AVG voor schoolfoto's: waar fotografen rekening mee moeten houden

Het onderwerp gegevensbescherming en AVG zorgt bij veel school- en kinderopvangfotografen voor onzekerheid. Scholen en kinderdagverblijven eisen terecht waterdichte concepten als het om foto's van kinderen gaat. Hoe zorg je ervoor dat je workflow AVG-conform is?

De juridische basis van schoolfotografie

Sinds de AVG in 2018 van kracht werd, geldt het volgende: foto's van personen mogen alleen met geldige toestemming of op een andere rechtsgrond worden verwerkt. Omdat leerlingen minderjarig zijn, moeten de wettelijke vertegenwoordigers doorgaans instemmen met school- en kinderopvangfoto's.

De toestemmingsverklaring van de ouders

Voordat je de camera überhaupt pakt, moet je schriftelijke of digitale toestemming van de ouders hebben. Veel kinderdagverblijven en scholen regelen dit aan het begin van het schooljaar. Het is echter belangrijk dat de toestemming het specifieke doel omvat (bijv. ‘Het maken van portretten en klassenfoto's voor aankoop in een beveiligde online galerij’).

De verwerkersovereenkomst (DPA)

Als fotograaf verwerk je persoonsgegevens (bijv. namen, klassen en foto's) in opdracht van de school of het kinderdagverblijf. De software voor je webshop verwerkt deze gegevens op haar beurt in jouw opdracht.

Daarom moet je:

• Een DPA afsluiten met de school of het kinderdagverblijf om aan de wettelijke vereisten te voldoen.
• Een DPA afsluiten met je online galerijplatform. Met Pixalo kun je dit contract eenvoudig rechtstreeks in het dashboard digitaal genereren en afsluiten.

Zo bescherm je fotogalerijen tegen ongeautoriseerde toegang

Het is absoluut onaanvaardbaar om foto's van kinderen beschikbaar te stellen in openbare galerijen waarin iedereen kan rondkijken. Elk kind heeft een individuele, met een wachtwoord beveiligde toegang nodig:

• Individuele pincodes: Ouders ontvangen een wachtwoordkaart (pincode). Na het inloggen zien ze alleen de foto's van hun eigen kind.
• Klas- & groepsfoto's: Deze moeten in afzonderlijke mappen worden opgeslagen die alleen zichtbaar zijn voor ingelogde ouders uit dezelfde klas.

Verwijdertermijnen en gegevensminimalisatie

De AVG bepaalt dat gegevens moeten worden verwijderd wanneer het doel van de verwerking vervalt. Stel vaste verwijdertermijnen in (bijv. 6 maanden na de fotodag). Het systeem moet leerlingenlijsten, e-mailadressen en geüploade foto's na afloop van deze termijn automatisch en volledig van de servers verwijderen.

Conclusie: veilig werken met het juiste hulpmiddel

Gegevensbescherming hoeft geen obstakel te zijn. Door te kiezen voor AVG-conforme software waarvan foto- en klantgegevens op Duitse servers (Frankfurt am Main) worden gehost, beperk je je aansprakelijkheidsrisico en overtuig je de schoolleiding met een duidelijk beveiligingsconcept.