Fotoateliéry: GDPR, ochrana osobnosti a autorské právo

GDPR

Pokud jste poslední rok nestrávili fotografováním korálových útesů v Tichém oceánu, tak jste se jistě setkali se zkratkou GDPR. Ta je odvozená z anglického General Data Privacy Regulation, česky obecné nařízení o ochraně osobních údajů, a ještě přesněji nařízení EU 2016/679. Nařízení je něco jako evropský zákon, protože je u nás přímo použitelné (na rozdíl od směrnic, které se u nás uplatňují až „přepsáním“ do zákona).

GDPR navazuje na zrušený zákon o ochraně osobních údajů. Z pohledu právní úpravy se jedná o evoluci (nikoliv o revoluci nebo zbytečnou byrokracii, jak bývá někdy uváděno). Právní úprava je tedy v zásadě stále stejná. Pokud vaše podnikání splňovalo nároky podle zrušeného zákona, tak GDPR pro vás mnoho nových povinností nepřinese. 

K GDPR se ještě v oblasti fotografií uplatní zákon o zpracování osobních údajů, který oproti němu stanovuje některé odchylky a úlevy (k tomu ještě dále).

V oblasti osobních údajů se používá několik základních výrazů. Jedná se zejména o termíny správce, zpracování, zpracovatel, subjekt a osobní údaj. Jejich význam bude nejlepší ukázat na praktickém příkladu. Paní Kateřina (fotografka) si u paní Heleny (provozovatelka fotoateliéru) chce objednat pronájem fotoateliéru. Paní Helena si za účelem objednávek pronájmů objednala u paní Jarmily provozování rezervačního systému. Do systému jsou zadávány různé údaje o zákaznících, jako je např. jméno, kontaktní údaje atp.

Ve výše uvedeném příkladu jsou informace o zákazníkovi (Kateřina) osobními údaji (stejně tak je osobním údajem jakákoliv jiná informace o člověkovi). Zákazník, zaměstnanec nebo jakýkoliv jiný člověk je potom subjektem (mezi subjekt a fyzickou osobou lze dokonce položit rovnítko). Provozovatel fotoateliéru (Helena) je potom označován jako správce osobních údajů (protože osobní údaje má pro sebe). Když potom dochází k nakládání s údaji (třeba k jejich zaznamenání nebo zveřejnění; lze si představit téměř cokoliv), tak tomu se říká zpracování. Již jen z tohoto slova lze odvodit, že když od správce má někdo (třetí osoba) za úkol pro nás osobní údaje zpracovávat, tak bude zpracovatelem (Jarmila). Ve výše uvedeném příkladu je zpracovatelem poskytovatel rezervační služby. Zpracovatelem však nikdy nebude náš zaměstnanec, protože ten je považován za součást našeho podnikání.

Hlavním cílem ochrany osobních údajů je zajistit, aby (i) každý člověk měl možnost dozvědět, jak je s jeho osobními údaji nakládáno, aby (ii) tyto byly přiměřeně zabezpečeny a aby (iii) byly zpracovávány oprávněně. Z toho vyplývají i povinnosti stanovené v GDPR.

Povinnosti ad (i) se nazývá informační povinností. Jejím obsahem je informovat subjekty o zpracování prováděného u správce, a to v rozsahu stanoveném GDPR. Jedná se zejména o informace o právních základech zpracování, zpracovávaných osobních údajích, právech subjektů, zpracovatelích atp. Rozsah informační povinnosti se liší v případech, kdy jsou osobní údaje získávány přímo od subjektů nebo z jiných zdrojů, a také dle míry, ve které subjekt tyto informace již má. 

V prostředí internetu je informační povinnost plněna nejčastěji prostřednictvím zvláštního dokumentu nazvaného zásady pro zpracování osobních údajů. Ten by měl být snadno dostupný (např. uvedením odkazu v zápatí stránky). Zároveň by měl být aktuální a úplný (tj. obsahovat všechny informace o všech zpracováních). V praxi se často setkáváme se situací, kdy na internetových stránkách fotoateliérů tento dokument zcela chybí nebo je neúplný (již jen tím, že neobsahuje všechny informace vyžadované GDPR).

