DPIA en cameratoezicht: wanneer moet je als bedrijf een privacy-impact-analyse doen?

DPIA staat voor Data Protection Impact Assessment. Dat is een privacy-risicoanalyse. Je brengt hiermee in kaart welke risico's cameratoezicht met zich meebrengt voor de mensen die je filmt. Zo zie je vooraf waar je moet bijsturen.

Je beschrijft bijvoorbeeld waarom je camera's ophangt en welke gegevens je verzamelt. Ook kijk je of hetzelfde doel te bereiken is met minder inbreuk op privacy. Een DPIA is geen formaliteit. Het is een werkdocument dat je kunt tonen bij een controle.

Niet elk bedrijf met camera's heeft een DPIA nodig. De verplichting hangt af van het privacyrisico. Is dat risico hoog, dan schrijft de wet een DPIA voor.

Volgens Ondernemersplein is een DPIA altijd verplicht als u het cameratoezicht op veel plekken gebruikt of voor een langere periode inzet. Denk aan meerdere vestigingen die je allemaal filmt. Of aan camera's die jaren achtereen dezelfde ruimte vastleggen. Ook verborgen camera's verhogen het risico snel.

Twijfel je of jouw situatie hieronder valt? Kijk dan hoeveel locaties je filmt en hoe lang je de beelden bewaart. Gebruik je gezichtsherkenning of volg je individuele personen? Dan is een DPIA vrijwel altijd nodig.

Voer je geen verplichte DPIA uit, dan overtreed je de privacywet. De Autoriteit Persoonsgegevens kan dit als tekortkoming zien bij een onderzoek. Dat kan leiden tot een boete of een aanwijzing om je cameratoezicht aan te passen.

Ook zonder controle loop je risico. Werknemers of klanten kunnen een klacht indienen. Zonder DPIA sta je dan zwakker. Je kunt dan niet aantonen dat je de risico's vooraf hebt afgewogen.

Je hoeft geen jurist in te huren voor een basis-DPIA. Stap 1: beschrijf je doel. Noteer waarom je camera's ophangt, bijvoorbeeld diefstal voorkomen of medewerkers beschermen.

Stap 2: breng de gegevensstroom in kaart. Welke camera's hangen waar, wie mag de beelden bekijken en hoe lang bewaar je ze?

Stap 3: toets de noodzaak. Kan hetzelfde doel ook zonder camera's, of met minder camera's? Kun je dat niet aantonen, dan is cameratoezicht waarschijnlijk niet nodig.

Stap 4: benoem de risico's. Denk aan het filmen van omstanders, verborgen camera's of langdurige opslag. Schrijf per risico op hoe groot de kans en de impact zijn.

Stap 5: bepaal maatregelen. Denk aan een kortere bewaartermijn, duidelijke bordjes of camera's die alleen bij een melding opnemen.

Stap 6: leg alles vast in een kort document. Herhaal de DPIA als je situatie verandert, bijvoorbeeld bij een nieuwe vestiging of extra camera's.

AVG staat voor Algemene Verordening Gegevensbescherming. Dat is de privacywet die bepaalt hoe je met persoonsgegevens omgaat, ook met camerabeelden. Cameratoezicht valt dus altijd onder de AVG, met of zonder DPIA-plicht.

Je hebt altijd een gerechtvaardigd belang nodig om te mogen filmen. Je moet dat kenbaar maken, bijvoorbeeld met een bordje bij de ingang. De Autoriteit Persoonsgegevens hanteert 4 weken (28 dagen) als uitgangspunt voor de maximale bewaartermijn zonder incident. Informeer ook je personeel over het cameratoezicht.

De uitkomst van je DPIA bepaalt vaak welk systeem je nodig hebt. Kies je voor minder opnametijd, dan heb je andere opslag nodig dan bij continue beelden. Wil je juist minder camera's maar wel dekking, dan let je op het bereik per camera.

Ik vergelijk als onafhankelijke partij installateurs voor bedrijven. Dat is onafhankelijk van merken, met een transparante vergoeding van installateurs per doorverwijzing en gratis voor jou als bezoeker. Zo kun je rustig kiezen zonder ergens aan vast te zitten.

Loop eerst het stappenplan door en bepaal of jouw cameratoezicht onder de DPIA-plicht valt. Weet je welk systeem past bij jouw risico's? Vraag dan vrijblijvend offertes aan bij installateurs bij jou in de buurt.