Frågor och svar om GDPR för kommunikatörer

Fråga

Exempelvis hur gör vi med material på sociala medier och webb som vi bör ta bort enligt GDPR men måste arkivera enligt arkivlagen? Gäller inte samtycke då?

Svar

Det innebär att vi som kommun, eller annan myndighet, kan komma att vara skyldiga att spara en bild enligt arkivlagen, även om den inte får användas för bildpublicering längre. Det gäller alltså om vi inte kan inhämta samtycke för att publicera bilden.

Fråga

Vad händer med uppgifter som redan finns och spridits i fysisk form, till exempel gamla bilder, gamla medborgar- och personaltidningar? Eller som publicerats av oss i sociala medier och sedan spridits av andra?

Svar

Man får normalt spara sådana uppgifter eftersom det är en inkommen handling. Däremot är det inte säkert att uppgifterna får ligga kvar på det sociala mediet. Om det till exempel är en sekretessbelagd uppgift så måste den tas bort från kommunens sociala mediesida ( till exempel Facebook). Om den ska raderas totalt eller ej beror på hur kommunens gallringsregler med stöd av arkivlagen ser ut. Det beror också på vilken relevans uppgiften har för kommunens verksamhet.

Fråga

Om vi inte kan visa på ett samtycke kopplat till gamla bilder i vårt digitala bildarkiv, vad kan vi göra? Kan vi radera dessa eller behöver vi förhålla oss till annan arkivering?

Svar

Detta är en komplex fråga. Kan du inte inhämta samtycke för publicering efter den 25/5 2018 så måste man hitta en annan laglig grund eller så måste du gallra. När man som myndighet raderar bilder i ett bildarkiv, så är det gallring enligt arkivlagen och du måste ha stöd i gallringsbeslutet i din verksamhet för att få gallra. Det är inte säkert att bilderna måste gallras. Däremot kan det vara stopp att använda bilden i publiceringar på webben efter den 25/5 om det inte finns samtycke. Frågan är komplex och det är svårt att ge ett fullödigt uttömmande svar men hoppas detta svar kan ge en viss vägledning.

Fråga

Filmer som ingått i en kampanj, måste vi ta bort dem från vår webb när kampanjen är slut om det står till exempel förnamn eller är bilder på personer? Utifrån att man inte ska spara personuppgifter längre än nödvändigt.

Svar

Ja, om samtycket bara täcker att filmen ska vara ute på webbplatsen så länge som kampanjen pågår. Däremot kan ni ha rätt att spara filmen i ert arkiv i kommunen. Filmen får ses som en allmän handling och kan gallras med stöd av arkivlagen och ett gallringsbeslut i verksamheten, det vill säga den kan inte raderas enbart med stöd av dataskyddsförordningens regler.

Fråga

Kan exempelvis ett valborgsfirande räknas som allmänt intresse då det är en stor årlig händelse.

Svar

Personuppgifter får behandlas om behandlingen är nödvändig för att utgöra en uppgift av allmänt intresse. För att det ska vara fråga om allmänt intresse ska det allmänna intresset följa av lag eller annan författning (till exempel förordning), av kollektivavtal eller av beslut som har meddelats med stöd av lag (till exempel myndigheters föreskrifter). Huruvida ett valborgsfirande kan vara ett sådant allmänt intresse är fortfarande oklart.

Fråga

Hur gör vi med bilder på till exempel festivaler med många personer på bild? Där är det omöjligt att inhämta samtycke från samtliga.

Svar

Det är svårt att avgöra var gränsen går mellan samtycke och allmänt intresse. Enligt Integritetsskyddsmyndigheten kan du använda allmänt intresse vid event för att marknadsföra din kommun så som invigning av en byggnad. Dock är det viktigt att bilden är neutral, det vill säga inte är kränkande eller pinsam för den enskilde. I ovanstående fall behöver du inte samtycke utan du kan hänvisa till allmänt intresse.

