Basisprincipes voor het gebruik van drones met camera

Doelbinding

U mag als verwerkingsverantwoordelijke alleen persoonsgegevens verzamelen met een gerechtvaardigd doel. Dat doel moet specifiek zijn en vooraf uitdrukkelijk zijn omschreven. Het doel waarvoor u persoonsgegevens gaat verwerken, moet verenigbaar zijn met het doel waarvoor deze gegevens zijn verzameld. Oftewel: u mag de gegevens niet ineens voor een heel ander doel gebruiken.

De verwerking van de persoonsgegevens mag daarnaast niet in strijd zijn met (andere) wetgeving, de openbare orde of de goede zeden.

Zie ook:

• artikel 5, lid 1 onder b AVG,
• artikel 3, lid 1 en 2 Wpg

Grondslag voor verwerking

U moet een goede reden hebben om persoonsgegevens te mogen verwerken. In artikel 6 van de AVG staan 6 van zulke redenen genoemd: zogenaamde grondslagen.

Kort samengevat zijn dat:

1. toestemming van de betrokkene;
2. uitvoering van een overeenkomst;
3. wettelijke verplichting;
4. bescherming van een vitaal belang van de betrokkene;
5. publiekrechtelijke taak;
6. gerechtvaardigd belang..

De gegevensverwerking moet op (minimaal) één van deze grondslagen berusten. Let op: u moet goed kunnen uitleggen waarom u zich op een grondslag baseert. Sommige grondslagen liggen bij het gebruik van cameratoezicht en drones niet voor de hand. Hieronder leest u hoe dat zit.

Vitaal belang

De grondslag ‘bescherming van een vitaal belang’ zal voor cameratoezicht ter beveiliging van personen en eigendommen meestal niet gelden. Het moet daarbij namelijk essentieel zijn voor iemands leven of gezondheid om de persoonsgegevens te verwerken.

Publiekrechtelijke taak

Om een publiekrechtelijke taak goed te kunnen uitvoeren, kan het noodzakelijk zijn dat een instantie cameratoezicht inzet.

Inzet noodzakelijk?

De noodzaak van de inzet van een drone moet u goed aantonen. U moet onder meer kijken naar de subsidiariteit en proportionaliteit van de verwerking.

De inzet van drones zal minder snel voldoen aan de eisen van subsidiariteit en proportionaliteit dan de inzet van statische camera’s, vanwege de mogelijkheid om drones flexibel in te zetten. Daardoor is er risico op meer of grotere inbreuken op de persoonlijke levenssfeer van mensen.

Noodzaak: subsidiariteit & proportionaliteit

U mag alleen een drone met camera inzetten als dit noodzakelijk is voor het doel dat u wilt bereiken. U moet de belangen van mensen die (mogelijk) worden gefilmd goed meewegen.

Daarbij zijn twee dingen van belang: ten eerste moet u vooraf de vraag stellen of het doel niet op een andere manier te bereiken is, die minder ingrijpend is voor de betrokkenen. Als dat zo is, dan voldoet de verwerking niet aan het vereiste van subsidiariteit.

Ten tweede moet u altijd vooraf de vraag stellen of het doel dat u wilt bereiken de inbreuk op de privacy van mensen rechtvaardigt. Als dit niet het geval is, dan is de verwerking van persoonsgegevens niet proportioneel.

Lees ook over voorwaarden voor cameratoezicht op openbare plaatsen.

Concludeert u dat de verwerking noodzakelijk is? Controleer tijdens de verwerking regelmatig of dat nog steeds zo is. Hoe vaak dat is, moet u zelf bepalen. Houd daarbij bijvoorbeeld rekening met de risico’s van de verwerking en de verandering van de omstandigheden.

Dataminimalisatie en strikte bewaartermijnen

Er mogen niet meer en langer camera’s worden ingezet en niet meer personen en/of plaatsen in beeld worden gebracht dan strikt noodzakelijk is voor de gestelde doeleinden (dataminimalisatie).

