Personlige opplysninger – GDPR
Bilder og filmer kan være personopplysninger
Bilder og filmer kan være personopplysninger dersom levende personer er til stede i materialet og i slike tilfeller omfattes av GDPR. Det samme gjelder for lydopptak som inkluderer en persons stemme. Dette er spesielt viktig for bedrifter å vurdere før behandling av personopplysninger i bilder, filmer eller lydopptak.
Bilder og filmer – Hva er personopplysninger under GDPR?
Personopplysninger refererer til all informasjon som kan knyttes, direkte eller indirekte, alene eller i kombinasjon med andre data, til en fysisk levende person. For eksempel et navn, telefonnummer og personlig identifikasjonsnummer.
Hvis det er mulig å knytte et bilde, film eller lydopptak til en levende person, er det også personopplysninger. På den annen side betyr det ikke at alt som finnes i materialet utgjør personopplysninger. Vær oppmerksom på at det må være mulig å identifisere personen. Med andre ord er det mulig å «uskarpe» ansiktet til en person som vises på et bilde, eller noen som er til stede på bildet, kan ikke identifiseres av noen annen grunn.
Hva om selskapet ikke er i stand til å identifisere personen som vises i bilder, videoer eller lydopptak?
Hvis et selskap tar et bilde og det er ukjente personer på bildet, men noen andre kan identifisere personene, utgjør det fortsatt personopplysninger under GDPR. Dermed spiller det ingen rolle om selskapet er i stand til å identifisere personene eller ikke.
I tillegg kan det være at et bilde er for lite til å lese personene i det, men at teknologien kan zoome inn og dermed se personene tydeligere på bildet, utgjør det også personopplysninger.
Kan bilder og filmer inneholde sensitive eller andre personvernsensitive personopplysninger?
Ja, bilder og filmer kan inneholde sensitive eller andre personvernsensitive personopplysninger. Det er fire grupper av personvernsensitive personopplysninger i GDPR, hvorav den ene er sensitive personopplysninger. Selv om behandling av sensitive personopplysninger er forbudt etter den generelle regelen fastsatt i artikkel 9 i GDPR, er det noen unntak.
Eksempler på sensitive personopplysninger er opplysninger som avdekker den enkeltes politiske synspunkter. Hvis en person holder en tale til en lukket gruppe mennesker og kommuniserer sine politiske synspunkter i talen, og det er mulig å knytte video- eller lydopptaket til den enkelte, utgjør det sensitive personopplysninger.
Publisere bilder og tekster om ansatte
I noen tilfeller ønsker bedriftene å publisere bilder med beskrivende tekster om sine ansatte på for eksempel bedriftens nettsider. Det kan være følsomt, og derfor kan det være nyttig å spørre den ansatte om hans avtale før du gjør det. Samtykke kan derimot ikke brukes som rettslig grunnlag for behandlingen, da maktforholdet mellom arbeidsgiver og arbeidstaker er ulikt.
Avtale
Kontrakter med registrerte kan være et passende rettslig grunnlag for publisering av bilder og tekster om ansatte hvis det er en del av oppgaven, for eksempel for meglere.
Berettiget interesse
Selskapet kan ha en berettiget interesse av å publisere bilder og beskrivende tekster om ansatte, dersom det er vanlig at slike roller får dataene publisert. For eksempel de personene som sitter i selskapets styre eller i styret.
Lær mer om GDPR
Behandling av personvernsensitive personopplysninger
Det finnes ulike kategorier av personopplysninger som selskaper kan behandle. Jo viktigere personopplysningene er, desto strengere sikkerhetskrav. Det er fire grupper av personvernsensitive personopplysninger, hvorav to er sensitive data og data om brudd på loven. Disse to kategoriene er også underlagt spesifikke bestemmelser i GDPR, som skiller dem fra de to andre kategoriene, som er personnummer og subjektivt personvernsensitive data.