In deze blog richten we ons op cameratoezicht voor beveiliging en algemene veiligheid binnen de zorginstelling. Camera’s kunnen zorgaanbieders helpen bij het beveiligen van hun gebouwen en terreinen en het beschermen van cliënten, medewerkers en bezoekers. Denk aan toegangsbeveiliging, het voorkomen van diefstal of het signaleren van incidenten bij de ingang of in algemene ruimtes. Tegelijkertijd maakt cameratoezicht inbreuk op de privacy van cliënten, medewerkers en bezoekers. Aan de inzet ervan zijn daarom belangrijke juridische voorwaarden verbonden.
Deel 3 van de blogreeks over camerabeelden en geluidsopnames in de zorg.
Wanneer mag een zorgaanbieder cameratoezicht inzetten?
Zodra personen herkenbaar in beeld komen of beelden tot hen kunnen worden herleid, worden er persoonsgegevens verwerkt en is de Algemene Verordening Gegevensbescherming (“AVG”) van toepassing. Naast de AVG zijn de Guidelines 3/2019 van het Europees Comité voor gegevensbescherming (“EDPB”) van belang. Deze Guidelines bevatten specifieke uitgangspunten voor de verwerking van persoonsgegevens door middel van camera’s.
Een zorgaanbieder moet vooraf bepalen waarom cameratoezicht nodig is. Een algemene doelstelling als ‘het bevorderen van de veiligheid’ is onvoldoende concreet. Gaat het bijvoorbeeld om toegangsbeveiliging? Om het voorkomen van diefstal? Of om het signaleren van incidenten bij de ingang? Per camera of groep camera’s moet duidelijk zijn welk concreet doel daarmee wordt bereikt.
Daarnaast moet voor de verwerking een geldige grondslag als bedoeld in de AVG bestaan en moet het cameratoezicht noodzakelijk en proportioneel zijn. Kan het beoogde doel worden bereikt met andere, minder ingrijpende, maatregelen, zoals toegangscontrole of een beperktere beeldhoek? Als de grondslag voor verwerking gerechtvaardigd belang is zal een belangenafweging gemaakt moeten worden waarbij het belang bij het cameratoezicht wordt afgewogen tegen de privacybelangen van betrokkenen. Het helpt om de gemaakte keuzes vast te leggen in een actueel cameraoverzicht. Neem daarin bijvoorbeeld per camera of cameragroep het doel, de locatie en beeldhoek, de bewaartermijn en de toegangsrechten op. Ook kan daarin worden vastgelegd welke minder ingrijpende alternatieven zijn onderzocht.
Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, is bovendien op grond van artikel 35 AVG een Data Protection Impact Assessment (“DPIA”) verplicht. Dit is een voorafgaande beoordeling waarmee de privacyrisico’s van de gegevensverwerking en de maatregelen om die risico’s te beperken in kaart worden gebracht. Bij grootschalig of systematisch cameratoezicht is volgens artikel 35 AVG en de Guidelines 3/2019 van de EDPB een DPIA verplicht. Dit is dus relevant wanneer met meerdere camera’s structureel toezicht wordt gehouden op terreinen, in- en uitgangen en algemene ruimtes van zorginstellingen.
Live meekijken, terugkijken of beelden bewaren?
Bij de beoordeling van de inzet van camera’s moet onderscheid worden gemaakt tussen verschillende vormen van gebruik, zoals live meekijken met een camera, beelden opslaan en opgenomen beelden terugkijken. Voor iedere verwerking moet afzonderlijk worden beoordeeld of de verwerking noodzakelijk is.
Een camera kan noodzakelijk zijn om direct te kunnen ingrijpen als zich een onveilige situatie voordoet. Dat betekent niet automatisch dat het ook noodzakelijk is om de beelden op te nemen en te bewaren. Opname en opslag vormen aanvullende verwerkingen die afzonderlijk moeten kunnen worden gerechtvaardigd.
