Spørg en tilfældig virksomhedsejer, om de har styr på GDPR, og de peger på cookie-banneret og databehandleraftalen med deres bogholderisystem. Det er også fint. Problemet er bare, at det næsten aldrig er dér, risikoen ligger. Den ligger i det billede af en smilende kunde, I lige har lagt på LinkedIn, i medarbejderportrættet der stadig hænger på hjemmesiden to år efter, personen sagde op, og i AI-værktøjet, der culler jeres eventfotos ved at uploade dem til en server, I aldrig har tjekket hvor står.
Et billede af en genkendelig person er persondata
Det er den simple pointe, de fleste overser: et fotografi, hvor en person kan genkendes, er personoplysninger på præcis samme måde som et CPR-nummer eller en e-mailadresse. Når I poster et billede af en kunde, tagger en medarbejder eller deler et gruppefoto fra et arrangement, behandler I persondata — og så skal I have et lovligt grundlag for det. I langt de fleste tilfælde betyder det et reelt samtykke, ikke et hurtigt "det er vel okay?" henover bordet til receptionen.
Det lyder pedantisk, indtil man husker, at den person, der klagede, sjældent er kunden på billedet. Det er gæsten i baggrunden, den tidligere medarbejder, der ikke vil findes på nettet længere, eller konkurrenten, der har fundet en billig måde at genere jer på. Og tilsynet spørger ikke, om I mente det godt.
Hvor det typisk går galt
- →Eventfotos, hvor genkendelige gæster i baggrunden aldrig har sagt ja til at blive delt.
- →Kundecitater med navn og billede, hvor samtykket var mundtligt og aldrig skrevet ned.
- →Medarbejderportrætter, der bliver hængende på hjemmeside og SoMe længe efter, personen er stoppet.
- →Skærmbilleder af DM'er, anmeldelser eller mails med navne, der deles som "social proof".
- →AI-værktøjer, der uploader jeres kundebilleder til tredjeparts-servere — nogle gange helt uden for EU.
GDPR-bøden kommer sjældent fra hjemmesidens cookie-banner. Den kommer fra det billede, I troede var helt uskyldigt.
AI gør det værre — og langt mere usynligt
Her bliver det ubehageligt for tidens mest populære arbejdsgange. Når I trækker 3.000 eventbilleder gennem et AI-værktøj til udvælgelse, eller lader en tjeneste generere captions ud fra billedernes indhold, sender I i praksis persondata videre til en databehandler — ofte en amerikansk. Det kræver både et lovligt grundlag og styr på, hvor data ender. De færreste tjekker det. Bekvemmeligheden ved et værktøj, der "bare virker", får langt de fleste til at klikke accepter uden at læse, hvor billederne rejser hen.
Det er ikke et argument mod AI — vi bruger det selv hver dag. Det er et argument for at vide, hvilke værktøjer der behandler kundedata, og hvor de gør det. Forskellen på et værktøj, der kører lokalt, og et, der uploader alt til en ukendt server, er hele forskellen mellem forsvarligt og uforsvarligt.
Det handler ikke om frygt — det handler om rutine
Pointen er ikke, at I skal holde op med at poste, eller at content nu kræver en advokat på medhør. Pointen er, at ansvarligt content har en rutine bygget ind: et kort, skriftligt samtykke ved arrangementer, en klar aftale om medarbejderfotos og hvad der sker, når nogen stopper, og et hurtigt tjek af, hvor jeres værktøjer sender data hen. Det er billig forsikring mod en dyr og pinlig sag.
- →Indhent samtykke skriftligt — også når det bare er et hak i en formular ved tilmelding til eventet.
- →Hav en fast proces for at fjerne billeder af folk, der er stoppet eller trækker deres ja tilbage.
- →Kend jeres værktøjer: hvad behandler kundedata, og sker det inden for EU?
- →Skriv det ned ét sted, så det ikke afhænger af, at én person husker aftalen.
Det er også derfor, vi er begyndt at rådgive vores kunder om compliance og databehandling som en fast del af content-arbejdet — ikke som en juridisk pakke ved siden af, men fordi det i 2026 simpelthen er en del af at lave content ordentligt. De virksomheder, der får rutinen på plads nu, er ikke dem, der bremser. Det er dem, der kan poste frit, fordi de ikke behøver at være nervøse for, hvad der gemmer sig i baggrunden af billedet.
Skrevet af MediaMate
Book en snak med os