Användning av bilder med personer i marknadsföring

Ing­en kan väl ha mis­sat att vi får en ny, tuf­fa­re regle­ring för per­son­upp­gifts­han­te­ring den 25 maj 2018: EU:s nya data­skydds­för­ord­ning – Gene­ral Data Pro­tec­tion Regu­la­tion (GDPR). GDPR inne­bär bland annat nya utma­ning­ar vid pub­li­ce­ring av bil­der i marknadsföringssyfte.

Den nya data­skydds­för­ord­ning­en omfat­tar all behand­ling av per­son­upp­gif­ter. En per­son­upp­gift är infor­ma­tion som direkt eller indi­rekt kan kny­tas till en fysisk per­son (som är i livet). Det­ta inne­bär att även foton och fil­mer där enskil­da män­ni­skor kan iden­ti­fie­ras utgör en per­son­upp­gifts­be­hand­ling som ska föl­ja för­ord­ning­ens krav.

Den nya data­skydds­för­ord­ning­en omfat­tar all behand­ling av per­son­upp­gif­ter. En per­son­upp­gift är infor­ma­tion som direkt eller indi­rekt kan kny­tas till en fysisk per­son (som är i livet). Det­ta inne­bär att även foton och fil­mer där enskil­da män­ni­skor kan iden­ti­fie­ras utgör en per­son­upp­gifts­be­hand­ling som ska föl­ja för­ord­ning­ens krav.

Skärpta krav för ostrukturerat material

I och med att GDPR trä­der i kraft den 25 maj upp­hör den nuva­ran­de per­son­upp­giftsla­gen att gäl­la. Lagen inne­hål­ler en för­enk­lings­re­gel (Miss­bruks­re­geln) för behand­ling av per­son­upp­gif­ter i så kal­lat ostruk­tu­re­rat material.

Till ostruk­tu­re­rat mate­ri­al räk­nas exem­pel­vis pub­li­ce­ring av bil­der och fil­mer på en webb­plats eller i soci­a­la medi­er. Och det­ta undan­tag för­svin­ner allt­så med den nya regleringen.

Istäl­let kom­mer en sådan pub­li­ce­ring, för att vara tillå­ten, bland annat stäl­la krav på att avsän­da­ren kan redo­vi­sa en rätts­lig grund, att de behand­la­de infor­me­rats och att regis­ter över behand­ling­en förts.

Det­ta inne­bär att alla orga­ni­sa­tio­ner mås­te avgö­ra på vil­ken rätts­lig grund de har rätt att använ­da bil­der och fil­mer som före­stäl­ler män­ni­skor i sin marknadsföring

Laglig grund för behandling av personuppgifter

Behand­ling är endast lag­lig enligt GDPR om och i den mån som åtminsto­ne ett av föl­jan­de vill­kor är uppfyllt:

• Sam­tyc­ke från registrerad
• Nöd­vän­dig för att full­gö­ra avtal
• Nöd­vän­dig för att full­gö­ra en rätts­lig förpliktelse
• Nöd­vän­dig för att skyd­da intres­sen som är av grund­läg­gan­de bety­del­se för den regi­stre­ra­de eller för en annan fysisk per­son (räd­da liv, egendom)
• Nöd­vän­dig för att utfö­ra en upp­gift av all­mänt intres­se eller som ett led i den per­son­upp­gifts­an­sva­ri­ges myndighetsutövning
• Nöd­vän­dig för ända­mål som rör den per­son­upp­gifts­an­sva­ri­ges eller en tred­je parts berät­ti­ga­de intres­sen, om inte den regi­stre­ra­des intres­sen eller grund­läg­gan­de rät­tig­he­ter och fri­he­ter väger tyng­re och krä­ver skydd av per­son­upp­gif­ter, sär­skilt när den regi­stre­ra­de är ett barn

Datainspektionens vägledning

Data­in­spek­tio­nen som är till­syns­myn­dig­het för GDPR har utta­lat sig om hur myn­dig­he­ten ser på pub­li­ce­ring av till exem­pel ming­el­bil­der. Inled­nings­vis kon­sta­te­rar Data­in­spek­tio­nen att det kan vara svårt och krång­ligt att inhäm­ta sam­tyc­ke vid just mingelbilder.

För ett före­tag kan pub­li­ce­ring­en istäl­let vara tillå­ten enligt den rätts­li­ga grun­den intres­se­av­väg­ning. För det krävs att före­ta­gets intres­se av att pub­li­ce­ra bil­der­na för att infor­me­ra om verk­sam­he­ten väger tyng­re än det intres­se per­so­ner­na på bil­der­na har av skydd för sina per­son­upp­gif­ter. Data­in­spek­tio­nen påpe­kar att före­ta­get ska doku­men­te­ra hur de har reso­ne­rat vid avväg­ning­en. Des­sa över­vä­gan­den ska lämp­li­gen anges i den inter­na data­skydds­po­li­cyn som företaget/​myndigheten ska kun­na visa upp vid en even­tu­ell granskning.

Vad innebär GDPR för bildpublicering i praktiken

Jag stäl­ler mig dock frå­gan­de till hur det­ta ska fun­ge­ra i prak­ti­ken. GDPR med­för uttryck­li­ga krav på att per­so­ner vars per­son­upp­gif­ter behand­las ska få infor­ma­tion om bland annat ända­må­let med behand­ling­en, hur länge upp­gif­ter­na spa­ras, vem som är per­son­upp­gifts­an­sva­rig och vem de ska kon­tak­ta vid invänd­ning­ar etc.

Dess­utom krävs sam­tyc­ke för att använ­da en per­sons bild i reklam enligt lagen om namn och bild i reklam.

Jag rekom­men­de­rar där­för att alla före­tag som ska använ­da bil­der på per­so­ner i sin mark­nads­fö­ring inhäm­tar ett sam­tyc­ke till behand­ling­en. Sam­tyc­ket ska vara fri­vil­ligt, uttryck­ligt och doku­men­te­rat. Sam­tyc­ket blir där­med sam­ti­digt den kor­rek­ta lag­li­ga grun­den för per­son­upp­gifts­be­hand­ling­en enligt GDPR.