Az általános adatvédelmi rendelet (GDPR) fogalom-meghatározása alapján személyes adat az érintettre vonatkozó bármely információ, amely alapján az érintett azonosítható. Így például egy olyan fénykép is személyes adatnak minősül, amelyen az érintett szerepel vagy amely alapján az érintett egyértelműen azonosítható. Továbbá e képfelvételek elkészítése és bármely módon történő felhasználása, nyilvánosságra hozatala adatkezelésnek minősül. Az előbbiekre tekintettel tehát a fényképek elkészítése és felhasználása során a Polgári Törvénykönyv (Ptk.) vonatkozó rendelkezései mellett a GDPR-ban foglalt követelményeket is szem előtt kell tartani.

A fentiek nyomán az is egyértelmű, hogy ha egy fényképen érintett személy nem azonosítható, akkor a fénykép nem minősül személyes adatnak, így arra a GDPR hatálya sem terjed ki.

Fényképek elkészítése illetve felhasználása (Adatkezelés) jogszerűen akkor végezhető, amennyiben az adatkezelő ahhoz megfelelő jogalappal rendelkezik. Megfelelő jogalap lehet:

- ha az adatkezelő az érintett személy hozzájárulását kéri vagy,

- ha jogos érdek érvényesítéséhez szükséges.

.

A GDPR alapján a hozzájárulás akkor jogszerű, amennyiben az az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánításának minősül, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez, azaz jelen esetben a fénykép elkészítéséhez, valamint adott esetben annak felhasználásához. Fontos kiemelni, munkaviszonyban azonban csak kivételes esetben alapulhat az adatkezelés a munkavállaló hozzájárulásán.

A jogszerű hozzájárulás érdekében az érintett számára biztosítani kell, hogy bármely hátrány vagy kár nélkül dönthessen úgy, hogy nem kíván szerepelni a fényképen, vagy nem járul hozzá annak felhasználásához.

A hozzájárulás megadását nem lehet olyan szerződés teljesítése, szolgáltatás nyújtása feltételévé szabni, amelyhez a fényképek készítése vagy felhasználása nem szükséges. Például egy rendezvény során amennyiben a fotózás, valamint a felvételek felhasználása az érintett hozzájárulása alapján történik, biztosítani kell a résztvevők számára, hogy a hozzájárulás megtagadása esetén is részt vehessenek az adott rendezvényen. A hozzájárulást megtagadó részvevőket megkülönböztető jelzéssel kell ellátni (pl. egy matrica felragasztása a ruhára), valamint az adatkezelő megfelelő módon tájékoztatja a fotóst annak érdekében, hogy e személyekről semmilyen esetben se készüljön fénykép.

Lényeges követelmény továbbá, hogy az érintettnek lehetősége legyen az egyes adatkezelési műveletekhez (fényképek elkészítése, fényképek adott módon történő felhasználása) külön-külön hozzájárulni. A bírósági gyakorlat is megerősíti, hogy a felvétel elkészítéséhez adott hozzájárulás semmilyen esetben sem jelentheti egyben a felhasználáshoz való hozzájárulást.

Annak érdekében, hogy a fénykép felhasználásához adott hozzájárulás teljes mértékben megfeleljen a GDPR rendelkezéseinek, az adatkezelőnek biztosítania kellene az érintett számára a lehetőséget, hogy az őt ábrázoló fotót a felhasználást megelőzően megtekinthesse, a fényképen esetlegesen szereplő más személyek jogainak tiszteletben tartása mellett.

A fényképek elkészítése és felhasználása jogszerűségének megítélése esetén nem szabad figyelmen kívül hagyni a Ptk. vonatkozó rendelkezéseit sem, amelyek alapján képmás elkészítéséhez és felhasználásához az érintett hozzájárulása szükséges, kivéve tömegfelvétel és nyilvános közéleti szereplésről készült felvétel esetén. A bírói gyakorlat szerint tömegfelvételnek minősül a fénykép, amennyiben azon emberek sokasága látható, illetve, ha az ábrázolt személyek nem egyedi személyekként, hanem mint a tömeg részei láthatók (pl.: nyilvános munkahelyi rendezvényen készült fénykép, ahol az ábrázolás módja nem egyedi vagy egy előadás közönségét ábrázoló kép). A tömegből való kiemelés azonban, történjen bármilyen rögzítés-technikai eszközzel, a képmást újra individualizálja, azaz egyedivé teszi, és ez esetben már az érintett hozzájárulása szükségessé válik. Ugyanez vonatkozik arra az esetre is, amikor a tömegfelvételből utólagos szerkesztéssel kerül sor az egyediesítésre. Megfelelő jogalap azonban tömegfelvétel esetében is elengedhetetlen. Egy adott fénykép tömegfelvételként történő minősítése esetenként külön-külön ítélendő meg.

