Het delen van beeldmateriaal naar aanleiding van een misstand is niet perse een inbreuk op de AVG. Dat maak ik op uit een recent Rotterdams vonnis over een niet geheel alledaagse botsing tussen een werknemer, een clubbezoek onder werktijd en de werkgever.
De eiser in deze zaak had afgelopen januari een exclusieve club van exploitant Villasa bezocht. Hij had op dat moment standbydienst bij een bedrijf, en was dan ook met de bedrijfsbus en in kleding van het bedrijf aanwezig.
“In verband met incidenten die die avond waren voorgevallen” is iets later een medewerker van de club naar de directie van dat bedrijf gegaan met een foto van de beveiligingsbeelden. Het verzoek was uiteraard die persoon te identificeren, zodat men hem kon aanspreken op de financiële gevolgen. De misdragingen waren zelfs zo ernstig dat de club de man een toegangsverbod wilde opleggen.
In reactie verzocht het bedrijf om de camerabeelden:
zodat [bedrijf01] inzicht kon krijgen in de hoeveelheid alcohol die [eiser01] die avond had genuttigd. Villasa heeft dat verzoek ingewilligd en in [naam club01] (een deel van) de camerabeelden getoond aan [bedrijf01] . Een medewerker van [bedrijf01] heeft van de betreffende beelden video-opnames gemaakt. [bedrijf01] heeft deze video-opnames verstrekt aan haar jurist.De man maakte hiertegen bezwaar op grond van de AVG: foto- en filmbeelden zijn immers persoonsgegevens, en die mag je niet zomaar verwerken laat staan aan een derde geven.
Niet zomaar, maar de rechter ziet hier wel degelijk een grond: het gerechtvaardigd belang. De club had een duidelijk belang bij het willen identificeren van de man, gezien de ernst van de incidenten. Andere routes dan de werkgever vragen (die via bus en trui te achterhalen was), had de club eigenlijk niet.
Voor de werkgever was een en ander kennelijk ook ernstig genoeg:
Dat [bedrijf01], nadat Villasa bij haar op kantoor was langsgekomen, meer wilde weten over het gedrag van [eiser01] op de avond dat hij stand-by dienst had, is alleszins begrijpelijk. [eiser01] reed in de bedrijfsbus van [bedrijf01] waarin (zoals door Villasa gesteld en door [eiser01] niet betwist) gevaarlijke stoffen lagen en [bedrijf01] had er, met het oog op de veiligheid, een gerechtvaardigd belang bij inzicht te krijgen in de hoeveelheid alcohol die [eiser01] die avond had genuttigd. Daarnaast is aannemelijk geworden dat het tonen van (een deel van) de beelden noodzakelijk was om het gerechtvaardigd belang van [bedrijf01] te behartigen. Het is begrijpelijk dat [bedrijf01], om een inschatting te kunnen maken van de ernst van de situatie en eventuele (arbeidsrechtelijke) consequenties te kunnen verbinden aan het gedrag van [eiser01], de beelden met eigen ogen wilde zien (en bijvoorbeeld niet af wilde gaan op alleen de woorden van Villasa).Oftewel: jij gaat met een bus met gevaarlijke stoffen ergens heen en drinkt alcohol terwijl je standbydienst hebt, dan moet je de gevolgen maar dragen. De AVG staat hier niet in de weg.
Arnoud
Moet voor verwerking op basis van gerechtvaardigd niet – vooraf en schriftelijk – een belangenafweging gemaakt worden? Ik lees daar niets over in het vonnis. Het lijkt een incident en tussen het bezoek en het tonen en laten opnemen van de beelden zat een dag. Is de afweging hier überhaupt (ad hoc) gemaakt of is het op goed geluk?
Ik kan niet direct een schriftelijkheidsvereiste vinden, maar ik zie wel dat er belangenafwegingen gemaakt zijn. De club zal aan de werkgever argumenten gevraagd hebben voordat zij toegang gaf tot haar videobeelden. De belangenafweging op schrift zetten is vooral van belang bij langduriger verwerking van persoonsgegevens zodat je na een jaar of vijf nog kunt achterhalen wat destijds de argumenten waren.
Fair enough. Ik meende echt dat het verwerkingsregister ook de grondslag (en enige onderbouwing daarvoor) moest bevatten, maar kan het ook niet vinden (in artikel 30 AVG). Ik lees de afweging in het vonnis ook, maar vroeg me af of die vooraf (dus vóór de verwerking startte of eventueel tussen het incident en het verstrekken van de gegevens de dag erna) daadwerkelijk gemaakt is of dat het in de gerechtelijke procedure toevallig goed gekomen is.
