GDPR för fotografer - så publicerar du bilder rätt

Ett fotografi kan vara ett kreativt minne, arbetsmaterial eller marknadsföring, men också en personuppgift. Jag går igenom vad GDPR innebär för fotografering och bildpublicering i Sverige, när samtycke behövs, hur reglerna fungerar för barn och event samt varför upphovsrätt måste hanteras separat.

När blir ett foto en personuppgift?

Dataskyddsreglerna gäller när en levande person kan identifieras direkt eller indirekt. Ett tydligt ansikte är det vanligaste exemplet, men även en person som känns igen genom kläder, plats, röst eller sammanhang kan omfattas. Namnet behöver alltså inte stå bredvid bilden för att GDPR ska bli relevant.

Det är inte bara själva publiceringen som räknas. Att spara fotot i ett kundregister, ladda upp det till en molntjänst, redigera det, skicka det till en kund eller använda det på en webbplats är olika former av behandling. Jag tycker därför att det är klokt att tänka på hela bildflödet, från minneskort till arkiv och publicering.

Ett foto är däremot inte automatiskt en känslig personuppgift. Vanliga porträttbilder hör normalt inte till den kategorin. Bedömningen blir strängare om bilden avslöjar exempelvis hälsa, religiös tillhörighet eller andra särskilt skyddade uppgifter. Biometriska uppgifter uppstår först när bilden behandlas med särskild teknik för att unikt identifiera eller autentisera en person.

Fotografering är inte samma sak som publicering

Att ta en bild på en allmän plats är inte automatiskt förbjudet. Problemen uppstår ofta senare, när fotografiet läggs ut offentligt eller används i ett kommersiellt sammanhang. Var, varför och för hur många bilden delas påverkar därför den juridiska bedömningen mer än själva kameran.

En privat bild från en familjeutflykt som sparas i ett eget album är normalt okomplicerad. Samma bild på ett öppet konto med obegränsad räckvidd är en annan situation. IMY bedömer som huvudregel att publicering till en bred krets inte längre ryms inom det så kallade privatundantaget.

Får man publicera bilder utan samtycke?

Det finns inget generellt krav på samtycke för varje fotografi. GDPR tillåter flera rättsliga grunder, bland annat samtycke, avtal, rättslig skyldighet, uppgift av allmänt intresse och intresseavvägning. För en fotograf eller verksamhet är det avgörande att kunna visa varför bilden behövs och varför publiceringen är rimlig.

Intresseavvägning kan ibland fungera för exempelvis dokumentation av ett öppet företagsevent. Då behöver företagets berättigade intresse väga tyngre än personens integritetsintresse. Jag skulle informera deltagarna före fotograferingen, beskriva var bilderna kan användas och ge en enkel möjlighet att invända.

För en närbild på en privatperson, ett känsligt ögonblick eller en bild som tydligt används för att sälja något är intresseavvägning betydligt svårare. Ju mer personlig och synlig bilden är, desto starkare skäl finns att fråga först.

Vad ska ett bildsamtycke innehålla?

Ett samtycke ska vara frivilligt, specifikt, informerat och tydligt. Personen bör förstå om bilden ska användas på en webbplats, i sociala medier, i tryckt material eller i annonser. Ett samtycke till en porträttsession betyder inte automatiskt att fotografiet får användas i alla framtida kampanjer.

• Beskriv vilka bilder som får användas.
• Ange ändamålet, till exempel portfolio, webbplats eller reklam.
• Berätta var publicering kan ske och hur länge materialet sparas.
• Dokumentera när och hur samtycket lämnades.
• Informera om att samtycket kan återkallas.

Återkallelsen gäller framåt i tiden och gör inte tidigare laglig behandling olaglig. Om samtycket var den enda grunden och personen tar tillbaka det måste du däremot sluta använda bilden och ofta radera den från publicerade kanaler. Därför bör jag alltid spara en enkel samtyckeslogg, inte bara ett muntligt ja i förbifarten.

Så arbetar fotografer och företag säkrare med bilder

Det mest användbara arbetssättet är att göra en kort bildplan innan fotograferingen. Skriv ner vem som är ansvarig, varför bilderna tas, vilka som kan identifieras, var materialet ska lagras och när det ska gallras. En sida med tydliga rutiner minskar risken mer än långa standardtexter som ingen i teamet följer.

Bestäm ansvar och syfte

Den som bestämmer ändamålet och hur personuppgifterna ska hanteras är normalt personuppgiftsansvarig. Om en kund anlitar en fotograf för att fotografera personal kan kunden vara ansvarig medan fotografen behandlar bilderna på kundens instruktioner. Då behövs ofta ett personuppgiftsbiträdesavtal, särskilt om fotografen lagrar eller administrerar materialet.

Syftet måste vara konkret. ”För framtida användning” är svagare än ”för företagets webbplats och organiska inlägg på sociala medier under kampanjperioden”. Ändamålsbegränsning betyder att bilden inte ska återanvändas för ett helt nytt syfte utan en ny bedömning.

