Wanneer verwerk je camerabeelden?

Het probleem

In de maatschappij blijkt de misvatting te bestaan dat het filmen van de openbare weg en het vervolgens ‘live’ uitzenden van deze beelden, bijvoorbeeld via YouTube, géén AVG-relevante verwerking betreft. Zie hieronder bijvoorbeeld het privacybeleid van een site waarop live-beelden te volgen zijn van de Dam in Amsterdam:

“Persoonsgegevens: [bedrijf] archiveert of deelt op geen enkele manier persoonsgegevens of stuurt ongevraagd commerciële berichten. [bedrijf] voldoet geheel aan de privacy richtlijnen c.q. bescherming van persoonsgegevens conform de Europese wetgeving Data Protection (GDPR) en de regelgeving autoriteitpersoonsgegevens + cameratoezicht.

Privacy: de camera’s die [bedrijf] geleverd heeft waarvan het publieke domein te zien is, zijn uitsluitend bedoeld om sfeervolle beelden te tonen, bijvoorbeeld de Damrak in Amsterdam, de Zaanse Schans, of beelden te laten zien van actuele verkeerssituaties en het weer : LIVE BEELDEN WORDEN NIET OPGENOMEN!        

Geen opname: Er is geen video opgeslagen die teruggekeken kan worden, ook niet voor justitie; omdat er geen opnames worden gemaakt is de privacywetgeving als zodanig niet van toepassing. Er is alleen een live beeld, in het moment; een live camera is a.h.w. een virtueel raam waardoor men kijkt en uitsluitend bedoeld als sfeerimpressie, niet  als toezicht.

Mocht het wenselijk zijn om bepaalde gedeelten van een omgeving, bijvoorbeeld een woonhuis, uit het zicht van de camera te houden, dan is het mogelijk om een privacy-masker aan te brengen: een blokkerig vlak (mozaïek) dat over het woonhuis wordt gelegd.”

Wat is een verwerking?

AVG

De AVG geeft duidelijk aan wat een verwerking is. Volgens artikel 4 onder 2 van de AVG is een verwerking “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via automatische procedés.” Dit is een ontzettend brede definitie, waardoor er vaak sprake van een AVG-relevante verwerking zal zijn. De Autoriteit Persoonsgegevens noemt enkele voorbeelden van verwerkingen. Het kan bijvoorbeeld gaan om een foto van iemand op een website plaatsen, beelden van beveiligingscamera’s opslaan of om het bijhouden van een ledenadministratie door een vereniging.[1]

Er is dus snel sprake van een verwerking. Klopt dan de argumentatie ook van het bovenstaande privacybeleid?

Camerabeelden volgens de AP

Volgens de Autoriteit Persoonsgegevens vormt elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens onder de definitie van een verwerking volgens de Wbp, de voorloper van de AVG. Dit uitgangspunt is ook onder de AVG nog steeds juist.

Digitale camera’s maken in ieder geval gebruik van een opslaggeheugen en een processor om beeldgegevens op te slaan en deze door te zetten tussen verschillende componenten van het (camera)systeem.

Wat als je verwerkt?

Het staat nu vast dat het het live uitzenden van digitale camerabeelden over het internet wel degelijk een AVG-relevante verwerking oplevert. Dit maakt de eigenaar van de camera’s verwerkingsverantwoordelijke, met alle gevolgen van dien.

Eén van deze gevolgen is dat er sprake moet zijn van een verwerkingsgrondslag. Degenen die gefilmd worden moeten bijvoorbeeld in de gelegenheid worden gesteld om toestemming te geven voor het filmen of de eigenaar van de camera’s moet een gerechtvaardigd belang hebben. Daarnaast moet aan het beginsel van doelbinding worden voldaan: als de beelden worden doorgezonden met als doel het handhaven van de openbare orde, mogen deze beelden niet worden gebruikt om bijvoorbeeld een kentekenregistratie bij te houden.

Andere gevolgen zijn dat de gefilmde personen moeten worden geïnformeerd over het feit dat zij worden gefilmd en dat zij daarbij de rechten hebben op inzage, rectificatie en vergetelheid ten aanzien van hun persoonsgegevens. Dat dit lang niet altijd gebeurt is wellicht geen verrassing.

Hoe verwerk je geen gegevens?

Het is dus niet zonder meer toegestaan om de openbare weg te filmen, ook niet als de camerabeelden niet worden opgenomen. Het is in de praktijk ook erg moeilijk uitvoerbaar om van iedere gefilmde persoon toestemming te vragen. Er is echter ook een andere oplossing om een afschrikwekkend effect te bewerkstelligen. De dummy-camera zorgt er bijvoorbeeld voor dat mensen wel de indruk hebben dat hun gedrag geobserveerd wordt maar deze verwerkt geen persoonsgegevens.

Uiteindelijk mag je je natuurlijk wel afvragen in welke mate mensen hun gedrag aan gaan passen als zij weten dat zij worden gefilmd, of, wanneer zij in de loop van de tijd ontdekken dat de camera’s nep zijn.

[1] Zie: https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacy-en-persoonsgegevens/verwerken-van-persoonsgegevens.