Samtykkeerklæring til billeder Danmark

Samtykkeerklæring til billeder Danmark er en skriftlig erklæring, hvor en person giver tilladelse til, at en virksomhed, forening eller anden dataansvarlig må anvende og offentliggøre billeder af personen. Et billede af en identificerbar person er en personoplysning, og behandlingen heraf er omfattet af databeskyttelsesforordningen (GDPR — Europa-Parlamentets og Rådets forordning (EU) 2016/679) samt databeskyttelsesloven (LOV nr. 502 af 23-05-2018), der indeholder de danske supplerende bestemmelser. Når billeder offentliggøres på en hjemmeside, på sociale medier eller i trykt materiale, sker der en behandling af personoplysninger, der kræver et retsgrundlag — og for billeder, hvor personen er i fokus, er samtykke ofte det mest oplagte grundlag.

Datatilsynet, der er den danske tilsynsmyndighed for persondata, sondrer i sin vejledning mellem situationsbilleder og portrætbilleder. Et situationsbillede viser en aktivitet eller situation, hvor de afbildede personer ikke er hovedmotivet — for eksempel et billede fra en koncert eller en byfest. Sådanne billeder kan i mange tilfælde offentliggøres efter en interesseafvejning på grundlag af GDPR art. 6, stk. 1, litra f, hvis offentliggørelsen ikke krænker de afbildede. Et portrætbillede har derimod til formål at afbilde en eller flere bestemte personer; her er samtykke efter GDPR art. 6, stk. 1, litra a, som regel det rette grundlag. Denne samtykkeerklæring er udformet, så den dokumenterer et gyldigt samtykke til konkrete billeder og formål.

For at et samtykke er gyldigt efter GDPR art. 4, nr. 11, og art. 7, skal det være frivilligt, specifikt, informeret og utvetydigt. Frivilligt betyder, at personen reelt har et valg, og at det ikke har negative konsekvenser at undlade at give samtykke; et samtykke, der er en betingelse for en ydelse, som ikke kræver billedbehandling, er ikke frivilligt, jf. art. 7, stk. 4. Specifikt betyder, at samtykket skal angive konkret, hvilke billeder og hvilke formål det omfatter. Informeret betyder, at personen skal have fået oplysning om behandlingen efter art. 13, herunder den dataansvarliges identitet, formålene, opbevaringsperioden og rettighederne. Utvetydigt betyder, at samtykket skal gives ved en aktiv handling, for eksempel en underskrift; passivitet eller forudafkrydsede felter er ikke tilstrækkeligt.

For børn gælder en særlig regel. Databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6 fastsætter — i sammenhæng med GDPR art. 8 — at et barn i Danmark selv kan give samtykke i forbindelse med udbud af informationssamfundstjenester fra det fyldte 13. år, men ved offentliggørelse af billeder følger Datatilsynets praksis en mere forsigtig linje, hvor samtykke for børn under 15 år som udgangspunkt gives af forældremyndighedsindehaveren. For ældre børn kan både barnet og forældremyndighedsindehaveren med fordel give samtykke. Erklæringen indeholder derfor et felt til forældremyndighedsindehaverens navn, når den afbildede er under 15 år.

Et centralt element i ethvert samtykke er retten til tilbagekaldelse. Efter GDPR art. 7, stk. 3, kan den registrerede til enhver tid tilbagekalde sit samtykke, og det skal kunne ske lige så let, som samtykket blev givet. Tilbagekaldelsen berører ikke lovligheden af den behandling, der er sket før tilbagekaldelsen, men den dataansvarlige skal herefter ophøre med at anvende billederne til de formål, samtykket dækkede, og så vidt muligt fjerne dem. Erklæringen angiver derfor, hvortil en tilbagekaldelse kan sendes.

Den dataansvarlige har en række pligter ved behandlingen. Efter GDPR art. 5 skal billederne kun anvendes til de angivne formål (formålsbegrænsning), kun i det nødvendige omfang (dataminimering) og kun så længe, det er nødvendigt (opbevaringsbegrænsning). Den dataansvarlige skal kunne dokumentere, at der er givet samtykke, jf. art. 7, stk. 1, og skal sikre billederne mod uautoriseret adgang, jf. art. 32. Overtræder den dataansvarlige reglerne, kan Datatilsynet udstede påbud og forbud og indstille til bøde; den registrerede kan klage til Datatilsynet efter GDPR art. 77 og databeskyttelsesloven og kan tillige rejse erstatningskrav efter art. 82. En grundig samtykkeerklæring beskytter derfor både den afbildede og den dataansvarlige.

