Wanneer is een DPIA verplicht bij cameratoezicht?

Wat een DPIA is

Een DPIA is een gegevensbeschermingseffectbeoordeling: een risico-afweging die je vóóraf op papier zet. Je beschrijft wat je gaat doen en waarom, welke risico's dat oplevert voor de mensen die in beeld komen, en welke maatregelen je neemt om die risico's klein te houden. Het is geen formulier dat je invult en wegbergt; het is de onderbouwing waarom je het zo doet en niet anders.

Het nuttige eraan is dat je er daarna meteen je camerabeleid uit hebt, en antwoorden klaar hebt staan op de vragen die anders pas komen als er iets gebeurt: waarom hangt deze camera hier, wie kan er bij de beelden, hoe lang blijven ze staan.

Wanneer hij verplicht is

De hoofdregel: een DPIA is verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert. Voor cameratoezicht wijst de Autoriteit Persoonsgegevens daarbij onder meer op twee situaties:

• Stelselmatig en grootschalig toezicht op een publiek toegankelijke plek. "Stelselmatig" betekent doorlopend of volgens een vast patroon, niet een camera die je af en toe aanzet. "Publiek toegankelijk" betekent dat er mensen komen die niet voor je werken.
• Verborgen cameratoezicht. Dat is sowieso een zwaar middel, met eigen voorwaarden, en het hoort vooraf doordacht te zijn.

Het gaat dus niet om het aantal camera's op zichzelf. Eén camera die de hele dag een druk parkeerterrein filmt, weegt zwaarder dan vier camera's op een afgesloten binnenterrein waar alleen eigen personeel komt.

Waar het in de praktijk vaak wél geldt

• Een parkeerterrein waar klanten, leveranciers en bezoekers komen.
• Een milieustraat of een gemeentewerf.
• Een jachthaven of een camping, waar mensen ook verblijven.
• Een schoolplein of een schoolgebouw, waar de betrokkenen bovendien minderjarig zijn.
• Een bedrijfsterrein met een open inrit waar het publiek op kan rijden.

Waar het vaak níet geldt

• Twee camera's op een afgesloten binnenterrein waar alleen eigen mensen komen.
• Een camera op een technische ruimte of een magazijndeur, gericht op de deur en niet op de werkplek.
• Een camera die alleen bij een alarm opneemt, buiten openingstijden.

Twijfel je, dan is een DPIA de veiligste keuze. Hij is vooral werk de eerste keer, en je hebt er daarna meteen je camerabeleid uit. Belangrijker nog: schrijf het antwoord op, ook als het "niet nodig" is. Dan is er later een stuk dat laat zien dat de afweging gemaakt is, in plaats van dat het werk onder tijdsdruk begint.

Wie ervoor verantwoordelijk is

De organisatie die bepaalt waarvóór de camera's hangen en hoe het wordt ingericht, is verantwoordelijk voor de DPIA. Dat is bijna altijd de organisatie zelf: het bedrijf, het schoolbestuur, de gemeente. In de termen van de AVG is dat de verwerkingsverantwoordelijke.

Dat is geen formaliteit maar een praktisch punt, want het betekent dat een leverancier die verplichting niet van je kan overnemen. Een privacyjurist of een functionaris gegevensbescherming kan je helpen met de beoordeling. Een installateur kan de technische gegevens leveren die erin moeten. Maar het oordeel, en de verantwoordelijkheid ervoor, blijft van de organisatie.

Wees daarom voorzichtig met een partij die aanbiedt "de DPIA te regelen". Vraag wat daar precies mee bedoeld wordt: het aanleveren van gegevens, of het oordeel zelf. Alleen het eerste kan.

Wat erin moet, en welk deel technisch is

Een DPIA bestaat grofweg uit drie delen. Het eerste is een beschrijving: wat ga je doen, waarom, en op welke grondslag. Het tweede is de beoordeling: welke risico's levert dat op voor de mensen die in beeld komen, en weegt jouw belang daar tegenop. Het derde zijn de maatregelen: wat doe je om die risico's klein te houden.

Het eerste en tweede deel zijn werk van je eigen organisatie. Het derde deel is grotendeels techniek, en dat is precies het deel waar de meeste DPIA's vaag worden: "de beelden zijn passend beveiligd" is geen maatregel, dat is een wens.