Lees ook de informatie over de voorwaarden en bewaartermijnen voor cameratoezicht. Deze gelden ook voor beelden gemaakt door drones.

Beveiliging

Het is belangrijk dat u bij het gebruik van drones rekening houdt met beveiliging. Denk aan encryptie, beveiligingsstandaarden en toegang. Soms is het nodig om een data protection impact assessment (DPIA) uit te voeren. Naast de algemene regels voor beveiliging, moet u bij drones op een aantal dingen letten.

Sommige drones zijn uitgerust met de mogelijkheid om tijdens de vlucht camerabeelden te versturen naar het basisstation, alwaar ze kunnen worden uitgekeken. Hierbij bestaat het risico dat de beelden door onbevoegden worden onderschept.

Als de camerabeelden op de drone of de daaraan verbonden apparatuur worden opgeslagen, bestaat het risico dat de beelden door een ander in handen van onbevoegden komen, bijvoorbeeld als de drone voortijdig uit de lucht valt of uit de lucht wordt gehaald.

Gaat het bij het gebruik van drones om politiegegevens? Dan gelden ook de beveiligingseisen uit de Wet politiegegevens (artikel 4a Wpg).

Informatieplicht

U moet mensen die (mogelijk) gefilmd worden, informeren over het gebruik van drones met een camera voordat zij worden gefilmd (artikel 14 juncto 13 AVG). Dit is de informatieplicht.

Het informeren van betrokkenen kan bij drones lastig zijn. Het is dan ook raadzaam om de betrokkenen op verschillende manieren te informeren. Denk aan:

• borden aan de randen van het vlieggebied;
• een vooraankondiging en informatie op de website van de verwerkingsverantwoordelijke en via (sociale) media;
• gemeentelijke nieuwsbrieven of huis-aan-huisbladen; 
• het ter plekke uitdelen van informatiefolders;
• het zichtbaar en hoorbaar maken van de drones door middel van bijvoorbeeld felle kleuren, (knipperende) lichten en geluidssignalen.

Informeren in sommige gevallen niet verplicht

In sommige gevallen is het niet verplicht om betrokkenen te informeren. Het gaat om situaties waarin de betrokkenen al op de hoogte zijn van de camera’s, het gebruik van de camera’s is voorgeschreven in een wet die ook in passende maatregelen voorziet, en als de verwerkte persoonsgegevens vertrouwelijk moeten blijven.

Ook geldt de informatieplicht niet als het informeren van de betrokkenen onmogelijk blijkt of een ‘onevenredige inspanning’ kost (zie artikel 14, lid 5 onder b, AVG). Dit kan echter wel invloed hebben op de vraag of het cameratoezicht door middel van drones proportioneel is. Het niet kunnen informeren van de betrokkenen levert namelijk een grotere inbreuk op de persoonlijke levenssfeer van de betrokkenen. Die inbreuk kan daardoor disproportioneel worden in verhouding tot het doel van de verwerking.

Ondanks dat informeren in sommige situaties niet verplicht is, raadt de AP aan dat toch te doen.

Lees ook de informatie over heimelijk cameratoezicht (verborgen camera’s).

Verwerkingsverantwoordelijkheid

Zoals bij iedere verwerking van persoonsgegevens is het belangrijk om te bepalen wie de verwerkingsverantwoordelijke is. Dat is de partij die heeft besloten de drone in te zetten. Dat geldt voor particulieren, maar ook zeker voor overheden. Een voorbeeld: als een gemeente besluit een drone in te zetten, en een bedrijf inhuurt om met de drone te vliegen, dan ligt de verantwoordelijkheid voor wat er met de drone aan gegevensverwerking wordt gedaan bij de gemeente.

Gaat het om politiegegevens? Lees dan ook de informatie over verwerkingsverantwoordelijkheid bij politiegegevens.