A Hatóság állásfoglalása alapján, mivel a GDPR szerint az érintettre vonatkozó bármely információ, amely alapján a személy azonosítható személyes adatnak minősül, így pl. az osztálykép vagy rendezvényfotó, melyen a személy egyértelműen azonosítható. Ilyen képfelvétel nyilvánosságra hozatala egyértelműen adatkezelésnek minősül. A GDPR 6. cikk (1.) bekezdés alapján az adatkezeléshez megfelelő jogalappal kell rendelkezni. A legáltalánosabb jogalap a hozzájárulás, mely jelen esetben is, vagyis jelen esetben a beleegyező nyilatkozat, ahhoz, hogy az őt érintő személyes adatokat kezeljék. A hozzájárulás csak akkor lehet megfelelő jogalap, ha az önkéntességen alapul, illetve megfelelő tájékoztatás is szükséges. Minimális elvárás, hogy az érintett személy tisztában legyen az adatkezelő kilétével és az adatkezelés céljával, jelen esetben tehát az iskolának tájékoztatnia kell az érintettet arról, hogy a képfelvétel meg fog jelenni az évkönyvben. Amennyiben az adatkezelés hozzájáruláson alapul az adatkezelőnek tudnia kell igazolni, hogy az adott személy hozzájárulását adta.

Lényeges követelmény, hogy a hozzájárulásokat külön-külön meg kell adni, vagyis a képfelvétel elkészítéséhez való hozzájárulás nem jelenti egyben a további felhasználáshoz való hozzájárulást is. Természetesen kiskorú személyek esetén a Ptk. szülői felügyeletre, cselekvőképességre és gyámságra vonatkozó rendelkezései irányadók.

A GDPR alapján jogszerű lehet a személyes adatok kezelése akkor is, ha egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges. Amennyiben jelenleg az iskola megfelelő érdekmérlegelési tesztben meghatározza, hogy az iskolának milyen jogos érdeke fűződik az évkönyv elkészítéséhez, úgy ez kimentési okként szolgálhat. Az érdekmérlegelési tesztnek egyértelműen tartalmaznia kell, hogy az iskolának melyik művelet miért áll érdekében. Szükséges annak levezetése is, hogy az iskola jogos érdeke miért élvez elsőbbséget az érintett képmáshoz és személyes adatokhoz való jogához képest.

Az érintetteket minden esetben tájékoztatni kell a tiltakozási jogukról is, vagyis, hogy tiltakozással élhetnek személyes adataik felhasználása ellen. Ilyen esetben az adatkezelő a személyes adatot csak abban az esetben kezelheti tovább, amennyiben bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben.
NAIH/2019/2528 állásfoglalása

Dr. Miklós Péter Ákos, jogász és adatvédelmi tisztviselő
Barazutti Bálint, jogi munkatárs

Dobos és Kőhidi Ügyvédi Társulás