Dit zijn de gegevens die je van je installateur of beheerder mag vragen, en die in dat derde deel thuishoren:

• Een lijst van elke camera: type, locatie, bouwjaar, en wat hij in beeld heeft.
• Van elke camera het beeldveld, en waar er gemaskeerd is. Een schermafbeelding per camera werkt het beste.
• Waar de beelden staan: op locatie, in een datacenter, bij een leverancier, of in een cloud — en waar dat geografisch is.
• Wie toegang heeft, met welke rechten, en of dat per persoon een eigen account is.
• Of er gelogd wordt wie beelden bekijkt, exporteert of verwijdert.
• Hoe toegang van buitenaf loopt, en hoe die beveiligd is.
• Hoe het cameranetwerk in de rest van het netwerk staat.
• De ingestelde bewaartermijn, en of beelden daarna automatisch overschreven worden.
• Of de apparatuur nog beveiligingsupdates krijgt, en wie die uitvoert.

Een technische beoordeling van een camerasysteem levert precies dezelfde gegevens op. Vraag ze dus in één keer op in plaats van twee keer dezelfde lijst, en laat meteen nakijken of wat eruit komt ook klopt met wat er hangt. Hoe die technische kant eruitziet, staat in hoe veilig is je IP-camerasysteem?

Drie misverstanden

"We hebben al een privacyverklaring, dus het is geregeld"

Een privacyverklaring vertelt anderen wat je doet. Een DPIA is de afweging waaróm je het zo doet. Het een vervangt het ander niet, en ze kunnen ook uit elkaar lopen: een verklaring die zegt dat beelden vier weken bewaard worden terwijl de recorder op tien weken staat, is een probleem dat je met een DPIA had gezien.

"De installateur heeft het meegeleverd"

Wat er dan meestal ligt, is een beschrijving van het systeem. Dat is waardevol, en het is ook precies het materiaal uit het rijtje hierboven. Maar het is niet de beoordeling, en de ondertekening ervan kan een leverancier niet voor je doen.

"Het is eenmalig"

Een DPIA hoort bij de situatie zoals die is. Komen er camera's bij, verandert het doel, gaat de bewaartermijn omhoog of wordt het systeem vervangen, dan hoort de DPIA mee te veranderen. In de praktijk is één keer per jaar nalopen, tegelijk met de technische controle, genoeg.

Gemeenten: let op dat er meer kan gelden

Voor een gemeente is het onderscheid belangrijk tussen cameratoezicht om de eigen gebouwen, terreinen en medewerkers te beveiligen, en cameratoezicht voor de handhaving van de openbare orde. Bij dat laatste kan de Wet politiegegevens relevant zijn in plaats van, of naast, de AVG. Dat is een ander kader met eigen regels over bewaren en verstrekken.

Presenteer de AVG daarom niet automatisch als het enige kader dat telt. Voor publieke organisaties komt daar vaak nog het eigen informatiebeveiligingsbeleid bij, en voor overheidslagen het normenkader BIO2.

Wat Field7 hierin wel en niet doet

Wij leveren de technische gegevens uit het rijtje hierboven, en we richten het systeem zo in dat die gegevens ook kloppen: de bewaartermijn staat vanaf dag één goed, wat buiten je terrein valt is gemaskeerd, iedereen krijgt een eigen account met eigen rechten, het logboek staat aan, en het cameranetwerk staat los van je werkplekken. Bij een bestaande installatie die niet van ons is, kijken we na wat er staat en leveren we hetzelfde overzicht.

Wat we niet doen: de DPIA zelf beoordelen of ondertekenen, en zeggen of je organisatie aan de AVG voldoet. Dat is werk van een jurist of je functionaris gegevensbescherming, en het blijft de verantwoordelijkheid van de organisatie die bepaalt waarvoor de camera's hangen.

Veelgestelde vragen

Bronnen

• Autoriteit Persoonsgegevens, Data protection impact assessment (DPIA) — autoriteitpersoonsgegevens.nl
• Autoriteit Persoonsgegevens, Regels cameratoezicht voor organisaties — autoriteitpersoonsgegevens.nl
• Autoriteit Persoonsgegevens, de lijst van verwerkingen waarvoor een DPIA verplicht is — autoriteitpersoonsgegevens.nl

Regels en uitleg veranderen. Staat er iets in dit artikel dat niet meer klopt met de bron, dan geldt de bron. Voor een oordeel over jouw situatie kijkt een jurist of je functionaris gegevensbescherming mee.

Laatst bijgewerkt op 1 november 2026.