Samtykkeerklæring til billeder Danmark anvendes, når en virksomhed, forening, institution eller person ønsker at offentliggøre billeder af en identificerbar person og har brug for et dokumenteret retsgrundlag efter databeskyttelsesforordningen (GDPR). Nedenfor beskrives de mest almindelige situationer.

Foreninger og klubber. Idrætsforeninger, spejderklubber, kulturforeninger og lignende fotograferer ofte deres medlemmer ved arrangementer, kampe og udflugter og ønsker at offentliggøre billederne på foreningens hjemmeside og sociale medier. Når et bestemt medlem er i fokus på et portrætbillede, kræves som udgangspunkt et samtykke efter GDPR art. 6, stk. 1, litra a. En samtykkeerklæring sikrer foreningen et dokumenteret grundlag og beskytter medlemmet mod uønsket offentliggørelse.

Arbejdspladser og medarbejderbilleder. Virksomheder ønsker ofte at offentliggøre billeder af medarbejdere på hjemmesiden, i markedsføringsmateriale eller på LinkedIn. Et ansættelsesforhold kan gøre det vanskeligt at anse et samtykke for frivilligt, fordi der er et ulige magtforhold; Datatilsynet anbefaler derfor, at virksomheden er særligt opmærksom på frivilligheden og på, at det ikke må have negative konsekvenser at sige nej, jf. GDPR art. 7, stk. 4. En klar samtykkeerklæring med oplysning om frivillighed er her vigtig.

Skoler og dagtilbud. Skoler, gymnasier og daginstitutioner fotograferer ofte børn ved arrangementer og ønsker at dele billederne med forældre eller offentliggøre dem. For børn under 15 år gives samtykke af forældremyndighedsindehaveren, jf. databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6 og GDPR art. 8. En samtykkeerklæring, der udfyldes af forældrene, dokumenterer grundlaget og angiver, hvilke formål billederne må anvendes til.

Markedsføring og kampagner. Virksomheder, der vil bruge billeder af kunder, deltagere eller modeller i markedsføringsmateriale, foldere, plakater eller annoncer, har brug for et specifikt samtykke, der angiver netop disse formål. Da markedsføring ofte indebærer bred offentliggørelse, er det vigtigt, at samtykket er informeret og specifikt, og at varigheden er klar.

Events og konferencer. Arrangører af konferencer, messer og kulturevents fotograferer deltagere og oplægsholdere. For situationsbilleder, hvor ingen bestemt person er i fokus, kan offentliggørelse ofte ske efter en interesseafvejning, men for portrætter af oplægsholdere eller fremhævede deltagere bør der indhentes samtykke. Erklæringen kan udfyldes ved tilmeldingen eller på stedet.

Nyhedsbreve og presse. Organisationer, der udsender nyhedsbreve eller pressemeddelelser med billeder af navngivne personer, har brug for samtykke til netop denne anvendelse. Samtykket bør udtrykkeligt nævne nyhedsbreve og presse som formål, fordi samtykket kun dækker de formål, der er angivet, jf. GDPR art. 5, stk. 1, litra b.

Frivillige og deltagere i projekter. Velgørende organisationer og projekter, der dokumenterer deres arbejde med billeder af frivillige, deltagere eller modtagere, bør indhente samtykke, særligt hvis billederne viser personer i sårbare situationer. Her er det vigtigt, at samtykket er frit og informeret, og at den afbildede når som helst kan tilbagekalde det efter GDPR art. 7, stk. 3.

Tilbagekaldelse og ajourføring. Erklæringen anvendes også som grundlag, når en person senere ønsker at tilbagekalde sit samtykke. Fordi tilbagekaldelse skal kunne ske lige så let, som samtykket blev givet, bør den dataansvarlige have en klar procedure, og erklæringen angiver, hvortil tilbagekaldelsen kan sendes. Ved ændrede formål eller ny anvendelse bør der indhentes et nyt samtykke.

Samtykkeerklæring til billeder Danmark indeholder en række bestanddele, der sikrer, at samtykket er gyldigt efter databeskyttelsesforordningen (GDPR) art. 7, og at den dataansvarlige kan dokumentere sit retsgrundlag. Nedenfor gennemgås de vigtigste elementer.

