Zdjęcia gości z wesel i eventów firmowych to dane osobowe — często z wyraźnym powiązaniem z rozpoznawalną twarzą. Kto jako operator fotobudki przetwarza, przechowuje i udostępnia te zdjęcia, automatycznie staje się częścią procesu istotnego z punktu widzenia ochrony danych. Dotyczy to nie tylko dużych firm, ale każdego jednoosobowego przedsiębiorcy wynajmującego fotobudkę.
Trzy najczęstsze błędy w galeriach zdjęć
- Publicznie zaindeksowane linki do galerii. Jeśli link jest wyszukiwalny bez zabezpieczenia dostępu lub przez odgadnięty adres URL, do zdjęć gości mogą dotrzeć również osoby postronne.
- Przechowywanie w chmurze bez umowy powierzenia przetwarzania. Korzystanie z dostawcy bez DPA oznacza brak podstawy prawnej do przetwarzania zdjęć z eventu.
- Brak jasnych terminów usuwania. Zdjęcia przechowywane bezterminowo, bez informowania klientów czy gości, jak długo i dlaczego, to powtarzający się punkt krytyczny przy zapytaniach klientów biznesowych.
Czego potrzebuje porządne rozwiązanie do galerii
Cztery elementy decydują o różnicy między "jakoś załatwione" a procesem, który wytrzymuje krytyczne pytanie:
- Prywatne linki QR zamiast otwartych folderów — dostęp tylko dla osób z właściwym linkiem, niewyszukiwalny przez wyszukiwarki.
- DPA z dostawcą oprogramowania — jasna podstawa umowna, kto przetwarza jakie dane i jak długo.
- Zdefiniowane koncepcje usuwania — data wygaśnięcia dla eventu, po której zdjęcia są usuwane automatycznie lub na żądanie.
- Hosting w UE — przetwarzanie danych w obrębie UE znacznie ułatwia argumentację wobec klientów.
Kto jest właściwie odpowiedzialny?
Jako operator zazwyczaj pozostajesz administratorem danych dla zdjęć swoich eventów — nawet korzystając z oprogramowania. Dostawca oprogramowania działa jako podmiot przetwarzający. Aby było to prawnie solidne, potrzebna jest umowa DPA między Tobą a dostawcą. Bez tej umowy dostawca nie ma podstawy do przetwarzania zdjęć gości w ogóle.
Praktyczna wskazówka dla zapytań klientów biznesowych
Przy eventach korporacyjnych DPA jest często aktywnie wymagane, zanim oferta zostanie w ogóle zaakceptowana. Kto może od razu zaoferować gotowy dokument, sprawia znacznie bardziej profesjonalne wrażenie niż konkurenci, którzy muszą improwizować dopiero po zapytaniu.
Prywatne galerie QR, przygotowany pakiet DPA, koncepcja usuwania dla każdego eventu i skupienie na UE w hostingu — część logiki produktu, a nie rozwiązanie doklejone później.
Ten artykuł nie zastępuje porady prawnej. W przypadku wiążącej oceny Twojego konkretnego modelu biznesowego zalecamy indywidualną weryfikację w zakresie ochrony danych.