Is een (pas)foto een bijzonder persoonsgegeven?

Het gebruik van beeldmateriaal blijkt vanuit een privacyperspectief lastig. Vreemd is dat niet. De maatschappelijke opinie verschuift en de combinatie van wetteksten, interpretaties en jurisprudentie vergt een bijna atletisch begripsvermogen. De vraag of een (pas)foto nu wel of niet behoort tot bijzondere persoonsgegevens en daarmee het zwaardere regime dat erbij hoort, klinkt ogenschijnlijk simpel. Het antwoord is dat (gelukkig) niet.

Ter bescherming van bepaalde gegevens die potentieel grote nadelige gevolgen kunnen hebben voor mens en maatschappij (rassendiscriminatie, identiteitsfraude, etc.) verbiedt de Algemene verordening gegevensbescherming (AVG) in artikel 9 het verwerken van die gegevens. Alleen legitieme uitzonderingen kunnen zo’n verbod opheffen. Onder deze bijzondere categorieën van gegevens (die we ‘bijzondere persoonsgegevens’ blijven noemen) vallen onder andere gegevens vanwaaruit iemands ras of etnische afkomst blijkt. Het is evident dat dergelijke gegevens af te leiden zijn van iemands beeltenis, bevestigde ook de Hoge Raad in 2010. Niet onlogisch, maar wel onterecht, trekt menigeen hieruit de conclusie dat elk beeldmateriaal waarop iemand herkenbaar is onder het verwerkingsverbod van de AVG valt.

Autoriteit Persoonsgegevens (AP)

In de Beleidsregels cameratoezicht nuanceerde onze Nederlandse privacytoezichthouder in 2016 dat aspecten als gezondheid, geloofsovertuiging en ras weliswaar van beeldmateriaal zijn af te leiden maar dat daarmee, zeker in de huidige tijdgeest, het cameratoezicht zelf nog niet onaanvaardbaar is. De AP beschouwt camerabeelden van een persoon daarop niet meer als bijzondere persoonsgegevens als (a) de verwerking ervan (als ‘bijvangst’) onvermijdelijk is, (b) het doel niet is gericht op het daadwerkelijk onderscheid maken met die bijzondere persoonsgegevens en (c) verondersteld mag worden dat dit ook niet zal gebeuren.

Als voorbeeld worden beveiligingscamera’s in een winkel gegeven. Dit wordt niet onder het verwerkingsverbod geschaard omdat het verwerken van de rasgegevens van bezoekers onvermijdelijk is bij de inzet van het cameratoezicht en deze niet gericht is op het vastleggen van rasgegevens maar op beveiliging. Ook is redelijkerwijs niet te voorzien dat het cameratoezicht zal leiden tot het maken van onderscheid op basis van de rasgegevens.

Hoge Raad

De Hoge Raad heeft deze zienswijze in 2017 onderschreven toen het oordeelde dat de verwerking van camerabeelden bij Holland Casino geen verwerking van rasgegevens impliceerde. De Hoge Raad oordeelde in 2010 nog anders toen het over foto’s van kaarthouders van een OV-chipkaart ging. Belangrijkste om te onthouden is dat de huidige jurisprudentie stelt dat niet iedere foto/video per definitie bijzondere persoonsgegevens bevat.

Er heeft een rechtsontwikkeling plaatsgevonden waarin is opgeschoven naar een beoordeling van bijzondere persoonsgegevens op basis van het doel en de context van de verwerking.

Europees niveau

Fijn deze Nederlandse zienswijze maar hoe zit dit nu met de AVG dat toch een Europese aangelegenheid is? Allereerst vinden we een dergelijke nuance ook in de AVG zelf terug. Zo stelt overweging 51 letterlijk dat de verwerking van foto’s niet systematisch mag worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens. Daarnaast zijn inmiddels ook de Europese richtlijnen omtrent cameratoezicht (in concept) gepubliceerd. Geheel in lijn met de Nederlandse richtlijn ook hierin helderheid over dat er niet standaard sprake is van een verwerkingsverbod omdat er (toevallig) bijzondere persoonsgegevens op staan.

We kunnen dus met een gerust hart concluderen dat we doorslaan als we elke beeltenis van iemand als bijzonder persoonsgegeven beschouwen.

Mens en maatschappij zijn er dus bij gebaat om de doeleinden en context van de verwerking mee te nemen in ons oordeel. Zo is een smoelenboek een personele weergave dat onoverkomelijk raciale/etnische kenmerken blootlegt, maar waarin deze kenmerken niet daadwerkelijk worden gebruikt om enig onderscheid te maken. Anders wordt het dus als hierin een groepering wordt aangebracht op die raciale/etnische kenmerken. Vergelijkbaar met een klassenfoto waarop iemand met een gipsbeen staat. Onvermijdelijk geeft dit gezondheidsgegevens prijs maar deze data wordt zelf niet gebruikt om enig verschil te maken. Dit in tegenstelling tot de arts die daarvoor naar een röntgenfoto van dat been keek en daarmee wel degelijk verschil maakte op basis van die data. Maar goed ook. Doeleinden en context maken dus nogal uit.

Mocht het oordeel luiden dat de beeltenis geen verwerking van bijzondere persoonsgegevens betreft, denk dan niet dat er opeens geen risico’s meer aan kleven. Misbruik en datalekken kunnen nog steeds de potentieel grote nadelige gevolgen hebben waarvoor het zwaardere regime was opgetuigd.

Niet ‘bijzondere persoonsgegevens’ kunnen nog steeds ‘gevoelige gegevens’ zijn

Als tip geef ik mee om het tenminste als een gevoelig persoonsgegeven te beschouwen. Doelend op de categorie die door de European Data Protection Board is geïntroduceerd in de ‘Richtsnoeren voor gegevensbeschermingseffectbeoordelingen’ (PDF). Daarmee kan voldoende aandacht besteed worden aan de zorgen en risico’s rondom beeldmateriaal, ook al zijn het dan geen bijzondere persoonsgegevens meer.