Mag je nog foto’s maken en publiceren na de AVG?

AVG en foto’s en video’s, kan dat nog wel? PANIEK in de tent. Veel mensen denken dat foto’s of video’s maken opeens niet meer mag. Of dat het publiceren ervan opeens niet meer mag. Wees gerust. Blijf gewoon fotograferen en filmen. Het mag allemaal nog gewoon en ik zal uitleggen hoe het zit.

AVG: Persoonlijk gebruik

Laten we eerst het meest belangrijke tackelen.

Foto’s die je privé houdt, die bijvoorbeeld op je telefoon staan en die je misschien wat via WhatsApp of op een andere manier in een wat beperkte kring deelt of laat zien, dat valt allemaal buiten de AVG. 

De AVG geldt voor bedrijven, stichtingen, verenigingen, overheid etc. en voor de gevallen waarin persoonsgegevens openbaar gemaakt worden, door het bijvoorbeeld (openbaar) te publiceren op social media. 

Het maken van vakantiefoto’s of wat gezellige selfies en andere foto’s tijdens feestjes, zal niet snel een probleem opleveren. 

Je hebt in dit geval dus geen extra toestemming van de geportretteerde nodig.

Portretten zijn persoonsgegevens

Als iemand herkenbaar in beeld is gebracht, is dat in principe een persoonsgegeven. Het gaat erom of je iemand identificeert of kunt identificeren. Dat kan met een portret, in beginsel. 

Geen onevenredige inspanning

Hierover zijn door de Tweede Kamer vragen gesteld. Want hoe zit dat dan met een foto die je op de Dam maakt met mensen die dan ‘toevallig’ op de foto komen? Je hebt toch geen flauw idee wie die mensen zijn? 

In dat geval zijn de portretten zelfs geen persoonsgegevens. Dat komt omdat je dan te veel moeite zou moeten doen om te achterhalen wie die personen zijn. Je moet geen onevenredige inspanning hoeven leveren om die personen te identificeren. 

Straatfotografie en Vakantiefoto’s

Dat betekent dus ook dat in het geval van bijvoorbeeld straatfotografie, grote evenementen en vakantiefoto’s er vaak geen sprake is van een persoonsgegeven. Althans, niet voor de fotograaf die de personen niet kent en ook niet gemakkelijk kan achterhalen wie de personen zijn. 

Als er geen sprake is van een persoonsgegeven, is ook de AVG niet van toepassing en heb je geen toestemming nodig. Over publiceren van deze foto’s schrijf ik verderop nog.

Hoe kleiner de groep, hoe gemakkelijker het wel te achterhalen is en er dus wel sprake is van persoonsgegevens. Denk aan kleine bruiloften, straat- of buurtfeesten, kleine lezingen en andere meer besloten events. Vooral als er ook een gastenlijst was. 

Persoonsgegeven, meteen een bijzondere

Portretten zijn eigenlijk altijd bijzondere persoonsgegevens. Alleen al omdat er ras en etniciteit uit af zijn te leiden en eventueel zelfs wat gezondheidsgegevens, zoals een leeftijd of misschien medische gegevens omdat aan de foto een ziekte of beperking valt af te leiden, bijvoorbeeld om dat er een bril te zien is. Een hoofddoekje, keppeltje of ketting met kruisje kunnen het geloof verraden. 

Wanneer een portret ter identificatie wordt gebruikt, zoals op een identiteitskaart of gezichtsherkenning, dan kan het ook een biometrisch gegeven zijn. 

Omdat uit een foto een ras of etnische afkomst valt af te leiden, is dat een bijzonder persoonsgegeven, volgens de Hoge Raad.

In 2016 publiceerde de Autoriteit Persoonsgegevens (vlak voor de in werking treding van de AVG) beleidsregels over cameratoezicht, waar toch iets anders in te lezen viel:

“Gelet hierop beschouwt de Autoriteit Persoonsgegevens camerabeelden van een persoon thans, ook om opportuniteitsredenen, niet als bijzondere persoonsgegevens als:

• het doeleinde van de verwerking niet gericht is op het verwerken van bijzondere persoonsgegevens dan wel op het onderscheid maken op grond van een bijzonder persoonsgegeven,
• het voor de verantwoordelijke redelijkerwijs niet voorzienbaar is dat de verwerking zal leiden tot het maken van onderscheid op grond van een bijzonder persoonsgegeven, en
• de verwerking van die bijzondere persoonsgegevens onvermijdelijk is bij die verwerking.

Er moet dus aan alle drie de voorwaarden voldaan zijn om te kunnen zeggen dat er geen sprake is van een bijzonder persoonsgegeven als iemand herkenbaar in beeld is gebracht. 

Bijzondere persoonsgegevens niet verwerken, tenzij

Stel dat we er even van uitgaan dat er wel sprake is van een bijzonder persoonsgegeven. Dat is belangrijk, omdat bijzonder persoonsgegevens niet verwerkt mogen worden. 

Help! Een probleem?!

Welnee! Er zijn uitzonderingen. 

• Toestemming, maar die kan ook weer worden ingetrokken
• Nodig voor de uitvoering van rechten of verplichtingen omtrent het arbeidsrecht of sociale zekerheidsrecht
• Nodig voor de bescherming van vitale belangen van de betrokkenen (zal met een foto niet snel het geval zijn)
• Verwerking wordt verricht door een stichting of vereniging zonder winstoogmerk, op het gebied van politiek, levensbeschouwing, godsdienst of vakbond
• Persoonsgegevens zijn al door de betrokkene openbaar gemaakt
• Verwerking is noodzakelijk voor een rechtsvordering
• Verwerking noodzakelijk is voor de identificatie

Daarnaast zijn onderdelen van de AVG niet van toepassing op de: “verwerking van persoonsgegevens voor uitsluitend journalistieke doeleinden en ten behoeve van uitsluitend academische, artistieke of literaire uitdrukkingsvormen.”

Kortom, uitzonderingen genoeg om gebruik van te maken.

Journalistiek = vrijheid van meningsuiting

Journalistiek klinkt heel beperkt, maar dat is het gelukkig niet. Door het Hof van Justitie is al vaker uitgemaakt dat het hier niet gaat om het beroep van journalist, maar om de vrijheid van meningsuiting meer in het algemeen. Als je doel is om informatie te geven of je mening of ideeën te delen, voldoe je al aan het criterium. Zelfs als je een winstoogmerk hebt en bijvoorbeeld advertenties op je website hebt draaien of op een andere manier via die website geld verdient. 

Dat betekent dus ook dat je geen toestemming nodig hebt, omdat je al gebruik kunt maken van de uitzondering die de vrijheid van meningsuiting biedt.

Een van de zes grondslagen nodig

Goed, het maken en gebruiken van een portretfoto kan dus al snel onder een uitzondering voor het verwerken van bijzonder persoonsgegevens vallen.

Mooi, maar je hebt nog steeds een grondslag en een doel nodig. De omschrijving hiervan moet je mededelen (informatieplicht). Dat doe je meestal met een privacyverklaring.