Een eigenaar van een winkel plaatste een camera aan de achterwand van de winkel. Op die manier werden voorbijgangers gefilmd op het voetpad langs de winkel. Tegen de plaatsing van deze camera werd een klacht ingediend wegens inbreuken op de GDPR, het recht op afbeelding en de camerawet van 21 juli 2007.
Context
Bewakingscamera die voorbijgangers filmt
Rechtsgrond
Artikel 30 GDPR: “1. Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens: a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming; b) de verwerkingsdoeleinden; c) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; g) indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1.”
Artikel 6.2, lid 1 en 4 van de Camerawet van 21 juli 2007: §2. De verwerkingsverantwoordelijke deelt de in § 1 bedoelde beslissing mee aan de politiediensten. Hij doet dat uiterlijk de dag vóór die waarop de bewakingscamera of -camera’s in gebruik worden genomen.
(…)
De verwerkingsverantwoordelijke houdt een register bij met de beeldverwerkingsactiviteiten van bewakingscamera’s uitgevoerd onder zijn verantwoordelijkheid. Dit register bestaat in schriftelijke, al dan niet elektronische vorm. Op verzoek stelt de verwerkingsverantwoordelijke dit register ter beschikking van de Gegevensbeschermingsautoriteit en van de politiediensten. De Koning bepaalt de inhoud van dit register, de modaliteiten en de bewaartermijn ervan, na advies van de Gegevensbeschermingsautoriteit.”
Art. XI.174 WER: “De auteur of de eigenaar van een portret dan wel enige andere persoon die een portret bezit of voorhanden heeft, heeft niet het recht het te reproduceren of aan het publiek mede te delen zonder toestemming van de geportretteerde of, gedurende twintig jaar na diens overlijden, zonder toestemming van zijn rechtverkrijgenden.”
Feiten
Op 4 september 2018 werd een voetganger gefilmd terwijl hij op het voetpad langs de winkel liep. Hij zou hierbij zichzelf op een televisiescherm van de winkel hebben gezien. Dit zou volgens hem in strijd zijn met zijn recht op afbeelding en meer algemeen van de toepasselijke camera-regelgeving, omdat er geen pictogram op de etalage is aangebracht die voorbijgangers informeren over de aanwezigheid van camera’s.
De verwerking van door bewakingscamera’s gefilmde beelden vormen persoonlijke gegevens die onderworpen zijn aan de GDPR en die parallel aan de Camerawet moeten worden toegepast. De Gegevensbeschermingsautoriteit (GBA) is niet alleen verantwoordelijk voor het toezicht op de naleving van de gegevensbeschermingsbeginselen als bedoeld in de GDPR, maar ook bevoegd voor andere wetten die bepalingen bevatten over de bescherming van de verwerking van persoonsgegevens, waaronder de Wet van 21 maart 2007 tot regeling van de installatie en het gebruik van bewakingscamera’s (Camerawet).
Op de hoorzitting van 13 maart 2020 geeft de eigenaar van de winkel uitdrukkelijk toe dat zij zich heeft vergist bij de aangifte van de bewakingscamera’s aan de Commissie voor de Bescherming van de Persoonlijke Levenssfeer (hierna: CBPL). Nochtans bepaalt artikel 6, §2, lid 1 van de Camerawet dat de verwerkingsverantwoordelijke de politiediensten moet inlichten over de plaatsing en ingebruikname van één of meer bewakingscamera’s in een gesloten plaats die toegankelijk is voor het publiek. Artikel 6, §2, lid 1 van de Camerawet werd m.a.w. niet nageleefd.
Volgens artikel 30 van de GDPR moet elke verwerkingsverantwoordelijke daarenboven een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid worden uitgevoerd. Om de gegevensbeschermingsregels uit de GDPR doeltreffend te kunnen toepassen en de verplichtingen na te komen, is het immers noodzakelijk dat de verwerkingsverantwoordelijke en de verwerker een overzicht hebben van alle persoonsgegevensverwerkingen die zij verrichten. In combinatie hiermee houdt de verwerkingsverantwoordelijke krachtens artikel 6.2, lid 4 van de Camerawet een register bij met de beeldverwerkingsactiviteiten van de bewakingscamera’s die onder zijn verantwoordelijkheid in werking zijn.
De Geschillenkamer concludeert uit het voorgaande dat de eigenaar van de winkel niet beschikt over een volledig register van de verwerkingsactiviteiten die zij verricht (met inbegrip van de beeldverwerkingsactiviteiten) wat in strijd is met de artikelen 30 van de GDPR en artikel 6. 2, lid 4 van de Camerawet.
Het ontbreken van een register vormt sinds 25 mei 2018 een ernstige inbreuk, aangezien deze verplichting de bedoeling heeft om de verwerkingsverantwoordelijke bewust te maken van alle verwerkingen die zij verricht en haar verplichtingen die voortvloeien uit de GDPR.
Uitspraak
De Geschillenkamer besluit om de eigenaar van de winkel vooreerst een berisping op te leggen. Ten tweede beveelt de Geschillenkamer de eigenaar om een register van alle verwerkingsactiviteiten op te stellen waarbij deze laatste de Geschillenkamer moet inlichten over de implementatie van het register van verwerkingsactiviteiten.
Onze mening
De Camerawetgeving en de GDPR staan niet los van elkaar. Als je camera’s installeert die in orde zijn betreffende de camerawetgeving, betekent dit niet automatisch dat ze conform de GDPR gebruikt worden.
Het bijhouden van een verwerkingsregister is een belangrijke verplichting onder de GDPR.
Hoewel er in de beslissing van de GBA niet specifiek wordt ingegaan op het recht van afbeelding is het wel interessant om ook dit aspect van naderbij te bekijken. Het maken van beelden en het (verder) gebruiken van deze beelden is steeds afhankelijk van de toestemming van de betrokken persoon. Het feit dat een persoon ermee instemt om gefilmd te worden, betekent niet noodzakelijkerwijs dat hij of zij instemt met de publicatie of verspreiding van deze beelden. Deze twee toestemmingen staan los van elkaar en moeten daarom apart worden gevraagd. Om de toestemming gemakkelijker te kunnen bewijzen, wordt aangeraden om gebruik te maken van een schriftelijk akkoord.
Definitief?
Ja
Integrale beslissing