Att hantera bilder, intervjuer eller filmer i meningen fotografera, filma, spela in, lagra, redigera samt publicera digitalt eller analogt innebär i dataskyddsförordningen en behandling av personuppgiften. All personuppgiftsbehandling ska därför ske i enlighet med dataskyddsförordningens bestämmelser samt i enlighet med vad som följer av kompletterande nationell lagstiftning och av tillsynsmyndighetens rekommendationer. 

Bild, rörlig bild och ljudinspelningar

Detta innebär i praktiken att hanteringen samt personuppgiftsbehandling i universitetets digitala mediekanaler ska iaktta principerna för personuppgiftsbehandling i dataskyddsförordningen med beaktande på bland annat informationssäkerhet, uppgiftsminimering, ändamålsstyrd behandling samt information till den registrerade. 

  • Detta innebär också att rättslig grund måste finnas för behandling av personuppgifter i form av fotografisk eller rörlig bild på fysiska personer. 
  • De rättsliga grunder som kommer ifråga för universitetets bild-, ljud- och sociala mediearbete är framför allt samtycke samt myndighetsutövning.

Enligt förordningen ska definitionen av vad som utgör myndighetsutövning följa direkt av förordningen, av svensk lag eller förordning. Uppgiften ska alltså ha ålagts myndigheten av riksdag eller regering. Enligt myndighetsförordningen har statliga myndigheter i uppgift att informera om sin verksamhet. Högskolelagen 2 §: I högskolornas uppgift ska det ingå att samverka med det omgivande samhället och informera om sin verksamhet, samt verka för att forskningsresultat tillkomna vid högskolan kommer till nytta.

Då Stockholms universitet vill använda sig av personer på bild, rörlig bild och ljudinspelningar (podcaster, ljudfiler och radiointervjuer) i extern kommunikation ska den rättsliga grunden samtycke användas och en samtyckesblankett som finns tillgänglig på universitetets medarbetarwebb användas. Informationskravet i förordningen uppfylls genom att den som fotograferas eller filmas informeras om rutinerna kring universitets personuppgiftsbehandling samt hur denne ska gå till väga om den vill återkalla sitt samtycke. 

Respektive institution eller avdelning i universitetsförvaltningen ansvarar för att samtyckesblanketten används, samt hur samtycken lagras och ett eventuellt återkallande av samtycke hanteras. Om bilder och filmer lagras i mediabank ska lämplig information som följer av samtycket registreras. 

Om upphandlad underleverantör utför fotografering, filmning eller ljudinspelning ska denne inhämta samtycken enligt universitetets instruktioner. Om bild-, film- eller ljudinspelningar köps in från extern leverantör ansvarar respektive institution eller avdelning för att leverantören uppställt tillräckliga garantier för att rättslig grund för behandling enligt förordningen föreligger. 

För samtycken inhämtade före förordningens ikraftträdande 25 maj 2018 gäller att de fortfarande kan användas som rättslig grund för fortsatt behandling om de äldre samtyckena uppfyller förordningens krav på informerat samtycke. Den registrerade vars uppgifter behandlas bör dock så långt som möjligt informeras om den fortsatta behandlingen. 

För fotografering, filmning och ljudinspelning och utsändning i samband med föreläsning, evenemang eller mingel gäller enligt Datainspektionens rekommendationer att samtycke inte behöver inhämtas för denna typ av personuppgiftsbehandling. Dock ska deltagarna informeras om fotografering eller inspelning. Detta kan göras i form av information i anslutning till anmälan, anslag i anslutning till föreläsningen eller evenemanget samt muntlig information innan föreläsningen eller eventet påbörjas. 

För behandling i form av användning av anställdas bilder i externt kommunikationsarbete gäller att den rättsliga grunden myndighetsutövning kan användas om det är rimligt att förvänta sig att den anställdes arbetsbeskrivning föranleder att denne figurerar med bild på universitetets webbplats eller i sociala mediekanaler. 

Universitetet har inte ansvar för personuppgiftsbehandling i form av bilder, filmer och ljudinspelningar på levande personer i material som länkas till eller delas av universitetet. Detta eftersom universitetet då inte själva behandlar personuppgifterna. 

Sociala medier

För universitetets sociala mediekanaler gäller att personuppgiftsbehandling i form av namn, bild, film och ljudinspelning på nu levande personer i universitetets kanaler utgör personuppgiftsbehandling och för denna behöver den publicerande institutionen eller avdelningen göra en bedömning av på vilken grund personuppgiftsbehandling och därmed publicering kan ske. Universitetet har inom ramen för sitt uppdrag att informera om universitets utbildning och forskning möjlighet att använda sig av myndighetsutövning som rättslig grund för sådan behandling/publicering. Att använda namn, bilder och ljudinspelningar på personer där ändamålet inte är tydligt motiverat av uppgiften att informera om utbildning eller forskning ska dock göras restriktivt. 

Varje institution och förvaltningsavdelning har att ansvar för att rättslig grund för personuppgiftsbehandling för namn, bilder och filmer i respektive sociala mediekanal finns efter 25 maj 2018. Universitetet har inte ansvar för personuppgiftsbehandling i form av att annan användare publicerar en personuppgift i universitetets kanal. Däremot har universitetet ett ansvar för att ingen enskild kränks i någon av universitets kanaler.  Detta enligt Lagen om elektroniska anslagstavlor.

Respektive institution eller avdelning ska också så långt det är möjligt och verksamheten tillåter tillse att rättslig grund finns för behandling av personuppgifter som publicerades i digitala kanaler före ikraftträdandet av förordningen 25 maj 2018, och som fortfarande finns synliga i kanalerna. Finns inte rättslig grund för fortsatt publicering bör personuppgifterna successivt och så långt det är möjligt raderas.