Er portrætbilleder persondata?

Portrætbilleder: Persondata og GDPR – En guide til virksomheder

I en tid, hvor digitale billeder florerer overalt, er det vigtigt at forstå, hvornår et portrætbillede bliver betragtet som persondata, og hvilke forpligtelser det medfører, særligt for virksomheder. Denne artikel dykker ned i spørgsmålet “Er portrætbilleder persondata?” og forklarer, hvad det betyder for virksomheder i forhold til GDPR.

Ja, portrætbilleder er ofte persondata.

Kernen i problematikken er identifikationen. Hvis et portrætbillede kan bruges til at identificere en bestemt person, falder det ind under definitionen af persondata ifølge GDPR (General Data Protection Regulation). Det betyder, at billedet er en information, der kan relateres til en identificeret eller identificerbar fysisk person – med andre ord, en person du kan genkende.

Det er vigtigt at bemærke, at identifikationen ikke nødvendigvis behøver at være umiddelbar. Selv hvis billedet i sig selv ikke direkte afslører personens identitet, kan det stadig betragtes som persondata, hvis det i kombination med andre tilgængelige oplysninger (f.eks. et navn, en stillingsbetegnelse eller en placering) gør det muligt at identificere personen.

Hvad betyder det for virksomheder?

Hvis din virksomhed offentliggør portrætbilleder af medarbejdere, kunder, samarbejdspartnere eller andre, agerer I som dataansvarlig. Det betyder, at I har ansvaret for at behandle billederne i overensstemmelse med GDPR. Dette indebærer flere vigtige punkter:

• Retsgrundlag: I skal have et legitimt og lovligt grundlag for at behandle billederne. Almindelige retsgrundlag kan inkludere:

  • Samtykke: Den mest klare, men også den mest forpligtende. Personen på billedet skal give et udtrykkeligt og informeret samtykke til, at billedet bruges. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt.
  • Legitim interesse: Hvis I har en legitim interesse i at bruge billedet (f.eks. markedsføring af jeres virksomhed eller præsentation af medarbejdere), og denne interesse vejer tungere end personens ret til privatliv, kan dette være et gyldigt grundlag. Det kræver en grundig vurdering og dokumentation.
  • Kontraktlig forpligtelse: Hvis billedet er nødvendigt for at opfylde en kontraktlig forpligtelse (f.eks. et foto af en model i forbindelse med en reklamekampagne), kan dette være et gyldigt grundlag.

• Information til den registrerede: I skal informere den person, der er på billedet, om hvordan I behandler deres persondata. Dette inkluderer:

  • Hvem der er dataansvarlig.
  • Formålet med behandlingen (hvorfor I bruger billedet).
  • Retsgrundlaget for behandlingen.
  • Hvem I deler billedet med (hvis nogen).
  • Hvor længe I opbevarer billedet.
  • Personens rettigheder (adgang, berigtigelse, sletning, indsigelse osv.).

• Sikkerhed: I skal implementere passende tekniske og organisatoriske foranstaltninger for at beskytte billederne mod uautoriseret adgang, tab eller ændring.

• Dataminimering: I skal kun indsamle og behandle de billeder, der er nødvendige for det specifikke formål.

• Opbevaringsbegrænsning: I skal kun opbevare billederne så længe, det er nødvendigt for det formål, de blev indsamlet til.

Konsekvenser ved manglende hjemmel

Hvis I behandler portrætbilleder uden et gyldigt retsgrundlag, overtræder I databeskyttelsesreglerne. Dette kan medføre alvorlige konsekvenser, herunder:

• Påbud: Datatilsynet kan give påbud om at stoppe behandlingen af billederne.
• Bøder: Virksomheden kan blive pålagt bøder, der kan være betydelige, afhængigt af overtrædelsens alvor og virksomhedens størrelse.
• Omdømmetab: En overtrædelse af databeskyttelsesreglerne kan skade virksomhedens omdømme og tillid hos kunder og medarbejdere.

Konklusion

Portrætbilleder er som udgangspunkt persondata, når de kan bruges til at identificere en person. Virksomheder, der bruger portrætbilleder, skal derfor nøje overveje deres ansvar som dataansvarlige og sikre, at de har et gyldigt retsgrundlag for behandlingen. Ignorering af disse regler kan føre til betydelige konsekvenser. Sørg for at have styr på GDPR og persondatabehandling, så I kan undgå problemer og opretholde tilliden hos dem, I arbejder med. Overvej eventuelt at søge rådgivning hos en specialist i databeskyttelse for at sikre, at I overholder alle relevante regler og bestemmelser.