Samenvatting

Gebruik je beeldmateriaal op basis van toestemming, dan vraagt de Algemene verordening gegevensbescherming (AVG) dat een communicatieteam bij een gemeente of non-profit per beeld kan aantonen wie toestemming gaf, waarvoor en tot wanneer. Intrekken moet net zo makkelijk zijn als geven. Een formulier in een map volstaat daarvoor niet: leg de toestemming vast bij het beeld zelf en houd portretrecht apart.

TL;DR

• Toestemming is geldig als die vrij, specifiek, geïnformeerd en ondubbelzinnig is, en jij kunt aantonen dat je die hebt.
• Toestemming is niet altijd de juiste grondslag. Bij medewerkers en bij overheden is nee zeggen vaak niet echt vrij.
• Portretrecht (Auteurswet) en AVG zijn twee aparte toetsen voor hetzelfde beeld.
• Elke toestemming doorloopt vijf stappen: vastleggen, koppelen, bewaren, controleren en intrekken.
• Een gegevensbeschermingseffectbeoordeling (DPIA) is voor een gewoon beeldarchief niet automatisch verplicht. Een korte risicoafweging met je functionaris voor gegevensbescherming (FG) is wel verstandig.

Je krijgt een mail van iemand die vorig jaar op een evenement van jullie stond. Of je de foto van de website wilt halen. Jij weet nog dat er een toestemmingsformulier was. Alleen weet je niet meer waar het ligt, en voor welk gebruik het gold.

Zo begint voor veel communicatieteams het gesprek over de AVG. In de praktijk komt toestemming die je niet kunt aantonen op hetzelfde neer als toestemming die er nooit was. De wet vraagt dat je toestemming kunt aantonen, en dat iemand die even makkelijk kan intrekken als geven.

Dit artikel gaat over het beeldmateriaal zelf: toestemming vastleggen, bewaren en intrekken, en hoe portretrecht en risicoafweging daarbij passen. Zoeken op personen en automatische herkenning laten we hier buiten. Dat staat in ons artikel over gezichtsherkenning in je fotoarchief.

Wanneer is toestemming voor beeldmateriaal onder de AVG geldig?

Toestemming is geldig als die vrij, specifiek, geïnformeerd en ondubbelzinnig is, en als jij kunt aantonen dat je die kreeg. Dat volgt uit de artikelen 4 en 7 van de AVG.

Specifiek betekent dat toestemming bij een doel hoort. Wie instemt met een portret in de nieuwsbrief, stemt daarmee niet in met een campagne op abri's. Geïnformeerd betekent dat de persoon weet wie het beeld gebruikt, waarvoor, hoe lang en hoe hij of zij kan terugkomen op de keuze. Ondubbelzinnig betekent een actieve handeling. Een voorgevinkt vakje of een stilte telt niet.

Dan het intrekken. Dat moet net zo makkelijk zijn als het geven (artikel 7, lid 3). Een intrekking werkt vooruit: het gebruik tot dat moment blijft rechtmatig, maar je gebruikt het beeld daarna niet meer.

Is toestemming wel de juiste grondslag voor je beeldmateriaal?

Voor overheden en voor foto's van medewerkers is toestemming vaak de zwakste grondslag. Dat is onze stelling, en die onderbouwen we hieronder. Toestemming moet vrij zijn. De AVG noemt in overweging 43 zelf dat daar geen sprake van is bij een duidelijke ongelijkheid tussen partijen, en noemt de overheid als voorbeeld. Een medewerker die zijn leidinggevende nee moet zeggen, zit in dezelfde positie.

Een gemeente of waterschap kan zich bovendien voor de uitvoering van haar taken niet op gerechtvaardigd belang beroepen (artikel 6, lid 1, slot). Voor veel beelden blijft dan de taak van algemeen belang over, of toestemming. Welke grondslag bij welk beeld past, bepaal je samen met je FG. Toestemming blijft de logische keuze voor een herkenbaar portret van een inwoner of vrijwilliger in een campagne, waar iemand echt nee kan zeggen zonder gevolgen.

De tabel zet vier veelvoorkomende situaties naast elkaar. Lees hem als vertrekpunt voor dat gesprek met je FG, niet als juridisch advies.

Portretrecht en AVG: twee toetsen voor hetzelfde beeld

Portretrecht is een apart regime in de Auteurswet, naast de AVG. Je kunt aan de ene toets voldoen en aan de andere niet, dus beantwoord je voor een herkenbaar portret twee vragen.

De eerste vraag is die van de AVG: heb je een grondslag om dit persoonsgegeven te gebruiken? De tweede is die van het portretrecht: mag je dit portret openbaar maken? Artikel 20 van de Auteurswet bepaalt dat wie het auteursrecht op een portret heeft, het niet openbaar mag maken zonder toestemming van de geportretteerde, tenzij anders is overeengekomen. Bij een portret dat zonder opdracht is gemaakt, mag openbaarmaking niet als een redelijk belang van de geportretteerde zich daartegen verzet (artikel 21).

Praktisch gevolg: leg bij een portret ook vast wie de fotograaf is en wat jullie over het gebruik hebben afgesproken. Dat kost een regel in je beeldbeheer en voorkomt een tweede discussie als iemand terugkomt op zijn toestemming.

