Hejsan, tack för att du vänder dig till oss på fråga juristen med din fråga! Jag kommer att redogöra allmänt och sedan avsluta med en rekommendation utifrån din situation. Svaret på din fråga hittar vi, som du redan nämnt, i GDPR.

Lagring av personuppgifter 

Att bilderna lagras på ett intranät och inte offentligt spelar inte så stor roll. All lagring av personuppgifter, inkluderat bilder av personer, via en offentlig sida eller stängda intranät gör att GDPR blir tillämpbar, GDPR artikel 2.1. 

Samtycke genom blankett 

En av de grundläggande principerna i GDPR är att lagring av personuppgifter ska ske på ett lagligt och korrekt sätt, GDPR artikel 5.1. För att lagringen av personuppgifter ska anses laglig och korrekt krävs det att den registrerade, alltså den personuppgifterna rör, samtycker till att verksamheten i fråga behandlar den registrerades personuppgifter, GDPR artikel 6.1a). Eftersom frågan rör förhållandet mellan en arbetsgivare och en arbetstagare så föreligger det en beroendeställning. Enligt EU-kommissionens rekommendationer lämnas inte ett samtycke frivilligt om det föreligger ett sådant förhållande. En anställd kan i princip aldrig vara i en position där denne frivilligt kan ge, återkalla eller vägra samtycke till personuppgifts-behandling. Det är endast i särskilda situationer där medgivande eller vägran inte kan få några som helst konsekvenser. Det är få, oftast teoretiska, omständigheter som krävs för att detta ska föreligga. Datainspektionen har i sin rekommendation till förordningen lyft att arbetsgivare måste beakta denna beroendeställning och att det därmed är viktigt att fråga de anställda först om publiceringen. Datainspektionen rekommenderar även att arbetsgivaren bör ta fram en policy för att kunna redovisa både för anställda och Datainspektionen om hur dessa uppgifter behandlas. 

Din situation och rekommendation

Rättsläget är oerhört oklart kring er fråga och det finns inte mycket praxis på området. Därmed rekommenderar jag att ni tar vidare kontakt med en jurist om er fråga. Om ni väljer att utfärda en blankett så är min rekommendation följande: 

Det är viktigt att blanketten är tydlig och att det är helt frivilligt att skriva under. Om ni ämnar att ladda upp bilder från flera tillfällen kan det vara bra att specificera detta i blanketten. Vidare bör ni vara noggranna med att de som inte har givit sitt samtycke har möjlighet att delta på era event även fast de inte har samtyckt till publiceringen, samt att det absolut inte tas några bilder på dem. Till sist är det viktigt att ni inför en policy angående behandlingen av personuppgifter som är tillgänglig för era anställda och Datainspektionen.

Jättebra att du skriver till oss med din fråga! Jag hoppas du fått svar på din fråga och om du har fler funderingar är du välkommen att ställa en ny fråga till oss på fråga juristen.