Zdjęcia z imprezy firmowej: czego naprawdę wymaga ochrona danych
Zdjęcia z wigilii firmowej to dane osobowe. Obowiązują tu jasne zasady – wystarczy wiedzieć, na czym się opierasz. Tutaj znajdziesz, jaka podstawa prawna sprawdza się w jakim przypadku, kiedy potrzebna jest umowa powierzenia przetwarzania danych i jakie pytania zwykle zadają przedstawiciele pracowników.
Ten tekst ma charakter informacyjny i nie zastępuje porady prawnej. Stan prawny opieramy na przepisach RODO, a informacje o naszym systemie są sprawdzone – ocenę konkretnego przypadku przeprowadzi inspektor ochrony danych albo prawnik.
Cztery pytania, które padają najczęściej
Gdzie są dane?
Najczęstsze pierwsze pytanie – a przy usługach spoza UE to właśnie ono często przesądza sprawę. U nas: baza danych we Frankfurcie (Google Cloud, europe-west3), zdjęcia w Cloudflare R2 z lokalizacją w UE. Żaden zasób nie jest publicznie dostępny; zdjęcia są wydawane tylko przez dostęp sprawdzany dla każdego wydarzenia.
Czy potrzebna jest umowa powierzenia?
Tak. Jeśli firma zleca usłudze przetwarzanie zdjęć swoich pracowników, jest to powierzenie przetwarzania danych w rozumieniu art. 28 RODO – umowa to obowiązek. U nas generujesz ją samodzielnie w panelu wydarzenia, w sekcji „Zgodność i umowa powierzenia (AVV)”, gdy tylko wydarzenie jest zarezerwowane w pakiecie płatnym – jako PDF do dokumentacji firmy. Taką umowę zawiera się z każdą usługą, z której firma korzysta w tym celu.
Zgoda czy uzasadniony interes?
W stosunku pracy zgoda jest problematyczna, bo musi być dobrowolna (art. 4 pkt 11 i art. 7 ust. 4 RODO, motyw 43), a dobrowolność wobec pracodawcy wymaga uzasadnienia. W praktyce zwykle lepiej sprawdza się układ: udział dobrowolny, odwołanie możliwe w każdej chwili, a osoby, które nie fotografują, nie ponoszą żadnych konsekwencji. Dokładnie tak jest zbudowany produkt – kto chce, skanuje kod. Przy publikacji zdjęcia, na którym ktoś jest rozpoznawalny, w Polsce dochodzi jeszcze art. 81 ustawy o prawie autorskim i prawach pokrewnych (zezwolenie na rozpowszechnianie wizerunku).
Czego chcą się dowiedzieć przedstawiciele pracowników?
Czy galeria może służyć do kontroli zachowania lub wydajności pracowników – to pytanie pada w firmach ze związkami zawodowymi lub radą pracowników. Pomaga odpowiedź: galeria to zwykły zbiór zdjęć – bez rozpoznawania twarzy, bez przypisywania zdjęć do numerów pracowników, bez analizy, kto, kiedy i gdzie był. Galeria nie jest narzędziem kontroli.
Co konkretnie zrobić
Pięć kroków, dzięki którym galeria z imprezy firmowej jest przygotowana porządnie. To dobre pół godziny, a nie cały projekt.
Zawrzyj umowę powierzenia, zanim zaprosisz gości
Przetwarzanie zaczyna się od pierwszego zdjęcia, dlatego umowa należy na początek: zarezerwuj wydarzenie, wygeneruj AVV w panelu, a potem zaproś gości.
Zadbaj, by udział był wyraźnie dobrowolny
Kod QR czeka na stole, a każdy decyduje sam. Osoby, które nie fotografują, nie ponoszą żadnych konsekwencji – na tym polega istota dobrowolności.
Poinformuj wcześniej, a nie dopiero na imprezie
Wystarczy krótka wiadomość w zaproszeniu: będzie wspólna galeria, udział jest dobrowolny, zdjęcia zostaną usunięte po X tygodniach, tutaj jest klauzula informacyjna.
Ustal termin usunięcia i go dotrzymaj
Art. 5 ust. 1 lit. e RODO wymaga okresu przechowywania adekwatnego do celu. Dla imprezy da się uzasadnić od kilku tygodni do kilku miesięcy; okres bezterminowy trudno uzasadnić. Każde wydarzenie ma u nas datę wygaśnięcia.
Ułatw sprzeciw
Kto nie chce swojego zdjęcia w galerii, powinien móc je usunąć bez podawania powodu. Organizator może usunąć każde pojedyncze zdjęcie.
Co nasz system robi konkretnie
- Gdzie są zdjęcia?
- Cloudflare R2 z lokalizacją w UE. Zasób nie jest publiczny; zdjęcia są wydawane przez dostęp sprawdzany dla każdego wydarzenia.
- Gdzie jest baza danych?
- Google Cloud Firestore w europe-west3, czyli we Frankfurcie nad Menem.
- Czy goście muszą zakładać konto?
- Wystarczy zeskanować kod QR. Konta, adresy e-mail i numery telefonu uczestników nie są potrzebne ani zbierane.
- Czy jest rozpoznawanie twarzy?
- Zdjęcia pozostają zwykłymi plikami, bez przetwarzania biometrycznego – ani do sortowania, ani do wyszukiwania. W kontekście zatrudnienia to właśnie ta różnica się liczy.
- Co dzieje się po wydarzeniu?
- Każde wydarzenie ma datę wygaśnięcia ustaloną przy zakładaniu. Potem zdjęcia są usuwane; wcześniej organizator może w każdej chwili usunąć pojedyncze zdjęcia albo całą galerię.
Najczęstsze pytania
Galeria na waszą imprezę firmową
Załóż ją za darmo i obejrzyj, zanim się zdecydujesz. Umowę powierzenia przetwarzania danych wygenerujesz po rezerwacji pakietu płatnego bezpośrednio w panelu wydarzenia.
Utwórz wydarzenie