Съобразена с GDPR галерия за клиенти на фотобокс събития: от какво наистина се нуждаят операторите

Снимките на гости от сватби и фирмени събития са лични данни — често дори с ясна връзка към лице. Който като оператор на фотобокс обработва, съхранява и предава тези изображения, автоматично е част от процес, релевантен за защитата на данните. Това засяга не само корпорации, а всеки едноличен предприемач, който отдава под наем бокс.

Трите най-чести грешки при фото галериите

• Публично индексирани връзки към галерии. Ако връзка без защита на достъпа или с лесно отгатваем URL адрес е публично откриваема, до снимките на гостите могат да получат достъп и странични лица.
• Облачно съхранение без споразумение за обработка на данни. Ако се използва доставчик, с когото няма сключено такова споразумение, липсва правно основание за обработката на снимките от събитието.
• Липса на ясни срокове за изтриване. Снимки, които се съхраняват неограничено, без клиентите или гостите да знаят колко дълго и защо, са редовна причина за критика при запитвания от фирмени клиенти.

Какво се случва, когато нещо се обърка

Хипотетичен, но реалистичен сценарий: гост сканира след събитието QR кода на своята карта за събитието — но не се озовава в собствената си галерия, а защото връзката е била лесно отгатваема или дори индексирана от търсачка, попада в галерията на съвсем друго събитие от същата седмица. За засегнатите лица това не е дребен случай: става дума за нарушение на сигурността на данните по смисъла на GDPR, с потенциално задължение за уведомяване на надзорния орган (чл. 33 от GDPR) и, в зависимост от тежестта, на самите засегнати лица (чл. 34 от GDPR). За оператора това в най-лошия случай означава документационни усилия, обяснения пред клиента и репутационна вреда, която се възстановява по-трудно от всяка техническа повреда. Решаващото тук: рискът не възниква от лоши намерения, а от една-единствена структурна слабост — лесно отгатваема или индексирана връзка.

От какво се нуждае чисто решение за галерия

Четири градивни елемента правят разликата между „някак решено" и процес, който издържа и на критичен въпрос:

• Частни QR връзки вместо отворени папки — достъп само за лица с подходящата връзка, неоткриваеми чрез търсачки.
• Споразумение за обработка на данни със софтуерния доставчик — ясна договорна основа кой какви данни колко дълго обработва.
• Дефинирани концепции за изтриване — дата на изтичане за събитието, след която снимките се изтриват автоматично или по заявка.
• Хостинг в ЕС — обработката на данни в рамките на ЕС значително улеснява аргументацията пред клиентите.

Концепция за изтриване на практика

Концепцията за изтриване не трябва да е сложна, но трябва да е конкретна. „Ще изтрием някога" не е достатъчно при критичен въпрос. Разумно е ясно комуникирана дата на изтичане за всяко събитие или пакет — например фиксиран брой дни в безплатния тестов режим, след което автоматично изтриване, докато при платено ползване съхранението следва периода, договорен с клиента. По-важен от точния срок е фактът, че изобщо съществува такъв — и че е записан писмено в офертата или споразумението за обработка на данни, вместо да се импровизира едва при запитване. Клиенти, които предварително получават ясен отговор на „Какво се случва със снимките след това?", задават по-рядко критични въпроси от клиенти, които сами трябва да питат.

Кой всъщност носи отговорност?

Като оператор вие обикновено оставате отговорното по смисъла на защитата на данните лице за снимките от вашите събития — дори когато използвате софтуер на трета страна. Софтуерният доставчик действа като обработващ данните. За да протича това правно коректно, е необходимо споразумение за обработка на данни между вас и доставчика. Без този договор липсва основанието доставчикът изобщо да обработва снимки на гости.

Контролен списък: какво трябва да урежда споразумението за обработка на данни със софтуерния доставчик

Не всяко такова споразумение е еднакво пълно. Тези точки трябва да са конкретно изяснени, преди да го подпишете или да го представите на клиентите си:

• Кои точно данни се обработват (снимки, евентуално имена при работни процеси за одобрение)
• Къде се съхраняват данните — изрично в рамките на ЕС или извън него
• Колко дълго се пазят данните, преди да бъдат автоматично изтрити
• Кой се уведомява в случай на нарушение на сигурността на данните и в какъв срок
• Дали и кои подизпълнители на обработката се използват
• Как протича изтриването след прекратяване или разваляне на договора

Практически съвет за запитвания от фирмени клиенти

При корпоративни събития споразумение за обработка на данни често се изисква активно, преди офертата изобщо да бъде приета. Който може веднага да предложи подготвен документ, изглежда осезаемо по-професионален от конкуренти, които трябва да импровизират едва след запитването. Същото важи и за срока за изтриване: който го посочи в офертата, без да е питан, отговаря на въпроса, преди той да бъде зададен.

Тази статия не заменя правна консултация. За обвързваща оценка на вашия конкретен бизнес модел се препоръчва индивидуална проверка от гледна точка на защитата на данните.