Při provozování internetových stránek nelze opomenout ani otázku cookies. Ta je vedle GDPR upravena poněkud starší a zatím nenahrazenou ePrivacy směrnicí. Lze však zjednodušeně shrnout, že i v případě cookies by subjekty měly být informovány o cookies používaných na internetové stránce a případně by měly poskytnout s některými cookies souhlas s jejich používáním. Blíže jsme se tomuto tématu věnovali v našem eBooku a vzorovém dokumentu dostupném na osobnidata.cz.

K povinnosti ad (ii), zabezpečení, lze uvést, že GDPR nestanovuje výslovně, jak mají bezpečnostní opatření (slovy nařízení technická a organizační opatření) vypadat. Zjednodušeně však GDPR říká, že správce má zvážit povahu zpracování (tj. provedení, rozsah, rizika atp.) a k tomu zavést vhodná technická opatření. Někdy postačí zabezpečit přístup do databáze (např. fotografií) uživatelským jménem a heslem, jindy bude vhodné zavést šifrování (např. při přenosu údajů přes internet). Tato povinnost se potom odráží i v povinnosti oznamování případů porušení zabezpečení. Je tedy vhodné zabezpečení osobních údajů dostatečně zvážit, aby nedocházelo k jeho zbytečnému „prolomení“.

Pod ad (iii), oprávněné zpracování, lze potom zahrnout zákonné důvody pro zpracování a zpracovatele osobních údajů. Zvláště zákonné důvody bývají často ze strany správců nesprávně pochopeny. Zpracování je totiž možné založit nejčastěji na základě právní povinnosti (z kteréhokoliv právního předpisu, nejen z GDPR), splnění smlouvy, oprávněných zájmech nebo na základě souhlasu. Souhlas je tak jen jeden z možných důvodů a měl by být používán jen v omezených případech. Nadto jeho získání je obtížné, protože musí být svobodným, konkrétním, informovaným a jednoznačným projevem vůle. Souhlas zejména nesmí být nijak vynucován, ani skryt např. do obchodních podmínek. Zároveň bude muset být získán takovým způsobem, aby bylo možné jeho existenci později prokázat.

Co se zpracovatelů týká, tak je třeba dbát na to, aby s nimi byla uzavřena smlouva o zpracování osobních údajů. Ve smlouvě doporučujeme věnovat pozornost přesnému vymezení prováděného zpracování, zajištění souladu s GDPR s ohledem na předávání osobních údajů do třetích zemí a spolupráce s dalšími zpracovateli (tj. zpracovatelé zpracovatelů). O zapojených zpracovatelích by dle GDPR měli být informovány i subjekty osobních údajů. 

K výše uvedeným povinnostem je třeba doplnit, že u nás se uplatní již zmiňovaný zákon o zpracování osobních údajů, a to v případě zpracování osobních údajů prováděného pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu (pod který dle našeho názoru patří i fotografický projev). Hlavním rozdílem oproti běžnému režimu je zjednodušení informační povinnosti, kdy je možné tuto povinnost splnit také jakýmkoliv vhodným informováním subjektu údajů o identitě správce. Informovat o identitě správce lze také vhodným přihlášením se k identitě správce, které může být provedeno grafickým označením, ústně či jiným vhodným způsobem. Informace o identitě správce je dostačující tehdy, je-li poučení správce o právech subjektu údajů a dalších skutečnostech potřebných pro ochranu jeho práv v rozsahu odpovídajícím jím obvykle prováděnému zpracování osobních údajů poskytnuto přes internet. To má svůj praktický dopad při fotografování lidí, kdy tito nemusejí být „zavalování“ velkým množstvím informací. Další zmírnění stanovené zákonem spočívají především v omezení některých práv subjektů

Zajímavý je i pohled na povahu zpracování fotografií z hlediska GDPR. Důležité je položit si otázku, ve kterých situacích bude nakládání s fotografiemi zpracováním, a bude tedy podléhat GDPR. Východiskem je vymezení působnosti GDPR. To se totiž vztahuje na „zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny“. Zjednodušeně lze říci, že pokud budou fotografie jen tak „na hromádce“, tak se o zpracování jednat nebude. 

V jednotlivých situacích nebude zpracováním (a nebude tak podléhat GDPR) různé nahodilé zavěšování fotografií do výloh, na nástěnky a jejich umisťování na jiné další plochy (nebude se totiž jednat o evidenci). Stejně tak se nebude jednat o zpracování, pokud budou fotografie umisťovány do různých periodik a reklamních materiálů (opět se nebude jednat o evidenci).

