Datatilsynet har granskat publiceringen av nästan 500 000 bilder, särskilt av barn och ungdomar, på Epic Boknings Facebook-sida. Bilderna, som var från och med 2013, hade tagits på fester och liknande evenemang främst med en selfie-kamera.
Under granskningen fann Datatilsynet att det samtycke som lämnats av personerna på bilderna inte i tillräcklig utsträckning uppfyllt kraven på ett giltigt samtycke enligt dataskyddsförordningen (“GDPR”). Datatilsynet fann också att Epic Booking inte följt reglerna om att informera om företagets behandling av de registrerades personuppgifter. Epic Booking beordrades därför att ta bort de bilder som behandlats i strid med GDPR från Facebook-sidan.
Därutöver fann Datatilsynet att Epic Booking inte följt principen om lagringsminimering då företaget inte hade satt en specifik tidsfrist för radering av bilderna. Avsaknaden av denna tidsfrist för radering innebär enligt Datatilsynet att bilderna i princip publicerats utan tidsgräns.
Enligt Datatilsynets bedömning måste de avbildade personerna och det speciella skydd som barn och ungdomar har enligt GDPR tas med i beräkningen. På den grunden bedömde Datatilsynet att en maximal tid på 60 dagar var tillräcklig för att tillgodose de registrerades behov av att få tillgång till bilderna. Myndigheten utfärdade därför ett föreläggande till Epic Booking att fastställa en tidsfrist på högst 60 dagar för bilder som publiceras på företagets Facebook-sida framöver.