Cameratoezicht en de AVG: regels voor bedrijven

Cameratoezicht is toegestaan onder de AVG, maar alleen als het écht nodig is en zorgvuldig is ingericht. De kern voor bedrijven: u heeft een grondslag nodig (meestal gerechtvaardigd belang met een noodzakelijkheidstoets), u moet mensen informeren dat er wordt gefilmd, u bewaart beelden maximaal vier weken tenzij een incident langer bewaren rechtvaardigt, en heimelijk toezicht op werknemers is vrijwel nooit toegestaan. Deze gids zet de regels op een rij zoals de Autoriteit Persoonsgegevens (AP) ze toepast.

1. Grondslag: gerechtvaardigd belang plus noodzaak

Camerabeelden waarop personen herkenbaar zijn, zijn persoonsgegevens. U heeft dus een grondslag nodig uit artikel 6 van de AVG (EUR-Lex, CELEX 32016R0679). Voor bedrijven is dat doorgaans gerechtvaardigd belang (art. 6 lid 1 sub f): beveiliging van eigendommen, personeel en klanten. Maar gerechtvaardigd belang is geen vrijbrief — u moet de driestapstoets doorlopen:

1. Belang — is er een concreet, legitiem doel (bijvoorbeeld diefstalpreventie)?
2. Noodzaak — kan het doel niet met een minder ingrijpend middel worden bereikt (betere sloten, verlichting)?
3. Afweging — weegt uw belang zwaarder dan de privacy van de gefilmde personen?

Alleen als alle drie de stappen slagen, is cameratoezicht rechtmatig. De keuze en onderbouwing van de grondslag werk ik uit in de gids over de rechtsgronden van artikel 6 AVG. Documenteer deze afweging — de AP vraagt er bij een onderzoek naar.

2. Informatieplicht: bordjes en meer

U moet mensen vóórdat ze gefilmd worden informeren. In de praktijk gebeurt dat met duidelijke bordjes (“Hier wordt gefilmd”) bij de ingang. Maar een bordje alleen is niet genoeg: op grond van de informatieplicht (art. 13 AVG) moeten betrokkenen ook kunnen achterhalen wie de verantwoordelijke is, wat het doel is, hoe lang beelden worden bewaard en welke rechten zij hebben. Verwijs vanaf het bordje naar een vindbare uitleg, bijvoorbeeld op uw website of privacyverklaring.

3. Bewaartermijn: maximaal vier weken

De AP hanteert als richtlijn dat camerabeelden niet langer dan vier weken worden bewaard. Langer bewaren mag alleen als dat nodig is voor de afhandeling van een concreet incident (bijvoorbeeld beelden van een inbraak die nog wordt onderzocht). Beelden zonder incident moeten na afloop automatisch worden overschreven.

Leg deze termijn vast in uw bewaarbeleid — zie het bredere overzicht van AVG-bewaartermijnen — en zorg dat het systeem daadwerkelijk overschrijft. Een camerasysteem dat maanden aan beelden opslaat “voor het geval dat”, is een overtreding van de opslagbeperking.

4. Camera’s op de werkvloer

Cameratoezicht op de werkvloer raakt de werknemersrelatie en kent daarom extra eisen. Naast grondslag en informatieplicht geldt:

• DPIA — grootschalig of systematisch cameratoezicht staat op de lijst van verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling verplicht is.
• OR-instemming — de ondernemingsraad heeft instemmingsrecht bij het invoeren van personeelsvolgsystemen (WOR art. 27).
• Geen camera’s in ruimtes met hoge privacyverwachting: toiletten, kleedkamers, pauzeruimtes.
• Geen prestatiemeting — camera’s zijn voor beveiliging, niet om productiviteit te meten.

De bredere regels voor toezicht op personeel behandel ik in de gids AVG voor werkgevers.

5. Heimelijk cameratoezicht

Heimelijk (verborgen) cameratoezicht op werknemers is vrijwel nooit toegestaan. Het mag alleen als uiterste middel bij een concrete verdenking van bijvoorbeeld diefstal, tijdelijk, gericht, nadat andere middelen zijn uitgeput, en met achteraf informeren van de betrokkenen. Zonder die strikte voorwaarden is heimelijk toezicht onrechtmatig — en de gevolgen (bewijsuitsluiting, boete, schadeclaim) zijn groot. De les uit de handhavingspraktijk: verborgen camera’s inzetten “om eens te kijken” loopt slecht af.

6. Deurbelcamera’s en de openbare weg

Een veelgemaakte fout: een beveiligings- of deurbelcamera die niet alleen uw eigen terrein maar ook de openbare weg of de tuin van de buren filmt. Zodra u structureel de openbare ruimte of andermans terrein filmt, verwerkt u persoonsgegevens van voorbijgangers en buren, en valt u niet meer onder de “huishoudelijke uitzondering”. Richt camera’s zo dat ze zoveel mogelijk alleen uw eigen terrein bestrijken.

