wanneer ben ik verplicht om mijn camera aan te melden bij de Autoriteit Persoonsgegevens

Wanneer moet u uw camera aanmelden bij de Autoriteit Persoonsgegevens?

Sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 bestaat er geen algemene meldplicht meer voor camerasystemen bij de Autoriteit Persoonsgegevens. De vroegere verplichte melding via het 'meldingenregister' is komen te vervallen. In de meeste gevallen hoeft u uw camera dus niet aan te melden, maar u bent wél verplicht om aan alle overige AVG-regels te voldoen.

Wat is er dan wél verplicht?

Hoewel de directe meldplicht is afgeschaft, gelden er onder de AVG strenge verplichtingen voor iedereen die camerabeelden opneemt van mensen:

1. Register van verwerkingsactiviteiten

Als organisatie bent u verplicht om een intern register van verwerkingsactiviteiten bij te houden. Hierin legt u vast welke persoonsgegevens u verwerkt, waaronder ook camerabeelden. Dit geldt voor bedrijven met meer dan 250 medewerkers, maar ook voor kleinere organisaties als de verwerking een hoog risico inhoudt of regelmatig plaatsvindt.

2. Data Protection Impact Assessment (DPIA)

In bepaalde gevallen bent u verplicht om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren. Dit is een risicoanalyse die u maakt vóórdat u begint met de cameraverwerking. Een DPIA is verplicht wanneer uw camerasysteem:

• Gebruikmaakt van slimme camera's met gezichtsherkenning of gedragsanalyse
• Op grote schaal mensen filmt, zoals in winkelcentra, stations of op openbare pleinen
• Combineert met andere gegevens, zoals personeelsdossiers of toegangspassen
• Systematisch gedrag of bewegingen van mensen volgt

De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. Camerabewaking met biometrische verwerking staat hier expliciet op vermeld.

3. Raadpleging van de AP bij hoog risico

Als uit uw DPIA blijkt dat er een hoog restrisico overblijft dat u niet kunt beperken, dan bent u wél verplicht om de Autoriteit Persoonsgegevens vooraf te raadplegen. De AP heeft dan een termijn van 8 weken (die verlengd kan worden met nog eens 6 weken) om te reageren.

Praktijkvoorbeelden

Voorbeeld 1: Een winkelier die zijn winkel beveiligt Een kleine ondernemer die één of twee camera's hangt gericht op de kassa en de ingang hoeft deze niet aan te melden bij de AP. Wel moet hij voldoen aan de informatieplicht (een camerabord ophangen), de beelden niet langer dan 4 weken bewaren en zorgen voor een geldige grondslag (zoals een gerechtvaardigd belang).

Voorbeeld 2: Een gemeente die gezichtsherkenning inzet Een gemeente die op een druk plein camera's wil inzetten met gezichtsherkenningssoftware is verplicht eerst een DPIA uit te voeren. Blijkt hieruit dat er hoge risico's zijn voor de privacy van burgers, dan moet de gemeente dit voorleggen aan de AP vóór de ingebruikname.

Voorbeeld 3: Een werkgever die medewerkers filmt Wanneer een werkgever cameratoezicht houdt op de werkvloer, gelden extra strikte regels. Heimelijk filmen van medewerkers is in principe verboden. De werkgever moet medewerkers informeren en een geldige reden hebben. In veel gevallen is ook instemming van de ondernemingsraad vereist op basis van de Wet op de Ondernemingsraden (WOR).

Samenvatting: wanneer wél contact opnemen met de AP?

Kort samengevat: u hoeft uw camera niet aan te melden bij de AP, maar u kunt wel verplicht zijn een DPIA uit te voeren en in specifieke gevallen de AP vooraf te raadplegen. Zorg er altijd voor dat u voldoet aan de basisverplichtingen van de AVG, zoals transparantie, beperkte bewaartermijnen en een geldige verwerkingsgrondslag.