Fråga

Kan ni beskriva hur vi ska hantera cookies på webbplatser, som till exempel används inom google analytics?

Svar

Enligt lagen om elektronisk kommunikation (2003:389) ska alla som besöker en webbplats med så kallad cookies få tillgång till information om att webbplatsen innehåller cookies, vilka cookies som används och ändamålet med användningen. Enligt lagen ska besökarna även lämna sitt samtycke till att cookies används och få information om hur man gör för att ta bort dem.

Det kan nämnas att det inom EU har arbetats fram en ny ”E-privacy regulation” som ämnar att komplettera GDPR (en form av speciallag för just cookies). Denna lagstiftning har dock ännu inte trätt i kraft, och det är oklart när det kommer att ske.

E-privacy regulation, EU-kommissionen

För inköpta bilder rekommenderas modellavtal.

Antingen har ni köpt bilden direkt av en modell och då ska ett modellavtal upprättas mellan er och modellen. SKR har tagit fram en mall för modellavtal.

Mall för modellavtal (Word) Word, 25 kB.

Alternativt har ni köpt bilden av en bildbyrå. Då ska ett avtal upprättas mellan er och bildbyrån och bildbyrån säkerställer att modellavtal finns upprättat mellan dem och modellen.

Fråga

Köpta bilder från foto/bildföretag där vi (som köpare av bilden) inte kan identifiera personerna på bilden (modeller i arrangerade situationer) och bilden är köpt för att användas ”fritt” (enligt avtal) under obegränsad tid. Vilken lagstiftning gäller? Samtycke?

Svar

Nej, det viktiga är att det finns ett korrekt avtal med bildbyrån där bildbyrån säkerställer att ett korrekt modellavtal finns.

Rätten att bli glömd innehåller så många undantag för myndigheter att man kan säga att den inte gäller myndigheter generellt. Avtalen i sig behöver inte vara begränsade till x antal år. Däremot gäller alltid som princip i GDPR att uppgifterna inte ska sparas längre än vad som är nödvändigt med hänsyn till det ändamål som gäller när uppgifterna samlas in.

När en personuppgiftsansvarig samlar in uppgifter direkt från den registrerade så skall denne alltid informera om behandlingen enligt artikel 13. B la ska det anges ”den period under vilken uppgifterna kommer att lagras eller om detta inte är möjligt, de kriterier som används för att fastställa denna period".

Fråga

1. Vad är skillnaden på modellavtal och samtycke och när använder man vad?
   
2. Om man har samtyckt till att vara med i en tryckt publikation. Kan man sedan, när publikationen är tryckt, ta tillbaka sitt samtycke? Är det i dessa fall bättre att skriva avtal?

Svar

1. Ett modellavtal används för någon som ställer upp som modell
   (används ofta av en professionell fotograf mot betalning). Grunden är att det
   ska finnas ett tecknat modellavtal, det vill säga ett affärsmässigt avtal att hänvisa till.
2. I dessa fall kan ni använda ett modellavtal istället för samtycke.
   

Modellavtal är ett avtal där modellen får betalt för att bilden tas och att modellen går med på att bilden får användas för publicering på de sätt och i de kanaler anges i avtalet. Det är det som ersättningen avser.

Om det inte utgår någon ersättning så är det inte ett avtal utan då handlar det om samtycke enligt PuL/GDPR. Handlar det om användning bara i grundlagsskyddade medier, (t ex publicering i en bok eller tidning som utges) så faller hela hanteringen under undantaget som gäller grundlagsskyddade medier. Se art 85 GDPR samt 1 kap 4 § förslaget till dataskyddslag.

Att kommunen/regionen publicerar bilden på sin webbplats är det är en del av verkställigheten av modellavtalet, om det har skrivits på rätt sätt.

Ja, ljudupptagning är en personuppgift.

Fråga

Hur ska vi göra med automatiserat material, till exempel bilder och texter?

Svar

Personuppgiftshantering på samma sätt som om bilden är tagen av en människa gäller.

