Huskeliste om personvern og foto: Hva er lov og ikke?

GDPR gjelder ikke for en fysisk person som ledd i rent personlige eller familiemessige aktiviteter. Dette betyr at det er forskjellige regler som gjelder dersom du skal ta bilder som privatperson versus ta bilder som en del av jobben din. Men hva er forskjellene?  

Regler for fotografering som privatperson 

1. Du kommer langt med helt normal folkeskikk  

Vær grei og ikke plag folk. Dersom vi beveger oss inn i straffeloven, så er det nemlig forbudt å "krenke en annens fred" ved å ta bilder på en skremmende, plagsom eller på andre måter hensynsløs måte.

2. Åndsverksloven gir den enkelte retten til sitt eget bilde  

Dette innebærer at du ikke kan vise bilder av andre offentlig, uten samtykke fra den eller de du har tatt bilde av. Her er det en del unntak, for eksempel dersom fotograferingen har aktuell og allmenn interesse, eller dersom bildet er av forsamlinger eller folketog.  

3. Arrangører kan sette fotoforbud 

Arrangører av private arrangement som konserter, stand-up og slikt har anledning til å sette som vilkår for deltakelse at ingen får ta bilde.

Det samme kan du si til middagsgjestene dine! Dersom du bryter denne type private forbud kan du ikke bli straffet, men du kan bli vist bort fra området.  

4. Det finnes noen litt mer spesielle forbud 

Det er for eksempel forbudt å ta flyfoto eller bilder fra luften uten særlig tillatelse, og det er forbudt å fotografere under forhandlingene i straffesaker. Sjekk ut hjelpsom sak fra pressens offentlighetsutvalg. 

Dette var reglene i privat sammenheng, men hva gjelder når du tar bilder i jobben din?

Regler for fotografering i jobben 

1. Ta med deg folkeskikken på jobb også 

For det første så gjelder de samme tingene som i privat sammenheng. Litt normal folkeskikk kommer man langt med.  

2. Skal du behandle personopplysninger på vegne av virksomheten din? Da slår GDPR inn! 

Et bilde regnes som en personopplysning dersom personer kan gjenkjennes. Dette vil typisk være dersom det er bilde av et ansikt, men også andre ting kan potensielt identifisere noen, for eksempel informasjon om arbeidsplass kombinert med bilde av en tatovering. 

For å være i henhold til GDPR, må prinsippene i GDPR følges. Dette innebærer at behandlingen skal være:  

• lovlig – du trenger å kunne vise et lovlig grunnlag, og føre en oversikt («protokoll») over disse. 
• åpen og rettferdig – de som blir tatt bilde av skal få klar og tydelig informasjon om hva bildene skal brukes til.
• formålsbegrenset – opplysningene (bildene) skal samles inn og brukes for spesifikke formål, ikke lagres som «nice to have». 
• dataminimert – det skal ikke samles inn mer persondata enn nødvendig for å nå formålet. Hvor mange bilder trenger dere for eksempel av den enkelte ansatte?
• riktige – uriktige opplysninger skal slettes. Dette vil her betyr bilder eller bildetekst som sier/viser noe feilaktig om de som er avbildet.
• med begrenset lagring – persondata skal ikke lagres lenger enn det som trengs for å oppnå formålet. Her er det nok mange som synder!
• med tilstrekkelig sikkerhet. Opplysningenes integritet, konfidensialitet og tilgjengelighet skal beskyttes. Gjennomfør regelmessige risikovurderinger! Sørg også for at bildene lagres på en slik måte at kun de som trenger det har tilgang, og husk å ha på plass avtale med underleverandører (databehandlere).

Enhver virksomhet bør ha en intern prosedyre som sier noe om hvordan dette ivaretas ved bildetaking som gjøres av virksomheten. 

Interessert i flere saker som dette? Følg vårt personvernombud Øyvind Straume på LinkedIn!

Visste du at Sikt tilbyr sine kunder å ta på seg rollen som personvernombud for virksomheten? Les om tilbudet her. 

Her kan du lese om Sikt sine øvrige personverntjenester for forskning.