Identifikation af den samtykkende. Den afbildedes fulde navn, adresse og e-mailadresse. Identifikationen er nødvendig, for at den dataansvarlige kan dokumentere, hvem der har givet samtykke, og for at den samtykkende kan kontaktes om tilbagekaldelse. Når den afbildede er under 15 år, angives tillige forældremyndighedsindehaverens navn, jf. databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6.

Identifikation af den dataansvarlige. Navn på den virksomhed, forening eller person, der vil anvende billederne, samt CVR-nummer fra Erhvervsstyrelsens register, hvis der er tale om en virksomhed eller forening. Kontaktoplysninger — adresse og e-mail — angives, så den samtykkende ved, hvortil en tilbagekaldelse eller en anmodning om indsigt kan sendes. Den dataansvarlige er ansvarlig for, at behandlingen sker efter GDPR.

Specifik beskrivelse af billederne. En konkret beskrivelse af, hvilke billeder samtykket omfatter: motiv, anledning og dato, for eksempel portræt- og holdbilleder taget til klubmesterskabet den 15-05-2026. Et samtykke skal være specifikt, jf. GDPR art. 4, nr. 11; et generelt samtykke til alle fremtidige billeder er ikke tilstrækkeligt.

Angivelse af formål. De konkrete formål, billederne må anvendes til: hjemmeside, sociale medier (Facebook, Instagram, LinkedIn), trykt markedsføringsmateriale, nyhedsbreve og presse eller internt brug. Samtykket gælder kun de markerede formål, jf. princippet om formålsbegrænsning i GDPR art. 5, stk. 1, litra b. Skal billederne anvendes til et nyt formål, kræves et nyt samtykke.

Varighed. En angivelse af, hvor længe samtykket gælder: indtil det tilbagekaldes, for en bestemt periode (for eksempel to år) eller kun til den angivne anledning. Princippet om opbevaringsbegrænsning i GDPR art. 5, stk. 1, litra e, indebærer, at billederne ikke må opbevares længere end nødvendigt til formålet.

Frivillighed. Erklæringen bekræfter, at samtykket er afgivet frivilligt, og at det ikke har negative konsekvenser at undlade at give eller at tilbagekalde det, jf. GDPR art. 7, stk. 4. Frivilligheden er særligt vigtig i ansættelsesforhold og andre forhold med et ulige magtforhold, hvor Datatilsynet stiller skærpede krav.

Oplysning efter art. 13. Erklæringen henviser til den dataansvarliges oplysningspligt efter GDPR art. 13, hvorefter den registrerede skal have oplysning om formål, retsgrundlag, opbevaringsperiode, modtagere og rettigheder. Et informeret samtykke forudsætter, at disse oplysninger er givet.

Ret til tilbagekaldelse. En klar angivelse af, at samtykket til enhver tid kan tilbagekaldes ved skriftlig henvendelse, og at tilbagekaldelsen skal kunne ske lige så let, som samtykket blev givet, jf. GDPR art. 7, stk. 3. Det angives, at tilbagekaldelse ikke berører lovligheden af den behandling, der er sket før tilbagekaldelsen.

Den registreredes rettigheder. En oversigt over rettighederne efter GDPR: indsigt (art. 15), berigtigelse (art. 16), sletning (art. 17), begrænsning (art. 18) og indsigelse (art. 21) samt retten til at klage til Datatilsynet efter art. 77. Disse rettigheder gælder uafhængigt af samtykket og kan udøves over for den dataansvarlige.

Særligt om børn. Når den afbildede er under 15 år, gives samtykket af forældremyndighedsindehaveren, jf. databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6 og GDPR art. 8. For ældre børn kan både barnet og forældrene med fordel give samtykke. Brugere af skabelonen på forms-legal.com kan med fordel se relaterede skabeloner til indsigtsbegæring efter GDPR og klage til en myndighed, der dækker tilstødende persondatabehov i Danmark.

Samtykkeerklæring til billeder Danmark udfyldes korrekt ved at følge en række trin, der sikrer, at samtykket er gyldigt efter databeskyttelsesforordningen (GDPR) og kan dokumenteres af den dataansvarlige.

Trin 1 — Afklar, om der kræves samtykke. Vurdér, om billedet er et portrætbillede, hvor en bestemt person er i fokus, eller et situationsbillede, hvor personer ikke er hovedmotivet. For portrætbilleder kræves som udgangspunkt samtykke efter GDPR art. 6, stk. 1, litra a; for situationsbilleder kan offentliggørelse ofte ske efter en interesseafvejning. Denne erklæring anvendes, når der kræves samtykke.

