De afgelopen tijd hebben verschillende organisaties een aantal, toch wel opmerkelijke, maatregelen geïntroduceerd om, naar eigen zeggen, te voldoen aan de Algemene Verordening Gegevensbescherming ("AVG"). Zo konden bezoekers van evenementen een rode stip op hun voorhoofd plakken als zij niet op de evenementfoto's wilden verschijnen. Een Nederlandse dierentuin stelde zelfs dinomaskers beschikbaar aan haar bezoekers om dit te voorkomen.
Foto's en video's mogen immers niet zonder meer openbaar worden gemaakt; voor een verwerking van persoonsgegevens is krachtens de AVG een grondslag vereist. De vraag is echter of en hoe er in geval van publicatie van evenementfoto's en foto's gemaakt op openbare plaatsen voldaan kan worden aan deze wettelijke verplichting.
Twee soorten persoonsgegevens
Op grond van voorgaande is het allereerst belangrijk vast te stellen hoe foto's worden gekwalificeerd. Onder de AVG bestaan immers twee groepen persoonsgegevens: 'reguliere' en bijzondere categorieën persoonsgegevens. Voor deze laatste categorie geldt een zwaarder regime. Verwerking daarvan is kort gezegd verboden tenzij een specifieke wettelijke uitzondering bestaat.
Op een foto zijn de fysieke kenmerken van personen zichtbaar. Niet alleen kunnen bijvoorbeeld kenmerken over gezondheid of geloof worden vastgesteld, ook kan iemands ras uit de beelden worden afgeleid. Strikt genomen zouden foto's hierdoor altijd aangemerkt moeten worden als bijzondere persoonsgegevens. Dat leidt echter tot een groot probleem omdat meestal van een specifieke wettelijke uitzondering geen sprake is, waardoor foto's alleen verwerkt zouden mogen worden op basis van uitdrukkelijke toestemming. Bij een foto van een specifiek persoon is dat nog werkbaar. Bij beelden waar talloze personen op figureren is dat feitelijk onmogelijk. De inzet van bijvoorbeeld (particulier) cameratoezicht zou daardoor in veel gevallen niet in overeenstemming met de AVG kunnen plaatsvinden. Ook het openbaar maken van foto's van een evenement wordt al gauw een risicovolle aangelegenheid.
Ruimte voor nuance?
Gelukkig is er enige ruimte voor nuance. Minister Sander Dekker heeft eerder dit jaar gesteld dat het wellicht onevenredige inspanning zou vergen om willekeurige personen op (de achtergrond van) foto's te identificeren. In dat geval, zou er, volgens Dekker, geen sprake zijn van een persoonsgegeven en is de AVG niet van toepassing. De publicatie van een dergelijke foto zou dan ook mogen plaatsvinden zonder grondslag.
Het is voor verwerkingsverantwoordelijken prettig dat de minister dit vindt. Echter, gezien de opkomst en steeds betere beschikbaarheid van gezichtsherkenningstechnieken, kan een dergelijk argument naar verwachting niet lang standhouden. Via dit soort technieken, welke op steeds grotere schaal beschikbaar worden, wordt het immers vrij eenvoudig om personen te identificeren. Daarbij komt dat hoe meer personen de desbetreffende foto zullen zien door de publicatie ervan, hoe groter de kans is dat de persoon wordt herkend, waardoor alsnog sprake is van een persoonsgegeven.
Daarnaast verschilt de mate van identificeerbaarheid per foto en zal dus per geval moeten worden bepaald of er sprake zou zijn van een persoonsgegeven.
Het volgen van deze redenering van de minister is dan ook risicovol, aangezien de kans groot is dat na publicatie een persoon toch identificeerbaar blijkt te zijn en de AVG alsnog van toepassing is.
Ten tweede zullen verwerkingen van veel foto's onder het lichtere regime van de journalistieke doeleinden of de academische, artistieke of literaire uitdrukkingsvormen vallen.
Het verwerken van foto's voor journalistieke doeleinden
Ondanks dat de Uitvoeringswet AVG een groot aantal verplichtingen niet van toepassing verklaart ten aanzien van verwerking voor uitsluitend journalistieke doeleinden, dient er echter ook in dat geval sprake te zijn van een grondslag voor verwerking. Artikel 6 AVG blijft namelijk ook van toepassing op verwerking voor journalistieke doeleinden. Vaak kan echter op basis van vrijheid van meningsuiting of vrije nieuwsvergaring een beroep worden gedaan op een gerechtvaardigd belang. Er is geen aanvullende grondslag nodig voor de verwerking van bijzondere categorieën persoonsgegevens; artikelen 9 en 10 AVG zijn immers niet van toepassing in het kader van verwerking voor uitsluitend journalistieke doeleinden.