7. Wifi-tracking: de grens van “cameratoezicht”

Sommige organisaties combineren camera’s met wifi-tracking om bezoekersstromen te volgen. Dat gaat verder dan beveiliging en raakt bewegingsprofielen. De AP beboette de gemeente Enschede met 600.000 euro (2021) voor het volgen van bezoekers in de binnenstad via wifi-tracking zonder geldige grondslag. De les: locatietracking van het publiek vergt een veel zwaardere onderbouwing dan gewoon cameratoezicht en is zelden proportioneel.

Praktische checklist

• Grondslag bepaald en driestapstoets gedocumenteerd.
• Bordjes plus vindbare uitleg (verantwoordelijke, doel, termijn, rechten).
• Bewaartermijn maximaal vier weken, automatisch overschrijven.
• DPIA bij grootschalig of werkvloertoezicht.
• OR-instemming bij camera’s op de werkvloer.
• Geen camera’s in privacygevoelige ruimtes.
• Camera’s gericht op eigen terrein, niet de openbare weg.

Wie meerdere locaties met camera’s beheert, moet grondslag, DPIA en bewaartermijn per systeem bijhouden. Een compliance-platform zoals Legiscope koppelt deze elementen aan het verwerkingsregister, zodat cameratoezicht controleerbaar blijft.

Twee praktische thema’s verdienen tot slot aandacht. Ten eerste de opkomst van slimme camera’s met gezichtsherkenning of gedragsanalyse. Gezichtsherkenning verwerkt biometrische gegevens en valt daarmee onder het verwerkingsverbod van artikel 9 AVG; voor private beveiliging is dat vrijwel nooit toegestaan, en de AP is er uitgesproken kritisch over. Wie overweegt camera’s te voorzien van herkenningssoftware, moet ervan uitgaan dat dit juridisch vrijwel altijd onhaalbaar is zonder een expliciete wettelijke basis. Ten tweede de toegang tot beelden: bepaal vooraf wie de beelden mag bekijken, leg dat vast, en registreer wie wanneer beelden heeft ingezien. Ongecontroleerde toegang tot camerabeelden is zelf een beveiligingsrisico en ondermijnt de rechtmatigheid van het hele systeem. Behandel opgeslagen beelden daarom met dezelfde toegangsdiscipline als andere gevoelige persoonsgegevens.

FAQ

Hoe lang mag ik camerabeelden bewaren?

Maximaal vier weken, volgens de richtlijn van de AP. Langer bewaren mag alleen als dat nodig is voor de afhandeling van een concreet incident, zoals beelden van een inbraak die nog wordt onderzocht. Beelden zonder incident moeten na die termijn automatisch worden overschreven.

Heb ik een grondslag nodig voor beveiligingscamera’s?

Ja. Meestal is dat gerechtvaardigd belang (art. 6 lid 1 sub f AVG), maar u moet aantonen dat cameratoezicht noodzakelijk is en dat het doel niet met een minder ingrijpend middel bereikt kan worden. Documenteer die afweging; de AP kan erom vragen.

Mag ik heimelijk mijn werknemers filmen?

Vrijwel nooit. Heimelijk cameratoezicht mag alleen als uiterste middel bij een concrete verdenking, tijdelijk en gericht, nadat andere middelen zijn uitgeput, en met achteraf informeren. Buiten die strikte voorwaarden is het onrechtmatig, met kans op bewijsuitsluiting en boete.

Moet ik een DPIA doen voor cameratoezicht?

Bij grootschalig of systematisch cameratoezicht en bij camera’s op de werkvloer: ja. Deze verwerkingen staan op de lijst waarvoor een gegevensbeschermingseffectbeoordeling verplicht is. Bij één beveiligingscamera op een klein terrein is een DPIA doorgaans niet vereist, maar de grondslagafweging moet u altijd documenteren.

Conclusie

Cameratoezicht onder de AVG draait om proportionaliteit en transparantie. U mag filmen voor beveiliging, mits u de noodzaak aantoont, mensen informeert, beelden maximaal vier weken bewaart en camera’s op de werkvloer via DPIA en OR-instemming regelt. Heimelijk toezicht en wifi-tracking zijn de grote valkuilen — de Enschede-boete van 600.000 euro laat zien hoe hard de AP daarop is. Richt uw camera’s op wat echt nodig is, en leg de onderbouwing vast.

Een laatste advies: behandel cameratoezicht niet als een eenmalige installatie maar als een lopende verwerking die onderhoud vraagt. Controleer periodiek of de camera’s nog hetzelfde doel dienen, of de bewaartermijn wordt nageleefd, of de bordjes en informatie nog kloppen, en of niemand ongemerkt de opnames voor andere doeleinden gebruikt. Cameratoezicht dat ooit rechtmatig begon, kan onrechtmatig worden zodra het doel verschuift of de beelden langer worden bewaard dan afgesproken. Een jaarlijkse toets houdt het systeem binnen de lijnen van de AVG.

Zie ook: AVG in de horeca, AVG in de detailhandel en AVG bij gemeenten.