Trin 2 — Udfyld den samtykkendes oplysninger. Skriv den afbildedes fulde navn, adresse og e-mailadresse. Oplysningerne er nødvendige, for at den dataansvarlige kan dokumentere, hvem der har givet samtykke, og for at den samtykkende kan kontaktes om tilbagekaldelse.

Trin 3 — Angiv, om den afbildede er under 15 år. Hvis den afbildede er under 15 år, gives samtykket af forældremyndighedsindehaveren, jf. databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6 og GDPR art. 8; angiv da forældremyndighedsindehaverens navn. For ældre børn kan både barnet og forældrene med fordel underskrive.

Trin 4 — Udfyld den dataansvarliges oplysninger. Skriv navnet på den virksomhed, forening eller person, der vil anvende billederne, samt CVR-nummer fra Erhvervsstyrelsens register, hvis der er tale om en virksomhed eller forening. Angiv kontaktoplysninger — adresse og e-mail — hvortil en tilbagekaldelse kan sendes.

Trin 5 — Beskriv billederne konkret. Angiv, hvilke billeder samtykket omfatter: motiv, anledning og dato, for eksempel portræt- og holdbilleder taget til klubmesterskabet den 15-05-2026. Et samtykke skal være specifikt, jf. GDPR art. 4, nr. 11; undgå generelle formuleringer som alle billeder.

Trin 6 — Markér formålene. Sæt kryds ved de formål, billederne må anvendes til: hjemmeside, sociale medier, trykt markedsføringsmateriale, nyhedsbreve og presse eller internt brug. Samtykket gælder kun de markerede formål, jf. GDPR art. 5, stk. 1, litra b. Skal billederne senere anvendes til et nyt formål, kræves et nyt samtykke.

Trin 7 — Vælg varigheden. Angiv, hvor længe samtykket gælder: indtil det tilbagekaldes, for en bestemt periode (for eksempel to år) eller kun til den angivne anledning. Princippet om opbevaringsbegrænsning i GDPR art. 5, stk. 1, litra e, indebærer, at billederne ikke må opbevares længere end nødvendigt.

Trin 8 — Sørg for, at samtykket er informeret. Inden underskriften skal den samtykkende have fået oplysning om behandlingen efter GDPR art. 13, herunder den dataansvarliges identitet, formålene, opbevaringsperioden, eventuelle modtagere og rettighederne. Et samtykke uden forudgående oplysning er ikke informeret og dermed ikke gyldigt.

Trin 9 — Kontrollér frivilligheden. Sørg for, at samtykket gives frivilligt, og at det ikke har negative konsekvenser at sige nej, jf. GDPR art. 7, stk. 4. Det er særligt vigtigt i ansættelsesforhold og andre forhold med et ulige magtforhold, hvor Datatilsynet stiller skærpede krav til frivilligheden.

Trin 10 — Underskriv, og opbevar erklæringen. Den samtykkende eller forældremyndighedsindehaveren underskriver erklæringen med angivelse af sted og dato. Den dataansvarlige skal opbevare erklæringen som dokumentation for samtykket, jf. GDPR art. 7, stk. 1, og skal kunne fremvise den, hvis Datatilsynet anmoder om det. Ved tilbagekaldelse skal den dataansvarlige ophøre med at anvende billederne til de dækkede formål og så vidt muligt fjerne dem.

Samtykkeerklæring til billeder Danmark er underlagt databeskyttelsesretten, der bygger på to lag: EU-forordningen og den danske gennemførelseslov. Nedenfor beskrives de vigtigste retlige krav og deres kilder.

Databeskyttelsesforordningen. Databeskyttelsesforordningen (GDPR — Europa-Parlamentets og Rådets forordning (EU) 2016/679) er direkte gældende i Danmark. Art. 6, stk. 1, opregner de mulige retsgrundlag for behandling af personoplysninger; for portrætbilleder er samtykke efter litra a det typiske grundlag, mens situationsbilleder ofte kan offentliggøres efter interesseafvejningen i litra f. Art. 7 fastsætter betingelserne for samtykke, og art. 4, nr. 11, definerer samtykke som en frivillig, specifik, informeret og utvetydig viljestilkendegivelse.

