GDPR og personvern for fotografer

Hvorfor GDPR gjelder for deg

Et bilde der en person kan gjenkjennes, er en personopplysning. Når du fotograferer kunder, lagrer bildene, deler dem i et galleri og sender fakturaer med navn og adresse, behandler du personopplysninger som næringsdrivende. Da gjelder personvernforordningen (GDPR) og personopplysningsloven, og Datatilsynet er tilsynsmyndighet.

Den gode nyheten er at kjernen i regelverket er sunn fornuft: ha en grunn til å behandle opplysningene, ikke behandle mer enn du trenger, ikke oppbevar lenger enn nødvendig, sikre dem forsvarlig, og vær åpen om hva du gjør. Det meste av dette gjør seriøse fotografer allerede, bare uten å kalle det GDPR.

Det som ofte mangler, er dokumentasjonen og noen konkrete rutiner: hva som skjer når en kunde ber om å få slettet bildene sine, hvor lenge gallerier ligger ute, og hvilke avtaler du har med tjenestene som lagrer bildene for deg.

Behandlingsgrunnlag: hvorfor du har lov

All behandling av personopplysninger må ha et rettslig grunnlag. For fotografer er det i praksis tre som er relevante. Avtale: når en kunde bestiller en fotografering, må du behandle bildene og kontaktinfoen for å oppfylle avtalen. Dette dekker opptak, redigering, levering og fakturering. Rettslig forpliktelse: bokføringsloven krever at du oppbevarer regnskapsbilag, inkludert fakturaer med kundens navn, i fem år.

Samtykke: når du vil bruke bildene til noe utenfor avtalen, for eksempel i porteføljen din, på nettsiden eller på Instagram. Her kommer også åndsverkloven § 104 inn, som krever samtykke fra den avbildede før et portrett kan vises offentlig. Samtykket skal være frivillig, spesifikt og informert, og kunden skal kunne trekke det tilbake.

Berettiget interesse kan brukes i enkelte tilfeller, men for portretter av private kunder er det tryggere å basere seg på avtale og samtykke. Et viktig poeng: samtykke til portefølje skal ikke være en betingelse for å kjøpe fotograferingen. Hold det som et separat, valgfritt spørsmål.

Barn krever ekstra omtanke

Barnehage- og skolefotografering er det området der personvern oftest blir et tema. Foreldre eller foresatte må samtykke på vegne av barn, og barnehagen eller skolen kan ikke gi det samtykket for dem. Samtykket må være innhentet før bildene deles i et galleri der andre familier kan se dem.

Vær forsiktig med gruppebilder. Et klassebilde der ett barn mangler samtykke, er et reelt problem. Ha en rutine for hvordan du håndterer det, enten ved at barnet ikke er med på gruppebildet, eller ved at bildet kun leveres til dem som har samtykket, med lukkede gallerier per familie.

Datatilsynet har egne veiledninger om bilder av barn, og de er verdt å lese hvis dette er en vesentlig del av virksomheten din. Hovedregelen er enkel: barns bilder skal behandles med større varsomhet, og de skal ikke ligge åpent tilgjengelig.

Oppbevaring og sletting

GDPR krever at du ikke oppbevarer personopplysninger lenger enn nødvendig for formålet. For bilder betyr det at du må ta stilling til hvor lenge du beholder dem etter levering. Det finnes ikke én riktig frist, men du må ha en begrunnet rutine og fortelle kunden om den.

Mange fotografer beholder leverte bilder i ett til tre år for å kunne håndtere etterbestillinger, og sletter deretter. Rå-filer slettes gjerne tidligere. Fakturaer og avtaler oppbevares i fem år etter bokføringsloven, men bildene er ikke regnskapsbilag og trenger ikke følge samme frist.

Kunden har rett til å be om sletting. Når en kunde ber om det, skal du slette bildene fra alle steder de ligger: arbeidsdisk, backup, kundegalleri og eventuelle delinger. Ha en sjekkliste, så du ikke glemmer backupen eller et gammelt galleri.

• Skriv ned hvor lenge du beholder rå-filer, redigerte bilder og gallerier.
• Sett utløpsdato på kundegallerier slik at de ikke ligger ute for alltid.
• Ha en slettesjekkliste som dekker disk, backup og sky.
• Fortell kunden om rutinen i avtalen eller personvernerklæringen.

Databehandlere: tjenestene du bruker

Når du bruker en skytjeneste til å lagre eller dele bilder, er leverandøren en databehandler som behandler personopplysninger på dine vegne. GDPR krever at det finnes en databehandleravtale mellom dere. Seriøse tjenester har dette som en del av vilkårene, ofte kalt DPA. Sjekk at tjenestene du bruker, har det, og lagre en kopi.

Vurder også hvor dataene lagres. Lagring innenfor EU/EØS er enklest. Lagring i USA eller andre land utenfor EØS krever et gyldig overføringsgrunnlag, og det er ditt ansvar å vite hva som gjelder. Et kundegalleri som FotoGuru, der dataene lagres i EU og databehandleravtale er en del av tjenesten, gjør denne delen av jobben enklere.

Gjør en liste over alle tjenester som berører kundebilder eller kundedata: galleri, skylagring, backup, regnskap, e-postverktøy, bookingsystem. Det er dette som i GDPR kalles en behandlingsprotokoll, og den trenger ikke være mer enn et regneark.

Sikkerhet i praksis

GDPR krever «egnede tekniske og organisatoriske tiltak». For en fotograf betyr det ganske konkrete ting: kryptert disk på laptopen, passord på kundegallerier, totrinnsbekreftelse på kontoene dine, oppdatert programvare, og backup som ikke står i samme rom som originalen.

Del aldri gallerier med åpne lenker uten passord når de inneholder bilder av barn eller private portretter. Del passord i en annen kanal enn lenken. Og vær bevisst på hvem som får tilgang: et bryllupsgalleri som deles med 150 gjester, er greit når paret har valgt det, men du bør ikke ta valget for dem.

Hvis noe går galt, for eksempel at en disk med kundebilder blir stjålet eller et galleri har ligget åpent ved en feil, kan det være et brudd på personopplysningssikkerheten. Slike brudd skal som hovedregel meldes til Datatilsynet innen 72 timer dersom de kan medføre risiko for de berørte. Ha en plan for hvem du kontakter og hva du gjør, før du trenger den.

Personvernerklæring og avtale

Du skal informere kundene om hvordan du behandler opplysningene deres. Det gjør du enklest i en personvernerklæring på nettsiden og med en henvisning til den i avtalen. Den trenger ikke være lang. Den skal si hvilke opplysninger du behandler, hvorfor, hvor lenge, hvilke tjenester du bruker, og hvilke rettigheter kunden har.

Ta samtykke til portefølje- og sosiale medier-bruk som et eget punkt i avtalen, med avkrysning, ikke som en del av de generelle vilkårene. Da er det tydelig for kunden, og det er dokumentert for deg. Et samtykke som er innhentet riktig, er også lett å trekke tilbake, og det bør kunden få vite.