En bild kan vara ett minne, ett arbetsprov eller marknadsföring, men den kan också vara en personuppgift. Jag går igenom när GDPR gäller för fotografier, när samtycke behövs, hur reglerna fungerar vid sociala medier och uppdrag samt vad du bör kontrollera innan du publicerar en bild.
Det viktigaste att veta om GDPR och bilder
- Ett identifierbart ansikte kan göra ett fotografi till en personuppgift.
- Samtycke är inte alltid nödvändigt, men du måste alltid ha en rättslig grund för behandlingen.
- Privat fotografering kan omfattas av privatundantaget, medan offentlig publicering ofta gör det svårare.
- Bilder på barn kräver extra försiktighet eftersom barn har ett starkare integritetsskydd.
- GDPR ersätter inte upphovsrätt eller reklamlagen. Flera regler kan gälla samtidigt.
När blir en bild en personuppgift?
Det avgörande är inte om bilden är professionellt tagen eller fotograferad med mobilen. Frågan är om en levande person kan identifieras direkt eller indirekt. Ett tydligt porträtt är det enklaste exemplet, men även en person i profil, en unik tatuering, arbetskläder eller en kombination av bild och bildtext kan räcka.
Att fotografera, spara, redigera, skicka och publicera bilden räknas som personuppgiftsbehandling. Det betyder att GDPR kan bli aktuell redan när du lagrar bilden i ett kundgalleri, inte först när den läggs ut på en webbplats.
En bild på en folkmassa är inte automatiskt fri från regler. Om en enskild person framhävs, går att känna igen och används som motiv blir bedömningen mer känslig. IMY betonar också att en röst i en video kan vara en personuppgift, vilket är viktigt för dig som arbetar med både foto och film.
När gäller privatundantaget?
Om du fotograferar för helt privat bruk, exempelvis familjebilder som du sparar i ett privat album, kan privatundantaget gälla. Det innebär att GDPR normalt inte styr den behandlingen på samma sätt.
Undantaget är däremot inte ett frikort för offentlig publicering. När bilder läggs ut på en öppen webbplats eller i sociala medier kan kretsen av mottagare bli så stor att behandlingen inte längre är rent privat. Jag tycker att den säkraste tumregeln är enkel: ju bredare spridning, desto mer noggrant behöver du bedöma ändamål, rättslig grund och information till de avbildade.
Måste du ha samtycke för att publicera ett foto?
Nej, samtycke är bara en av flera rättsliga grunder i GDPR. Det finns alltså inget generellt krav på att alla personer på ett fotografi alltid måste skriva under ett godkännande. Däremot måste den som ansvarar för publiceringen kunna förklara varför behandlingen är tillåten.
Vid marknadsföring, porträttuppdrag och bilder där personen är huvudmotivet är samtycke ofta den mest praktiska lösningen. Ett giltigt samtycke ska vara frivilligt, specifikt, informerat och otvetydigt. Personen ska förstå vad bilden ska användas till, var den ska publiceras och hur länge den kan finnas kvar.
Vanliga rättsliga grunder
| Rättslig grund | Exempel | Vad du behöver tänka på |
|---|---|---|
| Samtycke | Porträtt på webbplats eller i kampanj | Det ska gå att återkalla utan negativa följder. |
| Berättigat intresse | Dokumentation av ett offentligt evenemang | Du måste väga verksamhetens intresse mot personens integritet. |
| Avtal | Bildbehandling som ingår i ett kunduppdrag | Behandlingen måste behövas för att fullgöra avtalet. |
| Allmänt intresse | Dokumentation inom offentlig verksamhet | Det krävs stöd i uppgift eller lagstiftning. |
Jag är försiktig med att använda berättigat intresse som en standardförklaring. Det kan fungera, men du behöver dokumentera vilket intresse som finns, varför bilden behövs och varför den avbildades integritet inte väger tyngre. En bild från en scen kan vara lättare att motivera än ett närgånget fotografi av en privatperson i en utsatt situation.
Samtycke från anställda kräver också eftertanke. I en arbetsrelation är det inte alltid helt frivilligt att säga ja, eftersom personen kan känna sig pressad. Därför bör du aldrig behandla ett snabbt muntligt godkännande som en universallösning.
Fotografering, sociala medier och uppdrag kräver olika bedömningar
Samma bild kan bedömas olika beroende på varför den togs och hur den används. Ett foto som stannar i fotografens privata arkiv är inte samma sak som ett foto som används i en annons, publiceras på företagets Instagram eller säljs vidare till en tredje part.
Vid ett offentligt evenemang
Vid konserter, lopp, mässor och föreningsaktiviteter kan det finnas ett berättigat intresse av att dokumentera händelsen. Det betyder inte att alla bilder automatiskt är tillåtna. Informera gärna om fotograferingen vid entrén och på webbplatsen, och undvik att göra en enskild besökare till huvudmotiv utan tydligt stöd.
En bred översiktsbild från publiken är ofta mindre ingripande än ett närporträtt. Jag brukar också fråga mig om bilden verkligen behöver publiceras i hög upplösning och om samma berättelse kan förmedlas utan att en identifierbar person hamnar i centrum.
