Tässä artikkelissa
Keittiömestarisi liekittää annoksen, joku kuvaa sen Instagramiin, ja taustalla istuu pöytä, joka ei ikinä valinnut olla siinä. Se kuva ei ole markkinointikysymys — se on oikeudellinen kysymys, eikä suurin osa ravintoloista koskaan vastaa siihen.
Jokainen ravintola kuvaa nykyään itseään: avaustyövuoron, uuden ruokalistan, täyden perjantain tunnelman. Juuri se toimii Instagramissa ja TikTokissa — mutta sali ei ole koskaan tyhjä kuvaamisen aikana, ja jokaisessa kuvassa on asiakkaita, joilta kukaan ei kysynyt, halusivatko he olla mukana.
Kaksi muuta tämän blogin artikkelia käsittelee jo läheisiä aiheita: miten kerätä asiakastietoja (nimi, sähköposti, varaushistoria) GDPR:n mukaisesti, ja miten käyttää valvontakameroita kassalla sääntöjen mukaan. Molemmat koskevat tietoja, joita SINÄ tallennat OMAA toimintaasi varten. Tämä artikkeli käsittelee jotain muuta: asiakkaan kuvaa, joka on tallennettu jaettavaksi ulkomaailman kanssa.
Se kuva on suojattu kahdesti. GDPR:n mukaan tunnistettava kasvokuva on henkilötieto, piste — olipa seuraajia viisi tai viisituhatta. Ja tämän lisäksi lähes jokaisella EU-maalla on oma "oikeus omaan kuvaan": Ranskassa droit à l'image, Saksassa Recht am eigenen Bild omalla lakitekstillään (Kunsturhebergesetz), ja Belgiassa ja Alankomaissa oikeuskäytännön muovaama muunnelma samasta periaatteesta.
Hyvä uutinen: säännöt ovat ennakoitavissa, kun ne käy läpi oikeassa järjestyksessä. Tämä artikkeli esittää ne tikkaina — "ei ongelmaa":sta "älä julkaise":en — sekä testin, joka kertoo kymmenessä sekunnissa, missä tietty kuva noilla tikkailla seisoo.
Miksi tämä on enemmän kuin teoreettinen kysymys
Espanjassa AEPD, kansallinen tietosuojaviranomainen, määräsi kuntosalille 21 000 euron sakon tuntien kuvaamisesta ja julkaisemisesta somessa ilman pätevää suostumusta, ja toiselle kuntosaliketjulle jopa 36 000 euroa (alennettu 15 000 euroon aikaisesta maksusta) samasta käytännöstä. Viranomainen totesi nimenomaisesti, ettei "kuvaudu mukana tai lähde" ole vapaaehtoisesti annettu suostumus — täsmälleen sama mekanismi, jonka ravintola toistaa sanoessaan pöydälle: "kuvaamme tänä iltana sisältöä, käyttäytykää vain luonnollisesti".
Siinä ongelman ydin: sisältöä kuvaava ravintola toistaa täsmälleen saman virheen, vain asiakkailla kuntosalin jäsenten sijaan. Ja vahinko harvoin on itse sakko — se on julkisesti valittava asiakas, valituksen vaatima aika, ja se, että sivuutettu poistopyyntö eskaloituu valitukseksi valvontaviranomaiselle, kun taas päivässä ratkaistu pyyntö ei maksa mitään.
Kyse ei siis ole "entä jos joskus tulee tarkastus" -kysymyksestä — kyse on siitä, mitä tavallinen torstai-ilta jo tuottaa heti kun kamera on mukana. Kuusi sääntöä ratkaisee, sujuuko se ongelmitta.
Perimmäinen opas Ravintolateknologia: 6 Askelta 7 Työkalusta 1 Järjestelmään Asiakastiedoista kameroihin ja sisältökäytäntöön: kaikki, mitä järjestelmiesi pitäisi hoitaa puolestasi, yhdessä oppaassa. Avaa opasKuusi sääntöä siinä järjestyksessä kuin laki niitä todella soveltaa
Jokainen sääntö rakentuu edellisen päälle. Heti kun vastaus on "ei", loppuja tikkaita ei tarvitse kiivetä — tiedät jo tarpeeksi.
