Samtycke brukar inte räcka som rättslig grund när ni fotograferar personal, eftersom maktobalansen mellan arbetsgivare och anställd gör samtycket ogiltigt i de flesta fall. Dokumentera istället en intresseavvägning, informera medarbetarna tydligt om syftet och var extra noggranna om fotograferingen övergår i kamerabevakning, som kräver särskild prövning och ofta en DPIA.
Kort sagt:
Samtycke är oftast ogiltig som rättslig grund för personalfotografering på grund av maktobalansen mellan arbetsgivare och anställd.
En skriftlig intresseavvägning som tydligt anger syfte, alternativ och tidsgräns är det rekommenderade rättsliga tillvägagångssättet.
Publicering av bilder på webb och sociala medier kräver ofta specialanpassad bedömning av berättigat intresse och tydlig information till den anställde.
Kamerabevakning ska endast användas vid systematisk eller omfattande övervakning och kräver en DPIA samt förhandling med facket.
För att undvika juridiska risker bör all dokumentation, inklusive rutiner för gallring, vara noggrant planerad och skriftligt bevarad.
Innehållsförteckning
Rättsliga grunder och grundläggande principer för bildbehandling av anställda
Publicering av bilder på webb och sociala medier: praktiska scenarier och bedömningar
Kamerabevakning på arbetsplatsen: när det gäller strängare regler och DPIA
Praktisk checklista för HR: steg före, under och efter fotografering
Fotografens praktiska råd: hur minska GDPR-risker vid personalfoto
Författarens perspektiv: varför respekt fungerar som riskminimering
Tjänster som hjälper HR: professionell företagsfotograf som levererar GDPR-säkert material
Rättsliga grunder och grundläggande principer för bildbehandling av anställda
Många HR-avdelningar utgår ifrån att ett undertecknat samtycke löser allt. Så fungerar det sällan i en anställningsrelation. Enligt IMY:s vägledning om rättslig grund i arbetslivet är samtycke i praktiken sällan giltigt som rättslig grund, eftersom den anställda befinner sig i ett beroendeförhållande till arbetsgivaren och därför svårligen kan sägas lämna sitt samtycke helt fritt. Samma problematik lyfts i EDPB:s riktlinjer om samtycke, där maktobalansen i anställningsförhållanden pekas ut som ett skäl till att samtycke sällan är fritt givet, och biometriska system som ansiktsigenkänning lyfts särskilt fram som exempel där risken för otillbörlig påverkan är hög.
Den rättsliga grund som istället oftast blir aktuell är intresseavvägning. Den innebär att ni väger ert berättigade intresse, exempelvis att marknadsföra verksamheten eller presentera medarbetare på webbplatsen, mot den anställdas rätt till personlig integritet. Avvägningen ska göras skriftligt och innehålla:
Syftet med fotograferingen och varför det är nödvändigt
Vilka alternativ som övervägts, till exempel stockbilder eller illustrationer
En bedömning av hur ingripande behandlingen är för den enskilda medarbetaren
En tidsgräns för hur länge bilderna ska användas innan de gallras
Fyra grundprinciper i dataskyddsförordningen styr hela processen. Ändamålsbegränsning innebär att bilderna bara får användas för det syfte de samlades in för. Uppgiftsminimering betyder att ni endast tar och sparar de bilder som verkligen behövs, inte en hel katalog “för säkerhets skull”. Lagringsbegränsning kräver att bilder som inte längre fyller sitt syfte raderas, och ansvarsskyldigheten innebär att ni måste kunna visa, inte bara påstå, att ni har gjort en korrekt bedömning.
Vid en tillsyn granskar IMY dokumentationen lika noga som slutsatsen. En muntlig motivering om att “vi tyckte det kändes rimligt” håller inte. Förbered därför en skriftlig mall för intresseavvägning som ni kan återanvända och anpassa inför varje fotograferingstillfälle.
Publicering av bilder på webb och sociala medier: praktiska scenarier och bedömningar
Reglerna ser olika ut beroende på vem som syns på bilden och var den publiceras. En vd eller säljare med kundkontakt har redan en publik roll, vilket gör det lättare att motivera publicering med ett berättigat intresse. En anställd i en intern, icke-publik funktion har starkare skäl att slippa synas i marknadsföringsmaterial. IMY:s guide om att publicera bilder på internet slår fast att intresseavvägning ofta är den lämpliga rättsliga grunden vid publicering av bilder på anställda, men att bedömningen alltid måste göras i det enskilda fallet och att invändningar ska respekteras.
