Egy adott személy arcát ábrázoló fotó a GDPR szerint személyes adat — ugyanúgy, mint a név vagy az e-mail cím. Egy privát esküvőn a legtöbben józan ésszel kezelik ezt, egy céges rendezvénynél vagy konferenciánál viszont már érdemes néhány konkrét dolgot tudni.
Mikor vonatkozik a GDPR a rendezvényfotóitokra is
Ha a fotókat csak magatoknak és a családnak gyűjtitek (tipikus esküvő), az többnyire a „személyes célú kivétel” alá esik, és a GDPR nem alkalmazandó teljes mértékben. Amint a fotókat üzleti célra használják — weboldalon, közösségi médiában, a következő évi konferencia promóciós anyagaiban —, az már személyes adatok kezelésének minősül, amelyre a GDPR teljes mértékben vonatkozik.
Amit egy céges rendezvény szervezőjének biztosítania kell
- A résztvevők előzetes tájékoztatása — a meghívóban vagy regisztrációkor jelezzétek, hogy a rendezvényen fotózás történik, és a fotókat promócióra is felhasználhatják.
- Az elutasítás lehetősége — egy hely, ahová az a résztvevő állhat, aki nem szeretne lefotózódni, vagy egy mód arra, hogy a rendezvény után kérje egy konkrét fotó eltávolítását.
- Világos cél — a belső archívumnak szánt fotók más eset, mint a nyilvános reklámkampányba szánt fotók; a célnak már a gyűjtéskor világosnak kell lennie, nem utólag kitalálva.
- Ésszerű megőrzési idő — egy egyszeri rendezvény fotóinak nincs oka határozatlan ideig tárolva maradni világos cél nélkül.
Fontosabb, mint gondolnátok, hogy fizikailag hol vannak az adatok
Az EU-n kívüli szerverekkel rendelkező eszközön keresztül feltöltött fotókra bonyolultabb jogi keret vonatkozik (személyes adatok harmadik országba történő továbbítása). Egy közvetlenül az EU-ban tárolt adatokkal rendelkező eszköz megszünteti ezt a komplikációt — és ez az egyik első dolog, amit a compliance osztály kérdez céges rendezvényeknél.
Gyakorlati ajánlás
A vendégfotók gyűjtésére szolgáló eszköz kiválasztásakor érdemes három dolgot ellenőrizni: hol vannak az adatok, van-e a szolgáltatónak aláírásra kész adatfeldolgozási szerződése (DPA), és mennyi ideig őrzi meg a fotókat a rendezvény után. A Pixelka nyilvánosan elérhetővé teszi ezeket a válaszokat — az adatvédelmi tájékoztatót és az aláírásra kész DPA-t közvetlenül a weboldalon megtaláljátok, anélkül, hogy kérnetek kellene.
Ez a cikk általános áttekintés, nem jogi tanácsadás — érzékenyebb közönséggel rendelkező céges rendezvényeknél (például gyerekek, egészségügyi rendezvények) egyedi ügyvédi konzultációt javaslunk.