1. Tunnistettavuus riittää — kasvot kuvassa ovat henkilötieto
GDPR määrittelee henkilötiedon kaikkena tietona, jonka avulla henkilö voidaan tunnistaa suoraan tai epäsuorasti (4 art. 1 kohta). Kasvot ovat kaikkein ilmeisin esimerkki tästä. Heti kun joku on kuvassa tunnistettavissa — ei keskellä, ei terävä, vain tunnistettava — käsittelet henkilötietoa heti kun julkaiset kuvan. Se koskee yhtä lailla omaa Instagram-tiliäsi kuin asiakastietokantaakin.
Tällä ei ole mitään tekemistä sen kanssa, kuinka monta seuraajaa sinulla on tai kuinka "pieni" julkaisu on. GDPR ei tee eroa kahdentoista seuraajan yritystilin ja miljoonan seuraajan vaikuttajan välillä. Kysymys ei ole koskaan "onko tämä tarpeeksi iso ollakseen merkityksellinen", vaan "onko tämä henkilö tunnistettavissa".
Se, mikä todella ratkaisee: tunnistamaton on tunnistamaton. Selkä, sumea tausta, kasvot kuvan ulkopuolella — se ei ole henkilötieto, eikä tämä koko artikkeli enää päde. Yksinkertaisin tapa poistaa riski on edelleen kääntää kameraa muutama senttimetri.
2. Sivuosassa oleva ei usein tarvitse suostumusta — pääkohde aina
Jokainen tunnistettava asiakas ei ole ongelma. Saksalla tämä on nimenomaisesti laissa: Kunsturhebergesetz (KUG) vaatii lähtökohtaisesti suostumuksen (§22), mutta tekee poikkeuksen henkilöille, jotka esiintyvät vain sivuosassa paikan tai kohtauksen vieressä (§23 mom. 1 nro 2) — niin sanottu "Beiwerk"-sääntö. Ajattele pöytää, joka sattumalta on taustalla sisustusta kuvattaessa, ei asiakasta, joka on kuvan varsinainen kohde.
Tämä poikkeus on kapeampi kuin miltä se kuulostaa, eikä se päde kaikkialla samalla tavalla. Jopa Saksassa se lakkaa pätemästä heti kun julkaisu vahingoittaa kuvatun henkilön oikeutettua etua (§23 mom. 2 KUG) — kompromettoivassa tilanteessa kuvattu asiakas ei ole koskaan "sivuosassa", vaikka olisi kuvassa kuinka lyhyesti tahansa. Ja Ranskan kaltaiset maat soveltavat tiukempaa lähtökohtaa, jossa jopa sivuosassa oleva tunnistettava läsnäolo katsotaan nopeammin ongelmaksi.
Käytännön nyrkkisääntö kaikkialla: mitä keskeisempi ja terävämpi henkilö on kuvassa, sitä vahvempi on kysymisvelvollisuus. Testi, jota lähes jokainen maa soveltaa, on yksinkertainen: sanoisiko keskivertokatsoja kuvan olevan siitä henkilöstä vai paikasta? Epäselvissä tapauksissa: kysy.
Jokainen kuva seisoo jossain näillä tikkailla. Mitä korkeammalla, sitä enemmän on selvitettävä ennen julkaisua.
Tikkaat noudattavat yllä olevia sääntöjä 1–3: tunnistettavuutta, sivuosa/pääkohde-rajaa ja suostumuksen tyyppiä.
3. Suostumus pöytäkuvaan ei ole suostumus julkaista se
Oletetaan, että todella kysyt — "saanko ottaa nopean kuvan pöydästänne?" — ja asiakkaat nyökkäävät. Se on suostumus itse kuvaan, ei siihen, mitä sillä teet. Ranskan tietosuojaviranomainen CNIL on tästä selkeä: suostumuksen on oltava tiettyä käyttötarkoitusta varten, eikä suostumus kuvaan, jonka jaat yksityisesti itse pöydän kanssa, tarkoita automaattisesti suostumusta julkaista sama kuva ravintolan julkisella Instagram-tilillä.
Se on myös juuri sitä, mitä GDPR tarkoittaa "vapaaehtoisesti annetulla, yksilöidyllä ja tietoisella suostumuksella" (4 art. 11 kohta, 7 art.). "Yksilöity" on sana, jonka useimmat ravintolat jättävät väliin: sinun on kerrottava, MIHIN kuva päätyy — Instagram-tilillesi, verkkosivullesi, esitteeseen — jotta suostumus olisi pätevä siihen käyttöön.
Käytännössä tämä maksaa yhden lauseen enemmän kuin useimmat ravintolat sanovat tänä päivänä: ei "saanko ottaa kuvan", vaan "saanko ottaa kuvan Instagramiimme?". Se ei maksa mitään, ja se on ero pätevän suostumuksen ja horjuvalla pohjalla olevan kuvan välillä.
