I den här artikeln
Din kock flamberar en rätt, någon filmar det till Instagram, och i bakgrunden sitter ett bord som aldrig valde att vara med. Den bilden är inte en marknadsföringsfråga — det är en juridisk fråga, och de flesta krogar besvarar den aldrig.
Varje restaurang filmar idag sig själv: öppningspasset, den nya menyn, stämningen en fullsatt fredag. Det är precis det som fungerar på Instagram och TikTok — men en lokal är aldrig tom medan du filmar, och varje klipp innehåller gäster som ingen frågat om de ville vara med.
Två andra artiklar på den här bloggen berör redan besläktade ämnen: hur du samlar in kunddata (namn, e-post, bokningshistorik) i enlighet med GDPR, och hur du driver övervakningskameror vid kassan inom reglerna. Båda handlar om data som DU registrerar för DIN egen verksamhet. Den här artikeln handlar om något annat: en gästs bild, fångad för att delas med omvärlden.
Den bilden är dubbelt skyddad. Enligt GDPR är ett igenkännbart ansikte en personuppgift, punkt — oavsett om du har fem eller femtusen följare. Och oberoende av det har nästan varje EU-land sin egen "rätt till den egna bilden": i Frankrike droit à l'image, i Tyskland Recht am eigenen Bild med egen lagtext (Kunsturhebergesetz), och i Belgien och Nederländerna en variant av samma princip byggd på rättspraxis.
Den goda nyheten: reglerna är förutsägbara när du går igenom dem i rätt ordning. Den här artikeln presenterar dem som en stege — från "inga problem" till "publicera inte" — plus ett test som på tio sekunder talar om var en viss bild står på den stegen.
Varför detta är mer än en teoretisk fråga
I Spanien bötfällde AEPD, den nationella dataskyddsmyndigheten, ett gym med 21 000 euro för att ha filmat pass och lagt upp dem på sociala medier utan giltigt samtycke, och en andra gymkedja med upp till 36 000 euro (nedsatt till 15 000 vid tidig betalning) för samma praxis. Myndigheten slog uttryckligen fast att "filma med eller gå" inte är fritt givet samtycke — precis den mekanism en restaurang upprepar när den säger till ett bord "vi filmar innehåll ikväll, bete er bara naturligt".
Det är kärnan i problemet: en restaurang som filmar innehåll upprepar precis samma misstag, bara med gäster i stället för gymmedlemmar. Och skadan är sällan böterna i sig — det är gästen som klagar offentligt, tiden ett klagomål kostar, och det faktum att en ignorerad borttagningsbegäran eskalerar till ett klagomål hos tillsynsmyndigheten, medan en begäran löst inom en dag inte kostar något.
Det är alltså inte en fråga om "vad händer om det någon gång kommer en kontroll" — det handlar om vad en vanlig torsdagskväll redan producerar så snart en kamera är inblandad. Sex regler avgör om det sker utan problem.
Den ultimata guiden Restaurangteknik: 6 Steg från 7 Verktyg till 1 System Från kunddata till kameror till innehållspolicy: allt dina system ska sköta åt dig, i en guide. Öppna guidenDe sex reglerna, i den ordning lagen faktiskt tillämpar dem
Varje regel bygger på den föregående. Så snart ett svar är "nej" behöver du inte klättra resten av stegen — du vet redan tillräckligt.
1. Igenkännbarhet räcker — ett ansikte på en bild är en personuppgift
GDPR definierar en personuppgift som all information som gör det möjligt att identifiera en person, direkt eller indirekt (art. 4(1)). Ett ansikte är det mest uppenbara exemplet som finns. Så snart någon är igenkännbar på en bild — inte nödvändigtvis centrerad, inte nödvändigtvis skarp, bara igenkännbar — behandlar du en personuppgift så snart du publicerar den bilden. Det gäller lika mycket för ditt eget Instagram-konto som för en kunddatabas.
Det har inget att göra med hur många följare du har eller hur "litet" inlägget är. GDPR gör ingen skillnad mellan ett företagskonto med tolv följare och en influencer med en miljon. Frågan är aldrig "är det tillräckligt stort för att spela roll", utan "är den här personen igenkännbar".
Det som verkligen räknas: okännbar är okännbar. En rygg, en suddig bakgrund, ett ansikte utanför bilden — det är ingen personuppgift, och hela den här artikeln slutar då gälla. Det enklaste sättet att ta bort en risk är fortfarande att vrida kameran några centimeter.