Zpracováním naopak bude vedení evidence nebo databáze fotografií tříděných např. podle zákazníků. Stejně tak, pokud dochází k vedení evidence zaměstnanců nebo používání identifikačních karet, se bude jednat o zpracování osobních údajů.

Nejsložitější situace je při umisťování fotografií online. Častá je např. situace, kdy jsou pořizovány fotografie při různých společenských akcích. Zveřejňování pak může mít podobu umístění na internetové stránky zaměstnavatele nebo v jiné části internetu (včetně sociálních sítí, jako např. Facebook, Twitter, Instagram apod.).

Při takovém nakládání s fotografiemi se lze setkat s dvěma názory. Dle názoru prvního by se obvykle nemělo jednat o zpracování osobních údajů, neboť osobní údaje nebývají řazeny do evidence a ani nejsou automatizovaně zpracovávány, přičemž termín automatizovaně je vykládán ve smyslu bez lidského zásahu. Takové zpracování by nepodléhalo GDPR. Druhý názor však umístění fotografie na web považuje za automatizované zpracování, tj. zpracování podléhající GDPR, včetně nutnosti získat souhlas s takovým zpracováním.

I pokud by byla uvažována varianta první, tak je třeba rovněž věnovat pozornost celkové podobě uveřejněných fotografií. Pokud by např. docházelo ke zveřejnění fotografií z akcí, kde by každá fotografie byla opatřena jmény zobrazených lidí, a na stránku by byly pravidelně doplňovány fotografie z každé takové akce, a navíc by bylo možné vyhledávat fotografie z akcí dle jména nebo jiného identifikačního údaje, tak by se na takové nakládání s fotografiemi dalo nahlížet jako na zpracování osobních údajů.

Je rovněž vhodné uvést, že fotografie sama o sobě není považována za osobní údaj, ale za nosič osobních údajů. Osobní údaje obsažené ve fotografii jsou rovněž biometrickými údaji a mohly by tak být zároveň zvláštní kategorií osobních údajů (dříve citlivé údaje). Dle recitálu GDPR však platí, že zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby.

Pokud je při zpracování osobních údajů postupováno v souladu s předcházejícím odstavcem, tak se o zpracování zvláštních kategorií osobních údajů jednat nebude. O zpracování zvláštních kategorií osobních údajů se tak nebude jednat zejména v případech, kdy budou fotografie použity k rozlišení podoby neautomatizovanými prostředky.

Ochrana osobnosti

Úpravu ochrany osobnosti lze nalézt v občanském zákoníku. Podstatou této úpravy je omezení zásahů do soukromí člověka, zejména pak zákaz zachycení jeho podoby (tj. i fotografování) bez jeho svolení, resp. bez důvodu uvedeného v občanském zákoníku. 
Výjimkou z povinnosti získat souhlas jsou zejména použití přiměřeným způsobem k vědeckému nebo „uměleckému účelu a pro tiskové, rozhlasové, televizní nebo obdobné zpravodajství“. Svolí-li někdo k zobrazení své podoby za okolností, z nichž je zřejmé, že bude šířeno, platí, že svoluje i k jeho rozmnožování a rozšiřování obvyklým způsobem, jak je mohl vzhledem k okolnostem rozumně předpokládat.

Pokud se však neuplatní výjimka ze získání souhlasu, tak bude třeba získat souhlas fotografované osoby. Ze znění občanského zákoníku lze dovozovat, že souhlas může být poskytnut i ústně nebo mlčky. Z důvodu právní jistoty však doporučujeme získat souhlas písemný. Vzorový souhlas, který zároveň slouží i jako souhlas dle GDPR naleznete na konci tohoto článku.

Tato úprava se uplatní současně a nezávisle na GDPR a na významu nabývá zejména v případech, kdy se na fotografie nebude vztahovat ochrana dle GDPR. V případě jejího porušení tak daná osoba nemůže podat stížnost k Úřadu pro ochranu osobních údajů. Na druhou stranu se může takový osoba bránit proti neoprávněnému zásahu do ochrany soukromí u civilního soudu. Je tak vhodné ochranu osobnosti při pořizování fotografií brát v úvahu.

Autorské právo

Úprava autorského práva u nás vychází z autorského zákona. K tomu je vhodné doplnit, že naše úprava není v rámci EU izolována, neboť vychází z velké části z evropských směrnic. To má především význam při výkladu autorského práva, kdy se uplatní rozhodnutí Soudního dvora Evropské unie.