A hozzájáruláson alapuló adatkezelések tekintetében biztosítani kell, hogy az érintett bármikor visszavonhassa hozzájárulását. A hozzájárulás visszavonásának lehetőségét ugyanolyan egyszerű módon szükséges biztosítani, mint ahogy annak megadására sor kerülhetett. Amennyiben az érintett visszavonja hozzájárulását, az adatkezelő a továbbiakban nem használhatja fel az érintettről készült képeket, kivéve, ha e tekintetben más jogalap rendelkezésére áll.

Szükséges kiemelni, hogy a Hatóság állásfoglalása ellenére a Ptk. továbbra is az érintett hozzájárulásához köti a fényképek elkészítését és felhasználását. A Ptk. a hozzájárulás formáját azonban nem szabályozza, így az ráutaló magatartással is megadható. Amennyiben azonban a fényképek elkészítésének illetve felhasználásának jogalapja a GDPR 6. cikk (1) a) pontja szerinti hozzájárulás, úgy a ráutaló magatartás nem minden esetben elégíti ki a hozzájárulás GDPR-ban foglalt feltételeit (a ráutaló magatartásnak tevőlegesnek kell lennie, így a hallgatás nem minősül elegendőnek), továbbá az adatkezelőt számos további kötelezettség is terheli annak érdekében, hogy a hozzájáruláson alapuló gyakorlata jogszerű legyen. Ilyen kötelezettségnek minősül különösen, hogy az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett hozzájárulását adta az adatkezeléshez. Ebből kifolyólag a ráutaló magatartással adott hozzájárulás alapján nem javasolt személyes adatokat kezelni, hiszen a hozzájárulás megadását az adatkezelő a későbbiek során nem lesz képes megfelelő módon igazolni.

A Nemzeti Adatvédelmi és Információszabadság Hatóság („NAIH” vagy „Hatóság”) NAIH/2019/2528. számú állásfoglalása alapján a fényképek készítése illetve felhasználása hozzájárulás hiányában is jogszerűnek minősülhet, amennyiben az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé (különösen, ha az érintett gyermek).

A jogos érdek jogalapon nyugvó adatkezelések érdekmérlegelési teszt lefolytatását teszik szükségessé, amelyben egyértelműen kifejtendő, hogy melyik adatkezelési művelet elvégzéséhez milyen jogos érdeke fűződik az adatkezelőnek vagy harmadik személynek. Ezt követően azt vezeti le az adatkezelő, hogy a jogos érdek mely okból élvez elsőbbséget a képen szereplő érintettek, vagy az azok alapján azonosítható érintettek személyes adatokhoz és képmáshoz való jogához képest.

A fentiekre tekintettel tehát a jogos érdek jogalap alkalmazása akkor lehet jogszerű, ha az érdekmérlegelési teszt eredménye az, hogy az érintetti jogok korlátozása arányban áll a megjelölt jogos érdekkel.

Az érintettek tájékoztatása során fontos kiemelni, hogy az érintetteket megilleti a tiltakozás joga, amely esetben az adatkezelő nem kezelheti tovább a személyes adatokat, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. A NAIH álláspontja alapján azonban kétséges és ritka esetben képzelhető csak el, hogy bármiféle kényszerítő erejű jogos indokra való hivatkozás megállná a helyét a tiltakozással szemben.

Összegzésként megállapítható, hogy a GDPR-ral összhangban az alábbi két módon történhet a fényképek elkészítése, illetve felhasználása.

• Az adatkezelő érdekmérlegelési teszttel igazolt jogos érdeke alapján, a hivatkozott NAIH állásfoglalásban foglaltakat is figyelembe véve. Az Adatkezelésről szóló tájékoztatás során azonban kifejezetten fel kell hívni az érintett figyelmét az adatkezelés elleni tiltakozáshoz való jogára.

Ebben az esetben azonban továbbra is kérdéses, hogy a jogos érdeken alapuló adatkezelés összhangban van-e a Ptk. által előírt rendelkezésekkel azáltal, hogy az érintett a tájékoztatást követően hallgatólagos hozzájárulását adja (azaz nem tiltakozik) a fényképek elkészítéséhez, illetve adott esetben azok felhasználásához, azonban az adatkezelés jogalapja nem a GDPR 6. cikk (1) a) pontja szerinti hozzájárulás.

• Az érintett hozzájárulása alapján, amely esetben a hozzájárulás megfelel a GDPR által támasztott követelményeknek.