Camerabeelden en de AVG: regels voor werkgevers

Mag u camera's ophangen in uw bedrijf? Ja, maar camerabeelden van herkenbare mensen zijn persoonsgegevens, dus de AVG geldt. Voor beveiliging is de grondslag meestal gerechtvaardigd belang. U moet daarnaast iedereen informeren, de beelden kort bewaren, de toegang beperken, bij toezicht op werknemers vooraf instemming van de ondernemingsraad hebben, en soms een DPIA uitvoeren. Dit artikel zet de regels op een rij, met de bron bij elke regel: de pagina's van de Autoriteit Persoonsgegevens (AP), de AVG zelf en de Wet op de ondernemingsraden.

Wat zijn camerabeelden onder de AVG?

Camerabeelden onder de AVG zijn beelden waarop mensen direct of indirect herkenbaar zijn; ze zijn daarmee persoonsgegevens. Dat geldt voor live meekijken én voor opnamen, ook als u ze alleen achteraf bekijkt (AP, cameratoezicht op de werkvloer). U bent als organisatie verwerkingsverantwoordelijke en moet aan de algemene beginselen van artikel 5 AVG voldoen: een helder doel, niet meer filmen dan nodig, en niet langer bewaren dan nodig.

Dit artikel gaat over camera's van een organisatie, in en rond een bedrijfspand, winkel of kantoor. Foto's en video's voor uw website of sociale media vallen onder andere regels; die staan in het artikel over AVG en beeldmateriaal. Cameratoezicht om de openbare orde te handhaven is een taak van de gemeente en valt hier buiten.

Welke grondslag heeft u nodig?

Elke verwerking heeft een grondslag uit artikel 6 AVG nodig. Bij camera's voor beveiliging is dat volgens de AP meestal gerechtvaardigd belang (artikel 6, eerste lid, onder f, AVG): u wilt diefstal tegengaan of klanten, bezoekers en werknemers beschermen (AP, regels cameratoezicht).

Toestemming werkt hier niet goed: een werknemer kan nauwelijks vrij weigeren, en een bezoeker die langsloopt kan dat ook niet. Hoe u een grondslag kiest en wanneer gerechtvaardigd belang past, leest u in de zes AVG-grondslagen.

Gerechtvaardigd belang vraagt drie stappen, die u vastlegt in een belangenafweging:

1. Belang: welk concreet belang beschermt u? Bijvoorbeeld diefstal uit het magazijn die al eerder voorkwam.
2. Noodzaak: kunt u dat doel ook bereiken met iets dat minder ingrijpt, zoals betere sloten, verlichting of een toegangspas? Cameratoezicht mag volgens de AP alleen als dat niet lukt, en moet deel uitmaken van een totaal aan maatregelen.
3. Afweging: weegt uw belang zwaarder dan de privacy van wie u filmt? Een camera op de ingang na sluitingstijd weegt anders dan een camera die de hele dag op een bureau gericht is.

De regels op een rij

Bordjes en camerabeleid: wat moet erin?

Iedereen die gefilmd kan worden, moet weten dát er een camera hangt en waarvoor. De AP noemt bordjes als voorbeeld. Daarnaast legt u het doel, de bewaartermijn en wie toegang heeft vast en maakt u dat bekend, bijvoorbeeld met een QR-code op het bordje naar een pagina met de details. Werknemers informeert u in een personeelsreglement of camerabeleid (AP).

De Europese toezichthouders (EDPB) adviseren een gelaagde aanpak: op het bordje staan de belangrijkste gegevens, en de rest staat in een tweede laag die makkelijk te vinden is (EDPB-richtsnoeren 3/2019 over videobeelden). Een praktische indeling:

• Op het bordje: dat er camera's zijn, wie de verwerkingsverantwoordelijke is, het doel, en waar de volledige informatie staat (QR-code of link).
• In het camerabeleid: doel en grondslag, waar de camera's hangen en waarop ze gericht zijn, de bewaartermijn, wie de beelden mag bekijken en wanneer, hoe iemand zijn rechten uitoefent (zoals inzage), en of er in bijzondere gevallen een verborgen camera kan worden ingezet.

Neem het cameratoezicht ook op in uw verwerkingsregister (artikel 30 AVG).

Hoe lang mag u camerabeelden bewaren?

Niet langer dan noodzakelijk. De AVG noemt geen vast aantal dagen; het beginsel van opslagbeperking in artikel 5 AVG geldt. Is er een incident vastgelegd, zoals diefstal, dan mag u die beelden bewaren tot het incident is afgehandeld (AP).

Kies dus zelf een termijn die past bij het doel en onderbouw die. Een vraag die helpt: hoe snel merkt u in de praktijk een incident op? Als een inbraak de volgende ochtend ontdekt wordt, hebt u geen opnamen van maanden nodig. Laat het systeem de beelden na die termijn automatisch overschrijven, en leg de termijn vast in het camerabeleid.

Wie mag de beelden bekijken?