Van https://www.ictrecht.nl/blog/de-grondslag-gerechtvaardigd-belang-oplossing-voor-privacy-horde:
Kan het in de wettekst niet vinden.Artikel 5 lid 2: “De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (“verantwoordingsplicht”).” Ik meen dat daaruit volgt dat je je belangenafwegingen hebt vastgelegd. Achteraf kun je wel van alles roepen maar dat is geen verantwoording afleggen, dat is goedpraten.
Dan heeft Bas dus wel degelijk een punt. Ik zie nergens in het vonnis dat er een belangenafweging vooraf gemaakt is, dus dan zou de verwerking sowieso onrechtmatig zijn.
Ik denk niet dat dat zo is. Er staat in art. 6 lid 1 onder f AVG niet dat de verwerking op basis van dat artikel alleen rechtmatig is als er een geschreven verantwoording is, en dat kan ik als voorwaarde voor rechtmatigheid ook nergens anders uit aflezen.
Als er al een geschreven verantwoording moet zijn (wat ik me overigens ook al afvraag), dan is de vraag wie de verwerkingsverantwoordelijke daarop kan aanspreken. De AP? Ik denk niet dat de betrokkene zich daarop kan beroep
De verantwoordingsplicht staat los van de grondslag. Dus de verwerking heeft dan een grondslag maar de verwerkingsverantwoordelijke handelt toch in strijd met de AVG als hij niet kan verantwoorden.
En precies dát gevoel krijg ik bij het lezen van het vonnis (omdat ik niets lees over een vooraf gemaakte belangenafweging). Ik ben benieuwd of er daadwerkelijk vooraf is nagedacht over het tonen en verstrekken van beelden aan werkgevers van bezoekers (op basis van bedrijfskleding en vervoersmiddel).
Dat is dan ook wel weer een ding: je kunt niet álles voorzien en in beleid vastleggen. Ik heb bij mijn bedrijf ook geen beleid voor als een klant de kantine vernielt en ik via zijn werkgever verhaal wil halen, of voor een advocaat die emotioneel geraakt wordt omdat er een streaker door het kantoor rent. Het lijkt me niet dat ik het zo specifiek zou moeten.
Zou het dan genoeg zijn als je op dat moment even rustig ademhaalt en uitwerkt wat er van de AVG zou mogen? Dan heb je een concreet plan en een motivatie van je 6f grondslag, dus je kunt verantwoorden waarom je deed wat je deed. Het is dan nog steeds voorafgaand aan het handelen, weliswaar 2 minuten vooraf maar dat is hier genoeg.
In het vonnis staat trouwens iets heel bijzonders:
‘Van “verwerking” is (onder andere) sprake als persoonsgegevens, al dan niet via geautomatiseerde procedés, verzameld, vastgelegd, opgeslagen, gebruikt of verstrekt worden, of anderszins ter beschikking worden gesteld. Dat betekent dat het maken en aan [bedrijf01] tonen van een foto van [eiser01] als verwerking kwalificeert.’
Dat ‘al dan niet via geautomatiseerde procedés’ klopt niet met de AVG.
Die vereist minimaal een gedeeltelijke geautomatiseerde verwerking, of dat het persoonsgegeven deel uit maakt van een bestand (of daarvoor bedoeld is).
Ik kan me dus voorstellen dat het tonen van de foto (als dat een afdruk was, een papieren foto dus) aan de werkgever GEEN verwerking onder de AVG was. Daar is immers niets geautomatiseerds aan, en de papieren foto is geen deel van een bestand.
Een print uit een elektronische verwerking wordt onder hetzelfde regime gerekend als de elektronische verwerking zelf. Anders creëer je een enorme loophole in de AVG. Dus tenzij die foto met een analoge camera is gemaakt en ontwikkeld in een doka, valt de foto onder de AVG.
Ik ben niet overtuigd. Zo’n grote loophole creeer je helemaal niet, omdat de print natuurlijk niet weer bedoeld mag zijn zijn om in een bestand op te nemen. Dan zou het nog steeds wel een verwerking onder de AVG zijn.
Dit trucje kan dus alleen eenmalig gebruikt worden bij het gebruiken (niet: het maken) van een papieren kopie die verder geen input meer is voor geautomatiseerde verwerking. Een dergelijke papieren kopie is net zo risicovol voor persoonsgegevenlekkage als een afdruk van een analoge camera, dus er is geen reden om daar een andere status aan te geven.
Met andere woorden: het kan alleen aan het absolute eind van een geautomatiseerde verwerking, als de data de computeromgeving reeds verlaten heeft en zich in een ander formaat in de fysieke wereld bevindt. Die loophole valt dus nogal mee.
Ik zou in dit geval stellen dat het afdrukken van de foto op papier wel een AVG-verwerking is, maar het tonen van dat velletje papier niet.
Het is uiteindelijk voor de uitkomst van de zaak niet van belang (behalve dat, naar mijn mening, de eiser had moeten klagen over de productie van de foto met de bedoeling die te tonen, niet over het tonen zelf).