En bild från ett bröllop, en kundfotografering eller ett evenemang kan kännas harmlös, men så fort personer går att identifiera uppstår frågor om ansvar, laglig grund och publicering. I praktiken är gdpr fotografering mindre en fråga om själva kameran och mer en fråga om varför bilden tas, vem som får se den och hur länge den sparas. Här går jag igenom reglerna, vanliga situationer och en praktisk rutin för fotografer i Sverige.
Fyra beslut avgör om bildhanteringen blir rätt
- Identifierbar person på bilden innebär normalt att GDPR kan gälla.
- Fotografering på allmän plats är inte automatiskt samma sak som tillstånd att publicera bilden.
- Samtycke är bara en av flera rättsliga grunder och måste vara frivilligt, tydligt och möjligt att återkalla.
- Webbplats, sociala medier och reklam är separata användningsområden som ofta kräver egna bedömningar.
- Radering, säker lagring och tydlig information är lika viktiga som själva fotograferingen.
När blir en bild en personuppgift?
En bild är en personuppgift när en levande person kan identifieras direkt eller indirekt. Det gäller inte bara tydliga porträtt, utan även bilder där någon känns igen genom ansikte, kläder, plats, sammanhang eller metadata. Råfiler, videoklipp och ljud från en inspelning kan därför omfattas av samma regler.
GDPR kan gälla för hela bildflödet. Det innebär fotografering, urval, redigering, lagring, leverans och publicering. Jag ser ofta att fotografer fokuserar på publiceringen, men redan när bilderna sparas i ett kundgalleri behandlas personuppgifter.
Privat fotografering är en särskild situation
Om du fotograferar för rent privat bruk, exempelvis på en familjeutflykt och delar bilderna med en begränsad krets, kan det så kallade privatundantaget göra att GDPR inte gäller. Det är däremot inte ett generellt frikort för privata sociala medier.
En offentlig profil, en öppen grupp eller en publicering som kan nå ett obegränsat antal personer faller normalt utanför privatundantaget. Att du själv äger kontot förändrar inte automatiskt bedömningen. Det avgörande är bland annat hur många som får tillgång till materialet och vilket syfte publiceringen har.
Allmän plats betyder inte fri publicering
I Sverige är det normalt tillåtet att fotografera på allmän plats, men det betyder inte att alla bilder får spridas fritt. En person som råkar synas på en gata har inte automatiskt godkänt att bilden används i en annons, på en företagswebbplats eller i ett inlägg som bygger fotografens varumärke.
Andra regler kan också bli aktuella. Hemlig fotografering i privata utrymmen kan vara brottslig, användning av någons bild i reklam regleras av lagen om namn och bild i reklam, och upphovsrätten avgör vem som får använda själva fotografiet. GDPR är alltså en del av fotojuridiken, inte hela fotojuridiken.
Välj rätt laglig grund innan du fotograferar
Den som behandlar personuppgifter måste ha en laglig grund och veta syftet med behandlingen innan bilderna samlas in. För en fotograf eller arrangör handlar det oftast om avtal, samtycke eller intresseavvägning. Det räcker inte att i efterhand försöka hitta en motivering när en person reagerar på publiceringen.
| Situation | Möjlig laglig grund | Det du behöver tänka på |
|---|---|---|
| Porträtt som kunden beställt | Avtal | Behandlingen måste behövas för att leverera tjänsten. |
| Publicering i fotografens portfolio | Samtycke eller intresseavvägning | Portfolio är ett eget ändamål och bör bedömas separat från kunduppdraget. |
| Bilder från ett företagsevenemang | Intresseavvägning eller samtycke | Syftet, bildens innehåll och deltagarnas rimliga förväntningar spelar stor roll. |
| Reklam med en identifierbar person | Samtycke krävs ofta | Även lagen om namn och bild i reklam kan bli aktuell. |
Samtycke ska vara konkret
Ett giltigt samtycke ska vara frivilligt, informerat, specifikt och otvetydigt. Personen ska förstå vad bilden ska användas till, var den ska publiceras och hur länge användningen är tänkt att pågå. En formulering som ”jag godkänner all användning” är svår att försvara när ändamålet är otydligt.
Förifyllda rutor, tystnad eller det faktum att någon ställer upp på en fotografering är inte automatiskt ett samtycke. Samtycket ska också kunna återkallas. Om du använder samtycke behöver du därför kunna visa vem som samtyckte, till vad och när.
