Bildhantering

God man med "rätt" uppdrag, eller förvaltare, kan samtycka i den registrerades ställe. Är någon annan grund tillämplig så ska man aldrig använda samtycket.

Ett samtycke gäller så länge man har sagt att det ska gälla, i information som ska föregå samtycket. Till exempel bara en bild eller alla bilder under hela elevens tid i skolan. Kom dock ihåg att det går att återkalla.

Dessutom har det nyligen kommit en vägledning från EU om samtycke, som bland annat säger att de menar att det är "god sed" att då och då "påminna" om samtycket. Vad det kommer att innebära i praktiken återstår att se.

Om den som är på bilden ska samtycka så måste det gälla att personen samtycker till att bilden ska publiceras till exempel på en viss webbplats. Det räcker inte med att får jag använda bilden.

Nej, den lagliga grunden är anställningsavtalet, så samtycke är inte aktuellt. I artikel 13-14 GDPR räknas de uppgifter upp som ni självmant ska informera de registrerade om. NI måste ha koll på vilka behandlingsändamål som gäller i era olika verksamheter. Man kan göra en standardmall för detta men det är inte säkert att det omfattar det ni gör.

Villkoren för barns samtycke är satt till 13 år i Sverige vid erbjudandet av informationssamhällets tjänster direkt till barn. Vad innebär detta i praktiken?

Om det handlar om att eleven ska öppna ett konto hos den sociala medieleverantören så är det sannolikt 13 år som gäller (exempel Facebook, Instagram), det finns kommersiella inslag typ reklam och tjänsten riktar sig direkt till den unge när man skaffar konto och lämnar sina uppgifter till tjänsteleverantören .

När det i nästa led handlar om att eleven ska godkänna att skolan lägger upp bilder på eleven på skolans/kommunens sida i den sociala medietjänsten, så håller jag med dig, där är det en del av skolans verksamhet.

Om det krävs samtycke för publiceringen så är det istället huvudregeln som gäller, det vill säga normalt 14-15 år, allt beroende på sammanhang och typ av uppgifter. Gränsen mellan behandling av uppgifter för erbjudande av informationssamhällets tjänster direkt till ett barn och annan behandling av personuppgifter är inte glasklar. Men om man läser i de svenska förarbetena till den nationella implementeringsbestämmelse där Sverige har bestämt att 13 år ska gälla , så finns skrivningar om vad detta kan omfatta. Se prop 2017/18:105 sid 67.

Ytterligare en fråga är om det kan finnas någon annan rättslig grund för behandlingen, t ex att behandlingen är nödvändig för utförande av en arbetsuppgift grundat på allmänt intresse och som har stöd i lag, förordning, eller beslut meddelat med stöd av lag eller författning (art 6 och 2 kap 2 § DSL)?