Camerabewaking
AVG & privacy
DPIA bij camerabewaking: wanneer verplicht en hoe pak je het aan?
Een DPIA (Data Protection Impact Assessment) is een verplichte privacytoets bij verwerkingen met een hoog risico — en camerabewaking valt daar sneller onder dan veel bedrijven denken. We leggen helder uit wánneer een DPIA verplicht is, wanneer niet, en hoe je het praktisch aanpakt.
Artikel 35 AVG
Grootschalig + openbaar = vaak verplicht
Woning meestal niet
Kort antwoord
In het kort
Een DPIA is verplicht als je met camera’s stelselmatig en grootschalig een openbaar toegankelijke ruimte in beeld brengt (artikel 35 AVG). Voor een gewone woningcamera op eigen terrein is een DPIA meestal niet nodig; voor bedrijven die bijvoorbeeld een parkeerterrein, winkelstraat of bedrijventerrein filmen, vaak wél.
WatEen verplichte risicobeoordeling die vooraf de privacyrisico’s van een verwerking in kaart brengt.
WanneerBij een waarschijnlijk hoog risico — o.a. grootschalige, stelselmatige cameraobservatie van openbaar toegankelijke ruimte.
WieDe verwerkingsverantwoordelijke (jij als organisatie). De Autoriteit Persoonsgegevens houdt toezicht.
Beslishulp
Is een DPIA verplicht voor jouw camera’s?
Loop de drie vragen langs — zo weet je in de meeste gevallen of een DPIA nodig is.
1
→
Vraag 1
Film je een openbaar toegankelijke ruimte (straat, plein, parkeerterrein)?
NeeMeestal geen DPIAWel de AVG-basisregels: grondslag, kenbaarheid, bewaartermijn.
2
→
Vraag 2 (als “ja” op 1)
Doe je dat grootschalig én stelselmatig — veel camera’s of bezoekers, doorlopend?
NeeWaarschijnlijk geen DPIABeoordeel per situatie; bij twijfel gewoon uitvoeren.
3
→
Vraag 3 (als “ja” op 2)
Grootschalige, stelselmatige monitoring van openbare ruimte — of kenteken-/gezichtsherkenning?
JaDPIA verplichtArtikel 35 AVG — voer de DPIA uit vóór je start.
De basis
Wat is een DPIA precies?
DPIA staat voor Data Protection Impact Assessment, in het Nederlands ook wel een gegevensbeschermingseffectbeoordeling (GEB). Het is een instrument uit de AVG waarmee je vóórdat je begint met verwerken de privacyrisico’s voor de betrokkenen (de mensen die in beeld komen) beoordeelt en beperkt.
De gedachte: bij verwerkingen met een hoog risico wil je niet achteraf ontdekken dat je te veel vastlegt, te lang bewaart of mensen onvoldoende informeert. Een DPIA dwingt je om daar vooraf goed over na te denken — en het vast te leggen.
Verplicht of niet
Wanneer is een DPIA verplicht bij camera’s?
De AVG (artikel 35) verplicht een DPIA bij een waarschijnlijk hoog risico. Specifiek voor camera’s is artikel 35, lid 3c van belang: stelselmatige en grootschalige monitoring van een openbaar toegankelijke ruimte. Denk aan:
Openbaar toegankelijk terreinParkeerterreinen, winkelstraten, bedrijventerreinen, portieken of pleinen die het publiek kan betreden.
GrootschaligVeel camera’s, veel betrokkenen of een groot gebied — bijvoorbeeld een winkelcentrum of groot bedrijfsterrein.
StelselmatigDoorlopend of volgens een vast patroon, niet incidenteel.
Bijzondere gegevens of AIHerkenning (kenteken, gezicht) of gedragsanalyse verhoogt het risico en daarmee de kans op een DPIA-plicht.
Twijfel je? De Autoriteit Persoonsgegevens heeft een lijst met verwerkingen waarvoor een DPIA altijd verplicht is. Bij grootschalige cameraobservatie is het verstandig om de DPIA gewoon uit te voeren — het is ook een goede onderbouwing dat je zorgvuldig te werk gaat.