Autorský zákon vymezuje autorské dílo jako „dílo literární a jiné dílo umělecké a dílo vědecké, které je jedinečným výsledkem tvůrčí činnosti autora a je vyjádřeno v jakékoli objektivně vnímatelné podobě včetně podoby elektronické, trvale nebo dočasně, bez ohledu na jeho rozsah, účel nebo význam“. Aby tedy dílo mohlo být autorským dílem, tak musí naplňovat vymezení uvedené v předchozí větě. Ačkoliv musí být naplněny všechny znaky uvedené v zákoně, tak z hlediska fotografií bude nejpodstatnějším znakem tvůrčí činnost. Ta spočívá ve vtisknutí osobních vlastností autora dílu. Ve výsledku tak za autorské dílo nebude považována např. strojově pořízená portrétní fotografie, právě protože zde bude chybět prvek tvůrčí činnosti autora.

Autorský zákon uvádí výslovně 3 druhy fotografií (resp. děl), a to (i) dílo fotografické, (ii) fotografie, které jsou původní v tom smyslu, že jsou autorovým vlastním duševním výtvorem, a (iii) výtvor vyjádřený postupem podobným fotografii. Doktrinálně jsou potom fotografie děleny na jedinečná autorská díla (např. portrétní fotografie), původní autorská díla (např. ilustrační fotografie, dokumentační fotografie ulice ve městě, dokumentační fotografie společenské akce atp.) a fotografie, které nejsou autorskými díly (např. strojové portrétní fotografie, fotografie zachycené bezpečnostními kamerami).

Z pohledu tohoto článku je však nejzajímavější rozdělení na fotografie požívající ochranu dle autorského zákona a na ty, které takto chráněny nejsou. Asi nejvýznamnější pro toto rozlišení je rozhodnutí Soudního dvora Evropské unie ve věci Eva-Maria Painer proti Standard Verlags GmbH a další.

Paní Eva-Maria Painer, rakouská nezávislá fotografka, prováděla zejména činnost fotografování dětí v mateřských školách a jeslích. V rámci této činnosti pořídila několik fotografií (které byly později předmětem sporu), přičemž sama navrhla jejich pozadí a rozhodla o držení a výrazu obličeje, obsluhovala fotoaparát a tyto snímky vyvolala. Eva-Maria Painer označovala jí vytvořené fotografie svým jménem. Toto označování bylo v průběhu let prováděno nejrůznějšími způsoby, prostřednictvím samolepek nebo reliéfního tisku na přebalech nebo paspartách. Tato označení vždy uváděla její jméno a místo jejího podnikání. Eva-Maria Painer prodávala fotografie, které zhotovila, ale třetím osobám ani neposkytovala práva k těmto fotografiím, ani neudělovala souhlas s jejich zveřejněním.

Paní Painer pořídila fotografie dítěte, které bylo později uneseno. Po uplynutí několika let se tomuto dítěti však podařilo svému únosci uprchnout. Vydavatelé různých periodik zveřejnili poté fotografie dítěte pořízené paní Painer, včetně počítačem sestaveného portrétu, postaveného na fotografii, který měl zobrazit dítě v aktuálním věku. Vydavatelé periodik přitom neuvedli jméno autorky těchto fotografií nebo uvedly jiné autorské jméno než E.-M. Painer, ani nezískali její souhlas.

V souvislosti s tímto případem řešil soud otázku, zdali realistické fotografie, a zejména fotografické portréty, požívají autorskoprávní ochrany. Za podstatné z tohoto hlediska je zkoumání toho, zdali dílo je původní v tom smyslu, že je autorovým vlastním duševním výtvorem (což odpovídá našemu výsledku tvůrčí činnosti). O vlastní duševní výtvor autora se jedná tehdy, pokud odráží jeho osobnost. Tak je tomu tehdy, pokud mohl autor při realizaci díla vyjádřit své tvůrčí schopnosti prostřednictvím rozhodnutí učiněných na základě své tvůrčí svobody. 

