DAEN

MENU

Offentliggørelse af festbilleder af børn og unge – hvad må man?

Hvad skal der egentlig til, for at et samtykke er gyldigt? Hvornår er oplysningspligten tilstrækkeligt iagttaget? Datatilsynet har i en ny afgørelse vurderet kravene til et gyldigt samtykke i overensstemmelse med databeskyttelsesforordningen samt indholdet af oplysningspligten.

Hvad skal der egentlig til, for at et samtykke er gyldigt? Hvornår er oplysningspligten tilstrækkeligt iagttaget? Datatilsynet har i en ny afgørelse vurderet kravene til et gyldigt samtykke i overensstemmelse med databeskyttelsesforordningen samt indholdet af oplysningspligten.

Datatilsynet har kort før påske truffet afgørelse om påbud og udtalt alvorlig kritik i sagen om offentliggørelse af et stort antal billeder på Epic Bookings facebookside. Datatilsynet fandt, at det samtykke, som personerne på billederne havde givet, ikke var fyldestgørende, og at virksomheden ikke havde iagttaget oplysningspligten tilstrækkeligt. Der var ligeledes mangler ift. overholdelse af princippet om opbevaringsbegrænsning.

Sagen omhandler knap 500.000 billeder, der var taget til fester og lignende arrangementer, primært ved brug af selfiebokse.

Samtykke og kravene hertil

Samtykke kan kun bruges til behandlingshjemmel, hvis samtykket er gyldigt – dvs. frivilligt, specifikt, informeret og utvetydigt tilkendegivet.

Desuden skal samtykket i overensstemmelse med forordningens fokus på ansvarlighed (accountability) kunne påvises. Det anbefales, at den dataansvarlige skal kunne bevise, at der er opnået samtykke. Der er ikke som sådan krav til, at samtykket skal være skriftligt, men dette er selvsagt en oplagt metode.

Epic Booking oplyste i sagen, at samtykket blev givet ved, at festdeltagerne aktivt valgte at lade sig fotografere, og i de tilfælde, hvor billederne blev taget af en kameramand, har denne bedt om samtykke forud for, at billederne blevet taget.

Datatilsynet har i afgørelsen lagt særlig vægt på, at når behandlinger tjener flere formål, skal der indhentes samtykke til hver enkelt behandling, og at samtykket ikke kan anses for værende givet frivilligt, hvis det ikke er muligt at give et sådant særskilt samtykke. Det fandtes således at være i strid med dette princip, at Epic Booking ikke i sin information til de personer, der lod sig fotografere, havde oplyst, at behandlingen tjente flere formål, herunder salg af billeder og til brug for firmaets markedsføring.

Datatilsynet fandt herefter, at de indhentede samtykker ikke var gyldige, og gav Epic Booking et påbud om at slette alle billederne fra Epic Bookings facebookside.

Iagttagelse af oplysningspligten
Den dataansvarlige har ved behandling af personoplysninger pligt til at oplyse om alle databeskyttelsesretligt relevante forhold, herunder bl.a. oplysninger om, hvor længe oplysninger vil blive opbevaret.

Epic Booking havde søgt at opfylde oplysningspligten ved at sætte A4-ark med informationer ved siden af selfieboksen, og i højtaler at annoncere tilstedeværelsen af selfieboksen og kameramanden, samt ved arrangements afslutning i højtalerne at give oplysninger om, hvordan festdeltagerne kunne bede om at få deres billeder slettet.

Epic Booking oplyste ikke en opbevaringsperiode, hvilket Datatilsynet fandt var i strid med overholdelse af kravene til en rimelig og gennemsigtig behandling.

Datatilsynet udtalte alvorlig kritik af Epic Booking, og pålagde dem at indføre en opbevaringsperiode på maksimalt 60 dage. 

Helt generelt understreges ved afgørelsen, at oplysninger gives på en for modtageren hensigtsmæssig måde. Når det drejer sig om iagttagelse af oplysningspligten over for børn og unge, er det således vigtigt, at oplysningerne gives i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form samt i et klart og enkelt sprog.

Når en databehandling er baseret på samtykke fra den registrerede, er det således særligt vigtigt, at følgende iagttages:

  • Der skal sørges for, at der er etableret processer, som understøtter en nem og overskuelig sikring af bevis for afgivet samtykke, der lever op til kravene herfor, f.eks. frivillighed.
  • Det skal generelt sikres, at oplysning om hvert eneste forhold, som har relevans for den pågældendes afgivelse af samtykke, er tilgængeligt for den pågældende.
  • Det skal specifikt sikres, at hvert eneste formål med databehandlingen er identificeret og beskrevet tilstrækkeligt, så den pågældende har mulighed for at give samtykke til hvert enkelt formål ved behandlingen.
  • Hvis databehandlingen omfatter behandling af børn og unges personoplysninger, er det ligeledes særligt vigtigt at sikre, at oplysninger, der gives til de pågældende, er formuleret på en for modtageren hensigtsmæssig måde.

Hold dig opdateret: Få juridisk viden og indsigter fra vores eksperter direkte i din indbakke

Når du tilmelder dig vores nyhedsbreve, bliver du opdateret på seneste nyt fra de retsområder, som du ønsker at følge. Du får også adgang til kommende kurser, webinarer og arrangementer – alt sammen designet til at holde dig informeret og ajour. Uanset om du er på udkig efter rådgivning, viden eller netværksmuligheder, er vores nyhedsbreve din nøgle til det hele.