Intresseavvägning kräver ett riktigt resonemang
Företag kan i vissa fall stödja bildpublicering på en intresseavvägning. Då måste företagets berättigade intresse väga tyngre än personens rätt till integritet, och publiceringen måste vara nödvändig för ändamålet. Det är inte en standardfras som kan användas för alla bilder.
En neutral översiktsbild från ett öppet branschevenemang är lättare att motivera än ett närgånget foto av en privatperson i en känslig situation. Barn, personer i utsatta situationer och bilder som avslöjar hälsa, religion eller andra privata förhållanden kräver extra försiktighet. IMY framhåller också att barns personuppgifter är särskilt skyddsvärda.
Så fotograferar du vid porträtt, event och bröllop
Den säkraste rutinen börjar före fotograferingen. Jag brukar dela upp uppdraget i tre frågor: vilka fotograferas, varför behöver jag bilderna och vilka ska få se dem? Den enkla uppdelningen gör det mycket lättare att upptäcka när kundens beställning blandas ihop med fotografens egen marknadsföring.
Porträtt och familjebilder
Vid ett beställt porträtt är det vanligt att avtalet ger stöd för att fotografera, redigera och leverera bilderna till kunden. Det säger däremot inte automatiskt att du får lägga samma bilder i din portfolio eller använda dem i annonser. Leverans och marknadsföring är två olika ändamål och bör hållas isär.
Vid fotografering av barn bör du vara särskilt tydlig med vem som lämnar samtycke och hur bilderna får användas. Ett medgivande från en vårdnadshavare löser inte alla juridiska frågor, men det är en viktig praktisk skyddsåtgärd när bilder ska publiceras eller användas kommersiellt.
Evenemang och mingelbilder
Vid ett evenemang är det ofta svårt att fråga varje person individuellt. Arrangören kan informera deltagarna före och under tillställningen med tydlig text om att fotografering sker, varför bilderna tas och var de kan komma att publiceras. Informationen ska vara synlig och begriplig, inte gömd i ett långt villkor.
En skylt ersätter dock inte automatiskt en laglig grund. För mer framträdande porträtt, intervjuer eller bilder som ska användas i reklam är det klokt att inhämta ett separat medgivande. Jag rekommenderar också att arrangören och fotografen bestämmer skriftligt vem som är personuppgiftsansvarig och vem som bara behandlar bilder på uppdrag.
Bröllop och privata fester
Bröllop innehåller ofta både beställda porträtt och spontana bilder av gäster. Brudparet kan ha beställt dokumentationen, men gästerna blir inte automatiskt avtalsparter med fotografen. Undvik därför att rutinmässigt använda alla gästbilder i sociala medier, särskilt om personerna är tydligt identifierbara.
En praktisk lösning är att erbjuda brudparet ett urval för privat delning och skapa en separat lista över personer som uttryckligen godkänt portfolio- eller marknadsföringsanvändning. Det tar lite mer tid, men minskar risken för att en personlig händelse plötsligt används kommersiellt utan att någon förstått det.
Publicering i sociala medier kräver ett nytt beslut
Att kunden har fått bilderna innebär inte att du får publicera dem. När en bild lämnar ett slutet kundgalleri och läggs på en webbplats, Instagram eller annan öppen kanal förändras spridningen, syftet och integritetsrisken. Därför behöver publiceringen bedömas separat.
Samtycke är inte det enda möjliga stödet, men intresseavvägning fungerar sällan för närgångna bilder av privatpersoner i sociala medier. Personen kan också ha rätt att invända mot en behandling som bygger på intresseavvägning. Om invändningen väger tungt och du saknar annan grund bör bilden tas bort.
Portfolio och reklam är inte samma sak
En portfolio visar fotografens arbete, medan en annons försöker sälja en tjänst. Skillnaden kan påverka bedömningen av både GDPR och lagen om namn och bild i reklam. Jag skulle därför alltid be om ett tydligt godkännande innan en identifierbar person används i betald annonsering, kampanjer eller säljande inlägg.
Skriv gärna samtycket så att användningsområdena går att välja var för sig. Personen kan exempelvis godkänna webbportfolio men tacka nej till annonsering. Det är mer transparent än ett enda ja som täcker alla tänkbara kanaler.