I praktiken bör HR gå igenom följande steg varje gång bilder ska publiceras:
Bestäm om publiceringen gäller en publik roll eller en intern funktion, eftersom det påverkar vilken avvägning som krävs.
Dokumentera det berättigade intresset, till exempel rekrytering eller employer branding, innan bilderna tas.
Informera medarbetaren om var och hur länge bilden kommer att visas, och ge tydlig information om rätten att invända.
Ta emot och hantera invändningar snabbt, och ha en rutin för att ersätta eller ta bort en bild om medarbetaren inte längre vill medverka.
Sätt ett datum för granskning så att bilder som är inaktuella, till exempel efter att en medarbetare slutat, gallras eller byts ut.
Många arbetsgivare glömmer bort just den sista punkten. En bild som låg kvar på webbplatsen länge efter att personen slutat är ett vanligt exempel på bristande gallring, och det är något som bra planering vid fotograferingstillfället kan förebygga redan från start genom att bygga in ett naturligt slutdatum i rutinerna.
Kamerabevakning på arbetsplatsen: när det gäller strängare regler och DPIA
Att ta porträttbilder av personalen är en helt annan sak än att sätta upp kameror som kontinuerligt filmar arbetsplatsen. IMY:s vägledning om kamerabevakning av anställda är tydlig på den punkten: kamerabevakning är väsentligt mer ingripande än ett enstaka fotografi, eftersom den sker systematiskt och ofta utan att den anställda aktivt medverkar i stunden.
Innan ni sätter upp en kamera behöver ni därför svara på om bevakningen är systematisk och storskalig nog för att kräva en konsekvensbedömning, en DPIA. Typiska situationer som utlöser kravet:
Kameror som täcker hela eller stora delar av en arbetsplats under arbetstid
System som kombinerar bild med annan personuppgiftsbehandling, exempelvis tidsstämpling av anställda
Bevakning av områden där många olika personer rör sig dagligen
Vissa former av bevakning är i princip aldrig acceptabla oavsett hur noggrant ni dokumenterar er avvägning. Dold kamerabevakning utan att personalen informerats är ett exempel. Kameror som används för att mäta enskilda medarbetares prestation i detalj är ett annat. Inspelning i omklädningsrum, toaletter eller andra utrymmen med stark förväntan om privatliv är i praktiken aldrig tillåten.
Proffstips: sätt alltid upp tydlig skyltning innan en kamera aktiveras, och spara skyltningsbeslutet tillsammans med er DPIA som bevis på att informationskravet uppfyllts.
Kamerabevakning utlöser ofta även en förhandlingsskyldighet enligt medbestämmandelagen. Arbetsdomstolens yttrande i en remiss om kamerabevakningslagstiftning pekar på att arbetsgivare som inför kamerabevakning utan att förhandla med facket riskerar skadeståndsanspråk. Involvera facket tidigt i processen snarare än att informera efter att beslutet redan är fattat.
Praktisk checklista för HR: steg före, under och efter fotografering
En strukturerad process gör skillnaden mellan en smidig fotodag och ett efterföljande klagomål till IMY. Följ dessa steg i ordning:
Definiera syftet med fotograferingen skriftligt, och begränsa antalet bilder som tas till det som faktiskt behövs för ändamålet.
Genomför och dokumentera er intresseavvägning, eller bekräfta att en annan rättslig grund gäller, innan kameran plockas fram.
Skicka ut tydlig skriftlig information till berörda medarbetare om syfte, publiceringskanaler och hur de invänder.
Lagra bilderna med begränsad åtkomst, och sätt ett datum för när de ska granskas eller gallras.
Om fotograferingen övergår i kamerabevakning: genomför en DPIA, förhandla med facket och sätt upp korrekt skyltning innan systemet aktiveras.
Lagringsminimering är inte en formalitet utan ett grundkrav enligt GDPR: bilder som inte längre fyller sitt ursprungliga syfte, till exempel efter att en medarbetare slutat, ska raderas snarare än att samlas i en allt större arkivmapp.
Samma logik gäller när personalbilder följer med vid en verksamhetsöverlåtelse. Den nya arbetsgivaren måste göra en egen bedömning av vilken rättslig grund som gäller, och bilder som saknar relevans för den nya verksamheten bör som regel raderas snarare än återanvändas automatiskt.
