Hoe lang mag ik camerabeelden van mijn bedrijf bewaren?
De AVG zelf noemt geen vaste termijn voor camerabeelden. De verordening schrijft voor dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld, en laat het aan de organisatie zelf over om die termijn te bepalen en te kunnen uitleggen.
Voor cameratoezicht op de werkvloer of in een winkel of bedrijfshal hanteert de Autoriteit Persoonsgegevens in haar richtsnoeren als uitgangspunt een bewaartermijn van ongeveer vier weken, tenzij er een concrete aanleiding is om beelden langer te bewaren. Dat uitgangspunt staat niet letterlijk in de wet, maar is de manier waarop de toezichthouder het beginsel van dataminimalisatie invult voor deze specifieke situatie. Wie standaard drie maanden of langer bewaart zonder dat daar een reden voor is, wijkt van dat uitgangspunt af.
Waarom vier weken en niet langer
Het doel van cameratoezicht is meestal beveiliging: diefstal voorkomen, inbraak achterhalen, incidenten met personeel of bezoekers kunnen reconstrueren. Zodra dat doel niet meer speelt, vervalt ook de grond om de beelden te bewaren. Vier weken geldt als de periode waarin een incident normaal gesproken wordt opgemerkt en gemeld: een kassaverschil, een klacht, een schadegeval. Bewaart u standaard langer, dan moet u kunnen uitleggen waarom dat voor uw situatie nodig is, bijvoorbeeld omdat controles pas na een langere cyclus plaatsvinden.
Wanneer een langere termijn wel te verantwoorden is
Er zijn situaties waarin een langere bewaartermijn wel te onderbouwen is. Denk aan beelden die onderdeel zijn van een lopend onderzoek naar diefstal, een geschil met een leverancier waarbij camerabeelden als bewijs dienen, of een verzoek van de politie in het kader van een strafzaak. In die gevallen bewaart u niet de hele set beelden langer, maar isoleert u het relevante fragment en verwijdert u de rest volgens de gewone termijn. Die selectie, en de reden daarvoor, legt u het beste vast op het moment zelf, niet achteraf.
Camera's horen ook in het verwerkingsregister
Cameratoezicht is een verwerking van persoonsgegevens zoals elke andere, en hoort dus als apart onderdeel in het verwerkingsregister te staan: met het doel, de bewaartermijn, wie er toegang heeft tot de beelden en of er wordt uitgekeken naar buiten (met kans op beelden van de openbare weg, wat extra aandacht vraagt). Veel ondernemers vergeten dit onderdeel omdat het geen SaaS-tool of leverancier betreft, maar een eigen systeem. In de kennisbank waar bewaartermijnen per situatie zijn uitgezocht staat cameratoezicht als apart onderwerp naast andere veelgestelde bewaartermijnen.
Wat als een medewerker of klant om de beelden vraagt
Een betrokkene die op de beelden voorkomt, kan om inzage vragen. Dat is geen uitzonderlijk verzoek: het valt onder de gewone rechten van betrokkenen. Praktisch betekent dit dat u de beelden waarop de verzoeker te zien is, moet kunnen tonen of overhandigen, met de andere personen op de beelden onherkenbaar gemaakt. Hoe korter uw bewaartermijn, hoe kleiner de kans dat u dit met terugwerkende kracht nog moet organiseren over een grote hoeveelheid materiaal.
Camerabeelden en een datalek
Een los punt, maar wel relevant: als een harde schijf met camerabeelden wordt gestolen, een systeem gehackt wordt of beelden per ongeluk breed toegankelijk staan, is dat in beginsel een datalek zoals elk ander. De vraag of het gemeld moet worden bij de Autoriteit Persoonsgegevens hangt af van het risico voor de mensen op de beelden. Twijfelt u daarover, dan kunt u dat in vijf vragen zien waar u staat nagaan.
Beveiliging van de beelden zelf
Naast de bewaartermijn speelt ook mee wie er bij de beelden kan. Een systeem dat door iedereen op de vloer met één wachtwoord te benaderen is, past niet goed bij het uitgangspunt dat toegang beperkt moet zijn tot wie het echt nodig heeft. Meer over wat daarbij gebruikelijk is, leest u onder hoe gegevens zoals camerabeelden beveiligd moeten worden.
Of uw huidige bewaartermijn en toegangsregeling passen bij uw specifieke situatie, is iets wat u het beste met een jurist of, bij twijfel over de meldplicht, met de Autoriteit Persoonsgegevens zelf bespreekt. Wilt u eerst zelf een beeld krijgen van waar cameratoezicht in uw register en documentatie thuishoort, dan kunt u de gratis quick-scan doen of de onderwerpen rond personeelsgegevens en camera's doorlezen.