Ebben a cikkben
A szakácsod flambíroz egy fogást, valaki felveszi Instagramra, a háttérben pedig ott ül egy asztal, amely soha nem választotta, hogy ott legyen. Az a felvétel nem marketingkérdés — jogi kérdés, és a legtöbb étterem sosem válaszol rá.
Ma minden étterem önmagát filmezi: a nyitó műszakot, az új étlapot, egy zsúfolt péntek hangulatát. Pontosan ez működik az Instagramon és a TikTokon — de a terem soha nem üres filmezés közben, és minden felvételen olyan vendégek is szerepelnek, akiktől senki sem kérdezte meg, akarnak-e rajta lenni.
A blog két másik cikke már rokon témákat érint: hogyan gyűjts ügyféladatokat (név, e-mail, foglalási előzmények) GDPR-megfelelő módon, és hogyan üzemeltess kamerarendszert a pénztárnál a szabályok szerint. Mindkettő olyan adatokról szól, amelyeket TE rögzítesz a SAJÁT üzletedhez. Ez a cikk másról szól: egy vendég képmásáról, amelyet azért rögzítettek, hogy megosszák a külvilággal.
Ez a képmás kétszeresen védett. A GDPR szerint egy felismerhető arc személyes adat, kész — akár öt, akár ötezer követőd van. Ettől függetlenül szinte minden EU-tagállamnak megvan a saját "saját képmáshoz való joga": Franciaországban a droit à l'image, Németországban a Recht am eigenen Bild saját törvényszöveggel (a Kunsturhebergesetz), Belgiumban és Hollandiában pedig egy bírói gyakorlat által kialakított változata ugyanennek az elvnek.
A jó hír: a szabályok kiszámíthatóak, ha a megfelelő sorrendben haladsz végig rajtuk. Ez a cikk egy létraként mutatja be őket — a "nincs probléma"-tól a "ne tedd közzé"-ig — plusz egy tesztet, amely tíz másodperc alatt megmondja, egy adott fotó hol áll ezen a létrán.
Miért több ez, mint elméleti kérdés
Spanyolországban az AEPD, a nemzeti adatvédelmi hatóság, 21 000 eurós bírsággal sújtott egy edzőtermet, mert órákat rögzített és tett közzé a közösségi médiában érvényes hozzájárulás nélkül, egy másik edzőteremláncot pedig akár 36 000 euróig (korai fizetés esetén 15 000-re csökkentve) ugyanezért a gyakorlatért. A hatóság kifejezetten kimondta, hogy a "vegyél részt a felvételen, vagy távozz" nem szabadon adott hozzájárulás — pontosan az a mechanizmus, amelyet egy étterem megismétel, amikor azt mondja egy asztalnak: "ma este tartalmat forgatunk, viselkedjetek természetesen".
Ez a probléma lényege: a tartalmat forgató étterem pontosan ugyanazt a hibát ismétli meg, csak vendégekkel edzőtermi tagok helyett. A kár pedig ritkán maga a bírság — hanem a nyilvánosan panaszkodó vendég, a panasz által felemésztett idő, és az a tény, hogy egy figyelmen kívül hagyott törlési kérelem a hatósághoz benyújtott panasszá eszkalálódik, míg egy napon belül megoldott kérelem semmibe sem kerül.
Ez tehát nem az a kérdés, hogy "mi lesz, ha egyszer jön egy ellenőrzés" — hanem az, hogy egy hétköznapi csütörtök este már mit termel, amint egy kamera is jelen van. Hat szabály dönti el, hogy ez zökkenőmentesen zajlik-e.
A végső útmutató Étteremtechnológia: 6 Lépés 7 Eszközből 1 Rendszerbe Az ügyféladatoktól a kamerákon át a tartalompolitikáig: minden, amit a rendszereidnek helyetted kell elintézniük, egy útmutatóban. Útmutató megnyitásaA hat szabály, abban a sorrendben, ahogyan a jog ténylegesen alkalmazza őket
Minden szabály az előzőre épül. Amint egy válasz "nem", a létra hátralévő részét már nem kell megmásznod — már eleget tudsz.
