych nośników danych osobowych. Publikacja wizerunku osoby fizycznej bez jej zgody lub wbrew jej woli rodzi poważne konsekwencje prawne na gruncie Ogólnego Rozporządzenia o Ochronie Danych (RODO). Gdy osoba, której wizerunek utrwalono na zdjęciu, kieruje do administratora danych wniosek o usunięcie fotografii lub zaprzestanie jej rozpowszechniania, czas zaczyna płynąć na niekorzyść podmiotu przetwarzającego te dane. W niniejszym artykule szczegółowo analizujemy, jakie terminy obowiązują administratora na udzielenie odpowiedzi, jak prawidłowo sformułować pismo zwrotne oraz jakie drastyczne skutki finansowe i prawne niesie za sobą zwłoka w realizacji tych obowiązków.

Wizerunek na fotografii jako dane osobowe w świetle RODO

Przed przeanalizowaniem samych terminów, kluczowe jest zrozumienie, kiedy fotografia w ogóle podlega przepisom o ochronie danych osobowych. Zgodnie z art. 4 pkt 1 RODO, danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Wizerunek człowieka, utrwalony na zdjęciu w sposób umożliwiający jego jednoznaczną identyfikację (np. poprzez widoczne rysy twarzy, znaki szczególne, a także kontekst sytuacyjny czy towarzyszące opisy), bez wątpienia stanowi dane osobowe.

Warto również odróżnić zwykłe przetwarzanie wizerunku od przetwarzania danych biometrycznych (art. 9 RODO). Sama fotografia nie zawsze jest daną biometryczną. Staje się nią dopiero wtedy, gdy jest przetwarzana za pomocą specjalnych metod technicznych umożliwiających jednoznaczną identyfikację lub uwierzytelnienie tożsamości osoby fizycznej (np. w systemach rozpoznawania twarzy). Niemniej jednak, każda fotografia przedstawiająca możliwego do zidentyfikowania człowieka podlega ogólnym zasadom RODO, co nakłada na administratora szereg obowiązków, w tym konieczność posiadania odpowiedniej podstawy prawnej (np. zgody na podstawie art. 6 ust. 1 lit. a RODO lub prawnie uzasadnionego interesu na podstawie art. 6 ust. 1 lit. f RODO).

Prawa osób przedstawionych na zdjęciach i ich realizacja

Osoba, której wizerunek został utrwalony i opublikowany, dysponuje szerokim katalogiem uprawnień. Najczęstszymi żądaniami kierowanymi do administratorów (np. agencji marketingowych, pracodawców, portali internetowych, fotografów) są:

Wycofanie zgody na przetwarzanie danych (art. 7 ust. 3 RODO) – jeśli podstawą publikacji była zgoda, osoba ta może ją wycofać w dowolnym momencie, co powoduje, że dalsze przetwarzanie (np. utrzymywanie zdjęcia na stronie internetowej) staje się bezprawne.
Prawo do usunięcia danych, znane jako „prawo do bycia zapomnianym” (art. 17 RODO) – osoba żąda trwałego usunięcia fotografii z serwerów, baz danych oraz nośników.
Prawo do sprzeciwu (art. 21 RODO) – w przypadku, gdy przetwarzanie opiera się na prawnie uzasadnionym interesie administratora (np. dokumentowanie wydarzeń publicznych w celach promocyjnych), osoba może wnieść sprzeciw z przyczyn związanych z jej szczególną sytuacją.

Każde z tych żądań obliguje administratora do podjęcia konkretnych działań i udzielenia formalnej odpowiedzi.

Termin na odpowiedź na wniosek – kluczowy obowiązek administratora

Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić osobie, której dane dotyczą, informacji o działaniach podjętych w związku z jej wnioskiem. Kluczowym pojęciem jest tu działanie bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania.

Co oznacza bez zbędnej zwłoki? Jest to zwrot niedookreślony, który w praktyce oznacza, że administrator powinien zająć się sprawą natychmiast, gdy jest to technicznie i organizacyjnie możliwe. Miesięczny termin jest terminem maksymalnym, a nie domyślnym czasem oczekiwania. Jeśli sprawa jest prosta (np. usunięcie jednego zdjęcia z profilu na Facebooku), zwlekanie z tym przez pełne 30 dni może zostać uznane za naruszenie zasady rzetelności.

Jak liczyć termin miesiąca? Zgodnie z unijnymi zasadami interpretacji terminów, termin ten upływa z dniem, który nazwą lub datą odpowiada dniowi, w którym wniosek został odebrany. Jeśli wniosek wpłynął 15 marca, termin na odpowiedź upływa 15 kwietnia. Jeżeli w danym miesiącu nie ma takiego dnia (np. wniosek z 31 sierpnia), termin upływa w ostatnim dniu tego miesiąca (30 września).

