Camerabeelden bewaren: dit is de bewaartermijn die echt geldt voor je bedrijf

Typ "camerabeelden bewaartermijn" in Google en je krijgt overal hetzelfde antwoord: vier weken. Beveiligingsbedrijven noemen het, advieskantoren noemen het, en sommige juridische blogs noemen het zelfs "de wettelijke bewaartermijn".

Dat getal komt uit een ouder beleidsdocument van het inmiddels opgeheven College bescherming persoonsgegevens, de voorganger van de Autoriteit Persoonsgegevens (AP). Op de huidige website van de AP en op het Ondernemersplein van de Rijksoverheid — de twee instanties die voor Nederlandse bedrijven bepalen wat wel en niet mag met camerabeelden — staat geen vast aantal weken meer.

Wat er wel staat, is een andere regel, en die is in de praktijk strenger omdat ze geen vaste deadline geeft waarachter je je kunt verschuilen. "U bewaart camerabeelden niet langer dan nodig is," schrijft het Ondernemersplein. De AP formuleert het vrijwel letterlijk zo: "U mag de camerabeelden niet langer bewaren dan noodzakelijk is."

Het verschil is niet cosmetisch. Een vaste termijn van vier weken zou je vrijspreken zodra je beelden na die periode wist, wat je ook filmde of waarom. "Niet langer dan noodzakelijk" vraagt juist dat je per situatie kunt uitleggen waarom je de beelden nog hebt. Film je de kassa om diefstal te voorkomen, dan is de standaardbewaartijd van je beveiligingssysteem meestal verdedigbaar, zolang je die kunt onderbouwen. Is er een incident vastgelegd — een inbraak, diefstal door een medewerker — dan mag je die beelden bewaren tot de zaak is afgehandeld, ook als dat langer dan een maand duurt.

De AVG behandelt camerabeelden als persoonsgegevens, want je legt herkenbare mensen vast. Dat betekent dat de gewone AVG-regels gelden: je hebt een doel nodig, je moet dat doel kunnen onderbouwen, en je bewaart niet langer dan voor dat doel nodig is.

In de praktijk komt dat neer op een paar dingen die je moet kunnen laten zien als iemand ernaar vraagt — een klant, een (ex-)medewerker, of de AP zelf:

• Een doel. Diefstalpreventie, veiligheid van personeel, bewaking van bedrijfseigendommen. Geen doel betekent geen rechtmatige grond om te filmen.
• Een bewaartermijn die bij dat doel past, en die je vooraf hebt vastgelegd, niet achteraf verzonnen na een incident.
• Transparantie. Bordjes bij de camera's die zichtbaar zijn voordat iemand het gefilmde gebied binnenloopt, en een vindbare uitleg — bijvoorbeeld in je privacyverklaring — over wie de beelden ziet en hoe lang ze blijven staan.

Gebruik je camera's op veel plekken of voor een langere periode, dan is een DPIA (data protection impact assessment, een risicobeoordeling van de privacy-impact) verplicht, meldt het Ondernemersplein. Datzelfde geldt zodra je een verborgen camera inzet: die mag sowieso alleen bij een concreet vermoeden van diefstal of fraude, tijdelijk, en pas nadat andere middelen zijn geprobeerd.

Dit is geen papierwerk om het papierwerk. Bij een geschil met een werknemer die je op beeld hebt vastgelegd, is dit precies waar een rechter of de AP naar vraagt: had je dit vooraf bepaald, of verzin je het nu ter plekke?

Zet je camera's neer op de werkvloer, dan ben je niet alleen de AVG verschuldigd — je hebt ook de Wet op de ondernemingsraden tegen je. De AP is daar kort over: "De ondernemingsraad of medezeggenschapsraad moet hebben ingestemd met de camera's voordat u mag starten met het cameratoezicht." Het Ondernemersplein formuleert het net zo hard: je moet je plannen bespreken met de OR of personeelsvertegenwoordiging (PVT), en die moet ermee instemmen.