1. A felismerhetőség elég — az arc egy fotón személyes adat
A GDPR a személyes adatot úgy határozza meg, mint bármely olyan információt, amely alapján egy személy közvetlenül vagy közvetve azonosítható (4. cikk (1) bekezdés). Az arc a legnyilvánvalóbb ilyen példa. Amint valaki felismerhető egy fotón — nem kell középen lennie, nem kell élesnek lennie, csak felismerhetőnek — személyes adatot kezelsz, amint közzéteszed azt a fotót. Ez ugyanúgy vonatkozik a saját Instagram-fiókodra, mint egy ügyféladatbázisra.
Ennek semmi köze ahhoz, hány követőd van, vagy mennyire "kicsi" a poszt. A GDPR nem tesz különbséget egy tizenkét követős céges fiók és egy milliós influenszer között. A kérdés sosem az, hogy "elég nagy-e ahhoz, hogy számítson", hanem az, hogy "felismerhető-e ez a személy".
Ami valóban számít: a felismerhetetlen felismerhetetlen. Egy hát, egy elmosódott háttér, egy kereten kívüli arc — ez nem személyes adat, és ez az egész cikk innentől nem alkalmazandó. A legegyszerűbb módja egy kockázat megszüntetésének továbbra is a kamera néhány centiméternyi elfordítása.
2. A mellékes elem gyakran nem igényel hozzájárulást — a főszereplő mindig igen
Nem minden felismerhető vendég probléma. Németország kifejezetten törvénybe foglalta ezt: a Kunsturhebergesetz (KUG) alapesetben hozzájárulást ír elő (§22), de kivételt tesz azokra a személyekre, akik csupán mellékesen jelennek meg egy hely vagy jelenet mellett (§23 (1) bek. 2. pont) — az úgynevezett "Beiwerk"-szabály. Gondolj egy asztalra, amely véletlenül a háttérben van, amíg a belsőteret filmezed, ne egy vendégre, aki a felvétel valódi témája.
Ez a kivétel szűkebb, mint amilyennek hangzik, és nem mindenhol érvényesül ugyanúgy. Még Németországban is megszűnik, amint a közzététel sérti az ábrázolt személy jogos érdekét (§23 (2) bek. KUG) — egy kompromittáló helyzetben megörökített vendég sosem "mellékes", bármilyen röviden is szerepel a képen. Az olyan országok pedig, mint Franciaország, szigorúbb mércét alkalmaznak, ahol még a mellékes, felismerhető jelenlétet is gyorsabban problémának tekintik.
A gyakorlati ökölszabály, mindenhol: minél központibb és élesebb egy személy a felvételen, annál erősebb a kérdezési kötelezettség. Egy szinte minden országban alkalmazott teszt egyszerű: egy átlagos néző azt mondaná, hogy a fotó erről a személyről szól, vagy a helyszínről? Kétség esetén: kérdezz.
Minden fotó valahol ezen a létrán áll. Minél magasabban, annál többet kell rendezni közzététel előtt.
A létra a fenti 1–3. szabályt követi: felismerhetőség, a mellékes/főszereplő határvonal, és a hozzájárulás típusa.
3. Az asztali fotóhoz adott hozzájárulás nem hozzájárulás a közzétételhez
Tegyük fel, hogy valóban megkérdezed — "készíthetek egy gyors fotót az asztalotokról?" — és a vendégek bólintanak. Ez hozzájárulás magához a fotóhoz, nem ahhoz, amit vele teszel. A francia adatvédelmi hatóság, a CNIL, ebben egyértelmű: a hozzájárulásnak a tervezett felhasználásra kell vonatkoznia, és egy olyan fotóhoz adott hozzájárulás, amelyet magával az asztallal magánúton megosztasz, nem jelent automatikusan hozzájárulást ahhoz, hogy ugyanazt a fotót közzétedd az étterem nyilvános Instagram-fiókján.
Ez pontosan az, amit a GDPR "szabadon adott, konkrét és tájékozott hozzájáruláson" ért (4. cikk (11) bek., 7. cikk). A "konkrét" az a szó, amelyet a legtöbb étterem kihagy: meg kell mondanod, HOL fog kikötni a fotó — az Instagram-fiókodon, a weboldaladon, egy szórólapon — hogy a hozzájárulás érvényes legyen erre a felhasználásra.
