Galéria pre hostí v súlade s GDPR pre podujatia s fotoboxom: čo prevádzkovatelia naozaj potrebujú

Fotografie hostí zo svadieb a firemných podujatí sú osobné údaje — často dokonca s jasnou väzbou na tvár. Kto ako prevádzkovateľ fotoboxu tieto obrázky spracúva, ukladá a odovzdáva ďalej, je tým automaticky súčasťou procesu, ktorý je relevantný z hľadiska ochrany údajov. Netýka sa to len veľkých firiem, ale každého jednotlivého podnikateľa, ktorý prenajíma box.

Tri najčastejšie chyby pri fotogalériách

• Verejne indexované odkazy na galériu. Ak je odkaz verejne dostupný bez ochrany prístupu alebo má uhádnuteľnú URL adresu, k fotografiám hostí sa môžu dostať aj nezúčastnené osoby.
• Cloudové úložisko bez zmluvy o spracovaní údajov. Ak sa používa poskytovateľ, s ktorým neexistuje zmluva o spracovaní údajov, chýba právny základ pre spracovanie fotografií z podujatia.
• Žiadne jasné lehoty na vymazanie. Fotografie, ktoré zostávajú uložené bez obmedzenia, pričom zákazníci ani hostia nevedia, ako dlho a prečo, sú pravidelnou výhradou pri dopytoch firemných zákazníkov.

Čo sa stane, keď sa niečo pokazí

Hypotetický, ale realistický scenár: hosť po podujatí naskenuje QR kód na svojej kartičke z podujatia — no neskončí vo vlastnej galérii, ale preto, že odkaz bol uhádnuteľný alebo dokonca indexovaný vyhľadávačom, skončí v galérii úplne iného podujatia z toho istého týždňa. Pre dotknuté osoby to nie je banálna vec: ide o narušenie ochrany osobných údajov v zmysle GDPR, s potenciálnou povinnosťou nahlásiť to dozornému orgánu (čl. 33 GDPR) a v závislosti od závažnosti aj samotným dotknutým osobám (čl. 34 GDPR). Pre prevádzkovateľa to v najhoršom prípade znamená dokumentačnú záťaž, vysvetľovanie zákazníkovi a poškodenie dobrého mena, ktoré sa naprávi ťažšie než akákoľvek technická chyba. Rozhodujúce je, že riziko nevzniká zo zlého úmyslu, ale z jedinej štrukturálnej slabiny — uhádnuteľného alebo indexovaného odkazu.

Čo potrebuje čisté riešenie galérie

Štyri stavebné bloky robia rozdiel medzi „nejako to vyriešené" a postupom, ktorý obstojí aj pri kritickej otázke:

• Súkromné QR odkazy namiesto otvorených priečinkov — prístup iba pre osoby so správnym odkazom, nedohľadateľné cez vyhľadávače.
• Zmluva o spracovaní údajov so softvérovým dodávateľom — jasný zmluvný základ, kto spracúva aké údaje a ako dlho.
• Definované koncepty mazania — dátum expirácie pre podujatie, po ktorom sa fotografie automaticky alebo na požiadanie vymažú.
• Hosting v EÚ — spracovanie údajov v rámci EÚ výrazne uľahčuje argumentáciu voči zákazníkom.

Koncept mazania v praxi

Koncept mazania nemusí byť komplikovaný, ale musí byť konkrétny. „Niekedy to zmažeme" pri kritickej otázke neobstojí. Zmysluplný je jasne komunikovaný dátum expirácie pre každé podujatie alebo balík — napríklad pevný počet dní v bezplatnom testovacom režime, po ktorom nasleduje automatické vymazanie, zatiaľ čo uchovávanie pri platenom používaní sa riadi obdobím dohodnutým so zákazníkom. Dôležitejšie než presná lehota je fakt, že vôbec nejaká existuje — a že je písomne zaznamenaná v ponuke alebo zmluve o spracovaní údajov, namiesto toho, aby sa improvizovala až na dopyt. Zákazníci, ktorí vopred dostanú jasnú odpoveď na otázku „Čo sa stane s fotografiami potom?", sa pýtajú menej kriticky než zákazníci, ktorí si to musia zisťovať sami.

Kto je vlastne zodpovedný?

Ako prevádzkovateľ zostávate spravidla vy zodpovednou osobou z hľadiska ochrany údajov za fotografie z vašich podujatí — aj keď používate softvér tretej strany. Softvérový dodávateľ vystupuje ako sprostredkovateľ. Aby to bolo právne v poriadku, je potrebná zmluva o spracovaní údajov medzi vami a dodávateľom. Bez tejto zmluvy chýba základ na to, aby dodávateľ mohol fotografie hostí vôbec spracúvať.

Kontrolný zoznam: čo by mala upravovať zmluva o spracovaní údajov so softvérovým dodávateľom

Nie každá zmluva o spracovaní údajov je rovnako kompletná. Tieto body by mali byť konkrétne zodpovedané skôr, než ju podpíšete alebo predložíte svojim zákazníkom:

• Ktoré údaje sa presne spracúvajú (fotografie, prípadne mená pri postupoch schvaľovania)
• Kde sa údaje ukladajú — explicitne v rámci EÚ, alebo mimo nej
• Ako dlho sa údaje uchovávajú, kým sa automaticky vymažú
• Kto je informovaný v prípade narušenia ochrany údajov a v akej lehote
• Či a ktorí subdodávatelia sa využívajú
• Ako prebieha vymazanie po skončení alebo výpovedi zmluvy

Praktický tip pre dopyty firemných zákazníkov

Pri firemných podujatiach sa zmluva o spracovaní údajov často aktívne vyžaduje ešte predtým, než je ponuka vôbec prijatá. Kto dokáže hneď ponúknuť pripravený dokument, pôsobí citeľne profesionálnejšie než konkurenti, ktorí musia improvizovať až po dopyte. To isté platí pre lehotu na vymazanie: kto ju uvedie v ponuke bez vyzvania, zodpovie otázku skôr, než je vôbec položená.

Tento článok nenahrádza právne poradenstvo. Pre záväzné posúdenie vášho konkrétneho obchodného modelu odporúčame individuálne posúdenie z hľadiska ochrany údajov.