Camerabeelden zijn persoonsgegevens
Zodra een persoon herkenbaar is op camerabeelden, zijn die beelden persoonsgegevens onder de GDPR (ook wel AVG genoemd). Dat betekent dat alle regels van de GDPR van toepassing zijn: je hebt een verwerkingsgrondslag nodig, je moet betrokkenen informeren, je mag de beelden niet langer bewaren dan nodig, en je moet ze beveiligen.
Dit geldt voor:
- Beveiligingscamera’s bij de ingang van je bedrijf
- Camera’s in een magazijn of werkplaats
- Camera’s op een parking
- Deurbellen met camera (type Ring of Nest)
De enige uitzondering is puur huishoudelijk gebruik: een camera die alleen je eigen tuin filmt, zonder openbare ruimte of buren in beeld. Zodra je camera de straat of het terrein van een buur filmt, gelden de regels.
Wat je moet doen: de basisverplichtingen
1. Je hebt een geldig doel nodig
Geldige doelen voor camerabewaking bij bedrijven zijn:
- Beveiliging van personen en goederen - diefstalpreventie, inbraakdetectie
- Toegangscontrole - vastleggen wie het pand betreedt
- Veiligheid op de werkvloer - toezicht op gevaarlijke processen
“Controleren of werknemers productief zijn” is geen geldig doel. En “het is handig om te hebben” evenmin.
2. Je moet signalisatie plaatsen
Voordat iemand het bewaakte gebied betreedt, moet er een duidelijk pictogram zichtbaar zijn met:
- Het camerapictogram
- De naam en contactgegevens van de verantwoordelijke (jouw bedrijf)
- Het doel van de camerabewaking
- De bewaartermijn van de beelden
- Een verwijzing naar je privacyverklaring (bijv. een URL of QR-code)
Een concreet voorbeeld van wat op het bord moet staan:
Camerabewaking Verantwoordelijke: Bakkerij Janssen BV, Kerkstraat 12, 2000 Antwerpen Doel: beveiliging van personen en goederen Bewaartermijn: maximaal 30 dagen Meer info: www.bakkerijjanssen.be/privacy
3. Je moet de beelden kort bewaren
De standaard bewaartermijn voor camerabeelden is maximaal 1 maand. Dit is de richtlijn van zowel de Belgische GBA als de Nederlandse AP. Na die termijn moeten de beelden automatisch worden overschreven of verwijderd.
Er zijn twee uitzonderingen:
- Een incident is vastgelegd (diefstal, vandalisme, ongeluk): je mag de relevante beelden bewaren totdat het incident volledig is afgehandeld (inclusief eventuele juridische procedures)
- Een bevoegde autoriteit vraagt om de beelden: politie of justitie kan beelden opvragen in het kader van een onderzoek
Stel je camera-systeem in om beelden automatisch te overschrijven na de ingestelde termijn. Bewaar nooit “voor de zekerheid” beelden langer dan nodig.
4. Je moet het documenteren in je verwerkingsregister
Camerabewaking hoort in je verwerkingsregister, met doel, categorieen betrokkenen (werknemers, bezoekers, klanten), bewaartermijn, beveiligingsmaatregelen en verwerkingsgrondslag (meestal gerechtvaardigd belang).
Camera’s en werknemers: extra strenge regels
De basisregel: je mag werknemers niet filmen als controle-instrument. Concreet:
Wat WEL mag:
- Camera’s in gemeenschappelijke ruimtes (magazijn, productiehal) voor veiligheidsdoeleinden, mits werknemers geinformeerd zijn
- Camera’s bij de ingang voor toegangscontrole
- Tijdelijke camera’s om een concreet, gemeld probleem te onderzoeken (bijv. herhaalde diefstal), mits proportioneel
Wat NIET mag:
- Camera’s gericht op individuele werkplekken om prestaties te controleren
- Camera’s in kleedkamers, toiletten, pauzeruimtes of vakbondslokalen
- Verborgen camera’s zonder dat werknemers geinformeerd zijn (behalve in uitzonderlijke gevallen met toestemming van de arbeidsauditeur)
- Permanente, gerichte bewaking van specifieke werknemers
In Belgie moet je bovendien de ondernemingsraad of het comite voor preventie informeren voordat je camera’s installeert. In Nederland geldt een vergelijkbare verplichting via de OR.
Wanneer heb je een DPIA nodig?
Een DPIA (gegevensbeschermingseffectbeoordeling) is verplicht bij:
- Grootschalige, systematische monitoring van openbaar toegankelijke ruimtes (bijv. een winkelcentrum met tientallen camera’s)
- Systematische monitoring van werknemers via camera’s
- Combinatie van camera’s met andere technologie (gezichtsherkenning, gedragsanalyse)
Voor een klein bedrijf met 2-3 camera’s bij de ingang en het magazijn is een DPIA meestal niet nodig. Maar documenteer je overwegingen, zodat je kunt aantonen dat je erover hebt nagedacht.
Veelgemaakte fouten
- Geen of onvolledige signalisatie - het pictogram hangt er wel, maar zonder contactgegevens of doel
- Beelden te lang bewaren - “we laten het systeem gewoon opnemen tot de harde schijf vol is” is geen beleid
- Camera’s richten op openbare weg - je mag alleen je eigen terrein filmen, niet de straat of het trottoir
- Werknemers niet informeren - camera’s hangen er al maanden voordat iemand het hoort
- Beelden delen via WhatsApp - bij een incident beelden rondsturen naar collega’s is een datalek
Wat moet je nu doen?
- Controleer je signalisatie - hangt er een correct pictogram met alle verplichte informatie?
- Stel de bewaartermijn in - configureer je systeem om beelden na maximaal 30 dagen te overschrijven
- Voeg camerabewaking toe aan je verwerkingsregister
- Informeer je werknemers - via het personeelsprivacybeleid
- Beperk de toegang - bepaal wie de beelden mag bekijken en log wie er toegang heeft gehad
GDPRWise helpt je om al je verwerkingsactiviteiten te documenteren, inclusief camerabewaking. Compleet met bewaartermijnen, signalisatie-checklist en aanbevelingen.