Databeskyttelsesloven. Databeskyttelsesloven (LOV nr. 502 af 23-05-2018 — lov med supplerende bestemmelser til EU's databeskyttelsesforordning) indeholder de danske særregler. Loven har 48 paragraffer og regulerer blandt andet alderen for børns samtykke (§ 6) og Datatilsynets beføjelser. § 6 fastsætter sammen med GDPR art. 8 reglerne om samtykke i forbindelse med informationssamfundstjenester. Ved offentliggørelse af billeder følger Datatilsynets praksis en linje, hvor samtykke for børn under 15 år som udgangspunkt gives af forældremyndighedsindehaveren.

Betingelser for gyldigt samtykke. Efter GDPR art. 7 og art. 4, nr. 11, skal et samtykke være frivilligt, specifikt, informeret og utvetydigt. Frivilligheden indebærer, at det ikke må have negative konsekvenser at sige nej, jf. art. 7, stk. 4. Det specifikke krav indebærer, at samtykket skal angive de konkrete billeder og formål. Det informerede krav forudsætter, at oplysningspligten efter art. 13 er opfyldt. Det utvetydige krav indebærer en aktiv handling; forudafkrydsede felter eller passivitet er ikke tilstrækkeligt. Den dataansvarlige skal kunne dokumentere samtykket efter art. 7, stk. 1.

Behandlingsprincipperne. GDPR art. 5 opstiller de grundlæggende principper: lovlighed, rimelighed og gennemsigtighed; formålsbegrænsning (litra b), så billederne kun anvendes til de angivne formål; dataminimering (litra c); rigtighed (litra d); opbevaringsbegrænsning (litra e), så billederne ikke gemmes længere end nødvendigt; og integritet og fortrolighed (litra f). Den dataansvarlige er ansvarlig for at kunne påvise, at principperne overholdes (ansvarlighed efter art. 5, stk. 2).

Oplysningspligten. Efter GDPR art. 13 skal den dataansvarlige ved indsamlingen oplyse den registrerede om den dataansvarliges identitet og kontaktoplysninger, formålene med behandlingen, retsgrundlaget, eventuelle modtagere, opbevaringsperioden og den registreredes rettigheder, herunder retten til at tilbagekalde samtykket og retten til at klage til Datatilsynet. Et samtykke er kun informeret, hvis disse oplysninger er givet.

Ret til tilbagekaldelse og øvrige rettigheder. Efter GDPR art. 7, stk. 3, kan samtykket til enhver tid tilbagekaldes, og det skal kunne ske lige så let, som det blev givet. Den registrerede har desuden ret til indsigt (art. 15), berigtigelse (art. 16), sletning (art. 17), begrænsning (art. 18), dataportabilitet (art. 20) og indsigelse (art. 21). Rettighederne kan udøves over for den dataansvarlige, der skal svare uden unødig forsinkelse og senest inden en måned.

Datatilsynets tilsyn. Datatilsynet fører tilsyn med, at databeskyttelsesreglerne overholdes, behandler klager, udsteder vejledninger og kan udstede påbud og forbud samt indstille til bøder, jf. GDPR kapitel VI og databeskyttelsesloven §§ 27-42. Den registrerede kan klage til Datatilsynet efter GDPR art. 77, hvis den dataansvarlige ikke overholder reglerne, og kan tillige rejse erstatningskrav efter art. 82.

Sikkerhed og brud. Efter GDPR art. 32 skal den dataansvarlige sikre billederne mod uautoriseret adgang, ændring og offentliggørelse ved passende tekniske og organisatoriske foranstaltninger. Sker der et brud på persondatasikkerheden med risiko for de registrerede, skal det anmeldes til Datatilsynet senest 72 timer efter konstateringen, jf. art. 33, og i alvorlige tilfælde tillige meddeles de berørte efter art. 34.

Forholdet til ophavsret og markedsføring. Ved anvendelse af billeder kan der også gælde ophavsretlige regler, hvis fotografen har ophavsret til billedet; det forhold reguleres af ophavsretsloven og er adskilt fra persondatabeskyttelsen. Ved anvendelse i markedsføring kan markedsføringsloven tillige stille krav. Den dataansvarlige bør derfor sikre sig både den afbildedes samtykke efter GDPR og de nødvendige rettigheder til selve billedet.

Samtykkeerklæring til billeder Danmark giver ofte anledning til følgende fejl, der kan gøre samtykket ugyldigt eller medføre kritik fra Datatilsynet.

