RODO nie formułuje bezpośredniego zakazu umieszczania prywatnych zdjęć w miejscach pracy. Jednakże, eksponowanie fotografii, zwłaszcza przedstawiających osoby trzecie (np. członków rodziny), w miejscu dostępnym dla interesantów, może stanowić przetwarzanie danych osobowych (wizerunku) w sposób naruszający fundamentalne zasady RODO, w szczególności zasadę minimalizacji danych, ograniczenia celu oraz bezpieczeństwa i poufności. Kluczowa jest ocena ryzyka nieuprawnionego ujawnienia danych osobom postronnym, za co odpowiedzialność ponosi urząd jako administrator danych.
Zgodnie z definicją zawartą w art. 4 pkt 1 RODO, „dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Wizerunek osoby fizycznej utrwalony na fotografii bezsprzecznie stanowi daną osobową, gdyż pozwala na jej bezpośrednią identyfikację.
Samo umieszczenie zdjęcia w miejscu pracy, w szczególności w pokoju, do którego dostęp mają osoby z zewnątrz (interesanci, inni pracownicy), jest formą przetwarzania danych osobowych, a konkretnie ich „ujawniania poprzez innego rodzaju udostępnianie”, co mieści się w definicji „przetwarzania” z art. 4 pkt 2 RODO. Każde przetwarzanie danych osobowych musi być zgodne z zasadami określonymi w art. 5 ust. 1 RODO.
W kontekście zadanego pytania, kluczowe znaczenie mają następujące zasady:
- Zasada ograniczenia celu (art. 5 ust. 1 lit. b): dane muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach. Umieszczenie prywatnej fotografii rodziny w biurze służy celom osobistym pracownika. Ujawnianie wizerunku osób trzecich interesantom nie ma zatem żadnego uzasadnionego celu z perspektywy działalności administratora danych.
- Zasada minimalizacji danych (art. 5 ust. 1 lit. c): dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Przetwarzanie (udostępnianie) wizerunku np. dziecka pracownika nie jest w żadnym stopniu niezbędne do realizacji jakichkolwiek zadań służbowych.
- Zasada integralności i poufności (art. 5 ust. 1 lit. f): dane muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz nieuprawnionym dostępem. Publiczne eksponowanie zdjęcia w miejscu, gdzie przebywają osoby postronne, stwarza ryzyko niekontrolowanego dostępu do danych osobowych (np. poprzez sfotografowanie zdjęcia przez interesanta), co narusza zasadę poufności.
Ponadto, każde przetwarzanie danych musi opierać się na jednej z podstaw prawnych wymienionych w art. 6 ust. 1 RODO. W przypadku udostępniania wizerunku osób trzecich (np. współmałżonka, dzieci) jedyną potencjalną podstawą prawną mogłaby być ich zgoda. Pracownik, umieszczając zdjęcie, musiałby dysponować świadomą i dobrowolną zgodą każdej z osób na zdjęciu na upublicznienie ich wizerunku w miejscu pracy. W przypadku dzieci zgoda taka musiałaby być wyrażona przez przedstawiciela ustawowego.
W związku z powyższym, choć nie istnieje jednoznaczny przepis zakazujący posiadania zdjęcia, jego publiczne eksponowanie w pokoju pracowniczym jest praktyką ryzykowną z punktu widzenia ochrony danych osobowych. Aby zminimalizować ryzyko, Pracodawca powinien rozważyć wprowadzenie wewnętrznych regulacji w tym zakresie lub zalecić pracownikom, aby prywatne fotografie były przechowywane w sposób uniemożliwiający dostęp do nich osobom nieupoważnionym (np. w zamkniętej szafce, w portfelu).
