AVG-regels voor cameratoezicht: het complete naslagwerk voor bedrijven

Zodra je met een camera mensen herkenbaar in beeld brengt, verwerk je persoonsgegevens. Voor een bedrijf geldt dat eigenlijk altijd: klanten, bezoekers of personeel zijn op enig moment herkenbaar in beeld, en dus valt jouw cameratoezicht onder de Algemene Verordening Gegevensbescherming (AVG). Er is geen uitzondering voor “kleine” bedrijven of een handjevol camera's.

Dat betekent niet dat het niet mag — het betekent dat je aan een aantal voorwaarden moet voldoen, die hieronder stap voor stap staan.

De officiële regel is eigenlijk simpel: je mag camerabeelden niet langer bewaren dan noodzakelijk voor je doel. Heb je een incident vastgelegd, zoals een diefstal? Dan mag je die specifieke beelden bewaren tot het incident is afgehandeld, bijvoorbeeld tot de strafzaak onherroepelijk is. Dat is de actuele lijn van de Autoriteit Persoonsgegevens (AP) op haar pagina over cameratoezicht bij organisaties.

Waar komt het veelgehoorde getal “maximaal vier weken (28 dagen)”dan vandaan? Dat staat in de oudere Beleidsregels Cameratoezicht van de AP, die teruggrijpen op een vrijstellingsregeling onder de inmiddels vervangen Wet bescherming persoonsgegevens: daarin werd een bewaartermijn van maximaal vier weken genoemd voor cameratoezicht ter beveiliging van personen en goederen. De beleidsregels noemden die termijn zelf al “niet dwingend”. Met de komst van de AVG in 2018 is die regeling vervallen. Vier weken is dus geen wettelijke termijn voor bedrijven, ook al zie je het getal nog vaak terug.

Mijn advies: kies een termijn die past bij je doel en leg die vast. Laat het systeem daarna automatisch overschrijven. Korter is beter als dat voor je doel volstaat. Bewaar incidentbeelden apart, zodat ze niet worden overschreven vóór de afhandeling.

Wil je dit uitgewerkt zien voor een winkel, horecazaak, bouwplaats of kantoor? Lees dan Camerabeelden bewaren: hoe lang per branche?

Is het cameratoezicht (mede) gericht op je werknemers? Dan moet je je plannen vooraf bespreken met de ondernemingsraad (OR) of personeelsvertegenwoordiging (PVT). De OR of PVT moet instemmen vóórdat je met het cameratoezicht start — dit is geen formaliteit achteraf.

Hetzelfde geldt voor een regeling over het gebruik van verborgen camera's: ook daarvoor heb je vooraf instemming van de OR of PVT nodig. Heb je geen OR of PVT (bijvoorbeeld bij een kleine onderneming)? Betrek dan je personeel zoveel mogelijk bij het besluit en informeer iedereen vooraf.

Een DPIA (data protection impact assessment, ofwel gegevensbeschermingseffect- beoordeling) is een verplichte vooraf-analyse van de privacyrisico's van je verwerking. Bij cameratoezicht is een DPIA in elk geval verplicht in twee gevallen, óók als je zelf denkt dat het risico beperkt is:

• je zet cameratoezicht grootschalig en/of systematisch in om diefstal tegen te gaan of mensen te beschermen — bijvoorbeeld structureel of voor langere tijd;
• je gebruikt een verborgen camera — ook als dat maar incidenteel is.

Komt uit de DPIA naar voren dat er een hoog privacyrisico blijft bestaan, ook na maatregelen om dat te beperken? Dan moet je vooraf overleggen met de AP: dit heet een voorafgaande raadpleging.

Camerabeelden zijn persoonsgegevens, en die moet je passend beveiligen. Beperk de toegang tot de beelden tot de mensen die dat echt nodig hebben voor hun werk, gebruik unieke wachtwoorden per gebruiker, zet waar mogelijk tweefactorauthenticatie aan, en houd de firmware van camera's en recorder actueel. Hoe minder mensen toegang hebben, hoe kleiner de kans op misbruik of een datalek.

Zet ook functies uit die je voor je doel niet nodig hebt. De AP noemt als voorbeelden geluidsopnamen, de zoomfunctie, onbeperkte bewegingsmogelijkheden van de camera en analysefuncties. Geluid opnemen mag alleen als dat noodzakelijk is voor het doel van het cameratoezicht. Let hier extra op bij slimme camera's met analysefuncties.

De AP houdt toezicht op de naleving van de AVG en kan handhavend optreden bij overtredingen, bijvoorbeeld met een waarschuwing, een last onder dwangsom of een boete. Voor de hoogte van boetes geldt een Europees geharmoniseerd systeem: de zwaarste overtredingen kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een bedrijf, met een lagere categorie tot 10 miljoen euro of 2%.

Ik heb geen specifieke, harde AP-uitspraak gevonden die een concreet boetebedrag koppelt aan een cameratoezicht-overtreding bij een gewoon bedrijf, dus noem ik hier bewust geen voorbeeldbedrag. Het punt is niet het risico op een boete op zich, maar dat je met een paar simpele stappen — bordjes, een beperkte bewaartermijn, geen camera's op verboden plekken — de meeste risico's al wegneemt.