Przedłużenie terminu. RODO przewiduje możliwość przedłużenia miesięcznego terminu o kolejne dwa miesiące (łącznie do trzech miesięcy). Jest to jednak dopuszczalne wyłącznie w sytuacjach wyjątkowych, uzasadnionych skomplikowanym charakterem żądania lub dużą liczbą wniosków. Aby skutecznie przedłużyć ten termin, administrator musi w ciągu pierwszego miesiąca od otrzymania wniosku poinformować osobę o przedłużeniu oraz podać konkretne, merytoryczne przyczyny opóźnienia. Brak takiego powiadomienia w ciągu pierwszego miesiąca stanowi bezpośrednie naruszenie przepisów RODO.

Relacja między RODO a prawem autorskim (art. 81 prawa autorskiego)

W polskim porządku prawnym ochrona wizerunku jest uregulowana dwutorowo: przez ustawę o prawie autorskim i prawach pokrewnych oraz przez RODO. Zgodnie z art. 81 prawa autorskiego, rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. Ustawa ta przewiduje jednak wyjątki, np. gdy osoba otrzymała umówioną zapłatę za pozowanie, gdy chodzi o osobę powszechnie znaną wykonującą funkcje publiczne, lub gdy osoba stanowi jedynie szczegół całości (np. zgromadzenia, krajobrazu).

Wielu administratorów błędnie zakłada, że jeśli zachodzi jeden z wyjątków z prawa autorskiego (np. zdjęcie przedstawia tłum na imprezie masowej), to przepisy RODO są całkowicie wyłączone. To błędne podejście. RODO ma zastosowanie zawsze, gdy dochodzi do przetwarzania danych osobowych. Nawet jeśli prawo autorskie zezwala na rozpowszechnianie zdjęcia bez zgody (ponieważ osoba jest częścią tłumu), to w przypadku, gdy ta osoba zostanie zidentyfikowana i wniesie sprzeciw na podstawie art. 21 RODO, administrator musi dokonać oceny, czy jego prawnie uzasadniony interes (np. relacjonowanie wydarzenia) przeważa nad prawami i wolnościami tej osoby. Relacja między tymi dwoma aktami prawnymi bywa skomplikowana, jednak orzecznictwo stoi na stanowisku, że RODO nakłada niezależne obowiązki administracyjne, których niedopełnienie (np. brak odpowiedzi na sprzeciw w terminie) jest samodzielną podstawą do nałożenia kary przez PUODO.

Jak prawidłowo sformułować i wysłać pismo (odpowiedź)

Odpowiedź na wniosek dotyczący fotografii powinna być jasna, przejrzysta i sformułowana prostym językiem. Administrator powinien przekazać informację w takiej samej formie, w jakiej wpłynęło żądanie (np. elektronicznie, jeśli wniosek przyszedł e-mailem), chyba że osoba zażądała innej formy.

Pismo powinno zawierać:

Jednoznaczne określenie tożsamości administratora oraz osoby wnioskującej.
Wskazanie, jakie działania zostały podjęte (np. odpowiedź potwierdzająca usunięcie fotografii ze wskazanych adresów URL).
W przypadku odmowy realizacji żądania – szczegółowe uzasadnienie prawne i faktyczne odmowy.
Pouczenie o prawie do wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych) oraz o prawie do podjęcia środków ochrony prawnej przed sądem powszechnym. Brak tego pouczenia przy odmowie jest rażącym błędem proceduralnym.

Zasada rozliczalności (art. 5 ust. 2 RODO)

Jedną z fundamentalnych zasad RODO jest zasada rozliczalności. Oznacza ona, że administrator nie tylko musi przestrzegać przepisów o ochronie danych, ale musi być również w stanie wykazać (udowodnić) to przestrzeganie przed organem nadzorczym. W kontekście wniosków dotyczących fotografii, zasada rozliczalności wymaga prowadzenia dokładnej dokumentacji. Każde wpłynięcie wniosku powinno zostać odnotowane w wewnętrznym rejestrze. W rejestrze tym należy zapisać: datę wpływu wniosku, dane wnioskodawcy, treść żądania, datę udzielenia odpowiedzi oraz sposób załatwienia sprawy. Kopie korespondencji z wnioskodawcą powinny być przechowywane przez okres przedawnienia ewentualnych roszczeń, aby w razie kontroli PUODO lub pozwu sądowego administrator mógł udowodnić, że dochował miesięcznego terminu.

Co zrobić, gdy identyfikacja osoby na zdjęciu jest utrudniona?

Częstym problemem przy wnioskach dotyczących fotografii jest sytuacja, w której wnioskodawca pisze: proszę usunąć moje zdjęcia z Państwa galerii, ale galeria zawiera tysiące zdjęć, a administrator nie jest w stanie rozpoznać wnioskodawcy po nazwisku czy adresie e-mail. Zgodnie z art. 11 RODO, jeżeli cele przetwarzania nie wymagają lub już nie wymagają zidentyfikowania przez administratora osoby, której dane dotyczą, administrator nie ma obowiązku zachowywania, uzyskiwania ani przetwarzania dodatkowych informacji w celu zidentyfikowania tej osoby. W takim przypadku administrator powinien poinformować wnioskodawcę, że nie jest w stanie go zidentyfikować, i poprosić o wskazanie konkretnych fotografii oraz o potwierdzenie tożsamości. Co ważne, w momencie poinformowania wnioskodawcy o niemożności identyfikacji, bieg miesięcznego terminu ulega zawieszeniu do czasu dostarczenia przez wnioskodawcę niezbędnych informacji.