4. Henkilökunta kuvassa on eri asia kuin asiakkaat
Työntekijä, joka esiintyy sisällössä, kuuluu eri oikeusperusteen alle kuin asiakas: työsuhteeseen. Se ei tee suostumuksesta tarpeetonta — myös työntekijän on voitava kieltäytyä vapaasti ilman seurauksia työsuhteelle, ja "vapaasti" on juuri se kohta, jossa yleensä mennään pieleen, sillä työntekijä, joka tuntee painetta esihenkilöltä, ei anna vapaata suostumusta GDPR:n tarkoittamassa merkityksessä.
Se, mikä on käytännöllistä: työntekijä voi hoitaa tämän kertaalleen sisäisen käytännön tai työsopimusehdon kautta, sen sijaan että kysyttäisiin uudelleen joka vuorolla. Asiakkaalle tätä reittiä ei ole — hän on paikalla vain yhden illan, joten suostumus on kysyttävä joka kerta uudelleen.
Lyhyesti: hoida henkilökuntaosuus erikseen — selkeä, kirjallinen käytäntö, jonka jokainen työntekijä allekirjoittaa aloittaessaan, aidolla mahdollisuudella kieltäytyä — ja kohtele jokaista asiakasta uutena tapauksena. Kaksi asiaa, kaksi prosessia.
5. Mitä maasi lisää — "kysy vain" -tasosta kirjalliseen todisteeseen
GDPR pätee samalla tavalla koko EU:ssa, mutta sen päälle tuleva oikeus omaan kuvaan vaihtelee maittain, ja se ratkaisee, kuinka paljon todistustaakkaa sinun tarvitsee kantaa. Saksalla on yllä mainittu Beiwerk-poikkeus konkreettisine lakitekstineen. Ranska toimii droit à l'image -periaatteella, jossa CNIL suosittelee nimenomaisesti kirjallisen suostumuksen pyytämistä ennen julkaisua — suullinen "kyllä" on ranskalaisessa tuomioistuimessa heikompi todiste kuin muualla.
Belgia ja Alankomaat rakentuvat samalle perusperiaatteelle — oikeudelle omaan kuvaan, osittain tekijänoikeuteen juurtuneena — mutta ilman Saksan nimenomaista Beiwerk-poikkeusta: punninta tapahtuu siellä enemmän tapauskohtaisesti, oikeuskäytännön kautta kiinteän lakitekstin sijaan.
Toimitko useassa maassa, tai julkaisetko sisältöä, jota voidaan katsoa useassa maassa (mikä Instagramissa pätee lähtökohtaisesti)? Lähde tällöin liikkeelle tiukimmasta järjestelmästä, joka voisi koskea sinua, älä lievimmästä. Yleensä se on Ranska: kysy tarkasti, kysy kirjallisesti aina kun mahdollista, ja olet katettu kaikkialla.
6. Kieltäytyminen ei saa koskaan maksaa menetettyä julkaisua — rakenna prosessi
Todellinen ongelma on harvoin ensimmäinen kysymys — se on se, mitä tapahtuu, kun joku kieltäytyy tai pyytää jälkikäteen kuvan poistamista. GDPR antaa asiakkaalle siihen konkreettisen, täytäntöönpanokelpoisen oikeuden (17 art., oikeus tietojen poistamiseen) ja konkreettisen määräajan vastata: lähtökohtaisesti kuukauden kuluessa pyynnöstä (12 art. 3 kohta), pidennettävissä kahdella lisäkuukaudella monimutkaisten tai lukuisten pyyntöjen tapauksessa — edellyttäen että ilmoitat asiasta asiakkaalle sen ensimmäisen kuukauden aikana.
Sisällytä tämä pysyväksi prosessiksi, ei poikkeukseksi: kuka tiimissä saa muokata tai poistaa julkaisun, kuinka nopeasti (nopein vastaus ei maksa kirjaimellisesti mitään — rajaus tai sumennus vie minuutin), ja mihin sen kirjaat, jotta voit osoittaa vastanneesi määräajassa.
Kieltäytyminen "maksaa" silloin korkeintaan yhden kuvan kymmenestä. Sivuutettu pyyntö maksaa valituksen, vastausajan ja pahimmillaan, kuten yllä olevat espanjalaiset tapaukset osoittavat, sakon, joka on täysin suhteeton siihen nähden, mitä pelkkä kysyminen olisi maksanut.