Dat instemmingsrecht geldt voor camera's die het werk of gedrag van medewerkers kunnen volgen, niet alleen voor camera's die uitdrukkelijk op personeel zijn gericht. Een camera bij de achteruitgang die toevallig ook een deel van de werkplek in beeld brengt, valt er al onder.

Heb je geen ondernemingsraad, bijvoorbeeld omdat je bedrijf daar te klein voor is? Dan vervalt het instemmingsrecht, maar niet de informatieplicht. Je moet medewerkers dan nog steeds vooraf en duidelijk informeren over waar de camera's hangen, waarom, en hoe lang de beelden blijven staan.

Veel ondernemers zetten camera's neer om diefstal door klanten tegen te gaan en vergeten dat het personeel ook op die beelden staat. Dat is het moment waarop dit traject misgaat: niet bij de installatie, maar achteraf, als een medewerker vraagt waarom hij nooit iets over cameratoezicht heeft gehoord, of waarom de OR er niet bij betrokken is geweest.

Een cameraregeling hoeft geen juridisch document van tien pagina's te zijn. Wat je praktisch vastlegt, zodat je het kunt tonen zodra erom gevraagd wordt:

• Waarom je filmt. Eén zin per camera of cameragroep: kassa tegen diefstal, magazijn tegen inbraak, ingang voor toegangscontrole.
• Hoe lang de beelden blijven staan, en waarom die termijn bij het doel past. Bij de standaardinstelling van je beveiligingssysteem is dat meestal verdedigbaar, zolang je die bewust hebt gekozen; bewaar je structureel veel langer, leg dan vast waarom.
• Wie er bij mag. Eén beheerder, of een lijst van personen met toegang tot de beelden. Zonder die lijst kun je bij een incident niet aantonen wie de beelden heeft bekeken.
• Wat er gebeurt bij een incident. Hoe lang je beelden van een vastgelegde diefstal bewaart, en wie daarover beslist.
• Hoe je mensen informeert. Bordjes bij de ingang van het gefilmde gebied, en een paar zinnen in je privacyverklaring.

Dit kost een paar uur, eenmalig, en voorkomt een vervelend gesprek achteraf — met een medewerker, een klant, of in het ergste geval de Autoriteit Persoonsgegevens. Zonder deze vastlegging sta je bij een klacht met niets: geen bewijs van een doel, geen bewijs van een bewuste termijn, geen bewijs dat je de OR hebt geraadpleegd voordat je begon te filmen.

Niet elk cameravraagstuk verdient evenveel aandacht. Heb je geen personeel — je bent zzp'er of de enige medewerker van je eigen bedrijf — dan vervalt het punt over de ondernemingsraad vanzelf: er is niemand om mee te overleggen.

Heeft je bedrijf één camera bij de ingang die alleen op de deur en de toonbank is gericht, zonder dat die een groter deel van de winkel of de straat filmt, dan is de kans klein dat een rechter of de AP hier ooit naar vraagt. Het risico zit in drie situaties, en als geen daarvan voor jou geldt, hoef je dit niet hoger op je lijst te zetten dan het nu staat: meerdere camera's die personeel op de werkvloer volgen, een verborgen camera, of een klacht die al binnen is.

Let wel op één ding, ook als je dit verder laat liggen: film je de openbare weg of de stoep voor je pand, dan filmt je camera voorbijgangers die niets met je bedrijf te maken hebben. Dat mag niet, onafhankelijk van hoe klein je bedrijf is. Richt de camera dus af op je eigen pand en terrein.

En gebruik je alleen een deurbelcamera of een camera aan je eigen huis omdat je vanuit huis werkt? Dan gelden weer andere, lichtere regels voor cameragebruik in en om de eigen woning. Dat is een ander onderwerp dan cameratoezicht bij een bedrijf, en verdient dus ook een ander antwoord.