Publicerad:
20 augusti 2026 kl. 16:33:02
I den här artiklen får du lära dig:
1. Varför skolfotografering är en ledningsfråga
2. Vad skolan måste kontrollera innan leverantören anlitas
3. Hur skolan minskar risken för juridiska och praktiska misstag
12 saker att kontrollera innan skolan anlitar ett skolfotoföretag
Innan skolan anlitar ett skolfotoföretag bör rektor och huvudman kontrollera syfte, rättslig grund, samtyckesflöde, personuppgiftsansvar, avtal, säker bildhantering, gallring, incidentrutiner och hantering av elever med skyddade personuppgifter. Ett skolfotoföretag kan vara en praktisk hjälp för skolan, men ansvaret för att personuppgifter behandlas korrekt försvinner inte bara för att en extern leverantör anlitas. Om leverantören behandlar personuppgifter för skolans räkning krävs personuppgiftsbiträdesavtal enligt GDPR.
Snabbversion
Skolfotografering kräver mer planering än att boka ett datum och skicka ut tider till klasserna. Ett foto på en identifierbar elev är en personuppgift, och barns personuppgifter har ett särskilt skydd enligt GDPR. Skolan behöver därför veta varför fotograferingen görs, vilka uppgifter som behandlas, vem som ansvarar för behandlingen och hur samtycken eller annan rättslig grund hanteras. Rektor behöver också säkerställa att elever som inte ska fotograferas, eller som har skyddade personuppgifter, inte hamnar i fel system, katalog eller bildleverans. Avtalet med skolfotoföretaget bör reglera säkerhet, ansvar, gallring, incidenter och eventuell användning av underleverantörer. En trygg skolfotografering bygger på tydliga rutiner före, under och efter fotodagen.
Skolfotografering är en välbekant del av många skolors läsår. För elever och vårdnadshavare kan bilderna bli minnen från skolgången. För skolan kan elevbilder också ha praktisk betydelse i administration och intern igenkänning.
Men skolfotografering är också en personuppgiftsfråga. När en elev kan identifieras på bild behandlas personuppgifter. Om namn, klass, skola, grupp eller beställningslänk kopplas till bilden ökar kraven på tydlighet, säkerhet och kontroll.
För rektor räcker det därför inte att välja en fotograf som tar bra bilder. Skolan behöver anlita en leverantör som kan hantera uppdraget på ett säkert, begripligt och juridiskt hållbart sätt.
Partnerinnehåll
12 saker skolan bör kontrollera
1. Bestäm varför skolan ska ha skolfotografering
Det första steget är att klargöra syftet. Är fotograferingen till för porträttbilder till vårdnadshavare? Klassfoto? Skolkatalog? Intern elevadministration? Minnesbilder? Flera syften samtidigt?
Det spelar stor roll. Olika ändamål kan kräva olika rättslig grund, olika information och olika rutiner. En bild som tas för ett ändamål får inte automatiskt användas för ett annat.
2. Skilj på skolfoto, interna elevbilder och publicering
Många problem uppstår när skolan blandar ihop olika typer av bildhantering.
Skolfoto kan handla om porträtt, klassfoto och katalog.
Interna elevbilder kan användas i skoladministrativa system.
Publicering kan handla om webbplats, sociala medier, trycksaker eller marknadsföring.
Dessa situationer bör bedömas var för sig. Ett samtycke till skolfotografering är inte automatiskt ett samtycke till publicering i sociala medier.
3. Kontrollera rättslig grund
Skolan måste ha en rättslig grund för varje behandling av personuppgifter. IMY anger att samtycke vanligtvis inte kan användas som rättslig grund i skolans ordinarie verksamhet eftersom det ofta finns ett ojämlikt förhållande mellan elev och skola. Däremot kan samtycke användas för behandling utanför skolans ordinarie verksamhet, exempelvis skolfotografering.
Det betyder att skolan behöver vara tydlig med vilken del som är ordinarie skoladministration och vilken del som är frivillig skolfotografering.
4. Granska samtyckesflödet
Om samtycke används måste det vara frivilligt, tydligt och möjligt att återkalla. Vårdnadshavare och elever behöver förstå vad de säger ja till.
Samtycket bör visa:
vem som begär samtycket
vilka uppgifter som behandlas
vad bilderna ska användas till
om bilderna används för flera olika ändamål
hur länge uppgifterna sparas
hur samtycket kan återkallas
vem vårdnadshavare kan kontakta vid frågor
IMY anger att det ska vara lika lätt att återkalla ett samtycke som att lämna det, och att den personuppgiftsansvariga behöver kunna visa hur samtycket inhämtades, när det skedde och vilken information som gavs.
5. Klargör vem som är personuppgiftsansvarig
Innan skolan anlitar ett skolfotoföretag behöver rollerna vara tydliga. Vem bestämmer ändamålet med fotograferingen? Vem bestämmer hur bilderna behandlas? Vem ansvarar för beställningssystem, bildvisning, försäljning, lagring och gallring?
IMY anger att den personuppgiftsansvariga är den verksamhet som bestämmer för vilka ändamål personuppgifterna behandlas och hur behandlingen ska gå till. I en kommunal skola kan det exempelvis vara en utbildningsnämnd, medan det i en fristående skola kan vara ett aktiebolag.
Det är alltså inte tillräckligt att leverantören säger att tjänsten är “GDPR-säker”. Skolan och huvudmannen behöver förstå rollfördelningen.
