Allt som kan knytas till en fysisk person är personuppgifter. Det betyder att till och med publicerade teckningar som avbildar människor eller lagrade ljud som avslöjar en persons röst regleras av dataskyddsförordningen.
– Även detaljer som bara kan knytas till en person tillsammans med andra uppgifter är per definition personuppgifter. Det gör att saker som skostorlekar, spellistor och data om platsdefinition också går under GDPR. Både fotografier och filmer på människor är allt som oftast personuppgifter eftersom det nästan alltid går att identifiera dem som fotograferats och filmats, säger Sara Hjörne, advokat och ägare till Hjörnes Advokatbyrå.
GDPR är ett av de juridiska områden som Sara Hjörne hjälper företagare med.
Vad är den vanligaste fallgropen vid GDPR-säkring av bilder?
– Många kanske tänker att så länge inga ansikten syns tydligt är bilden eller filmen inte en personuppgift. Men då glömmer man att detaljer som tatueringar, klädseln eller till och med bara ryggtavlan också kan göra att personen kan identifieras i vissa situationer. Det finns många fler saker som kan identifiera och koppla en bild eller en film till en person. Saker som gör att man måste börja fundera på vad du har för syfte med bilden innan du publicerar den.
Så varje enskild bild/film måste motiveras före publicering?
– Det är precis som med vilken annan personuppgift som helst. Du måste ha en rättslig grund till bilden eller filmen innan den används. I förordningen ingår även ett krav på att personen som kan identifieras ska informeras om publiceringen. Det görs genom att du låter personen ta del av din datapolicy, där det klart och tydligt ska framgå var, när och hur bilden eller filmen kommer att användas och lagras.
Checklista: GDPR-säkra bilder och filmer
- Klargör syftet med publiceringen
- Motivera på vilket sätt hanteringen av bilden/filmen är laglig enligt GDPR
- Informera berörda om hur, var och när bildmaterialet ska användas
- Säkerställ så att lagringen sker på ett säkert sätt
- Kontrollera om publiceringen regleras även av andra lagar
Är det någon skillnad vid publicering på sociala medier?
– Svaret är nej. Precis som på din egen webbplats är det du som är ansvarig för det som läggs upp på sociala medier. På samma sätt som det är du som ansvarar för vad andra skriver i kommentarsfälten på dina Facebook- och Instagramsidor, så är det ditt ansvar för att filmer och bilder följer GDPR.
Men köpta bilder/filmer måste väl vara okej?
– Bara så länge du använder en bildbyrå som garanterar att de följer GDPR. Om det inte framgår tydligt hos byrån blir det svårare. Här gäller det att vara uppmärksam. När det kommer till gratistjänster kan det mycket väl vara så att kraven inte kan garanteras, eftersom tjänsten bygger på att vem som helst får ladda upp och dela med sig av sina bilder och filmer.
Samtidigt finns det fler lagar som också måste följas?
– När man GDPR-säkrar är det lätt att snöa in sig på dataförordningen. Men i de flesta fotosituationer finns det andra lagar som GDPR måste samspela med. Exempelvis i fallet med en reklamkampanj så måste bilderna och filmerna även följa marknadsföringslagen samt lagen om bild och namn i reklam.
Så här GDPR-säkrar du ditt bildmaterial från…
Företagseventet med inbjudna kunder och besökare
– Antagligen fotograferar och filmar du för att informera om eventet och ditt företag. Här kan man anse att ditt intresse att berätta om tillställningen väger tyngre större än de inbjudnas intresse av anonymitet. Samtidigt bör man redan i inbjudan upplysa besökarna om att fotografering och filmning kommer att ske, så att den som har invändningar har möjlighet att anmäla att den inte vill synas i bild. Lämpligen lägger du även med er dataskyddspolicy så att gästerna som kan komma att synas på bild får information om hur deras personuppgifter, såsom bilder och filmer, kommer att användas. Då har du uppfyllt informationsplikten.
Reklamfotograferingen ute på stan
– När det gäller kommersiella bilder är det viktigt att förutom GDPR även följa bild- och namnlagen. Den säger att ni måste ha tillstånd från den person som fotograferats eller filmats för att få använda bilderna i reklam. Skriv ett avtal med modellen, som har rätt att veta bland annat hur och var bilderna kommer att spridas. Om även andra människor kan identifieras så krävs även deras tillstånd innan användning. Det gör att det lättaste sättet att GDPR-säkra kommersiella bilder är att retuschera dem i efterhand. När personer tas bort eller görs suddiga kan bilderna inte längre anses vara personuppgifter.
Kontorsbilder/-filmer som ska användas till en rekryteringsannons?
– I det här fallet bör du skriva ett uppdragsavtal med de anställda som fotograferas eller filmas, där det framgår var, när och hur bilderna och/eller filmen ska användas. Avtalet säkerställer att de tagit emot informationen men ger även de anställda en möjlighet att tycka till om användningen av bildmaterialet. Samtycke kan knappast räknas som laglig grund eftersom det kräver att det inte finns ett beroendeförhållande, vilket det kan antas göra på en arbetsplats.
Inspiration och spaningar, rätt i inkorgen.
I vårt nyhetsbrev bjuder vi på sånt som vi tycker är tänkvärt, engagerande, snyggt eller kul. Alltsammans löst eller tydligt relaterat till vårt favoritämne marknadskommunikation.