Gastfoto's van bruiloften en zakelijke events zijn persoonsgegevens — vaak met een duidelijke gezichtsherkenning. Wie als fotobox-exploitant deze foto's verwerkt, opslaat en deelt, maakt daarmee automatisch deel uit van een privacyrechtelijk relevant proces. Dat geldt niet alleen voor grote bedrijven, maar voor elke zzp'er die een box verhuurt.
De drie meest voorkomende fouten bij fotogalerijen
- Publiek geïndexeerde galerijlinks. Als een link zonder toegangsbeveiliging of via een raadbare URL publiek vindbaar is, kunnen ook onbetrokkenen bij gastfoto's.
- Cloudopslag zonder verwerkersovereenkomst. Gebruik je een aanbieder zonder verwerkersovereenkomst, dan ontbreekt de wettelijke grondslag voor de verwerking van de eventfoto's.
- Geen duidelijke verwijdertermijnen. Foto's die onbeperkt bewaard blijven, zonder dat klanten of gasten weten hoe lang en waarom, zijn een terugkerend kritiekpunt bij aanvragen van zakelijke klanten.
Wat een nette galerij-oplossing nodig heeft
Vier bouwstenen maken het verschil tussen "een beetje geregeld" en een proces dat ook een kritische vraag doorstaat:
- Private QR-links in plaats van open mappen — toegang alleen voor mensen met de juiste link, niet vindbaar via zoekmachines.
- Verwerkersovereenkomst met de software-leverancier — duidelijke contractuele basis voor wie welke gegevens hoe lang verwerkt.
- Vastgelegde verwijderconcepten — een vervaldatum per event waarna foto's automatisch of op aanvraag worden verwijderd.
- EU-hosting — gegevensverwerking binnen de EU maakt de onderbouwing richting klanten aanzienlijk eenvoudiger.
Wie is eigenlijk verantwoordelijk?
Als exploitant blijf je doorgaans de verwerkingsverantwoordelijke voor de foto's van je events — ook als je software gebruikt. De software-leverancier treedt op als verwerker. Om dit juridisch sluitend te maken, is een verwerkersovereenkomst tussen jou en de leverancier nodig. Zonder dat contract ontbreekt de grondslag voor de leverancier om gastfoto's überhaupt te verwerken.
Praktijktip voor aanvragen van zakelijke klanten
Bij corporate events wordt vaak actief om een verwerkersovereenkomst gevraagd voordat een offerte überhaupt wordt geaccepteerd. Wie hier meteen een voorbereid document kan aanbieden, komt merkbaar professioneler over dan concurrenten die pas na de aanvraag moeten improviseren.
Private QR-galerijen, een voorbereid DPA-pakket, verwijderconcept per event en EU-focus bij hosting — onderdeel van de productlogica, geen achteraf bedachte workaround.
Dit artikel vervangt geen juridisch advies. Voor een bindende inschatting van jouw concrete bedrijfsmodel raden we een individuele privacyrechtelijke toetsing aan.