Maar ook voor uw bedrijfsactiviteiten zelf kunnen foto’s en camerabeelden van groot belang zijn. Artificiële intelligentiesystemen die foto’s nodig hebben voor gezichtsherkenning en andere machine learning toepassingen, fotografie en filmproducties, bewakingscamera’s, drones, identificatie- en authentificatiesystemen voor online applicaties of op de werkvloer en het livestreamen van evenementen op Youtube of andere media zijn enkele voorbeelden van dergelijke bedrijfsactiviteiten.
Op het gebruik van foto’s en camerabeelden zijn privacy- en gegevensbeschermingsregels van toepassing, welke een enorme impact kunnen hebben op uw bedrijfsactiviteiten zelf. In deze bijdrage beschrijven we de relevante regels waarmee uw onderneming rekening dient te houden.
1. Recht op afbeelding en de GDPR
Volgens artikel 5 van de Algemene Verordening Gegevensbescherming, beter bekend als de ‘GDPR’, moeten persoonsgegevens op een ‘rechtmatige’ wijze verwerkt worden. Artikel 6 van de GDPR somt limitatief de rechtsgronden op voor de rechtmatige verwerking van persoonsgegevens. Uw onderneming dient als verwerkingsverantwoordelijke steeds voorafgaand aan een verwerking de rechtsgrond voor die verwerking te bepalen.
Voor foto’s en camerabeelden geldt een bijzonder regime, waarbij uw vrijheid om de toepasselijke rechtsgrond te bepalen sterk beperkt wordt. Meer bepaald moet u rekening houden met het recht op afbeelding uit artikel XI.174 van het Wetboek Economisch recht, dat geldt tot twintig jaar na het overlijden van de geportretteerde. Volgens dit recht moet de geportretteerde voorafgaande toestemming geven aan de fotograaf/auteur/eigenaar van het portret.
Het gaat hier om een dubbele toestemming, namelijk moet de geportretteerde toestemming geven voor het vastleggen van de beeltenis enerzijds en, indien de fotograaf/auteur/eigenaar van het portret de beeltenis wenst te reproduceren of te publiceren, voor de reproductie of de publicatie van de beeltenis anderzijds.
De Gegevensbeschermingsautoriteit geeft op haar website[1] nadere uitleg bij het recht op afbeelding. Ze maakt daarbij een dubbel onderscheid: enerzijds tussen de afbeeldingen gemaakt in de publieke sfeer en in gesloten kring, anderzijds tussen gerichte afbeeldingen en niet-gerichte afbeeldingen.
Bij gerichte afbeeldingen gaat het om afbeeldingen waarbij individuen duidelijk herkenbaar zijn. Een typisch voorbeeld daarvan zijn groepsfoto’s, waarbij elk individu afzonderlijk kan geïdentificeerd worden. Op gerichte afbeeldingen is de vereiste van dubbele toestemming steeds van toepassing. Concreet betekent dit dus wanneer u foto’s of videobeelden maakt, steeds de toestemming moet vragen aan alle personen die individueel identificeerbaar zijn en dat zowel voor de creatie van de foto of video alsook voor het verder publiceren daarvan. Met deze vereiste dient u zeker rekening te houden voor uw bedrijfsactiviteiten, in het bijzonder wanneer het maken van dergelijke gerichte beelden de ‘core business’ van uw onderneming uitmaakt.
Wanneer u niet-gerichte afbeeldingen maakt in gesloten kring, d.w.z. niet in de publieke sfeer (bv. een park, de openbare weg of een plein), bent u in principe niet verplicht om toestemming te verkrijgen van de betrokkene. Echter stelt de Gegevensbeschermingsautoriteit dat de betrokkene steeds een recht op informatie heeft. Uw onderneming dient daarbij, naast de informatieverplichtingen uit artikel 12 tot 14 van de GDPR, steeds aan de betrokkene kenbaar te maken dat u foto’s of beelden maakt, met welk doel en voor welke publicatie. Het belang van een gedegen en specifieke privacyverklaring kan daarbij niet onderschat worden.
Wanneer u afbeeldingen maakt in de publieke sfeer, geldt een ‘vermoeden van impliciete toestemming’. Uit de rechtspraak blijkt immers dat het van de fotograaf/auteur/eigenaar van de afbeelding niet verwacht kan worden om de toestemming te verkrijgen van elk individu die op de afbeelding zichtbaar is. Deze impliciete toestemming geldt niet voor gerichte foto’s in de publieke sfeer, waarvoor de dubbele toestemmingsvereiste blijft gelden.
Onder toestemming dient de ‘vrije, specifieke, geïnformeerde en ondubbelzinnige’ toestemming te worden verstaan. Daarnaast is het ook aangeraden om de toestemming van de betrokkene schriftelijk vast te leggen, aangezien uw onderneming de bewijslast zal dragen voor het verkrijgen daarvan.