Informera före fotograferingen

Vid event, skolaktiviteter eller företagsdagar bör informationen finnas innan kameran kommer fram. En skylt, anmälningsbekräftelse eller kort information i inbjudan kan förklara vem som fotograferar, varför bilderna tas, var de kan publiceras och vem man kontaktar vid frågor.

Det är normalt inte nödvändigt att samla in namn på alla personer som råkar synas i en mingelbild. Men informationen ska vara tillräcklig för att en person ska kunna förstå behandlingen och utöva sina rättigheter. Vid planerade porträtt bör du däremot dokumentera personen och tillståndet tydligare.

Lagra mindre och radera i tid

GDPR ger ingen generell tidsgräns som säger att ett foto måste raderas efter ett visst antal månader. Materialet får sparas så länge det finns ett tydligt behov och en rättslig grund. När kampanjen är avslutad eller samtycket inte längre gäller bör du radera bilden från aktiva mappar, publiceringsverktyg och andra platser där den inte längre behövs.

Glöm inte säkerhetskopior och molntjänster. Begränsa åtkomsten till personer som faktiskt arbetar med materialet, använd starka inloggningar och kontrollera hur leverantören hanterar personuppgifter. EXIF-data med GPS-position kan dessutom avslöja var ett foto togs, så rensa metadata när platsen kan vara känslig.

Barn, event och känsliga situationer kräver extra försiktighet

Barns personuppgifter har ett särskilt skydd eftersom barn ofta har svårare att förstå långsiktiga konsekvenser av en publicering. Det gäller även bilder som känns harmlösa när de tas, men som senare kan upplevas pinsamma eller spridas långt utanför den ursprungliga målgruppen. Ett vårdnadshavares samtycke är inte ett frikort för all användning.

Vid fotografering av barn bör du förklara situationen på ett sätt barnet kan förstå och ta hänsyn till barnets egen vilja. Öppna sociala medier, bilder från omklädningsrum, vårdmiljöer och situationer där ett barn riskerar att pekas ut kräver särskild försiktighet. Finns skyddad identitet ska bilden inte spridas.

Evenemang är ofta mer komplicerade än de ser ut. En översiktsbild från en scen eller publik kan vara lättare att motivera än en närbild på en enskild besökare. Jag brukar därför skilja på miljöbilder, gruppbilder och porträtt och använda olika rutiner för varje kategori.

Läs också: Fotografera skyddsobjekt - Vad är tillåtet 2026?

När du bör avstå helt

Publicera inte bilder på personer i utsatta situationer bara för att de råkade hamna i bild. Det gäller exempelvis olyckor, konflikter, berusning, sjukdom och misstanke om brott. Vid bilder på en möjlig gärningsperson är det normalt polisens uppgift att utreda och kommunicera, inte en privatpersons eller fotografs.

Om någon invänder mot en publicering ska du ta invändningen på allvar och bedöma om bilden verkligen måste ligga kvar. Vid publicering som bygger på intresseavvägning har personen ofta rätt att invända. Att ta bort bilden snabbt kan vara den mest rimliga lösningen, även när den juridiska bedömningen inte är helt självklar.

GDPR är inte samma sak som upphovsrätt

GDPR handlar främst om personen som kan identifieras i bilden. Upphovsrätten handlar om fotografen eller den som skapat bilden. Ett företag kan därför ha rättslig grund för att behandla ett porträtt, men ändå sakna tillstånd att använda fotografiet eftersom fotografen äger rättigheterna.

På samma sätt kan en fotograf äga upphovsrätten men inte fritt få publicera bilden. Om personen är identifierbar behöver även personuppgiftsreglerna, avtal och ibland lagen om namn och bild i reklam hanteras. Modellrelease och bildlicens löser olika problem och bör inte blandas ihop.

För kommersiell reklam är huvudregeln i svensk rätt att en näringsidkare inte får använda någon annans namn eller bild utan samtycke. Det gäller även om fotografen själv tog bilden. En modellrelease bör därför ange medier, geografisk räckvidd, kampanjperiod, ersättning och om materialet får beskäras eller bearbetas.

Det är också viktigt att inte låna bilder från nätet bara för att de går att ladda ner. PRV beskriver att upphovsrätten normalt uppstår automatiskt när bilden skapas. Fotografens namn räcker inte som tillstånd; du behöver kontrollera licensen eller fråga rättighetshavaren.

En enkel kontroll innan bilden lämnar kameran

Innan jag publicerar ett fotografi ställer jag fem frågor. Går någon att identifiera? Vad är syftet? Vilken rättslig grund använder jag? Har personen fått tillräcklig information? Och har jag rätt att använda själva bilden? Om svaret på någon av frågorna är oklart väntar jag med publiceringen.

För privat fotografering räcker det ofta att använda sunt omdöme och respektera den som ber att inte bli publicerad. För företag, skolor, föreningar och yrkesfotografer behövs däremot dokumenterade rutiner för samtycke, information, lagring, åtkomst och radering.

Det säkraste arbetssättet är inte att undvika alla människor i bild, utan att fotografera med ett tydligt syfte och visa respekt för situationen. Då blir juridiken en naturlig del av ett professionellt bildarbete, inte ett hinder som upptäcks först när bilden redan ligger ute.