Krótka odpowiedź: to zależy od tego, kto realnie decyduje o sesji - nie od tego, kto trzyma aparat. Jeśli fotografujesz wyłącznie na polecenie szkoły, bez własnych decyzji o cenach, sprzedaży czy przechowywaniu danych, jesteś podmiotem przetwarzającym działającym w imieniu placówki. Jeśli sam ustalasz zasady sprzedaży zdjęć rodzicom, ceny i sposób przechowywania - jesteś administratorem tych danych, a szkoła jedynie umożliwia Ci dostęp do dzieci.

Administrator a podmiot przetwarzający - różnica, która ma znaczenie

Administrator to podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO) - decyduje, PO CO dane są zbierane i JAK się z nimi postępuje. Podmiot przetwarzający przetwarza dane w imieniu i na zlecenie administratora, wyłącznie według jego instrukcji, bez własnych, niezależnych decyzji co do celu.

To nie jest kwestia nazwy umowy ani tego, kto formalnie wystawia fakturę - liczy się rzeczywisty podział decyzji.

Kiedy fotograf jest administratorem

Typowy scenariusz sesji szkolnej sprzedawanej rodzicom: to Ty decydujesz, jakie pakiety oferujesz, ile kosztują, jak długo galeria jest dostępna, gdzie i jak długo przechowujesz zdjęcia, komu je udostępniasz. Szkoła umożliwia Ci wstęp na teren placówki i kontakt z rodzicami, ale nie ustala tych zasad za Ciebie. W tym układzie to Ty jesteś administratorem danych osobowych dzieci i rodziców zebranych w związku z sesją - nie szkoła.

To dokładnie ten scenariusz, w którym korzystanie z platformy takiej jak ShareMoments wymaga umowy powierzenia między Tobą a platformą - Ty jako administrator powierzasz platformie przetwarzanie danych (przechowywanie zdjęć, obsługę galerii, płatności) w swoim imieniu, na podstawie pisemnej umowy zgodnej z art. 28 RODO. To ta sama zależność, która stoi za treścią zgody opisaną w artykule o zgodzie RODO na sesję szkolną - to administrator odpowiada za jej poprawną treść, nie platforma, z której korzysta.

Kiedy to szkoła jest administratorem

Inny scenariusz: szkoła zleca Ci zrobienie zdjęć wyłącznie na jej udokumentowane polecenie - np. do legitymacji, do własnej kroniki, do materiałów promocyjnych placówki - nie sprzedajesz nic bezpośrednio rodzicom, nie decydujesz o cenach ani przechowywaniu, a po wykonaniu usługi zwracasz lub usuwasz materiały. W tym układzie to szkoła jest administratorem, a Ty działasz jako podmiot przetwarzający w jej imieniu - to szkoła powinna mieć z Tobą umowę powierzenia, nie odwrotnie.

W praktyce wiele sesji szkolnych to hybryda - jedna sesja, dwa równoległe cele. Zdjęcie do legitymacji (administrator: szkoła) i prywatna galeria do sprzedaży rodzicom (administrator: Ty) mogą powstać tego samego dnia, ale prawnie to dwa osobne przetwarzania.

Dlaczego to nie jest tylko formalność

Rola administratora niesie konkretne obowiązki: to administrator odpowiada za podstawę prawną przetwarzania, realizuje prawa osób (dostęp, usunięcie, sprzeciw), zgłasza ewentualne naruszenia do UODO i ponosi główną odpowiedzialność w razie kontroli. UODO w swoim poradniku dla placówek oświatowych szczegółowo opisuje te obowiązki od strony szkoły. Jeśli nie wiesz, w której roli występujesz w danej sesji, nie wiesz też, kto formalnie odpowiada za co - a to się mści dopiero przy realnym sporze albo kontroli, nie na co dzień. To jedna z pozycji na liście najczęstszych błędów RODO w tej branży - niejasność ról.

Najczęstsze pytania

Czy mogę być administratorem dla jednej szkoły i podmiotem przetwarzającym dla innej?

Tak - rola zależy od konkretnej umowy i rzeczywistego podziału decyzji w danej współpracy, nie jest przypisana do Ciebie na stałe jako fotografa.

Co jeśli nie mam podpisanej żadnej umowy ze szkołą, tylko ustne ustalenie?

Brak pisemnej umowy nie zmienia tego, kto faktycznie jest administratorem - ale utrudnia udowodnienie zakresu odpowiedzialności w razie sporu. Warto mieć to ustalone pisemnie, nawet w skróconej formie.

Czy platforma do sprzedaży zdjęć (jak ShareMoments) jest administratorem danych moich klientów?

Nie powinna być - poprawnie skonstruowana platforma działa jako podmiot przetwarzający w Twoim imieniu, na podstawie umowy powierzenia, a administratorem pozostajesz Ty jako fotograf.

Chcesz zobaczyć, jak wygląda umowa powierzenia skonstruowana pod ten dokładnie scenariusz? Zgłoś się do pilotażu ShareMoments.