6. Kontrollera om personuppgiftsbiträdesavtal krävs
Om skolfotoföretaget behandlar personuppgifter för skolans räkning är företaget personuppgiftsbiträde. Då krävs ett personuppgiftsbiträdesavtal.
Ett sådant avtal bör bland annat reglera:
vilka uppgifter som behandlas
för vilket ändamål
hur länge behandlingen pågår
vilka instruktioner leverantören ska följa
vilka säkerhetsåtgärder som krävs
om underbiträden får användas
vad som händer vid incident
hur uppgifter ska återlämnas eller raderas
IMY anger att när ett personuppgiftsbiträde behandlar personuppgifter åt den personuppgiftsansvariga ska behandlingen regleras genom avtal eller annan rättsakt.
7. Säkerställ rutiner för elever som inte ska fotograferas
Det måste finnas en praktisk rutin för elever som inte ska fotograferas eller inte ska ingå i katalog, klassfoto eller digital leverans.
Rutinen behöver vara tydlig utan att eleven pekas ut. Personalen som organiserar fotodagen måste veta vad som gäller, men informationen ska inte spridas bredare än nödvändigt.
Skolan bör kontrollera:
hur nej-svar registreras
vem som ansvarar för listorna
hur fotografen får information
hur eleven hanteras under fotodagen
hur skolan undviker misstag vid klassfoto
hur felaktigt tagna bilder raderas
8. Ha särskild rutin för skyddade personuppgifter
Elever med skyddade personuppgifter kräver särskild säkerhet. Här räcker det inte med en vanlig klasslista eller ett standardflöde.
Skolan behöver veta hur leverantören hanterar skyddade uppgifter och om det över huvud taget är lämpligt att eleven ingår i fotograferingen. En bild kan i kombination med namn, klass, skola eller grupp röja information som inte får spridas.
IMY anger att säkerheten bör vara särskilt hög när elever eller personal har skyddade personuppgifter, eftersom risken för skada är stor om uppgifter röjs. Skolverket lyfter att säker hantering bygger på tydliga rutiner, begränsad tillgång till skyddade personuppgifter och säkra it-system.
9. Granska leverantörens tekniska säkerhet
Skolfotoföretaget bör kunna beskriva hur bilder och elevuppgifter skyddas tekniskt. Det gäller särskilt om bilderna visas i digitala beställningssystem.
Frågor att ställa:
Hur loggar vårdnadshavare in?
Kan någon obehörig se bilder?
Hur skyddas beställningslänkar?
Krypteras överföring och lagring?
Var lagras uppgifterna?
Har leverantören loggning och behörighetsstyrning?
Finns rutiner vid felaktig publicering eller åtkomst?
10. Kontrollera lagring och gallring
Skolan bör veta hur länge bilder, klasslistor, samtycken och beställningsuppgifter sparas. Uppgifter ska inte sparas längre än nödvändigt för ändamålet.
Det bör framgå:
när råbilder raderas
hur länge färdiga bilder sparas
hur länge beställningsuppgifter sparas
vad som händer efter avslutat uppdrag
vem som ansvarar för radering
hur skolan kan få bekräftelse på gallring
11. Säkerställ tydlig information till vårdnadshavare
Informationen till vårdnadshavare bör vara enkel, konkret och samlad. Den ska inte bara säga att “det är dags för skolfoto”.
Informationen bör svara på:
när fotograferingen sker
vilka typer av bilder som tas
vem som är leverantör
vem som är personuppgiftsansvarig
vad bilderna används till
om klassfoto eller katalog ingår
hur man säger nej
hur samtycke lämnas eller återkallas
hur skyddade personuppgifter hanteras
vem man kontaktar vid frågor
12. Följ upp efter fotograferingen
När fotodagen är över bör skolan följa upp om rutinerna fungerade. Blev någon elev fotograferad av misstag? Fungerade samtyckeslistorna? Uppstod frågor från vårdnadshavare? Höll leverantören vad avtalet angav?
Uppföljningen är särskilt viktig inför kommande läsår. Skolfotografering återkommer ofta varje år, och små brister i rutinen kan skapa stora problem om de upprepas.
Vanliga frågor om skolfotografering
Behöver skolan personuppgiftsbiträdesavtal med fotografen?
Det behövs om fotografen behandlar personuppgifter för skolans räkning. Om fotografen i vissa delar är självständigt personuppgiftsansvarig behöver rollfördelningen framgå tydligt i avtalet.
Kan ett samtycke gälla för allt?
Nej. Samtycke bör kopplas till tydliga ändamål. Skolfoto, skolkatalog, intern användning och publicering på webb eller sociala medier bör inte klumpas ihop.
Fakta:
Skolfotografering och GDPR
Foto på elev är en personuppgift
Om eleven kan identifieras på bilden omfattas bilden av GDPR.
Barns personuppgifter är särskilt skyddsvärda
IMY anger att barn kan ha svårare att förutse riskerna med att lämna ifrån sig uppgifter och förstå sina rättigheter.
Samtycke kan användas vid skolfotografering
IMY anger att samtycke kan användas för behandling utanför skolans ordinarie verksamhet, exempelvis skolfotografering.
Samtycke måste kunna återkallas
Det ska vara lika lätt att återkalla samtycke som att lämna det. Annars är samtycket inte giltigt.