Galerie hostů podle GDPR pro akce s fotokoutkem: Co provozovatelé skutečně potřebují

Fotky hostů ze svateb a firemních akcí jsou osobní údaje — často dokonce s jasnou vazbou na obličej. Kdo jako provozovatel fotokoutku tyto snímky zpracovává, ukládá a předává dál, je tím automaticky součástí procesu relevantního z hlediska ochrany osobních údajů. To se netýká jen velkých firem, ale každého jednotlivého podnikatele, který pronajímá box.

Tři nejčastější chyby u fotogalerií

• Veřejně indexované odkazy na galerie. Pokud je odkaz veřejně dohledatelný bez ochrany přístupu nebo má uhodnutelnou URL, mohou se k fotkám hostů dostat i nezúčastněné osoby.
• Cloudové úložiště bez zpracovatelské smlouvy. Pokud se používá poskytovatel, se kterým neexistuje DPA, chybí právní základ pro zpracování fotek z akce.
• Žádné jasné lhůty pro smazání. Fotky uchovávané bez omezení, aniž by zákazníci nebo hosté věděli, jak dlouho a proč, jsou pravidelnou výtkou při poptávkách firemních zákazníků.

Co se stane, když se to pokazí

Hypotetický, ale realistický scénář: host po akci naskenuje QR kód na své vstupence — ale místo do vlastní galerie se dostane, protože odkaz byl uhodnutelný nebo dokonce indexovaný vyhledávačem, do galerie zcela jiné akce ze stejného týdne. Pro dotčené osoby to není banalita: jde o narušení bezpečnosti osobních údajů ve smyslu GDPR, s potenciální oznamovací povinností vůči dozorovému úřadu (čl. 33 GDPR) a podle závažnosti i vůči samotným dotčeným osobám (čl. 34 GDPR). Pro provozovatele to v nejhorším případě znamená dokumentační zátěž, potřebu vysvětlování zákazníkovi a poškození pověsti, které se hůře napravuje než jakákoli technická závada. Rozhodující je přitom to, že riziko nevzniká ze zlého úmyslu, ale z jediné strukturální slabiny — uhodnutelného nebo indexovaného odkazu.

Co potřebuje čisté řešení galerie

Čtyři stavební kameny dělají rozdíl mezi „nějak vyřešeno" a postupem, který obstojí i při kritickém dotazu:

• Soukromé QR odkazy místo otevřených složek — přístup jen pro osoby se správným odkazem, nedohledatelné přes vyhledávače.
• DPA se softwarovým poskytovatelem — jasný smluvní základ, kdo jaká data jak dlouho zpracovává.
• Definované koncepty mazání — datum vypršení pro akci, po kterém se fotky smažou automaticky nebo na vyžádání.
• Hostování v EU — zpracování dat v rámci EU podstatně usnadňuje argumentaci vůči zákazníkům.

Koncept mazání v praxi

Koncept mazání nemusí být komplikovaný, ale musí být konkrétní. „Někdy to smažeme" při kritickém dotazu neobstojí. Smysluplné je jasně komunikované datum vypršení pro akci nebo balíček — například pevný počet dní v bezplatném zkušebním režimu, poté automatické smazání, zatímco uchovávání při placeném užívání se řídí obdobím dohodnutým se zákazníkem. Důležitější než přesná lhůta je fakt, že vůbec nějaká existuje — a že je písemně zaznamenaná v nabídce nebo DPA, místo aby se improvizovala až na dotaz. Zákazníci, kteří dostanou předem jasnou odpověď na otázku „co se stane s fotkami potom?", se ptají méně kriticky než zákazníci, kteří si to musí zjišťovat sami.

Kdo je vlastně odpovědný?

Jako provozovatel zůstáváte zpravidla vy odpovědní z hlediska ochrany osobních údajů za fotky ze svých akcí — i když používáte software třetí strany. Softwarový poskytovatel jedná jako zpracovatel. Aby to fungovalo právně čistě, je potřeba DPA mezi vámi a poskytovatelem. Bez této smlouvy chybí základ pro to, aby poskytovatel mohl fotky hostů vůbec zpracovávat.

Kontrolní seznam: co by měla DPA se softwarovým poskytovatelem upravovat

Ne každá DPA je stejně kompletní. Tyto body by měly být konkrétně zodpovězené, než ji podepíšete nebo předložíte svým zákazníkům:

• Jaká přesně data se zpracovávají (fotky, případně jména při schvalovacích workflow)
• Kde se data ukládají — výslovně uvnitř nebo mimo EU
• Jak dlouho se data uchovávají, než se automaticky smažou
• Kdo je informován v případě narušení bezpečnosti dat a v jaké lhůtě
• Zda a jací subzpracovatelé jsou zapojeni
• Jak probíhá smazání po ukončení nebo výpovědi smlouvy

Praktický tip pro poptávky firemních zákazníků

U firemních akcí se DPA často aktivně vyžaduje ještě předtím, než je nabídka vůbec přijata. Kdo umí okamžitě nabídnout připravený dokument, působí výrazně profesionálněji než konkurence, která musí improvizovat až po dotazu. Totéž platí pro lhůtu mazání: kdo ji uvede v nabídce bez vyzvání, zodpoví dotaz dřív, než je vůbec položen.

Tento příspěvek nenahrazuje právní poradenství. Pro závazné posouzení vašeho konkrétního obchodního modelu doporučujeme individuální posouzení z hlediska ochrany osobních údajů.