AVG-checklist voor schoolfotografen
Afvinken, project voor project.
Voor de fotodag
- Verwerkersovereenkomst met de school of het schoolbestuur gesloten (art. 28 AVG)
- Verwerkersovereenkomsten met galerijplatform en fotolab aanwezig
- Toestemmingsformulieren met aparte doelen aan de school gegeven
- Toestemmingsformulieren verzameld en vastgelegd
- Lijst van kinderen zonder toestemming ontvangen en met het team gedeeld
- Verwerkingsregister aangevuld met dit project (art. 30 AVG)
- Privacyverklaring op de eigen website actueel
Op de fotodag
- Kinderen zonder toestemming worden niet gefotografeerd
- Geen naam van het kind naast een foto op posters of in berichten
- Geheugenkaarten en laptop versleuteld of beveiligd
- Geen foto's op privéapparaten van helpers
- Geen overdracht via onveilige kanalen zoals chat-apps of onversleutelde e-mail
Na de fotodag
- Foto's alleen via een versleutelde verbinding overgedragen
- Online galerij alleen bereikbaar met een persoonlijke toegangscode
- Besteldeadline en verwijderdatum aan de ouders gecommuniceerd
- Foto's na het seizoen verwijderd (bewaartermijn: [Aantal weken] weken)
- Verwijdering vastgelegd, inclusief back-ups
Technische maatregelen
- SSL-versleuteling voor galerij en shop
- Betalingen via gecertificeerde aanbieders, geen kaartgegevens op eigen systemen
- Regelmatige back-ups met toegangsbeveiliging
- Toegangsrechten in het team beperkt tot wat nodig is
- Tweestapsverificatie voor elk account met fototoegang
Bij nood: datalek
- Melding bij de Autoriteit Persoonsgegevens binnen 72 uur (art. 33 AVG)
- Betrokkenen informeren bij een hoog risico (art. 34 AVG)
- Incident, oorzaak en maatregelen vastleggen
Aandachtspunten voor Nederland
Toezicht: Autoriteit Persoonsgegevens. Datalekken meldt u via het meldloket van de AP.
Scholen hebben een functionaris gegevensbescherming. Sluit de verwerkersovereenkomst met het schoolbestuur.
Portretrecht (art. 19 tot 21 Auteurswet) geldt naast de AVG.
Sjabloon, geen juridisch advies. Loop de lijst na met uw privacyadviseur.