Obligatorisk porträttfotografi på arbetsplatsen, vad gäller enligt GDPR?
Lawline svarar
Hej och tack för att du vänder dig till Lawline med din fråga!
Ett porträttfotografi på dig utgör en personuppgift och behöver således följa de regelverk som reglerar personuppgiftsbehandling. För personuppgiftsbehandling är det den allmänna dataskyddsförordningen eller GDPR som den kallas i folkmun den huvudsakliga lagstiftningen på område, och även den lagstiftning som kommer användas för att besvara din fråga. Du hittar en länk till GDPR (här).
Allmänt om personuppgiftsbehandling
När man pratar om personuppgiftsbehandling finns det två aktörer som man behöver hålla reda på. Den först är personuppgiftsansvarige som är den aktör som har hämtat in och behandlar en uppgift som kan användas för att identifiera en individ (artikel 4.1 GDPR) Den andra aktören är den registrerade som är den individ som uppgiften kan användas för att identifiera (artikel 4.7 GDPR) . När en personuppgiftsansvarig börjar att behandla en personuppgift så krävs det att vissa saker är uppfyllda. Bland annat måste personuppgiftsansvarige ange ett ändamål med behandlingen, vilka rättigheter den registrerade har kring behandlingen och ha en rättslig grund för behandlingen (artikel 5 och 6 GDPR). Särskilt viktigt är det att personuppgiftsbehandlingen tar avstamp i en av de rättsliga grunderna som återfinns i artikel 6, om så inte är fallet är behandlingen olaglig. All den här informationen måste komma den registrerade tillhanda så att den registrerade kan ta tillvara på sina rättigheter och skydda sig själv från att hens personuppgifter används på ett otillbörligt sätt.
När personuppgiftsansvarige behandlar den registrerades personuppgifter så har den registrerade vissa rättigheter som den kan använda sig av för att få insyn i behandlingen, påverka behandlingen och stoppa behandlingen. Bland annat har den registrerade rätt till tillgång, vilket innebär att den registrerade kan begära att få veta om personuppgiftsansvarige behandlar personuppgifter om den registrerade, ändamålet med behandlingen, vilka personuppgifter som behandlas, kopia över de personuppgifter som behandlas och vilka mottagare som personuppgifterna har eller kan komma att ges ut till (artikel 16 GDPR). Den registrerade har ytterligare rätt till att få sina personuppgifter raderade under vissa förutsättningar (artikel 17 GDPR) och rätten till att göra en invändning mot behandlingen (artikel 21 GDPR). Dessutom har den registrerats om den rättsliga grunden för personuppgiftsbehandlingen är samtycke även en rätt att återkalla sitt samtycke, som innebär att personuppgiftsbehandlingen genast ska avslutas (artikel 7.3 GDPR).
Vad du kan göra
Som tidigare nämnt är ett porträttfotografi på dig en personuppgift då bilden kan användas för att identifiera dig. Det innebär att du och din arbetsgivare inträder i ett förhållande som registrerad och personuppgiftsansvarig. Din arbetsgivare kan grunda sin behandling av porträttfotografiet på två olika rättsliga grunder. Den ena är samtycke som innebär att din arbetsgivare måste ha inhämtat ditt samtycke innan personuppgiftsbehandlingen påbörjades, vilket utifrån din fråga låter osannolikt att så har skett (artikel 6.1 a GDPR). Den andra är att personuppgiftsbehandlingen grundar sig i en intresseavvägning, där det sker en avvägning mellan den personuppgiftsansvariges behov/intresse av att behandla dina personuppgifter kontra dina personliga rättigheter (6.1. c GDPR).
Du som registrerade har rätt till att få insyn i hur ditt porträttfotografi kommer användas och dessutom på vilken rättslig grund som personuppgifterna behandlas (artikel 16 GDPR). Om det är så att den rättsliga grunden är samtycke så kan du återkalla ditt samtycke och begära radering (artikel 7 i kombination med artikel 17 b GDPR). Har personuppgiftsbehandlingen istället grundas på en intresseavvägning kan du istället göra en invändning mot behandlingen (artikel 21 GDPR). En invändning mot personuppgiftsbehandlingen ska ta sikte på ett specifikt skäl som hänför till dig som registrerad, exempelvis att du inte vill att ditt porträttfotografi ska användas vid bolagets reklam. Vid en invändning ska personuppgiftsansvarige genast avsluta behandlingen om inte personuppgiftsansvarige kan bevisa att den har ett berättigat skäl som väger tyngre. Om din arbetsgivare anser att deras skäl väger tyngre kan du få ärendet prövat av integritetsskyddsmyndigheten.
Min rekomendation
Vad jag rekommenderar dig att göra är att kontakta din arbetsgivare och begära att få insyn i din arbetsgivares behandling av ditt porträttfotografi. Vid din begäran bör du begära ut: 1. Vilket ändamål porträttfotografiet används för och 2. vilken rättslig grund som behandlingen baseras på. Beroende på vad du får för svar kan du antingen göra en invändning eller återkalla ditt samtycke, båda kan resultera i att behandling avslutas och perosnuppgifterna raderas.
Hoppas du fick svar på din fråga!
Vänligen,