Ett konkret schema för fotodagen hjälper er att hålla koll på vilka steg som är klara och vilka som återstår, vilket gör hela processen lättare att dokumentera i efterhand.
Fotografens praktiska råd: hur minska GDPR-risker vid personalfoto
Som fotograf som arbetar löpande med företag i Stockholm ser vi att de flesta problem går att förebygga redan innan kameran är på plats. Vår erfarenhet är att riskerna minskar betydligt när fotograferingen planeras utifrån samma principer som styr själva dataskyddet.
Planera i förväg vilka bilder som faktiskt ska publiceras, och undvik att fotografera i kontexter som kan uppfattas som känsliga, till exempel vid personliga samtal eller i privata utrymmen.
Rensa bort onödig metadata, som platsinformation, innan filer skickas vidare, och leverera bilderna genom en kontrollerad kanal istället för öppna delningslänkar.
Erbjud medarbetare i icke-publika roller ett frivilligt alternativ, till exempel att stå längre bak i gruppbilder eller avstå helt från porträtt som publiceras externt.
Proffstips: be oss ta fram ett kort informationsblad till personalen inför fotodagen, det är ofta det enskilt mest effektiva sättet att minska antalet frågor och invändningar i efterhand.
Vi använder återkommande rutiner och mallar för filhantering och leverans som är byggda för att stödja just den typen av efterlevnad, snarare än att lämna ansvaret helt hos HR efter att bilderna är tagna.
Författarens perspektiv: varför respekt fungerar som riskminimering
Det vanligaste misstaget är inte juridiskt, det är kommunikativt. Arbetsgivare som informerar tydligt och tidigt får i vår erfarenhet färre klagomål än de som försöker lösa allt i efterhand med ett formellt samtyckesformulär. Dokumentation som görs proaktivt, innan kameran plockas fram, sparar enorm tid om IMY någon gång efterfrågar underlag.
Vårt råd till HR och fotografer är enkelt: kom överens om leverans- och gallringsrutiner innan uppdraget startar, inte efter. Den enda affären som sparar tid i längden är den som är ordnad från början.
— Michael Steinberg
Tjänster som hjälper HR: professionell företagsfotograf som levererar GDPR-säkert material
Att lägga ut personalfotograferingen på en fotograf som redan känner till de här rutinerna sparar både tid och juridisk oro. Vi erbjuder företagsfotografering och personalfoto på plats hos er i Stockholm, med fasta leveransrutiner, kontrollerad filhantering och möjlighet att bygga in gallringsdatum direkt i leveransen. Vi sköter den tekniska delen av efterlevnaden medan ni fokuserar på informationen till personalen. Hör av er för att boka en fotograf till nästa personalfotografering.
This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.
Vanliga frågor
Räcker samtycke som rättslig grund för foto på anställda?
Sällan. IMY och EDPB menar att samtycke i en anställningsrelation oftast inte är fritt givet på grund av beroendeförhållandet till arbetsgivaren. En dokumenterad intresseavvägning är i de flesta fall en säkrare rättslig grund.
Vad måste en intresseavvägning för personalfoto innehålla?
Den ska beskriva syftet med fotograferingen, väga det mot den anställdas integritet och ange hur länge bilderna ska användas innan de gallras. Dokumentationen ska vara skriftlig, inte bara en muntlig motivering.
När krävs en DPIA för kamerabevakning på arbetsplatsen?
En DPIA krävs ofta när bevakningen är systematisk eller omfattande, till exempel vid heltäckande övervakning av arbetsytor. IMY beskriver kamerabevakning som väsentligt mer ingripande än vanlig fotografering, vilket är skälet till de strängare kraven.
Måste facket involveras innan kamerabevakning införs?
Ja, i de flesta fall utlöser kamerabevakning en förhandlingsskyldighet enligt medbestämmandelagen. Enligt Arbetsdomstolens remissyttrande kan arbetsgivare som inför övervakning utan förhandling riskera skadeståndsanspråk.
Hur länge får vi spara bilder på anställda?
Bilderna ska bara sparas så länge de behövs för det ursprungliga syftet, enligt principen om lagringsminimering som beskrivs av IMY. En praktisk genomgång av rimliga lagringstider inom HR finns hos Evertrust Consulting, som arbetar specifikt med dataskyddsfrågor i arbetslivet.
Källor
Rekommendationer