Bildens innehåll spelar stor roll
En översiktsbild där människor är små och inte står i centrum innebär ofta en lägre integritetsrisk än ett porträtt. Men sammanhanget kan förändra allt. En bild från en arbetsplats, vårdmiljö, skola eller religiös sammankomst kan avslöja mer än fotografen först tänker på.
Innan publicering frågar jag mig därför om personen rimligen kunde förvänta sig att bli avbildad på det här sättet och om bilden kan uppfattas som pinsam, känslig eller missvisande. Teknisk bildkvalitet är aldrig viktigare än människans kontroll över sitt sammanhang.
Hantera original, kundgallerier och leveranser säkert
En fotograf behöver inte bara tänka på laglig grund. GDPR ställer också krav på att personuppgifter skyddas och inte sparas längre än nödvändigt. Kamerakort, datorer, externa hårddiskar, molntjänster och bildgallerier är alla delar av samma kedja.
Använd starka, unika lösenord och tvåfaktorsinloggning där det finns. Begränsa åtkomsten till kundmappar, undvik att skicka fullstora original via oskyddad e-post och kontrollera var en molntjänst lagrar materialet. Om en leverantör behandlar bilder åt dig behöver du normalt också ha ordning på personuppgiftsbiträdesavtal och leverantörens säkerhet.
Bestäm en rimlig raderingsrutin
Det finns ingen generell GDPR-frist som säger exakt hur länge alla fotografier får sparas. Tiden ska hänga ihop med syftet. Kundens leverans kan behöva finnas kvar under en avtalad period, medan bilder som bara sparas för framtida marknadsföring behöver en annan bedömning.
En praktisk intern rutin kan till exempel vara att behålla ett kundgalleri i 30 till 90 dagar efter leverans, radera onödiga dubbletter tidigare och dokumentera varför vissa säkerhetskopior sparas längre. Det är ett arbetsförslag, inte en laglig standard. Anpassa tiden efter avtal, garantiåtaganden, bokföring och eventuella invändningar.
Läs också: Fotografera skyddsobjekt - Vad är tillåtet 2026?
Om någon vill få sin bild raderad
En person kan i olika situationer begära information, rättelse, radering eller begränsning av behandlingen. Personen kan också invända mot behandling som bygger på intresseavvägning. En begäran ska normalt hanteras utan onödigt dröjsmål och senast inom en månad, även om bedömningen ibland behöver förklaras.
Glöm inte säkerhetskopior och publicerade kopior. Om en bild har skickats till en kund eller publicerats på flera kanaler behöver du veta var den finns och kunna ta bort den på ett rimligt sätt när den rättsliga grunden inte längre håller.
När blir fotograferingen kamerabevakning?
En vanlig handhållen kamera som styrs av fotografen på plats är inte automatiskt kamerabevakning. Situationen kan däremot förändras om utrustningen spelar in utan att någon aktivt hanterar den, om bevakningen sker återkommande eller om personer övervakas på en plats dit allmänheten har tillträde.
Vid fasta kameror, automatiska system och längre tids inspelning behöver du därför undersöka både GDPR och kamerabevakningslagen. Då krävs ofta tydligare information, dokumenterad bedömning och starkare säkerhetsåtgärder än vid ett vanligt fotojobb.
Vanliga fotografier är inte heller automatiskt biometriska personuppgifter. Ett foto blir biometriskt i GDPR:s mening när det behandlas med teknik för att identifiera eller autentisera en person, exempelvis ansiktsigenkänning. Automatisk ansiktsmatchning är alltså en helt annan risknivå än att sortera bilder manuellt i Lightroom.
En enkel rutin som gör bildprocessen tryggare
Innan nästa uppdrag kan du skriva ner fem saker i projektmappen: ändamålet med fotograferingen, vilka som kan identifieras, laglig grund, planerade publiceringskanaler och när materialet ska raderas. Den listan behöver inte vara lång, men den tvingar fram beslut innan bilderna börjar spridas.
Behandla dessutom portfolio, sociala medier och reklam som egna användningsområden. När du informerar tydligt, samlar in specifika medgivanden och skyddar originalen från första minneskortet till sista leveransen blir GDPR en naturlig del av ett professionellt arbetsflöde, inte ett hinder som dyker upp först när någon klagar.
