Många företag har full koll på GDPR i kundregister och nyhetsbrev – men inte i bildarkivet. Samtidigt ligger där hundratals bilder på anställda, kunder och eventdeltagare. GDPR och bildrättigheter är två olika regelverk som möts i samma bild, och båda behöver hanteras.
Personbilder är personuppgifter
En bild där en person går att identifiera är en personuppgift. Det betyder att GDPR gäller fullt ut: ni behöver en rättslig grund för att använda bilden, personen har rätt att veta hur den används, och rätt att få den borttagen. Det gäller medarbetarporträtt på webben lika väl som mingelbilder från kundeventet.
Det betyder inte att allt kräver påskrivna papper. Men det kräver att ni kan svara på frågan "vilka bilder har vi på vem, och med vilket stöd använder vi dem?" – och det kan en mappstruktur i en delad enhet inte.
Samtycke: inhämta är lätt, hålla koll är svårt
Det svåra med samtycke är sällan att få det – de flesta säger ja vid fototillfället. Det svåra kommer sedan: att veta vilket samtycke som hör till vilken bild, vad det omfattar och när det återkallas. Ett samtycke i en mejltråd från 2023 hjälper inte den kollega som hittar bilden 2026.
Lösningen är att koppla samtycket till bilden, inte till ett separat dokument. En bildbank med avtal och samtycke inbyggt gör kopplingen automatiskt. Hur ett praktiskt flöde ser ut beskrivs i Samtycke för personbilder.
När en anställd slutar
Det vanligaste GDPR-misstaget i företag är bilder på före detta anställda. Personen slutade för två år sedan, men porträttet ligger kvar på webben och teambilden används fortfarande i presentationer. Om personen begär att bilderna tas bort behöver ni kunna hitta dem – alla.
Här blir sökbarhet en complianceförmåga. Kan ni söka fram alla bilder på en namngiven person tar gallringen minuter. Kan ni inte det blir varje begäran en utredning.
Upphovsrätt: fotografens bilder är inte era
GDPR skyddar personen i bild. Upphovsrätten skyddar fotografen som tog den. Att ni betalat för en fotografering betyder inte automatiskt att ni får använda bilderna hur som helst – vad som ingår styrs av avtalet med fotografen eller bildbyråns licens.
Spara därför licensvillkoren tillsammans med bilderna, och notera begränsningar som tidsperiod eller kanal. När en bild med utgången licens dyker upp i en kampanj är det företaget som bär ansvaret, inte den som råkade hitta filen.
Var bilderna lagras spelar också roll
Eftersom personbilder är personuppgifter omfattas även lagringen av GDPR. Lagring inom Sverige eller EU gör tredjelandsfrågan enkel att besvara – för många organisationer ett krav, inte en preferens. Bakgrunden finns i Svensk datalagring, och hur en bildbank stödjer hela kedjan syns på produktsidan.