Pokud jde o fotografický portrét, je třeba uvést, že autor bude moci rozhodnutí při realizaci díla na základě své tvůrčí svobody učinit několika způsoby a v různých fázích jeho realizace. V přípravné fázi může autor zvolit kompozici, postoj fotografované osoby či osvětlení. Při snímání fotografického portrétu může zvolit rámování, úhel snímku, nebo také vytvořenou atmosféru. Konečně při zhotovování (tj. i výtisku) snímku může autor zvolit mezi různými existujícími technikami zpracování tu, kterou si přeje použít, nebo také případně využít programového vybavení. Prostřednictvím těchto jednotlivých rozhodnutí tak může autor fotografického portrétu vytvořenému dílu vtisknout svůj „osobní dotek“.

Z rozhodnutí tak vyplývá, že fotografie, která je výsledkem autorovy (fotograf) tvůrčí činnosti, je chráněna autorským právem. To se týká i děl z ní odvozených (tedy i počítačově upravené fotografie). To má význam v tom, že fotograf pak má k dílu všechna autorská práva (pokud je dobrovolně neomezil), zejména výlučné právo udělit svolení k jeho přímému nebo nepřímému, dočasnému nebo trvalému rozmnožování jakýmikoliv prostředky a v jakékoliv formě, vcelku nebo po částech nebo takovéto rozmnožování zakázat.

K výše uvedenému rozhodnutí je vhodné podotknout, že se sice výslovně zabývalo portrétní fotografií, ale závěry v něm uvedené jsou zobecnitelné na jakékoliv druhy fotografií. Mohou být tak např. použity i při posuzování toho, zdali je fotografie budovy nebo inscenovaná fotografie autorským dílem.

Zajímavou otázkou je rovněž, jak se postupuje v situaci, kdy je fotografie umístěna na internetovou stránku, přičemž jiná osoba potom tutéž fotografii umístí na jiné internetové stránky. Tuto otázku řešil SDEU ve věci Land Nordrhein-Westfalen proti Dirku Renckhoffovi. Pan Renckhoff je fotografem, který umožnil použití své fotografie jen provozovatelům cestovatelských stránek. Jeho fotografie byla později použita žákyní střední školy ve svém referátu. Tento referát byl následně umístěn na internetové stránky školy. Soud v této souvislosti řešil otázku, zdali se v případě umístění fotografie na jiné, než původní internetové stránky jedná o sdělování veřejnosti, resp. sdělování nové veřejnosti (tj. veřejnosti, která nebyla při úvodním zveřejnění brána v potaz). Soud v této věci rozhodl ve prospěch fotografa, kdy mj. argumentoval tím, že takové dílo by mohlo být nadále dostupné na posledně uvedených stránkách bez ohledu na předchozí svolení autora a navzdory jakémukoli jednání, kterým by se autor rozhodl již nesdělovat své dílo na internetových stránkách, na kterých bylo toto dílo prvotně sděleno s jeho svolením. Umístění fotografie na jiné internetové stránky je tak dle SDEU sdělováním nové veřejnosti. Fotograf (resp. držitel autorských práv) má potom možnost v takové situaci uplatnit všechna svoje práva, pokud s umístěním na nové stránky nebude souhlasit.

Výše uvedené rozhodnutí je vhodné vzít do úvahy při poskytování souhlasu nebo uzavírání licenční smlouvy ohledně používání fotografie na internetu. V daném dokumentu by mělo být pokud možno uvedeno, na jakých doménách bude užívání fotografie umožněno. Vzorový souhlas s použitím fotografie je uveden na konci tohoto článku.

Pokud zjistíte, že některá z vašich fotografií je umístěna na internetových stránkách, na které nebyla určena, tak lze doporučit zaslat provozovateli stránky výzvu, aby takovou fotografii odstranil. Výzva by měla mít takovou podobu, aby z ní bylo jasně patrné, že je zaslána vámi jako autorem fotografie (zejména by měla být opatřena podpisem, elektronickým podpisem nebo zaslána z datové schránky). V praxi se totiž někteří provozovatelé odvolávají na vadný projev vůle, a výzvě odmítají vyhovět. V některých případech je rovněž možné využít zákona o některých službách informační společnosti. Podle tohoto zákona se lze obrátit na tzv. poskytovatele služby informační společnosti, kterým může být např. poskytovatel připojení k internetu nebo poskytovatel webhostingu. Tito mají totiž odpovědnost za přenášený, resp. uchovávaný obsah, který je přenášen, resp. uložen jejich uživateli. I těmto tak může být úspěšně zaslána výzva k zablokování přístupu nebo odstranění obsahu. Vždy je rovněž možné obrátit se vůči osobě porušující autorská práva na civilní soud.