Ook bij het gebruik van foto’s en beelden, dient u de betrokkene(n) de mogelijkheid te geven om diens rechten uit te oefenen. In een online context zijn het recht op verwijdering en het recht op rectificatie van bijzonder belang. U dient de betrokkene immers in de mogelijkheid te stellen om valse of foutieve informatie, waaronder afbeeldingen, recht te doen zetten of te laten verwijderen. Het recht van bezwaar kan ook van belang zijn bij het verwerken van foto’s of beelden, in het bijzonder wanneer uw onderneming geen toestemming dient te verkrijgen van de betrokkene (zoals voor niet-gerichte afbeeldingen in gesloten kring).
| Publieke sfeer | Gesloten kring | |
| Niet-gericht | Vermoeden van impliciete toestemming | Recht op informatie |
| Gericht | Dubbele toestemming | Dubbele toestemming |
2. Gevoelige gegevens?
Bij het gebruik van foto’s of videobeelden voor uw bedrijfsactiviteiten, dient u zeker ook rekening houden met het regime van ‘bijzondere categorieën van persoonsgegevens’ uit artikel 9 GDPR, vaak algemeen als ‘gevoelige gegevens’ aangeduid. Indien foto’s of videobeelden onder dat regime vallen, geldt immers een principieel verwerkingsverbod. Het is bijgevolg uitermate belangrijk om de relevante regels op een correcte manier toe te passen.
Bij foto’s en videobeelden, is een eerste belangrijke vraag of deze onder de definitie van ‘biometrische gegevens’ vallen. Volgens Rechtsoverweging 51 van de GDPR mogen foto’s – en analoog daaraan videobeelden – niet systematisch als biometrische gegevens worden beschouwd. Foto’s vallen onder de definitie van biometrisch gegeven, wanneer ze “het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens”
Om onder de definitie van ‘biometrisch gegeven’ te vallen, moeten foto’s of videobeelden dus de identificatie of de authenticatie van een natuurlijk persoon tot doel hebben. We moeten daarbij een onderscheid maken tussen enerzijds de foto’s of videobeelden die de bron kunnen vormen van biometrische gegevens en anderzijds de identificatie of authenticatie van een natuurlijk persoon die het doel van de verwerking uitmaken. Er zal slechts sprake zijn van biometrische gegevens wanneer foto’s of videobeelden tot de identificatie of authenticatie van een natuurlijk persoon kunnen leiden, én door middel van een specifieke technische verwerking ook overgegaan kan worden tot de effectieve identificatie of authenticatie van een natuurlijke persoon.
Indien foto’s of videobeelden niet onder de definitie van biometrische gegevens vallen, moeten we nagaan of deze nog een ander gevoelig aspect betreffen uit artikel 9 GDPR. Foto’s en videobeelden waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, die de verwerking van genetische of gezondheidsgegevens uitmaken, of die betrekking hebben op iemands seksueel gedrag of seksuele gerichtheid, vallen onder het toepassingsgebied van artikel 9 GDPR. U dient dus steeds na te gaan of de foto’s of videobeelden niet een of meerdere gevoelige aspecten verwerkt om het toepassingsgebied van artikel 9 uit te kunnen sluiten. Bij foto’s en videobeelden zijn de elementen ras en etnische afkomst vaak voorkomende gevoelige gegevens.
Indien de foto’s of videobeelden die u maakt binnen het kader van uw bedrijfsactiviteiten onder het toepassingsgebied van artikel 9 GDPR vallen, geldt een principieel verwerkingsverbod zoals hierboven reeds werd aangehaald. Echter voorziet paragraaf 2 van artikel 9 GDPR ook in een uitzonderingsregime, op basis waarvan het wel toegelaten is om bijzondere categorieën van persoonsgegevens te verwerken. Naast een aantal specifieke rechtvaardigingsgronden, kan u in het bijzonder de verwerking van bijzondere categorieën van persoonsgegevens rechtvaardigen wanneer de betrokkene zijn of haar uitdrukkelijke toestemming geeft voor de verwerking van die persoonsgegevens. Deze rechtvaardigingsgrond is, gelet op de bewijslast die u onder het recht op afbeelding draagt, is van bijzonder belang voor uw onderneming. Een schriftelijke uiting van de uitdrukkelijke toestemming van de betrokkene voor de verwerking van zijn of haar foto, voor een of meer welbepaalde doeleinden, is daarbij aangewezen. Echter dienen we ook op te merken dat de betrokkene steeds het recht heeft om zijn of haar toestemming voor de verwerking van haar foto of afbeelding in te trekken, en dat uw onderneming de plicht heeft om daaraan te voldoen.
3. Conclusie
Wanneer u foto’s of videobeelden wenst te gebruiken bij uw bedrijfsactiviteiten, dient u rekening te houden met een complexe samenloop van regels. In deze bijdrage hebben we ons gefocust op het recht op afbeelding van de betrokkene en het regime van bijzondere categorieën. Deze regels dienen samen te worden toegepast om een op een correcte en conforme manier om te gaan met foto’s en videobeelden, waarbij een gedegen juridische analyse van uw beoogde bedrijfsactiviteiten onontbeerlijk is.