A gyakorlatban ez egy mondattal többet jelent, mint amit ma a legtöbb étterem mond: nem "készíthetek egy fotót", hanem "készíthetek egy fotót az Instagramunkra?". Ez nem kerül semmibe, és ez a különbség egy érvényes hozzájárulás és egy bizonytalan alapokon álló fotó között.
4. A fotón szereplő személyzet más ügy, mint a vendégek
Egy tartalomban megjelenő alkalmazott más jogalap alá tartozik, mint egy vendég: a munkaviszony. Ez nem teszi feleslegessé a hozzájárulást — egy alkalmazottnak is szabadon vissza kell tudnia utasítani, munkahelyi következmények nélkül, és a "szabadon" pontosan az a pont, ahol a dolgok általában elromlanak, mert egy alkalmazott, aki nyomást érez a főnöktől, nem ad szabad hozzájárulást a GDPR értelmében.
Ami praktikus: egy alkalmazott ezt egyszer és mindenkorra rendezheti egy belső szabályzat vagy egy munkaszerződés-kikötés révén, ahelyett hogy minden műszakban újra megkérdeznék. Egy vendégnél ez az út nem létezik — ő csak egy estére van ott, ezért a hozzájárulást minden alkalommal újra kell kérni.
Röviden: a személyzeti kérdést kezeld külön — egy világos, írásos szabályzat, amelyet minden alkalmazott aláír a munkába állásakor, valódi elutasítási lehetőséggel — és minden vendéget kezelj új esetként. Két ügy, két folyamat.
5. Amit az országod hozzátesz — a "csak kérdezd meg"-től az írásos bizonyítékig
A GDPR egyformán érvényes az EU-ban, de a rá épülő saját képmáshoz való jog országonként eltér, és ez határozza meg, mekkora bizonyítási terhet kell vállalnod. Németországnak megvan a fenti Beiwerk-kivétele, konkrét törvényszöveggel, amelyre hivatkozhatsz. Franciaország a droit à l'image alapján működik, ahol a CNIL kifejezetten javasolja, hogy a közzététel előtt írásos hozzájárulást kérjünk — egy szóbeli "igen" gyengébb bizonyíték egy francia bíróság előtt, mint máshol.
Belgium és Hollandia ugyanarra az alapelvre épít — a saját képmáshoz való jogra, amely részben a szerzői jogban gyökerezik —, de a német Beiwerk-kivétel nélkül: a mérlegelés ott inkább esetről esetre történik, bírói gyakorlat útján, nem pedig egy rögzített szöveg alapján.
Több országban működsz, vagy olyan tartalmat teszel közzé, amelyet több országban is meg lehet nézni (ami az Instagramon definíció szerint igaz)? Akkor indulj ki a legszigorúbb rendszerből, amely rád vonatkozhat, ne a legengedékenyebből. Ez általában Franciaország: kérdezz konkrétan, kérdezz írásban, ahol csak lehet, és mindenhol fedezve leszel.
6. Az elutasítás sosem kerülhet egy elveszett posztba — építsd ki a folyamatot
A valódi probléma ritkán az első kérdés — az, ami akkor történik, ha valaki visszautasítja, vagy utólag kéri egy fotó eltávolítását. A GDPR ehhez konkrét, érvényesíthető jogot ad a vendégnek (17. cikk, törléshez való jog) és konkrét határidőt a válaszra: alapesetben a kérelemtől számított egy hónapon belül (12. cikk (3) bek.), amely további két hónappal meghosszabbítható összetett vagy nagyszámú kérelem esetén — feltéve, hogy ezt az első hónapon belül közlöd a vendéggel.
Építsd be ezt állandó folyamatként, ne kivételként: ki a csapatból szerkeszthet vagy távolíthat el egy posztot, milyen gyorsan (a leggyorsabb válasz szó szerint semmibe sem kerül — a kivágás vagy elmosás egy percet vesz igénybe), és hol dokumentálod, hogy bizonyítani tudd, határidőn belül válaszoltál.
Egy elutasítás akkor legfeljebb tíz felvételből egyet "kerül". Egy figyelmen kívül hagyott kérelem panaszt, válaszidőt, és a legrosszabb esetben, ahogy a fenti spanyol esetek mutatják, teljesen aránytalan bírságot okoz ahhoz képest, amennyibe egy egyszerű kérdés került volna.
Ugyanaz a vendégkérés, két nagyon különböző út.