De reikwijdte van het begrip 'journalistiek' speelt hier natuurlijk mee. Of het (online) publiceren van evenementfoto's en foto's genomen op openbare plaatsen valt aan te merken als een verwerking voor uitsluitend journalistieke doeleinden zal afhankelijk zijn van de omstandigheden van het geval. De Hoge Raad heeft gesteld dat "een publicatie op het internet op een persoonlijke website, gericht op een breed publiek in het algemeen belang kan zijn en aldus op een lijn worden gesteld met een perspublicatie". De Autoriteit Persoonsgegevens (AP), toen nog het CBP, voegt hieraan toe dat er sprake moet zijn van het volgende:
- De activiteit moet zijn gericht op informatieverzameling en verstrekking;
- Er moet sprake zijn van een regelmatige bezigheid;
- Er moet iets van maatschappelijke strekking aan de orde worden gesteld;
- De publicatie kent het recht van repliek.
De AP lijkt tenslotte ten aanzien van foto's minder streng. Aan de ene kant stelt ze op haar website dat in de meeste gevallen toestemming nodig is om persoonsgegevens te plaatsen op internet. Aan de andere kant stelt de AP in haar beleidsregels cameratoezicht (welke dateren van voor de AVG, maar welke ook onder het regime van de AVG worden toegepast, zoals blijkt uit een recente beslissing op bezwaar van de AP) dat foto's niet per definitie dienen te worden aangemerkt als gevoelige gegevens en dat foto's verwerkt kunnen worden op grondslagen zoals een gerechtvaardigd belang. Wanneer de foto's geen identificatie als doel hebben, zijn deze aan te merken als 'reguliere' persoonsgegevens, aldus de AP.
Gerechtvaardigde belangen
Deze soepele benadering is niet onomstreden. De Hoge Raad heeft al eens aangenomen dat foto's wel degelijke als bijzondere categorie beschouwd dienen te worden.
Uitgaande van de redenering uit de beleidsregels van de AP is de verwerking van foto's niet 'verboden tenzij' en kan deze ook gebaseerd worden op de gerechtvaardigd belang grondslag. Dat betekent dat de verwerking plaats mag vinden als deze noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of grondrechten van de betrokkene zwaarder wegen.
Deze belangenafweging lijkt goed werkbaar en komt sterk overeen met de belangenafweging zoals we die al sinds jaar en dag uit het portretrecht kenden. Het portretrecht (dat onderdeel uitmaakt van de Auteurswet) stelt ook eisen ten aanzien van publicaties van foto's. Op grond hiervan mag een portret dat niet gemaakt is in opdracht van de geportretteerde kort gezegd enkel worden gepubliceerd, mits de geportretteerde geen redelijk belang heeft dat zwaarder weegt Er hoeft geen sprake te zijn van een specifieke grondslag; het gaat hier om een belangenafweging.
Echter aangezien rechtstreekse bepalingen van EU recht, zoals verordeningen, voorrang hebben op nationaal recht, dient een publicatie in beginsel te voldoen aan de vereisten van de AVG. Let wel, dit geldt niet wanneer de AVG niet (geheel) van toepassing is op de publicatie. In dat geval kan de afweging uit het portretrecht nog relevant zijn.
Conclusie
Het publiceren van foto's waarop personen herkenbaar zijn afgebeeld, is niet zonder risico onder de AVG. Niet voor niets benoemt de AP op haar website de mogelijkheid tot het afschermen van pagina's met foto's en zelfs de gehele website voor zoekmachines. Gezien het feit dat de AP in haar beleidsregels stelt dat foto's als 'reguliere' persoonsgegevens worden gezien wanneer ze geen identificatie tot doel hebben, lijkt het echter niet nodig om een al te krampachtige benadering te kiezen.
Het is niet aannemelijk dat de AP gezien haar ingenomen standpunt snel met boetes zal strooien als geen toestemming is gevraagd. Dan dient vanzelfsprekend wel een andere geldige grondslag te bestaan en aan de overige eisen van de AVG te zijn voldaan. Ook zou een betrokkene (los van het standpunt van de AP) de publicatie aan de rechter kunnen voorleggen, die mogelijk wel uitgaat van het zwaardere regime. De verdere ontwikkeling van de techniek op het gebied van gezichtsherkenning zal naar verwachting ook relevant zijn voor de wijze waarop deze juridisch interessante kwestie zich ontwikkelt.
Wij houden u op de hoogte.