Vid porträtt och kunduppdrag
Som fotograf bör du skilja på rätten att använda bilden och rätten att behandla personuppgifter. Ett avtal om fotografering kan reglera leverans och användning, men det löser inte automatiskt alla GDPR-frågor. Skriv därför tydligt vad som gäller för portfolio, sociala medier, annonser och publicering hos kunden.
Om kunden vill använda porträttet i reklam behöver du dessutom ta hänsyn till lagen om namn och bild i reklam. Upphovsrätten till fotografiet och den avbildade personens integritet är två separata frågor. Ett godkännande från modellen betyder inte automatiskt att fotografen får använda bilden i vilket sammanhang som helst.
Vid publicering i sociala medier
Sociala plattformar gör det lätt att sprida bilder långt utanför den ursprungliga målgruppen. En publicering som var tänkt för en lokal grupp kan snabbt delas, laddas ner och kopieras. Därför bör du vara extra tydlig med syfte, målgrupp och spridningsrisk.
Om någon ber dig ta bort en bild bör du ta begäran på allvar, även när du anser att publiceringen var tillåten. Rätten att invända eller begära radering gäller inte alltid fullt ut, men frågan behöver bedömas utifrån situationen. I praktiken är en snabb och respektfull dialog ofta bättre än att försvara varje publicering till varje pris.
Barn, känsliga motiv och ansiktsigenkänning kräver extra skydd
Bilder på barn ska hanteras med större försiktighet än många vuxna bilder. Barn kan ha svårare att förstå hur en publicering påverkar dem senare, och deras uppgifter anses därför särskilt skyddsvärda. För skolor, föreningar och fotografer är vårdnadshavarens medverkan ofta viktig, men även barnets egen inställning bör respekteras när barnet är gammalt nog att förstå situationen.
Var försiktig med bilder som avslöjar hälsa, religion, politiska åsikter, etnicitet eller andra känsliga förhållanden. En bild från en vanlig aktivitet kan plötsligt bli känslig genom miljön, bildtexten eller sammanhanget. Det är helheten som avgör, inte bara själva fotografiet.
Läs också: Fotografera skyddsobjekt - Vad är tillåtet 2026?
AI-redigering och biometriska uppgifter
Vanlig färgkorrigering och beskärning är normalt inte samma sak som ansiktsigenkänning. Men om ett system analyserar ansiktsdrag för att identifiera eller kategorisera personer kan biometriska uppgifter bli aktuella. Då ställs högre krav och vissa behandlingar kan omfattas av reglerna om känsliga personuppgifter.
Jag skulle därför inte ladda upp identifierbara kundbilder till ett AI-verktyg utan att först kontrollera hur tjänsten lagrar och använder materialet. Även när verktyget bara ska retuschera en bild behöver du veta om bilderna används för träning, överförs utanför EU eller sparas längre än uppdraget kräver.
En praktisk arbetsgång innan bilden publiceras
En enkel rutin minskar risken för både misstag och onödig oro. Jag använder gärna följande ordning när jag hanterar bilder i ett projekt:
- Identifiera personerna. Går någon att känna igen genom ansikte, kläder, plats eller sammanhang?
- Bestäm ändamålet. Ska bilden användas i ett privat album, på en webbplats, i portfolio eller i reklam?
- Välj rättslig grund. Bedöm om samtycke, berättigat intresse, avtal eller någon annan grund passar.
- Informera de avbildade. Berätta vem som ansvarar, varför bilden används, var den publiceras och hur länge den sparas.
- Begränsa materialet. Spara inte fler bilder, metadata eller kopior än du behöver.
- Dokumentera beslutet. Notera samtycken, bedömningar och eventuella begränsningar.
- Planera för radering. Bestäm hur du hanterar återkallelser, invändningar och gamla bilder.
Dokumentationen behöver inte vara tungrodd. Ett kalkylblad med datum, projekt, ändamål, rättslig grund och publiceringskanaler kan räcka för en liten verksamhet. Det viktiga är att du kan visa hur du resonerade när bilden valdes och publicerades.
Glöm inte lagringsplatsen. Ett kundgalleri, en mobiltelefon, en extern hårddisk och ett redigeringsprogram kan alla innehålla personuppgifter. Använd starka lösenord, begränsa åtkomsten och radera arbetskopior när de inte längre behövs.
Det som gör störst skillnad i praktiken
GDPR handlar inte om att sluta fotografera människor. Det handlar om att fotografera med ett tydligt syfte, visa respekt för den som avbildas och kunna förklara varför bilden får användas. Samtycke är ibland rätt väg, men eftertanke och god information är alltid rätt väg.
Min viktigaste kontroll är därför inte bara frågan ”får jag publicera bilden?”. Jag frågar också om personen rimligen förstår användningen, om spridningen är proportionerlig och om jag själv skulle känna mig trygg med samma behandling. Den rutinen gör bildskapandet både mer hållbart och mer professionellt.