2. Ett bifogat element behöver ofta inget samtycke — huvudpersonen alltid
Inte varje igenkännbar gäst är ett problem. Tyskland har det uttryckligen i lagen: Kunsturhebergesetz (KUG) kräver i princip samtycke (§22), men gör undantag för personer som bara förekommer bifogat vid en plats eller scen (§23 st. 1 nr 2) — den så kallade "Beiwerk"-regeln. Tänk på ett bord som råkar synas i bakgrunden medan du filmar interiören, inte en gäst som är själva motivet i bilden.
Det undantaget är snävare än det låter, och gäller inte överallt på samma sätt. Även i Tyskland upphör det så snart publiceringen skadar ett berättigat intresse hos den avbildade personen (§23 st. 2 KUG) — en gäst fångad i en kompromissande situation är aldrig "bifogad", hur kort tid de än syns i bild. Och länder som Frankrike tillämpar en strängare måttstock, där även en bifogad igenkännbar närvaro snabbare betraktas som ett problem.
Den praktiska tumregeln, överallt: ju mer central och skarp en person är i bilden, desto starkare är skyldigheten att fråga. Ett test nästan varje land tillämpar är enkelt: skulle en genomsnittlig betraktare säga att bilden handlar om den personen, eller om platsen? Vid tvivel: fråga.
Varje bild står någonstans på den här stegen. Ju högre upp, desto mer måste redas ut innan publicering.
Stegen följer reglerna 1–3 ovan: igenkännbarhet, gränsen bifogad/huvudperson, och typen av samtycke.
3. Samtycke till bordsfotot är inte samtycke till att publicera det
Anta att du verkligen frågar — "får jag ta en snabb bild av ert bord?" — och gästerna nickar. Det är samtycke till själva bilden, inte till vad du gör med den. Den franska dataskyddsmyndigheten CNIL är tydlig här: samtycket måste vara specifikt för den avsedda användningen, och en överenskommelse om en bild du delar privat med själva bordet innebär inte automatiskt en överenskommelse om att publicera samma bild på restaurangens offentliga Instagram.
Det är också exakt vad GDPR menar med "fritt givet, specifikt och informerat samtycke" (art. 4(11), art. 7). "Specifikt" är ordet de flesta krogar hoppar över: du måste säga VAR bilden ska hamna — ditt Instagram-konto, din hemsida, en flyer — för att samtycket ska vara giltigt för den användningen.
I praktiken kostar det en mening mer än vad de flesta krogar säger idag: inte "får jag ta en bild", utan "får jag ta en bild till vårt Instagram?". Det kostar ingenting, och det är skillnaden mellan ett giltigt samtycke och en bild på osäker grund.
4. Personal på bild är ett annat ärende än gäster
En anställd som syns i innehåll hamnar under en annan rättslig grund än en gäst: anställningsförhållandet. Det gör inte samtycke onödigt — även en anställd måste kunna tacka nej fritt, utan konsekvenser för jobbet, och "fritt" är precis där det ofta går snett, för en anställd som känner press från chefen ger inte ett fritt samtycke i GDPR:s mening.
Det som är praktiskt: en anställd kan lösa detta en gång för alla genom en intern policy eller en klausul i anställningsavtalet, i stället för att bli tillfrågad på nytt varje pass. För en gäst finns den vägen inte — de är där bara för en kväll, så samtycket måste frågas på nytt varje gång.
Kort sagt: lös personalfrågan separat — en tydlig, skriftlig policy som varje anställd skriver under när de börjar, med en verklig möjlighet att tacka nej — och behandla varje gäst som ett nytt fall. Två ärenden, två processer.
5. Vad ditt land lägger till — från "fråga bara" till skriftligt bevis
GDPR gäller lika i hela EU, men rätten till egen bild ovanpå det skiljer sig per land, och det avgör hur stor bevisbörda du behöver bära. Tyskland har Beiwerk-undantaget ovan, med en konkret lagtext att hänvisa till. Frankrike bygger på droit à l'image, där CNIL uttryckligen rekommenderar att skriftligt samtycke inhämtas innan publicering — ett muntligt "ja" är svagare bevis inför en fransk domstol än på annat håll.
Belgien och Nederländerna bygger på samma grundprincip — rätten till egen bild, delvis förankrad i upphovsrätten — men utan Tysklands uttryckliga Beiwerk-undantag: avvägningen sker där mer från fall till fall, via rättspraxis snarare än en fast text.
Verkar du i flera länder, eller publicerar innehåll som kan ses i flera länder (vilket på Instagram gäller per definition)? Utgå då från det strängaste regelverket som skulle kunna gälla dig, inte det mildaste. Vanligtvis är det Frankrike: fråga specifikt, fråga skriftligt där du kan, och du är täckt överallt.
