Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) har utfärdat en sanktionsavgift på 1 000 euro mot en privatperson för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att den personuppgiftsansvarige var en fotograf som erbjöd fotografering inom ungdomsidrotten. År 2018 tillhandahöll han förhandsgranskningsbilder som tagits som officiell fotograf vid en internationell tävling i vattendykning i Kroatien på sin webbplats. Totalt 16 392 bilder av de deltagande barnen och ungdomarna (registrerade) i åldern 6-18 år erbjöds till försäljning på webbplatsen mellan den 12 juli 2018 och den 7 september 2021. Bilderna kunde kategoriseras på den personuppgiftsansvariges webbplats specifikt för varje underkategori av deltagarna ”Pojke A” ”Flicka B” osv. Fotona kunde köpas individuellt av vem som helst utan registrering, antingen för privat eller redaktionellt bruk, som digital nedladdning, CD eller på ett USB-minne. De registrerade som avbildats på bilderna och deras vårdnadshavare hade inte samtyckt till att den personuppgiftsansvarige publicerade och sålde bilderna.
Enligt artikel 6.1 GDPR är behandling av personuppgifter endast tillåten om ett av villkoren i artikel 6.1 GDPR är uppfyllt. BlnBDI ansåg att offentliggörandet av foton av barn och ungdomar utan deras samtycke eller deras vårdnadshavares samtycke stred mot artikel 6.1 GDPR.
BlnBDI övervägde om artikel 85.2 GDPR och den tyska nationella lagstiftningen §§ 22, 23 KUG (lagen om upphovsrätt till konstverk och fotografier) och § 19.1 i Berlins dataskyddslag (BlnDSG) ger undantag eller undantag från artikel 6 GDPR för behandling som utförs för journalistiska ändamål, när detta är nödvändigt för att förena rätten till skydd av personuppgifter med yttrandefriheten inom journalistiken. BlnBDI citerade EG-domstolens dom i Sergejs Buivids/Datu valsts inspekcija: Det kan inte antas att all information som publiceras på internet och som rör personuppgifter omfattas av begreppet journalistiska ändamål. Publikationer i onlinevärlden kan endast klassificeras som journalistik om de har ett minimalt journalistiskt-redaktionellt innehåll. En tillräckligt journalistisk-redaktionell nivå föreligger om ”den opinionsbildande effekten för allmänheten är en definierande del av erbjudandet” och inte bara ett ”dekorativt tillbehör”.
Följaktligen konstaterade BlnBDI att publiceringen av bilderna inte kunde klassificeras som behandling av personuppgifter för journalistiska ändamål eftersom bilderna inte redigerats. Det fanns inte heller någon begränsning av deras fortsatta användning för journalistiska ändamål. Det faktum att några av dessa barn var idrottare som redan tidigare uppmärksammats i pressen hade ingen betydelse för BlnBDI. Den personuppgiftsansvarige behandlade inte innehållet i bilderna utan erbjöd dem endast till försäljning med tydligt fokus på kommersiellt utnyttjande. Därför gällde inte undantaget för journalistik enligt §§ 22, 23 KUG och § 19.1 i Berlins dataskyddslag (BlnDSG) i detta fall, och den personuppgiftsansvarige behövde fortfarande ha en rättslig grund enligt artikel 6.1 GDPR för sin behandling.
BlnBDI konstaterade också att det inte fanns något rättsligt giltigt samtycke från barnen och ungdomarna till publiceringen av bilderna enligt artikel 6.1 GDPR eftersom den personuppgiftsansvarige inte försåg BlnBDI med något dokumenterat samtycke. Den personuppgiftsansvarige hävdade att han hade fått ett muntligt samtycke från deltagarna och att det var vanligt att deltagarna gav sitt samtycke när de anmälde sig till evenemanget. Detta argument avvisades av BlnBDI eftersom det aktuella fallet handlade om publicering av foton i försäljningssyfte, inte om fotografering. Publicering krävde ett verifierbart samtycke, och det var den personuppgiftsansvariges skyldighet att dokumentera ett sådant samtycke.