Alleen wie u daarvoor aanwijst. U moet regelen wie wel en geen toegang tot de beelden heeft, en zorgen dat onbevoegden er niet bij kunnen; opgeslagen beelden moeten goed beveiligd zijn (AP; artikel 32 AVG). In de praktijk:

• wijs met naam of functie aan wie live mag meekijken en wie opnamen mag terugkijken;
• bekijk opnamen alleen bij een concrete aanleiding, zoals een melding van diefstal;
• houd bij wie wanneer beelden bekeek of exporteerde;
• geef beelden alleen aan de politie of een andere instantie als daar een grondslag voor is, en leg vast wat u gaf;
• beveilig de recorder of cloudomgeving met sterke wachtwoorden, liefst met tweestapsverificatie, en houd de software bij.

Gebruikt u een beveiligingsbedrijf of een clouddienst die de beelden opslaat, dan sluit u met die partij een verwerkersovereenkomst (artikel 28 AVG).

Camera's op de werkvloer: extra regels

Voor camera's op de werkvloer gelden strengere regels, omdat het een ingrijpende vorm van monitoring is. U mag ze alleen inzetten als dat strikt noodzakelijk is (AP, cameratoezicht op de werkvloer):

• Niet om te beoordelen. Camera's om werknemers op hun functioneren te beoordelen zijn in het algemeen niet toegestaan, net als geluidsopnamen of op afstand meeluisteren. Beelden voor beveiliging mag u niet gebruiken om gedrag, prestaties of aanwezigheid te controleren.
• Niet permanent op de werkplek. Richt camera's zo min mogelijk op werknemers of op plekken waar personeel regelmatig is. Permanent cameratoezicht op de vaste werkplek is in het algemeen niet toegestaan.
• Ondernemingsraad. Is het toezicht op werknemers gericht, dan bespreekt u de plannen vooraf met de ondernemingsraad, en die moet hebben ingestemd voordat u start. Dat volgt uit het instemmingsrecht bij voorzieningen voor "waarneming van of controle op aanwezigheid, gedrag of prestaties" van werknemers (artikel 27, eerste lid, onder l, WOR). Een ondernemingsraad is verplicht vanaf 50 werknemers (artikel 2 WOR).

Uw werknemers kunnen met een vraag of klacht naar u, naar de ondernemingsraad en uiteindelijk naar de AP.

Verborgen camera's: alleen bij uitzondering

Een verborgen camera mag normaal gesproken niet. Bij duidelijke vermoedens van diefstal of fraude door werknemers mag het alleen als alle volgende voorwaarden gelden (AP):

1. Het lukt ondanks inspanningen niet om de diefstal of fraude te stoppen.
2. De controle is tijdelijk; permanent heimelijk cameratoezicht mag niet.
3. De inbreuk is zo klein mogelijk. Een camera in een pashokje, kleedkamer of toilet mag nooit.
4. U heeft vooraf bekendgemaakt dat verborgen camera's bij diefstal of fraude mogelijk zijn, bijvoorbeeld in het personeelsreglement, op een plek die iedereen makkelijk kan raadplegen.
5. Bij werknemers heeft de ondernemingsraad vooraf ingestemd met een regeling hierover, en u informeert de betrokken werknemers achteraf.
6. U heeft een DPIA uitgevoerd.
7. Blijft er na de DPIA een hoog risico dat u niet kunt verkleinen, dan raadpleegt u de AP voordat u start (artikel 36 AVG).

Voor een ander doel, zoals training of "mystery shopping", is een verborgen camera volgens de AP een te zwaar middel.

Wanneer is een DPIA verplicht?

Een DPIA (gegevensbeschermingseffectbeoordeling, artikel 35 AVG) brengt vooraf de privacyrisico's in kaart en de maatregelen om ze te beperken. Bij cameratoezicht is een DPIA volgens de AP in twee gevallen altijd verplicht (AP):

• bij grootschalig of systematisch cameratoezicht om diefstal tegen te gaan of mensen te beschermen, bijvoorbeeld als u structureel of langere tijd camera's inzet;
• bij elke inzet van een verborgen camera, ook als dat maar incidenteel is.

Ook in andere gevallen is een DPIA verplicht zodra de verwerking waarschijnlijk een hoog privacyrisico oplevert. De belangenafweging, de DPIA en de bewaartermijnen zitten als invulbare documenten in de AVG Toolkit.

Stappenplan: camera's ophangen volgens de AVG

1. Doel bepalen: schrijf op welk probleem u oplost, met voorbeelden van incidenten.
2. Alternatieven nagaan: welke minder ingrijpende maatregelen heeft u geprobeerd of overwogen?
3. Belangenafweging maken en vastleggen; bij grootschalig of systematisch toezicht ook een DPIA.
4. Plaatsing en instellingen kiezen: zo min mogelijk gericht op werkplekken, geen geluid, onnodige functies uit.
5. Ondernemingsraad om instemming vragen als het toezicht op werknemers gericht is.
6. Camerabeleid schrijven met doel, bewaartermijn, toegang en rechten; bordjes met QR-code ophangen.
7. Verwerkingsregister bijwerken en, bij een externe partij, een verwerkersovereenkomst sluiten.
8. Jaarlijks nalopen: is de camera nog nodig, klopt de termijn, wie keek er mee?

Meer over de AVG in het algemeen, met de verplichte documenten voor het mkb, leest u op de pagina over de AVG.