Skutki zwłoki i braku odpowiedzi na wniosek

Ignorowanie pism obywateli lub przekroczenie ustawowych terminów niesie za sobą poważne konsekwencje prawne, finansowe i wizerunkowe.

Postępowanie przed PUODO: Osoba, której wniosek został zignorowany, może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Organ ten wszczyna wówczas postępowanie administracyjne. W jego toku PUODO może nakazać administratorowi spełnienie żądania, a także nałożyć administracyjną karę pieniężną.
Kary finansowe: Zgodnie z art. 83 ust. 5 lit. b RODO, naruszenie praw osób, których dane dotyczą, podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Choć w polskich realiach kary za pojedyncze zdjęcia rzadko osiągają maksymalne pułapy, to kary rzędu kilku lub kilkunastu tysięcy złotych dla małych i średnich firm są realnym i często stosowanym środkiem dyscyplinującym.
Odpowiedzialność cywilna i odszkodowania: Na mocy art. 82 RODO, każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów rozporządzenia, ma prawo uzyskać od administratora odszkodowanie. Bezprawne rozpowszechnianie wizerunku i zwłoka w jego usunięciu mogą prowadzić do naruszenia dóbr osobistych, co otwiera drogę do sądowych żądań zadośćuczynienia finansowego na drodze cywilnej.
Straty wizerunkowe: W dobie internetu publiczne piętnowanie firm ignorujących prawa użytkowników może przynieść gigantyczne straty wizerunkowe, znacznie przewyższające same kary finansowe.

Praktyczny przykład procedowania wniosku o usunięcie fotografii

Wyobraźmy sobie sytuację, w której lokalna szkoła językowa zorganizowała event promocyjny i opublikowała na swojej stronie internetowej oraz na Facebooku zdjęcia uczestników. Jeden z uczestników, pan Jan, nie wyrażał zgody na publikację swojego wizerunku. Dnia 10 maja Pan Jan wysyła e-mail do szkoły z żądaniem usunięcia wszystkich zdjęć, na których się znajduje. Szkoła językowa ma obowiązek niezwłocznie zidentyfikować zdjęcia i tymczasowo je ukryć lub od razu usunąć. Najpóźniej do 10 czerwca musi wysłać do pana Jana oficjalną odpowiedź e-mailową, potwierdzającą usunięcie fotografii ze wszystkich nośników cyfrowych oraz ewentualnych kopii zapasowych. Gdyby szkoła zignorowała ten e-mail, a pan Jan złożył skargę do UODO w lipcu, szkoła musiałaby tłumaczyć się przed organem nadzorczym, co niemal na pewno zakończyłoby się upomnieniem lub karą finansową za rażące niedopełnienie obowiązków informacyjnych i terminowych.

Najczęstsze błędy popełniane przez administratorów

W praktyce obrotu prawnego administratorzy danych popełniają szereg powtarzających się błędów, które narażają ich na odpowiedzialność prawną:

Błędne przekonanie, że wniosek musi być złożony na piśmie z podpisem własnoręcznym. RODO nie narzuca formy wniosku – e-mail, wiadomość na portalu społecznościowym, a nawet zgłoszenie ustne są w pełni wiążące.
Żądanie skanu dowodu osobistego w celu weryfikacji tożsamości. Jest to działanie nadmiarowe i sprzeczne z zasadą minimalizacji danych.
Brak procedur wewnętrznych. Pracownicy odbierający pocztę elektroniczną często nie wiedzą, że e-mail o treści proszę usunąć moje zdjęcie to wniosek w trybie RODO, przez co pismo trafia do kosza.
Zasłanianie się prawem autorskim. Wielu fotografów uważa, że skoro są autorami zdjęcia, to RODO ich nie dotyczy. To błąd – obie te sfery prawne muszą być respektowane niezależnie.

Podsumowanie i rekomendacje dla fotografów oraz firm

Zarządzanie bazą fotografii w firmie lub działalności fotograficznej wymaga ścisłego przestrzegania procedur RODO. Każde żądanie usunięcia wizerunku powinno być traktowane priorytetowo. Kluczowe jest przeszkolenie personelu, stworzenie rejestru wniosków oraz wypracowanie szablonów odpowiedzi. Pamiętajmy, że czas na reakcję to maksymalnie jeden miesiąc, a każda zwłoka bez jasnego uzasadnienia i poinformowania wnioskodawcy może skutkować dotkliwymi karami finansowymi ze strony PUODO oraz procesami cywilnymi. Dbanie o prawa osób, których wizerunek przetwarzamy, to nie tylko obowiązek prawny, ale także element budowania profesjonalnego i godnego zaufania wizerunku na rynku.