6. Ett nej får aldrig kosta ett förlorat inlägg — bygg processen
Det verkliga problemet är sällan den första frågan — det är vad som händer när någon säger nej, eller efteråt begär att en bild tas bort. GDPR ger gästen en konkret, verkställbar rätt till detta (art. 17, rätten till radering) och en konkret svarsfrist: i princip inom en månad från begäran (art. 12(3)), förlängningsbar med ytterligare två månader vid komplexa eller talrika begäranden — förutsatt att du informerar gästen inom den första månaden.
Bygg in detta som en stående process, inte ett undantag: vem i teamet får redigera eller ta bort ett inlägg, hur snabbt (det snabbaste svaret kostar bokstavligen ingenting — att beskära eller sudda ut tar en minut), och var du dokumenterar det så du kan bevisa att du svarat inom fristen.
Ett nej "kostar" dig då högst en bild av tio. En ignorerad begäran kostar dig klagomålet, svarstiden och, i värsta fall, som de spanska fallen ovan visar, böter helt oproportionerliga mot vad det skulle ha kostat att bara fråga.
Samma gästbegäran, två mycket olika vägar.
Enmånadsfristen kommer från GDPR art. 12(3) — se regel 6.
Test: är den här bilden säker att publicera?
De sex reglerna ovan översätts till ett beslut per bild: publicera, justera, eller fråga först. Testet nedan gör den översättningen åt dig — fyra frågor, direkt svar.
Har du redan fått en borttagningsbegäran? Räknaren nedan beräknar hur mycket tid som återstår av den lagstadgade fristen i GDPR art. 12(3).
Fyra frågor, ett svar
Svara på de fyra frågorna om bilden du vill publicera.
—
—
Baserat på GDPR art. 12(3): i princip en månad (här räknat som 30 dagar), förlängningsbar med ytterligare två månader vid komplexa eller talrika begäranden — förutsatt att du informerar gästen inom den första månaden.
Inget test ersätter en jurist i ett verkligt gränsfall — det här ger dig riktningen, inte det sista ordet. Vid tvivel om en specifik, känslig situation (en minderårig, ett medicinskt ögonblick, ett familjegräl som råkade komma med i bild): fråga alltid, oavsett vad testet säger.
Det testet gör bra: besvara på några sekunder nio av tio vanliga kvällar — en full lokal, bra stämning, ett nöjt bord — så att teamet inte behöver gissa varje gång.
Vad du gör den här veckan, den här månaden och det här kvartalet
Att införa sex regler på en gång lyckas ingen med. Den här ordningen fungerar, eftersom varje steg gör nästa lättare.
Den här veckan — skriv ner processen
- Skriv en mening som teamet säger innan varje innehållsinspelning: "vi tar några bilder till Instagram om en stund, är det okej?".
- Utse en person som hanterar en borttagningsbegäran, och kom överens om en svarsfrist — inte "när jag hinner".
- Spara testet från den här artikeln som bokmärke på telefonen teamet använder för att filma innehåll.
Den här månaden — reda ut personalfrågan
- Låt varje anställd skriva under en kort policy: synas i bild eller inte, och hur de signalerar det.
- Kolla dina senaste tio Instagram-inlägg: finns det en igenkännbar gäst som du inte minns om du frågade?
- Skapa en fast mapp eller chatt där teamet direkt kan notera en "ta bort det här"-begäran — inte i ett löst privat meddelande som försvinner.
Det här kvartalet — bygg upp beviset
- Be från och med nu om skriftligt samtycke (ett kort bekräftande meddelande räcker) för varje inspelning med en tydlig huvudperson.
- Se över din innehållskalender: planera fasta "innehållsmoment" i stället för att filma gäster slumpmässigt — det gör det lättare att fråga i förväg.
- Sätt de här sex reglerna bredvid din kunddata- och kamerapolicy, så att det blir en sammanhängande integritetspolicy i stället för tre separata.
En bild, sex frågor, inget mer gissande
Att filma innehåll till Instagram hör idag till yrket, och det behöver inte vara en risk. Risken ligger inte i att filma — den ligger i att gissa.
Igenkännbar eller inte. Huvudperson eller bifogad. Samtycke, och till exakt vad. Privat eller offentligt. Fyra frågor, i den ordningen, och de flesta kvällar besvaras på tio sekunder.
Och om det någon gång går fel: svara snabbt på en borttagningsbegäran. Det är skillnaden mellan en bild du bara justerar, och ett klagomål som kostar veckor.