De afgelopen tijd hebben verschillende organisaties een aantal, toch wel opmerkelijke, maatregelen geïntroduceerd om, naar eigen zeggen, te voldoen aan de Algemene Verordening Gegevensbescherming ("AVG"). Zo konden bezoekers van evenementen een rode stip op hun voorhoofd plakken als zij niet op de evenementfoto's wilden verschijnen. Een Nederlandse dierentuin stelde zelfs dinomaskers beschikbaar aan haar bezoekers om dit te voorkomen.
Foto's en video's mogen immers niet zonder meer openbaar worden gemaakt; voor een verwerking van persoonsgegevens is krachtens de AVG een grondslag vereist. De vraag is echter of en hoe er in geval van publicatie van evenementfoto's en foto's gemaakt op openbare plaatsen voldaan kan worden aan deze wettelijke verplichting.
Twee soorten persoonsgegevens
Op grond van voorgaande is het allereerst belangrijk vast te stellen hoe foto's worden gekwalificeerd. Onder de AVG bestaan immers twee groepen persoonsgegevens: 'reguliere' en bijzondere categorieën persoonsgegevens. Voor deze laatste categorie geldt een zwaarder regime. Verwerking daarvan is kort gezegd verboden tenzij een specifieke wettelijke uitzondering bestaat.
Op een foto zijn de fysieke kenmerken van personen zichtbaar. Niet alleen kunnen bijvoorbeeld kenmerken over gezondheid of geloof worden vastgesteld, ook kan iemands ras uit de beelden worden afgeleid. Strikt genomen zouden foto's hierdoor altijd aangemerkt moeten worden als bijzondere persoonsgegevens. Dat leidt echter tot een groot probleem omdat meestal van een specifieke wettelijke uitzondering geen sprake is, waardoor foto's alleen verwerkt zouden mogen worden op basis van uitdrukkelijke toestemming. Bij een foto van een specifiek persoon is dat nog werkbaar. Bij beelden waar talloze personen op figureren is dat feitelijk onmogelijk. De inzet van bijvoorbeeld (particulier) cameratoezicht zou daardoor in veel gevallen niet in overeenstemming met de AVG kunnen plaatsvinden. Ook het openbaar maken van foto's van een evenement wordt al gauw een risicovolle aangelegenheid.
Ruimte voor nuance?
Gelukkig is er enige ruimte voor nuance. Minister Sander Dekker heeft eerder dit jaar gesteld dat het wellicht onevenredige inspanning zou vergen om willekeurige personen op (de achtergrond van) foto's te identificeren. In dat geval, zou er, volgens Dekker, geen sprake zijn van een persoonsgegeven en is de AVG niet van toepassing. De publicatie van een dergelijke foto zou dan ook mogen plaatsvinden zonder grondslag.
Het is voor verwerkingsverantwoordelijken prettig dat de minister dit vindt. Echter, gezien de opkomst en steeds betere beschikbaarheid van gezichtsherkenningstechnieken, kan een dergelijk argument naar verwachting niet lang standhouden. Via dit soort technieken, welke op steeds grotere schaal beschikbaar worden, wordt het immers vrij eenvoudig om personen te identificeren. Daarbij komt dat hoe meer personen de desbetreffende foto zullen zien door de publicatie ervan, hoe groter de kans is dat de persoon wordt herkend, waardoor alsnog sprake is van een persoonsgegeven.
Daarnaast verschilt de mate van identificeerbaarheid per foto en zal dus per geval moeten worden bepaald of er sprake zou zijn van een persoonsgegeven.
Het volgen van deze redenering van de minister is dan ook risicovol, aangezien de kans groot is dat na publicatie een persoon toch identificeerbaar blijkt te zijn en de AVG alsnog van toepassing is.
Ten tweede zullen verwerkingen van veel foto's onder het lichtere regime van de journalistieke doeleinden of de academische, artistieke of literaire uitdrukkingsvormen vallen.
Het verwerken van foto's voor journalistieke doeleinden
Ondanks dat de Uitvoeringswet AVG een groot aantal verplichtingen niet van toepassing verklaart ten aanzien van verwerking voor uitsluitend journalistieke doeleinden, dient er echter ook in dat geval sprake te zijn van een grondslag voor verwerking. Artikel 6 AVG blijft namelijk ook van toepassing op verwerking voor journalistieke doeleinden. Vaak kan echter op basis van vrijheid van meningsuiting of vrije nieuwsvergaring een beroep worden gedaan op een gerechtvaardigd belang. Er is geen aanvullende grondslag nodig voor de verwerking van bijzondere categorieën persoonsgegevens; artikelen 9 en 10 AVG zijn immers niet van toepassing in het kader van verwerking voor uitsluitend journalistieke doeleinden.