Toestemming vastleggen, bewaren en intrekken in vijf stappen

Toestemming is geen formulier maar een levensloop. Die begint bij het vragen en eindigt op de dag dat iemand de toestemming intrekt of de einddatum verstrijkt. Het diagram toont de vijf stappen, de tekst eronder loopt ze langs.

Vastleggen begint met een heldere vraag. Noem wie je bent, welk gebruik je bedoelt (website, nieuwsbrief, drukwerk, sociale media), hoe lang je het beeld bewaart en hoe iemand de toestemming intrekt. Laat iemand actief instemmen.

Het koppelen aan het beeld zelf telt in onze ogen het zwaarst. Bewaar de verklaring bij het bestand, als bijlage of in een veld, en niet in een losse map of mailbox. Zonder die koppeling kun je toestemming niet aantonen en niet intrekken, want niemand weet bij welk beeld welk formulier hoort.

Toestemming geldt voor een doel en een periode, dus bewaar de toestemming met een einddatum. Langer bewaren dan nodig past niet bij de AVG (artikel 5, opslagbeperking). Houd een tag of veld bij voor beelden waarvan de toestemming bijna verloopt.

Controleren doe je voor elk gebruik. Wie een beeld in een campagne zet, kijkt eerst of de toestemming dat gebruik dekt. Een portret voor de nieuwsbrief mag niet vanzelf op een billboard.

Bij intrekken haal je het beeld uit je beeldomgeving, uit gedeelde sets, van de website en uit lopende uitingen die je zelf beheert. Wat al gedrukt of verspreid is, valt in de praktijk buiten bereik. Je gebruikt het beeld alleen niet opnieuw. Spreek vooraf af wie een intrekverzoek ontvangt en binnen welke termijn je reageert.

Moet je voor je beeldarchief een DPIA doen?

Niet automatisch. Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico voor mensen meebrengt (artikel 35 AVG). Een gewoon archief met portretten en evenementfoto's valt daar in de regel niet onder. Automatische gezichtsherkenning wordt sneller een DPIA-geval.

Onze aanbeveling is een korte risicoafweging van een of twee pagina's: welke beelden je bewaart, op welke grondslag, wie erbij kan, hoe lang en hoe intrekken werkt. Noteer ook waarom je een DPIA wel of niet nodig vond. Dat dossier helpt als iemand later vraagt hoe je tot je keuze kwam. De afweging zelf blijft van jou en je FG, niet van je leverancier.

Wat moet je beeldbeheer kunnen om toestemming te borgen?

Een Digital Asset Management (DAM) systeem vervangt je grondslagkeuze en je register van verwerkingen niet. Het helpt wel om de afspraken uit te voeren. Dit zijn de vijf eisen die wij een communicatieteam adviseren te toetsen, bij welke leverancier dan ook.

1. Kun je de toestemming, of de gegevens ervan, aan het bestand zelf hangen en terugvinden? Vraag dit in een demo met een eigen voorbeeld, want het verschilt per systeem.
2. Kun je beelden laten goedkeuren voordat anderen ze zien? In Cocoon stel je per gebruiker in dat geüploade bestanden eerst door een beheerder worden goedgekeurd. Meer daarover lees je bij bestanden goedkeuren in Cocoon.
3. Kun je toegang beperken per set en per periode? In Cocoon geef je gebruikers toegang tot specifieke sets, en je bepaalt ook voor welke periode. Zie sets beheren in Cocoon.
4. Kun je labels aanpassen en weghalen, zodat je beelden met verlopen toestemming kunt markeren? Tags in Cocoon wijzig of verwijder je via tagbeheer in Cocoon.
5. Waar staan de bestanden en wie is verwerker? Bij Cocoon blijven mediabestanden in Nederland. Vraag in elk geval altijd om de verwerkersovereenkomst.

Houd bij dat laatste punt rekening met tijd. Bij gemeenten die onze standaard verwerkersovereenkomst direct accepteren, is de leveranciersscreening binnen een tot twee weken rond. Wordt er kritischer gekeken en zijn aanvullende voorwaarden nodig, dan is het maatwerk en duurt het een tot twee maanden. Regel de verwerker dus voordat je beelden gaat migreren.

Tot slot

Toestemming voor beeldmateriaal is een afspraak met een persoon die je moet kunnen nakomen. Leg de toestemming vast waar het beeld staat, geef die een einddatum en weet vooraf wat je doet als iemand terugkomt. Voor een gemeente of non-profit begint dat met de vraag of toestemming wel de juiste grondslag is.

Wil je zien hoe dit er in een beeldomgeving uitziet? Bekijk Cocoon voor gemeenten of vraag een persoonlijke demo aan.

Bronnen

• Algemene verordening gegevensbescherming op EUR-Lex, voor de voorwaarden voor toestemming (artikelen 4 en 7), overweging 43, de grondslagen in artikel 6, de opslagbeperking in artikel 5 en de DPIA in artikel 35.
• Auteurswet op wetten.overheid.nl, voor het portretrecht in de artikelen 20 en 21.