In de regel geldt dat betrokkenen moeten worden geïnformeerd dat er cameratoezicht plaatsvindt
nog voor dat zij daadwerkelijk worden gefilmd.

Deze informatieplicht houdt in dat voor de betrokkenen in ieder geval duidelijk moet zijn:
– dat er cameratoezicht plaatsvindt
– voor welke doeleinden dit gebeurt
– wie daarvoor verantwoordelijk is.

Daarnaast moet de verantwoordelijke nadere informatie verstrekken voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkenen een behoorlijke en zorgvuldige verwerking te waarborgen.

Het is niet nodig dat precies wordt aangeven waar de camera’s zijn geïnstalleerd, maar wel in welk gebied het cameratoezicht plaatsvindt. Tevens is niet nodig dat de betrokkenen kunnen zien of de camera’s in werking zijn.

Voorbeeld niet voldaan aan informatieplicht
Direct na de ingang van een winkel hangt een camera. Achter de toonbank van de winkel hangt een bord met de tekst ‘Voor uw en onze veiligheid vindt hier camerabewaking plaats’. Deze werkwijze is niet geoorloofd, aangezien de informatieverstrekking moet plaatsvinden voordat de bezoekers van de winkel worden gefilmd. Het bord had daarom zichtbaar moeten zijn vanaf de ingang van de winkel.

Voorbeeld voldaan aan informatieplicht
In een winkel vindt cameratoezicht plaats. Bij de ingang van de winkel, voordat de bezoekers worden
gefilmd, hangt een duidelijk bord met een symbool van een camera. Uit de context is duidelijk dat de camera’s dienen ter beveiliging van de goederen in de winkel en dat de winkeleigenaar de verantwoordelijke is. Aan de informatieplicht is in dit geval voldaan.

Bij het gebruk van cameratoezicht zijn per 25-05-2018 stengere regels van toepassing.
Om hieraan te voldoen moet u onder andere denken aan de volgende zaken:

• Is er een bewerker/verwerkersovereenkomst?
• Is er met de eindgebruiker een doel bepaald en vastgelegd?
• Zijn de organisatorische maatregelen op orde?
• Is het wachtwoord beheer op orde?
• Een offerte bevat persoonsgegevens, hoe sla je deze op?
• Heb je met elke klant een overeenkomst?
• Wat doe je als de klant wil dat je beelden exporteert of veilig stelt?

Ten aanzien van duidelijk zichtbaar cameratoezicht ter beveiliging van personen of goederen die zijn toevertrouwd aan de zorg van de verantwoordelijke, noemt het Vrijstellingsbesluit Wbp een bewaartermijn van maximaal vier weken dan wel tot een geconstateerd incident is afgehandeld (artikel 38, lid 6, Vrijstellingsbesluit Wbp).

Tevens mogen er niet meer en langer camera’s worden ingezet en niet meer personen en/of plaatsen in beeld worden gebracht dan strikt noodzakelijk is voor de gestelde doeleinden (dataminimalisatie). Dit
betekent dat de verantwoordelijke alleen continu cameratoezicht mag instellen wanneer niet kan worden volstaan met opnames gedurende bepaalde periodes.

Cameratoezicht door middel van slimme camera’s kan tot gevolg hebben dat er een minder vergaande inbreuk op de persoonlijke levenssfeer wordt gemaakt dan door middel van ‘reguliere’ camera’s. Zo zullen de camerabeelden vaak pas worden bekeken wanneer de slimme camera’s iets detecteren. De inbreuk op de persoonlijke levenssfeer wordt nog kleiner wanneer de slimme camera’s pas beelden gaan opnemen zodra ze iets detecteren (data-minimalisatie).

Aan de andere kant kan de inzet van slimme camera’s juist ook tot gevolg hebben dat er sprake is van een grotere inbreuk op de persoonlijke levenssfeer. Camera’s met gezichtsherkenning kunnen bijvoorbeeld personen op geautomatiseerde wijze traceren, volgen en profileren, hetgeen met reguliere camera’s niet mogelijk is. Camera’s die zijn uitgerust met een techniek voor gedragsanalyse, analyseren voorts de gedragingen van een ieder die in beeld komt. De gedragingen van die personen worden dus geanalyseerd zonder dat zij iets ‘fout’ hoeven te hebben gedaan. Bovendien hebben de camera’s geen verstand en intuïtie, zodat gedragingen gemakkelijk verkeerd kunnen worden geïnterpreteerd.

Ten aanzien van camera’s met gezichtsdetectie wordt nog het volgende opgemerkt. Dergelijke camera’s identificeren personen aan de hand van gegevensbestanden met unieke gezichtskenmerken.