Meestal geen DPIA
Wanneer is een DPIA meestal niet nodig?
Voor de meeste particuliere camera’s op eigen terrein is een DPIA niet verplicht: je filmt kleinschalig je eigen woning en erf, niet stelselmatig een openbaar gebied. Ook een klein bedrijf dat alleen de eigen entree of het eigen magazijn in beeld heeft, valt er doorgaans buiten.
Let op: geen DPIA-plicht betekent niet “geen regels”. Ook dan gelden de AVG-basisregels: een geldige grondslag, niet meer filmen dan nodig, mensen informeren (bordjes), een redelijke bewaartermijn en de openbare weg zoveel mogelijk buiten beeld houden.
Stappenplan
De vier stappen van een DPIA
1. Beschrijf de verwerkingWelke camera’s, welk gebied, welke beelden, hoe lang bewaard en wie heeft toegang?
2. Noodzaak & proportionaliteitIs camerabewaking echt nodig, of kan het met minder? Weegt het doel op tegen de inbreuk op privacy?
3. Risico’s in kaartWat kan er misgaan voor de mensen in beeld — onnodig vastleggen, datalek, te ruime toegang?
4. MaatregelenBeperk de risico’s: kadreren, maskeren, korte bewaartermijn, toegangsbeperking, beveiliging.
Blijft er ondanks de maatregelen een hoog restrisico? Dan moet je vóór de start eerst de Autoriteit Persoonsgegevens raadplegen (voorafgaande raadpleging).
Onze rol
Zo leveren wij een systeem dat de DPIA doorstaat
De DPIA is een juridisch document, maar de meeste maatregelen zijn technisch en praktisch — en juist daar helpen wij. We ontwerpen camerabewaking die van meet af aan privacyvriendelijk is:
Alleen filmen wat nodig is (goede camerakeuze en kadrering, privacymaskering van de openbare weg of buurpanden), een passende bewaartermijn instellen, de beelden op je eigen recorder houden, toegang beperken met accounts en gekoppeld aan toegangscontrole, en zorgen dat het systeem kenbaar is met de juiste bordjes. Voor bedrijven werken we dit uit in het ontwerp van je zakelijke camerabewaking.
Deze uitleg is algemene informatie, geen juridisch advies. Voor jouw specifieke situatie zijn de Autoriteit Persoonsgegevens en een privacyjurist leidend.
Veelgestelde vragen
DPIA & camerabewaking
Heb ik een DPIA nodig voor camera’s bij mijn woning?
Meestal niet. Een gewone woningcamera die kleinschalig je eigen terrein filmt, valt niet onder de DPIA-plicht. Wel gelden de AVG-basisregels: niet meer filmen dan nodig, de openbare weg zoveel mogelijk buiten beeld en een redelijke bewaartermijn.
Wanneer is een DPIA voor mijn bedrijf wel verplicht?
Als je stelselmatig en grootschalig een openbaar toegankelijke ruimte in beeld brengt (artikel 35 AVG), bijvoorbeeld een parkeerterrein, winkelstraat of groot bedrijventerrein. Ook kenteken- of gezichtsherkenning verhoogt de kans op een DPIA-plicht.
Wie moet de DPIA uitvoeren?
De verwerkingsverantwoordelijke — dat is de organisatie die bepaalt waarom en hoe er gefilmd wordt. Een installatiebedrijf levert de techniek en maatregelen, maar de DPIA blijft de verantwoordelijkheid van de organisatie zelf.
Wat gebeurt er als ik geen DPIA doe terwijl het wel moet?
Het ontbreken van een verplichte DPIA is een overtreding van de AVG waarop de Autoriteit Persoonsgegevens kan handhaven, met mogelijke boetes. Belangrijker: je loopt het risico dat je systeem niet rechtmatig is en beelden onbruikbaar zijn.
Camerabewaking AVG-proof laten aanleggen?
Wij ontwerpen het meteen privacyvriendelijk
Van camerakeuze en kadrering tot bewaartermijn en toegang — we zorgen dat je systeem technisch klopt en de privacytoets doorstaat. Plan een vrijblijvend adviesgesprek.