mag ik camerabeelden van klanten in mijn winkel bewaren

Camerabeelden bewaren mag, maar niet onbeperkt

Camerabeelden van klanten mogen bewaard worden, zolang daar een duidelijk doel achter zit en de beelden niet langer worden vastgehouden dan voor dat doel nodig is. Het gangbare doel bij een winkel is beveiliging: diefstal, inbraak of geweld tegen personeel voorkomen en achteraf kunnen onderzoeken. Voor dat doel geldt in de praktijk een bewaartermijn die kort is — bewaking die na een paar weken nog geen aanleiding heeft gegeven om beelden apart te zetten, hoort in de regel gewist te zijn. Camerabeelden zijn persoonsgegevens zodra een klant erop herkenbaar is, en daarmee valt het opnemen, bewaren en bekijken ervan onder de AVG, net als een klantenbestand of een sollicitatiedossier.

Wat de camera vastlegt moet ook in verhouding staan tot het doel. Een camera die de kassa en de ingang filmt ten behoeve van beveiliging staat op andere grond dan een camera die continu op het personeel gericht staat om prestaties te controleren — dat laatste is een ander doel en vraagt een andere afweging. Ook geldt dat klanten en personeel moeten kunnen weten dat er camera's hangen, meestal via een duidelijk zichtbaar bordje bij de ingang, en dat de beelden niet zomaar voor een ander doel gebruikt worden dan waarvoor ze zijn opgehangen. Wie behalve beveiligingsbeelden ook andere klantgegevens vastlegt, bijvoorbeeld voor een nieuwsbrief of een klantenbestand, doet er goed aan die verwerkingen apart te beoordelen — de grondslag en de bewaartermijn kunnen per soort gegeven verschillen.

Grondslag en opslagbeperking uit de AVG

Dat er een geldige grondslag moet zijn voor het filmen van klanten volgt uit artikel 6 van de AVG, dat de voorwaarden voor rechtmatige verwerking beschrijft; bij winkelbeveiliging wordt meestal gekeken naar het gerechtvaardigd belang van de ondernemer. Dat beelden niet langer bewaard mogen worden dan nodig is voor dat doel volgt uit het beginsel van opslagbeperking in artikel 5 van de AVG. Deze regels gelden overal in de EU rechtstreeks, omdat de AVG een verordening is; wat verschilt is de toezichthouder die er in een lidstaat op toeziet en eventuele nadere uitleg die die toezichthouder geeft — in Nederland is dat de Autoriteit Persoonsgegevens, die ook praktische richtlijnen publiceert over cameratoezicht. Voor de bredere vraag welke ondernemingen onder deze regels vallen, zie geldt de AVG ook voor zzp en kleine bedrijven; en wie zich afvraagt welke grondslag precies van toepassing is op een specifieke verwerking, vindt de mogelijkheden toegelicht bij wanneer mag ik persoonsgegevens verwerken.