Ook de toegang tot beelden moet goed worden geregeld. Dat een medewerker technisch kan inloggen op het camerasysteem, betekent niet dat deze medewerker alle camera’s mag bekijken of oude beelden mag terugkijken. Werk bijvoorbeeld met individuele accounts en leg per functie vast wie live mag meekijken, wie opgenomen beelden mag terugkijken en wie beelden mag veiligstellen. Zorg daarnaast voor logging, zodat achteraf kan worden gecontroleerd wie beelden heeft geraadpleegd.
Ook de bewaartermijn vraagt om een concrete onderbouwing. De EDPB wijst erop dat beelden in veel gevallen al na enkele dagen kunnen worden verwijderd. Worden camerabeelden langer dan 72 uur bewaard, dan vraagt dat om een zwaardere motivering van het doel en de noodzakelijkheid. Eén standaardbewaartermijn voor alle camera’s ligt daarom niet voor de hand. Het doel en de noodzaak van bewaring moeten steeds worden beoordeeld.
Vergeet medezeggenschap en informatieverstrekking niet
Een algemeen camerabeleid binnen een zorginstelling raakt rechtstreeks aan cliënten en hun leefomgeving. Afhankelijk van de inhoud kan het gaan om algemeen beleid op het gebied van kwaliteit en veiligheid, dan wel om een voor cliënten geldende regeling in de zin van de Wet medezeggenschap cliënten zorginstellingen 2018 (“Wmcz 2018”). In beide gevallen heeft de cliëntenraad een instemmingsrecht. Betrek de cliëntenraad dus tijdig bij de totstandkoming of wijziging van het camerabeleid.
Ook de medezeggenschap van medewerkers verdient aandacht. Is binnen de zorginstelling een ondernemingsraad (“OR”) ingesteld? Dan zijn voorgenomen besluiten tot de invoering van zowel camerabeleid als het cameratoezicht zelf, in veel gevallen onderworpen aan het instemmingsrecht van de OR. Het gaat zowel om de voorzieningen zelf, als om de regeling daaromheen over voorwaarden, procedures en maatregelen. Doorslaggevend is of de cameravoorziening bedoeld is voor of geschikt is om toezicht op werknemers uit te oefenen. Ook camera’s die primair bedoeld zijn om de veiligheid van cliënten te waarborgen, kunnen geschikt zijn om de aanwezigheid, het gedrag of de prestaties van medewerkers te waarnemen of monitoren. Denk aan camera’s die ook (deels) op de werkvloer zijn gericht zoals bij de in- en uitgangen, op het terrein of in algemene ruimtes. Het invoeren van voorgenomen besluiten zonder de vereiste toestemming van de OR (of vervangende toestemming van de kantonrechter) zijn nietig als de OR zich daarop beroept.
Tot slot moeten cliënten, medewerkers en bezoekers goed worden geïnformeerd over het cameratoezicht. Zorg voor een duidelijk zichtbare aanduiding voordat iemand het cameragebied betreedt. Verwijs daarnaast, bijvoorbeeld via een QR-code of webpagina, naar uitgebreidere informatie over het doel en de grondslag van het cameratoezicht, de bewaartermijn en de privacyrechten van betrokkenen.
Camerabeleid alleen is niet genoeg
Een goed opgesteld en doordacht camerabeleid is belangrijk, maar uiteindelijk gaat het ook om de toepassing in praktijk. Personen die toegang tot de beelden hebben en betrokkenen moeten goed worden geïnformeerd over hun rechten en plichten. Daarnaast moet worden gecontroleerd of het beleid in de praktijk wordt nageleefd. Wie kijkt daadwerkelijk mee? Welke beelden worden opgeslagen? Wie kan oude beelden terugzien? Worden accounts en autorisaties ingetrokken als iemand uit dienst gaat? En is die camera die enkele jaren geleden noodzakelijk was dat vandaag nog steeds? Het is daarom verstandig om cameratoezicht periodiek te beoordelen. Controleer daarbij niet alleen de camera’s zelf, maar ook de DPIA, het overzicht van de ingezette camera’s en hun doelen, autorisaties, bewaartermijnen, beveiliging, informatievoorziening en medezeggenschap.
Heeft u vragen over het maken van camerabeelden en geluidsopnames? Neem dan contact met ons op.
Andere blogs uit de blogreeks:
Deel 1: Gebruik van camerabeelden en geluidsopnames door zorgverleners