Sama asiakkaan pyyntö, kaksi hyvin erilaista polkua.
Kuukauden määräaika tulee GDPR:n 12 art. 3 kohdasta — ks. sääntö 6.
Testi: onko tämä kuva turvallinen julkaista?
Yllä olevat kuusi sääntöä muuttuvat yhdeksi päätökseksi jokaisesta kuvasta: julkaise, muokkaa, tai kysy ensin. Alla oleva testi tekee tämän käännöksen puolestasi — neljä kysymystä, välitön vastaus.
Oletko jo saanut poistopyynnön? Alla oleva laskuri laskee, kuinka paljon aikaa GDPR:n 12 art. 3 kohdan mukaisesta lakisääteisestä määräajasta on jäljellä.
Neljä kysymystä, yksi vastaus
Vastaa neljään kysymykseen kuvasta, jonka haluat julkaista.
—
—
Perustuu GDPR:n 12 art. 3 kohtaan: lähtökohtaisesti kuukausi (tässä laskettuna 30 päivänä), pidennettävissä kahdella lisäkuukaudella monimutkaisten tai lukuisten pyyntöjen tapauksessa — edellyttäen että ilmoitat asiasta asiakkaalle ensimmäisen kuukauden aikana.
Mikään testi ei korvaa lakimiestä todella rajatapauksessa — tämä antaa suunnan, ei viimeistä sanaa. Jos epäilyttää tietty, arkaluontoinen tilanne (alaikäinen, lääketieteellinen hetki, perheriita, joka sattumalta jäi kuvaan): kysy aina, riippumatta siitä mitä testi sanoo.
Mitä testi tekee hyvin: vastaa muutamassa sekunnissa yhdeksään tavalliseen iltaan kymmenestä — täyteen saliin, hyvään tunnelmaan, tyytyväiseen pöytään — jottei tiimin tarvitse arvailla joka kerta.
Mitä teet tällä viikolla, tässä kuussa ja tässä kvartaalissa
Kuutta sääntöä kerralla ei kukaan pysty käyttöönottamaan. Tämä järjestys toimii, koska jokainen askel helpottaa seuraavaa.
Tällä viikolla — kirjaa prosessi paperille
- Kirjoita lause, jonka tiimi sanoo ennen jokaista sisältökuvausta: "kuvaamme kohta hieman materiaalia Instagramiin, sopiiko?".
- Nimeä yksi henkilö hoitamaan poistopyynnöt, ja sopikaa vastausaika — ei "kun ehdin".
- Tallenna tämän artikkelin testi kirjanmerkiksi puhelimeen, jota tiimi käyttää sisällön kuvaamiseen.
Tässä kuussa — hoida henkilökuntaosuus kuntoon
- Anna jokaisen työntekijän allekirjoittaa lyhyt käytäntö: esiintyä kuvassa vai ei, ja miten se ilmaistaan.
- Tarkista kymmenen viimeisintä Instagram-julkaisuasi: onko niissä tunnistettava asiakas, jonka kohdalla et muista, kysyitkö?
- Luo pysyvä kansio tai keskustelu, johon tiimi voi merkitä "poista tämä" -pyynnön heti — ei irrallista yksityisviestiä, joka häviää.
Tässä kvartaalissa — rakenna todiste
- Pyydä jatkossa kirjallinen suostumus (lyhyt vahvistava viesti riittää) jokaiselle kuvaukselle, jossa on selkeä pääkohde.
- Käy läpi sisältökalenterisi: suunnittele kiinteät "sisältöhetket" satunnaisen asiakaskuvauksen sijaan — se helpottaa etukäteen kysymistä.
- Aseta nämä kuusi sääntöä asiakastieto- ja kamerakäytäntösi rinnalle, jotta syntyy yksi yhtenäinen tietosuojakäytäntö kolmen erillisen sijaan.
Yksi kuva, kuusi kysymystä, ei enää arvailua
Sisällön kuvaaminen Instagramiin kuuluu nykyään alaan, eikä sen tarvitse olla riski. Riski ei ole kuvaamisessa — se on arvailussa.
Tunnistettava vai ei. Pääkohde vai sivuosassa. Suostumus, ja tarkalleen mihin. Suljettu vai julkinen. Neljä kysymystä siinä järjestyksessä, ja useimmat illat saavat vastauksen kymmenessä sekunnissa.
Ja jos joskus menee pieleen: vastaa nopeasti poistopyyntöön. Se on ero kuvan, jota vain muokkaat, ja valituksen, joka vie viikkoja, välillä.