De reikwijdte van het begrip 'journalistiek' speelt hier natuurlijk mee. Of het (online) publiceren van evenementfoto's en foto's genomen op openbare plaatsen valt aan te merken als een verwerking voor uitsluitend journalistieke doeleinden zal afhankelijk zijn van de omstandigheden van het geval. De Hoge Raad heeft gesteld dat "een publicatie op het internet op een persoonlijke website, gericht op een breed publiek in het algemeen belang kan zijn en aldus op een lijn worden gesteld met een perspublicatie". De Autoriteit Persoonsgegevens (AP), toen nog het CBP, voegt hieraan toe dat er sprake moet zijn van het volgende:
- De activiteit moet zijn gericht op informatieverzameling en verstrekking;
- Er moet sprake zijn van een regelmatige bezigheid;
- Er moet iets van maatschappelijke strekking aan de orde worden gesteld;
- De publicatie kent het recht van repliek.
De AP lijkt tenslotte ten aanzien van foto's minder streng. Aan de ene kant stelt ze op haar website dat in de meeste gevallen toestemming nodig is om persoonsgegevens te plaatsen op internet. Aan de andere kant stelt de AP in haar beleidsregels cameratoezicht (welke dateren van voor de AVG, maar welke ook onder het regime van de AVG worden toegepast, zoals blijkt uit een recente beslissing op bezwaar van de AP) dat foto's niet per definitie dienen te worden aangemerkt als gevoelige gegevens en dat foto's verwerkt kunnen worden op grondslagen zoals een gerechtvaardigd belang. Wanneer de foto's geen identificatie als doel hebben, zijn deze aan te merken als 'reguliere' persoonsgegevens, aldus de AP.
Gerechtvaardigde belangen
Deze soepele benadering is niet onomstreden. De Hoge Raad heeft al eens aangenomen dat foto's wel degelijke als bijzondere categorie beschouwd dienen te worden.
Uitgaande van de redenering uit de beleidsregels van de AP is de verwerking van foto's niet 'verboden tenzij' en kan deze ook gebaseerd worden op de gerechtvaardigd belang grondslag. Dat betekent dat de verwerking plaats mag vinden als deze noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of grondrechten van de betrokkene zwaarder wegen.
Deze belangenafweging lijkt goed werkbaar en komt sterk overeen met de belangenafweging zoals we die al sinds jaar en dag uit het portretrecht kenden. Het portretrecht (dat onderdeel uitmaakt van de Auteurswet) stelt ook eisen ten aanzien van publicaties van foto's. Op grond hiervan mag een portret dat niet gemaakt is in opdracht van de geportretteerde kort gezegd enkel worden gepubliceerd, mits de geportretteerde geen redelijk belang heeft dat zwaarder weegt Er hoeft geen sprake te zijn van een specifieke grondslag; het gaat hier om een belangenafweging.
Echter aangezien rechtstreekse bepalingen van EU recht, zoals verordeningen, voorrang hebben op nationaal recht, dient een publicatie in beginsel te voldoen aan de vereisten van de AVG. Let wel, dit geldt niet wanneer de AVG niet (geheel) van toepassing is op de publicatie. In dat geval kan de afweging uit het portretrecht nog relevant zijn.
Conclusie
Het publiceren van foto's waarop personen herkenbaar zijn afgebeeld, is niet zonder risico onder de AVG. Niet voor niets benoemt de AP op haar website de mogelijkheid tot het afschermen van pagina's met foto's en zelfs de gehele website voor zoekmachines. Gezien het feit dat de AP in haar beleidsregels stelt dat foto's als 'reguliere' persoonsgegevens worden gezien wanneer ze geen identificatie tot doel hebben, lijkt het echter niet nodig om een al te krampachtige benadering te kiezen.
Het is niet aannemelijk dat de AP gezien haar ingenomen standpunt snel met boetes zal strooien als geen toestemming is gevraagd. Dan dient vanzelfsprekend wel een andere geldige grondslag te bestaan en aan de overige eisen van de AVG te zijn voldaan. Ook zou een betrokkene (los van het standpunt van de AP) de publicatie aan de rechter kunnen voorleggen, die mogelijk wel uitgaat van het zwaardere regime. De verdere ontwikkeling van de techniek op het gebied van gezichtsherkenning zal naar verwachting ook relevant zijn voor de wijze waarop deze juridisch interessante kwestie zich ontwikkelt.
Wij houden u op de hoogte.