Aangezien het op deze wijze dus mogelijk is om een persoon te identificeren, zijn ook de gezichtskenmerken in de bestanden persoonsgegevens in de zin van de Wbp. Voorts geldt dat verwerkingen door middel van dit soort camera’s veelal identificatie tot doel heeft. Dit betekent dat de Autoriteit Persoonsgegevens de camerabeelden dan aanmerkt als rasgegevens in de zin van artikel 16 en 18 Wbp. De verwerking van rasgegevens is verboden behoudens de uitzonderingen die de Wbp noemt in artikel 17 tot en met 23.

De Wbp, wet bescherming persoonsgegevens, niet in deze artikelen het volgende. Artikel 23, punt 2:

Het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken ten behoeve van wetenschappelijk onderzoek of statistiek is niet van toepassing voor zover:

a. het onderzoek een algemeen belang dient,
b. de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is,
c. het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kosten
d. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Voor het stiekem oftewel heimelijk filmen van personen zijn strenge regels van toepassing.

Een voorgenomen verwerking van persoonsgegevens door middel van heimelijk cameratoezicht moet
altijd worden gemeld bij de Autoriteit Persoonsgegevens. Daarbij moet bovendien een voorafgaand onderzoek worden aangevraagd. Het voorafgaand onderzoek houdt in dat de Autoriteit Persoonsgegevens de rechtmatigheid van de voorgenomen verwerking onderzoekt. Met de verwerking mag niet worden begonnen totdat de Autoriteit Persoonsgegevens dit onderzoek heeft afgerond dan wel heeft besloten om geen onderzoek in te stellen.

Voorbeeld melden heimelijk cameratoezicht
Een transportonderneming heeft een redelijk vermoeden dat een werknemer geregeld diefstal pleegt van lading uit een vrachtwagen wanneer hij de lading vervoert. De onderneming wil heimelijk cameratoezicht instellen ten aanzien van de vrachtwagen waarin en de tijdstippen waarop de betreffende werknemer de lading vervoert. De onderneming moet deze voorgenomen verwerking van persoonsgegevens melden bij de Autoriteit Persoonsgegevens en zij moet een voorafgaand onderzoek aanvragen. Het feit dat het heimelijke cameratoezicht slechts op ‘ad hoc basis’ plaatsvindt, doet hieraan niets af.

Met andere woorden, wanneer u heimelijke waarnemingen verricht met een camerasysteem dan dient u dit altijd vooraf aan te vragen. U dient er rekening mee te houden dat wanneer u dit niet doet dat het verkregen bewijs mogelijk niet bruikbaar is. 

De bewerker is volgende wet degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te onderwerpen, bijvoorbeeld een monteur van een ander bedrijf. Tevens geldt dat de bewerker gegevens verwerkt ten behoeve van de verantwoordelijke, dat wil zeggen overeenkomstig dienst instructies en onder dienst (uitdrukkelijke) verantwoordelijkheid.
Hij neemt geen beslissingen over het gebruik van de gegevens, verstrekking aan derden, de duur van de opslag etc.

Het is noodzakelijk om een verwerkersovereenkomst op te stellen. Net als algemene voorwaarden of een privacyverklaring is dit een handeling die noodzakelijk is.
Deze overeenkomst kunt u vervolgens mij al uw klanten gebruiken. Hier wordt onder andere vastgelegd:
– wie de beelden behandeld
– waar en hoe hij deze opslaat
– hoe hij met de gegevens om dient te gaan
– welke verantwoordelijkheden worden overgedragen.

Wilt u een model verwerkingsovereenkomst, dan vind u deze hier.

Er mag gefilmd worden als

• Ondubbelzinnige toestemming van de betrokkene is
• Sprake is van de uitvoering van een overeenkomst
• Wettelijke verplichting is
• Er vrijwaring is wetens een vitaal belang van de betrokkene
• Het een publiekrechtelijke taak is
• Er een gerechtvaardigd belang is (tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene prevaleert)

Zakelijke eindgebruikers kiezen het vaakst voor ‘Gerechtvaardigd Belang’.

Voor cameratoezicht ter beveiliging van personen en goederen zou de grondslag ‘gerechtvaardigd belang’ kunnen gelden. Het belang van de verantwoordelijke om cameratoezicht in te stellen moet dan zwaarder wegen dan de belangen van de betrokkenen. Tevens moet zijn voldaan aan de beginselen van proportionaliteit.

Concreet betekent het vorenstaande dat cameratoezicht ter beveiliging van personen en goederen slechts mag worden ingezet indien er ook andere beveiligingsmaatregelen zijn getroffen.
Minder vergaande maatregelen dienen onvoldoende effectief te zijn en deze maatregelen kunnen redelijkerwijs niet worden uitgebreid. Tevens mogen er niet meer en langer camera’s worden ingezet en niet meer personen en/of plaatsen in beeld worden gebracht dan strikt noodzakelijk is voor de gestelde doeleinden (dataminimalisatie). Dit betekent dat de verantwoordelijke alleen continu cameratoezicht mag instellen wanneer niet kan worden volstaan met opnames gedurende bepaalde periodes.