Fejl 1 — For bredt og uspecifikt samtykke. Mange indhenter et generelt samtykke til alle billeder og alle formål. Et samtykke skal være specifikt efter GDPR art. 4, nr. 11; et bredt samtykke uden angivelse af konkrete billeder og formål er ikke gyldigt. Korrekt fremgangsmåde: beskriv de konkrete billeder (motiv, anledning, dato) og markér de specifikke formål, samtykket dækker.

Fejl 2 — Manglende oplysning før samtykket. Et samtykke skal være informeret, hvilket forudsætter, at oplysningspligten efter GDPR art. 13 er opfyldt før underskriften. Mange indhenter et samtykke uden at oplyse om formål, opbevaringsperiode og rettigheder. Korrekt fremgangsmåde: giv den samtykkende oplysning om behandlingen efter art. 13, før samtykket gives.

Fejl 3 — Manglende frivillighed i ansættelsesforhold. Arbejdsgivere indhenter ofte samtykke fra medarbejdere uden at sikre, at det er frivilligt. På grund af det ulige magtforhold kan et samtykke i et ansættelsesforhold være tvivlsomt, jf. GDPR art. 7, stk. 4. Korrekt fremgangsmåde: gør det klart, at det ikke har negative konsekvenser at sige nej, og overvej, om et andet retsgrundlag er mere passende.

Fejl 4 — Forkert håndtering af samtykke for børn. Mange glemmer, at samtykke for børn under 15 år som udgangspunkt gives af forældremyndighedsindehaveren, jf. databeskyttelsesloven (LOV nr. 502 af 23-05-2018) § 6 og GDPR art. 8. Korrekt fremgangsmåde: indhent forældremyndighedsindehaverens samtykke ved billeder af børn under 15 år, og angiv forælderens navn i erklæringen.

Fejl 5 — Forudafkrydsede felter eller passivitet. Et samtykke skal gives ved en aktiv, utvetydig handling. Forudafkrydsede felter, passivitet eller en formulering om, at man giver samtykke ved ikke at gøre indsigelse, er ikke gyldigt samtykke. Korrekt fremgangsmåde: indhent samtykket ved en aktiv handling, typisk en underskrift på erklæringen.

Fejl 6 — Ingen procedure for tilbagekaldelse. Efter GDPR art. 7, stk. 3, skal tilbagekaldelse kunne ske lige så let, som samtykket blev givet. Mange dataansvarlige har ingen klar procedure for, hvordan et samtykke tilbagekaldes. Korrekt fremgangsmåde: angiv i erklæringen, hvortil en tilbagekaldelse kan sendes, og etablér en procedure for at standse anvendelsen og fjerne billederne.

Fejl 7 — Anvendelse til nye formål uden nyt samtykke. Billeder, der er indhentet til ét formål, anvendes ofte senere til et andet formål — for eksempel anvendes et hjemmesidebillede i en betalt annonce. Det strider mod formålsbegrænsningen i GDPR art. 5, stk. 1, litra b. Korrekt fremgangsmåde: indhent et nyt samtykke, hvis billederne skal anvendes til formål, der ikke er omfattet af det oprindelige samtykke.

Fejl 8 — Manglende dokumentation for samtykket. Den dataansvarlige skal kunne dokumentere, at der er givet samtykke, jf. GDPR art. 7, stk. 1. Mange opbevarer ikke samtykkeerklæringerne og kan derfor ikke bevise grundlaget, hvis Datatilsynet eller den registrerede spørger. Korrekt fremgangsmåde: opbevar de underskrevne erklæringer sikkert og ordnet, så de kan fremvises.

Fejl 9 — Billederne opbevares for længe. Princippet om opbevaringsbegrænsning i GDPR art. 5, stk. 1, litra e, indebærer, at billederne ikke må opbevares længere end nødvendigt til formålet. Mange lader gamle billeder ligge på hjemmesider og sociale medier i årevis. Korrekt fremgangsmåde: fastsæt en opbevaringsperiode, og fjern billederne, når formålet er ophørt, eller samtykket er tilbagekaldt.

Fejl 10 — Manglende sikring og håndtering af brud. Efter GDPR art. 32 skal billederne sikres mod uautoriseret adgang, og et brud med risiko for de registrerede skal anmeldes til Datatilsynet senest 72 timer efter konstateringen, jf. art. 33. Mange dataansvarlige har ingen procedure herfor. Korrekt fremgangsmåde: sikr billederne teknisk og organisatorisk, og etablér en procedure for håndtering og anmeldelse af brud på persondatasikkerheden.