Az egy hónapos határidő a GDPR 12. cikk (3) bekezdéséből származik — lásd a 6. szabályt.
Teszt: biztonságos ezt a fotót közzétenni?
A fenti hat szabály egyetlen döntéssé alakul minden fotónál: közzététel, módosítás, vagy előbb kérdezés. Az alábbi teszt elvégzi ezt a fordítást helyetted — négy kérdés, azonnali válasz.
Már kaptál törlési kérelmet? Az alábbi számláló kiszámolja, mennyi idő van hátra a GDPR 12. cikk (3) bekezdésében meghatározott jogi határidőből.
Négy kérdés, egy válasz
Válaszolj a négy kérdésre a fotóról, amelyet közzé szeretnél tenni.
—
—
A GDPR 12. cikk (3) bekezdésén alapul: alapesetben egy hónap (itt 30 napként számolva), amely további két hónappal meghosszabbítható összetett vagy nagyszámú kérelem esetén — feltéve, hogy az első hónapon belül tájékoztatod a vendéget.
Egyetlen teszt sem helyettesíti az ügyvédet egy valóban határeset esetén — ez az irányt adja meg, nem az utolsó szót. Ha kétséged van egy konkrét, érzékeny helyzettel kapcsolatban (kiskorú, orvosi pillanat, családi veszekedés, amely véletlenül a képbe került): mindig kérdezz, bármit is mond a teszt.
Amiben a teszt igazán jó: néhány másodperc alatt válaszol tíz átlagos estéből kilencre — tele terem, jó hangulat, elégedett asztal —, hogy a csapatnak ne kelljen minden alkalommal találgatnia.
Mit teszel ezen a héten, ebben a hónapban és ebben a negyedévben
Hat szabályt egyszerre bevezetni senkinek sem sikerül. Ez a sorrend működik, mert minden lépés megkönnyíti a következőt.
Ezen a héten — tedd papírra a folyamatot
- Írj le egy mondatot, amelyet a csapat minden tartalomforgatás előtt elmond: "mindjárt forgatunk néhány felvételt az Instagramra, rendben van?".
- Jelölj ki egy személyt, aki kezeli a törlési kérelmeket, és egyezzetek meg a válaszidőben — ne "amikor ráérek".
- Mentsd el ennek a cikknek a tesztjét könyvjelzőként arra a telefonra, amelyet a csapat tartalomforgatáshoz használ.
Ebben a hónapban — rendezd a személyzeti kérdést
- Minden alkalmazott írjon alá egy rövid szabályzatot: kamerába kerül-e vagy sem, és hogyan jelzi ezt.
- Nézd át az utolsó tíz Instagram-posztodat: van-e olyan felismerhető vendég, akiről nem emlékszel, hogy megkérdezted-e?
- Hozz létre egy állandó mappát vagy csevegést, ahová a csapat azonnal beírhat egy "távolítsd ezt el" kérelmet — ne egy elveszett, elszigetelt üzenetbe.
Ebben a negyedévben — építsd ki a bizonyítékot
- Mostantól kérj írásos hozzájárulást (egy rövid megerősítő üzenet elég) minden olyan forgatáshoz, amelynek egyértelmű főszereplője van.
- Nézd át a tartalomnaptáradat: tervezz állandó "tartalmi pillanatokat" a véletlenszerű vendégfilmezés helyett — ez megkönnyíti az előzetes kérdezést.
- Illeszd ezt a hat szabályt az ügyféladat- és kamerapolitikád mellé, hogy egy koherens adatvédelmi politika alakuljon ki három különálló helyett.
Egy fotó, hat kérdés, nincs több találgatás
A tartalomforgatás az Instagramra ma már a szakma része, és nem kell kockázatnak lennie. A kockázat nem a filmezésben rejlik — a találgatásban rejlik.
Felismerhető vagy sem. Főszereplő vagy mellékes. Hozzájárulás, és pontosan mihez. Zárt vagy nyilvános. Négy kérdés ebben a sorrendben, és a legtöbb estére tíz másodperc alatt megvan a válasz.
És ha egyszer mégis elromlik: válaszolj gyorsan egy törlési kérelemre. Ez a különbség egy fotó között, amelyet egyszerűen módosítasz, és egy panasz között, amely heteket vesz igénybe.