Fråga

Vi har ett externt tryckeri som trycker och skickar ut vårt personaltidning till samtliga anställda inom regionen. De får inför varje nummer en aktuell Excel-fil med namn och adressuppgifter. Är detta ok även med GDPR eller krävs det medgivande från var och en av medarbetarna

Svar

GDPR har ju vissa generella undantag för tryckfrihet och yttrandefriheten med stöd av artikel 85 i förordningen. Framställning och publicering på papper av en personaltidning omfattas av det undantaget utifrån GDPR och samtycke behövs inte.

Följdfråga

Krävs det att vi inhämtar samtycke från alla medarbetare också?

Svar

De är anställda och behöver normalt inte samtycka till att få en personaltidning, det får ses som en del av anställningen. Om ni lämnar ut hemadressuppgifter till tryckeriet så ska det finnas ett biträdesavtal mellan er och tryckeriet. Det ska innehålla tystnadspliktsbestämmelser för deras medarbetare.

Dessutom gäller en särskild sekretess i offentlighets och sekretesslagen 39 kap 3 § (trädde ikraft nu den 1/1,) om anställdas hemtelefon och hemadress, privata a-postadresser och uppgifter om anhöriga. Nej de kan inte begära ut hemadresser till de anställda på grund av sekretessen ovan.

Nej, ett samtycke behöver inte alltid vara skriftligt men det måste finnas dokumenterat i verksamheten.

Nej, men det måste vara avgränsat för ett eller flera specifika ändamål.

Fråga

Vad gäller för publicering av personuppgifter i tryckt material? Exempel bilder i en årsredovisning eller broschyr som inte ligger på webben.

Svar

I detta fall bör det omfattas av undantaget för tryckfrihet och yttrandefrihet, det vill säga det omfattas inte av PuL eller dataskyddsförordningen.

Fråga

Kan man publicera bilder/filmer på exempelvis kommunens hemsida med stöd i undantaget journalistiskt ändamål? Exempelvis bevakning av större händelser i kommunen där samtycken skulle vara omöjligt att samla in, men det allmänna intresset är stort?

Svar

Inte hur som helst. För att en publicering på myndighetens webbplats ska falla under något undantag krävs så kallat frivilligt utgivningsbevis. Det finns nackdelar med det och Integritetsskyddsmyndigheten har ifrågasatt lagligheten av att myndigheter gör så, men det finns möjlighet för en myndighet att skaffa frivilligt utgivningsbevis hos myndigheten för radio, tv och media.

Notera att utgivningsbevis för tidning och utgivningsbevis för databas är två olika saker, och vill man ha utgivningsbevis för båda krävs två ansökningar.

Fråga

Vår kommun har ett utgivningsbevis för live-webbsändning av kommunfullmäktiges sammanträden. Innebär det att vi inte behöver inhämta samtycke från de som deltar eller finns det någon annan rättslig grund som kan vara aktuell?

Svar

Inget samtycke behövs.

Fråga

Jag har en fråga kring att publicera en artikel i en kommuntidning respektive på en webbplats. Jag blir inte riktigt klok på om det man gör på webben faller under tryckfrihetsförordningen om det skrivs som en journalistisk text fast i ett vanligt inlägg på webbplatsen med tillhörande bild?

Svar

Det finns två undantag här. Dels det som gäller frivilligt utgivningsbevis för en webbplats eller del därav. Där finns det oklarheter kring myndigheters möjligheter att använda dessa, även om det förekommer även kommuner som har utgivningsbevis hos Radio- och tv-verket.

Dels finns ett undantag som gäller behandling för så kallat journalistiskt ändamål. Det är oklart om en myndighet kan åberopa detta undantag när det gäller publicering av artiklar och redaktionellt material på en webbplats. Jag skulle inte åberopa detta undantag om jag var myndighet. Har man inte frivilligt utgivningsbevis så rekommenderar jag samtycke som huvudregel.