AVG-regels voor cameratoezicht: het complete naslagwerk voor bedrijven

Zodra je met een camera mensen herkenbaar in beeld brengt, verwerk je persoonsgegevens. Voor een bedrijf geldt dat eigenlijk altijd: klanten, bezoekers of personeel zijn op enig moment herkenbaar in beeld, en dus valt jouw cameratoezicht onder de Algemene Verordening Gegevensbescherming (AVG). Er is geen uitzondering voor “kleine” bedrijven of een handjevol camera's.

Dat betekent niet dat het niet mag — het betekent dat je aan een aantal voorwaarden moet voldoen, die hieronder stap voor stap staan.

De officiële regel is eigenlijk simpel: je mag camerabeelden niet langer bewaren dan noodzakelijk voor je doel. Heb je een incident vastgelegd, zoals een diefstal? Dan mag je die specifieke beelden bewaren tot het incident is afgehandeld, bijvoorbeeld tot de strafzaak onherroepelijk is. Dat is de actuele lijn van de Autoriteit Persoonsgegevens (AP) op haar pagina over cameratoezicht bij organisaties.

Waar komt het veelgehoorde getal “maximaal vier weken (28 dagen)” dan vandaan? Dat staat in de oudere Beleidsregels Cameratoezicht van de AP, die teruggrijpen op een vrijstellingsregeling onder de inmiddels vervangen Wet bescherming persoonsgegevens: daarin werd een indicatieve bewaartermijn van vier weken genoemd voor cameratoezicht ter beveiliging van personen en goederen. Die regeling is met de komst van de AVG in 2018 juridisch niet meer van kracht, maar vier weken wordt in de praktijk nog altijd breed gebruikt — door juristen, installateurs en brancheorganisaties — als praktische bovengrens en veilige default.

Mijn advies: stel je systeem in op automatisch overschrijven na een beperkt aantal weken (vier weken is een veilige, breed geaccepteerde default), en bewaar incidentbeelden apart zodat ze niet worden overschreven vóór de afhandeling.

Is het cameratoezicht (mede) gericht op je werknemers? Dan moet je je plannen vooraf bespreken met de ondernemingsraad (OR) of personeelsvertegenwoordiging (PVT). De OR of PVT moet instemmen vóórdat je met het cameratoezicht start — dit is geen formaliteit achteraf.

Hetzelfde geldt voor een regeling over het gebruik van verborgen camera's: ook daarvoor heb je vooraf instemming van de OR of PVT nodig. Heb je geen OR of PVT (bijvoorbeeld bij een kleine onderneming)? Betrek dan je personeel zoveel mogelijk bij het besluit en informeer iedereen vooraf.

Een DPIA (data protection impact assessment, ofwel gegevensbeschermingseffect- beoordeling) is een verplichte vooraf-analyse van de privacyrisico's van je verwerking. Bij cameratoezicht is een DPIA in elk geval verplicht in twee gevallen, óók als je zelf denkt dat het risico beperkt is:

• je zet cameratoezicht grootschalig en/of systematisch in om diefstal tegen te gaan of mensen te beschermen — bijvoorbeeld structureel of voor langere tijd;
• je gebruikt een verborgen camera — ook als dat maar incidenteel is.

Komt uit de DPIA naar voren dat er een hoog privacyrisico blijft bestaan, ook na maatregelen om dat te beperken? Dan moet je vooraf overleggen met de AP: dit heet een voorafgaande raadpleging.

Camerabeelden zijn persoonsgegevens, en die moet je passend beveiligen. Beperk de toegang tot de beelden tot de mensen die dat echt nodig hebben voor hun werk, gebruik unieke wachtwoorden per gebruiker, zet waar mogelijk tweefactorauthenticatie aan, en houd de firmware van camera's en recorder actueel. Hoe minder mensen toegang hebben, hoe kleiner de kans op misbruik of een datalek.

De AP houdt toezicht op de naleving van de AVG en kan handhavend optreden bij overtredingen, bijvoorbeeld met een waarschuwing, een last onder dwangsom of een boete. Voor de hoogte van boetes geldt een Europees geharmoniseerd systeem: de zwaarste overtredingen kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een bedrijf, met een lagere categorie tot 10 miljoen euro of 2%.

Ik heb geen specifieke, harde AP-uitspraak gevonden die een concreet boetebedrag koppelt aan een cameratoezicht-overtreding bij een gewoon bedrijf, dus noem ik hier bewust geen voorbeeldbedrag. Het punt is niet het risico op een boete op zich, maar dat je met een paar simpele stappen — bordjes, een beperkte bewaartermijn, geen camera's op verboden plekken — de meeste risico's al wegneemt.