Datatilsynet: Utgangspunktet er samtykke

I Datatilsynets veiledning om deling av bilder fremgår det at man i utgangspunktet må be om samtykkefør publisering av bilder hvor en eller flere bestemte personer er hovedmotivet (såkalte portrettbilder).

Dette standpunktet gjelder tilsynelatende uavhengig av om bildet deles i en lukket gruppe (f.eks. på Facebook) eller om bildet gjøres åpent tilgjengelig på internett (f.eks. på virksomhetens hjemmeside eller via åpne grupper på sosiale medier). Datatilsynet åpner imidlertid for at situasjonsbilder (der ingen enkeltpersoner er i hovedfokus) i visse tilfeller kan deles uten samtykke.

Datatilsynet gir ingen nærmere begrunnelse for hvorforsamtykke er utgangspunktet. Årsaken er sannsynligvis forholdet til åndsverkloven § 104, som (med visse unntak) krever samtykke ved offentlig publisering av bilder av personer. Dette underbygges av at Datatilsynet skriver at samtykkekravet gjelder i hele den avbildedes levetid, og 15 år etter utløpet av personens dødsår. Opplysninger om avdøde personer er ikke personopplysninger i Norge, men vernet etter åndsverkloven gjelder i likevel i 15 år etter utløpet av personens dødsår. Når Datatilsynet uttaler seg om samtykkets varighet på denne måten kan det derfor fremstå som at de egentlig gjengir åndsverkslovens samtykkeregler, uten nødvendigvis å ta stilling til forholdet disse reglene har til GDPR.

Samtykke er ikke alltid egnet som behandlingsgrunnlag

Selv om et krav om samtykke for publisering av portrettbilder kan ha gode grunner for seg, er det ikke nødvendigvis gitt at samtykke er det mest egnede behandlingsgrunnlaget i alle tilfeller.

GDPR oppstiller visse krav for at et samtykke skal være gyldig. Blant annet må samtykket være frivillig, noe som særlig kan skape utfordringer i arbeidsforhold på grunn av den presumtivt skjeve maktbalansen mellom arbeidstaker og arbeidsgiver. Selv om arbeidsgiver opplever at den ansatte har fått et fritt valg, er det ikke sikkert at den ansatte føler det slik. Denne usikkerheten tilsier at et annet behandlingsgrunnlag generelt er mer egnet når arbeidsgiver skal behandle personopplysninger om egne ansatte. Samtykke kan videre i verste fall bli en hvilepute, der synspunktet er at så lenge den ansatte har samtykket, er bruken akseptabel. Dette kan, i visse tilfeller, bli et substitutt for den grundige interesseavveiningen som gjøres i en berettiget interesse-vurdering.

Til tross for dette, kan det virke unaturlig for virksomheter å innhente samtykke etter åndsverkloven, og samtidig basere seg på et annet behandlingsgrunnlag etter GDPR. Det er muligens dette Datatilsynet har tenkt da de lagde veiledningen sin. Vi mener likevel at det finnes viktige nyanser mellom de to regelsettene, som gjør at det ikke alltid er hensiktsmessig å anse dem som sammenfallende.

For det første er det ikke gitt at åndsverklovens krav om samtykke skal tolkes likt som etter GDPR. Forarbeidene til åndsverkloven anerkjenner at § 104 er en personvernregel. I forbindelse med gjennomføringen av GDPR ble det derfor varslet at Justis- og beredskapsdepartementet skulle gjennomgå bestemmelsen. Så vidt vi vet, er ikke en slik gjennomgang foretatt. Rettstilstanden er derfor noe uklar.

For det andre - dersom samtykkekravet ikke skal tolkes likt - vil samtykkekravet ha ulike rettsvirkninger etter GDPR og etter åndsverkloven. Etter GDPR har for eksempel den avbildede en ubetinget rett til å trekke tilbake sitt samtykke. Praksis etter åndsverkloven tilsier imidlertid at en rett til å trekke tilbake samtykket beror på en mer konkret vurdering.

For det tredje er ikke anvendelsesområdet til GDPR og retten til eget bilde etter åndsverkloven alltid sammenfallende. Åndsverkloven gjelder kun ved offentligpublisering, mens GDPR gjelder så lenge publiseringen ikke er personlige eller familiemessige aktiviteter.

I noen tilfeller er berettiget interesse egnet som behandlingsgrunnlag

Virksomheter vil i mange tilfeller ha berettiget interesse i å publisere bilder av egne ansatte. Et eksempel er bruk av ansattportretter for interne informasjonsformål på virksomhetens intranett eller bruk av ansattportretter i eksterne pitcher. Ofte (men ikke nødvendigvis alltid) vil slik publisering falle utenfor åndsverklovens offentlighetsbegrep, slik at man er utenfor lovens virkeområde. Da vil det kunne være naturlig å belage seg på berettiget interesse som behandlingsgrunnlag, særlig dersom man er i tvil om at et samtykke faktisk vil være frivillig, eller dersom en ubetinget rett til å trekke tilbake samtykket er uhensiktsmessig.

I tilfeller hvor det ikke foreligger et samtykkekrav etter åndsverkloven, for eksempel for situasjonsbilder, finnes det gode argumenter for at vilkårene etter berettiget interesse-vurderingen kan være oppfylt. I disse tilfellene har lovgiver avveid hensynet til den avbildes personvern mot interessen i å publisere bildet, og angitt konkrete tilfeller der samtykke ikke er påkrevd. I slike tilfeller kan arbeidsgiver derfor vurdere om berettiget interesse er et mer egnet behandlingsgrunnlag.

Øvrige plikter

Uavhengig av hvilket behandlingsgrunnlag som brukes, er det viktig at arbeidsgiver gjør de ansatte kjent med publiseringen, og gir påkrevd informasjon om behandlingen av personopplysninger som bildedelingen innebærer. Dersom man velger å belage seg på berettiget interesse, må de ansatte gis mulighet til å protestere på publiseringen, noe som i de fleste tilfeller vil føre til at virksomheten må avstå fra publiseringen.