Mag je foto's van medewerkers delen na het bedrijfsfeest?

Is een foto van je collega een persoonsgegeven?

Ja, zodra iemand herkenbaar in beeld staat. Volgens de uitleg van de Autoriteit Persoonsgegevens hoef je de naam van die persoon niet te weten: een herkenbaar postuur of een herkenbare houding kan al genoeg zijn.

Er is een uitzondering voor persoonlijk gebruik, maar die geldt alleen als iemand foto's privé houdt of in zeer beperkte kring deelt. Voor jou als werkgever geldt hij niet: zodra je namens de organisatie foto's verzamelt en publiceert heb je een grondslag nodig, ook binnen een afgeschermd album.

Heb je toestemming nodig, of is gerechtvaardigd belang genoeg?

Hier lopen de bronnen uiteen, en dat verklaart de tegenstrijdige stukjes die je erover vindt. De AP schrijft op haar pagina over fotograferen en filmen op evenementen dat toestemming veruit het meest voor de hand ligt, en dat gerechtvaardigd belang pas in beeld komt als je geen toestemming kunt vragen.

Arbeidsrechtjuristen wijzen op het omgekeerde probleem. AWVN schrijft dat aan toestemming eisen zitten waaraan in de arbeidsrelatie vanwege de afhankelijkheidsrelatie meestal niet kan worden voldaan. De AP zegt dat zelf ook: er is een machtsverhouding, en wie weigert mag daar geen nadeel van ondervinden. DMCC merkt op dat werkgevers daarom vaak op gerechtvaardigd belang leunen, wat niet strookt met de zienswijze van de toezichthouder.

Op maandagochtend doe je dus twee dingen tegelijk. Vraag toestemming en maak weigeren werkelijk vrij: geen lijstje van wie niet meedoet, en een gelijkwaardig alternatief. Houd daarnaast het doel klein, want een afgeschermd album voor collega's is iets anders dan een advertentie. Leun je toch op gerechtvaardigd belang, schrijf de afweging op.

• Doel: waarvoor je de foto's gebruikt, en waar ze komen te staan.
• Noodzaak: kan het met minder foto's, of zonder herkenbare gezichten.
• Belang: wat er misgaat als juist deze foto rondgaat.
• Waarborgen: afgeschermd album, bewaartermijn, een adres voor bezwaar.
• Uitkomst: waarom jouw belang zwaarder weegt, met een datum eronder.

Hoe trekt iemand zijn toestemming weer in?

Dit ontbreekt in de meeste stukken, terwijl het de vraag is die je een half jaar later krijgt. Intrekken moet net zo makkelijk zijn als geven, en de AP geeft er een voorbeeld bij: een knop bij de foto's voor wie erop staat en dat niet wil. Een reden hoeft er niet bij.

En dan het stuk dat mensen missen. Volgens de AP geldt zo'n verzoek ook voor je eigen fotoarchief, niet alleen voor de website. Staat het album op zes plekken, waaronder de map van marketing en de zip op iemands privélaptop, dan moet je die zes plekken kennen. Eén album op één plek is de enige opzet waarin je dit kunt waarmaken, en die staat in de gids over foto's verzamelen op een bedrijfsfeest.

Hoe lang mag je de foto's bewaren?

Er staat geen termijn in de wet. De AP legt uit dat de AVG geen concrete bewaartermijn kent en dat organisaties die zelf bepalen. Het uitgangspunt ligt wel vast: niet langer dan nodig voor het doel.

Je kiest dus zelf een termijn en schrijft de onderbouwing erbij. De AP kijkt niet of je op twaalf maanden of drie jaar uitkomt, maar of je uitleg redelijk is en of je je er ook aan houdt. Voor feestfoto's is het eerlijke antwoord korter dan mensen denken: het doel is dat collega's de avond terugkijken, en dat is na een paar maanden bereikt. Bij ons loopt de actieve periode vanzelf af, en wat er daarna gebeurt staat apart.

Is portretrecht iets anders dan de AVG?

Ja, twee sporen die naast elkaar lopen. Portretrecht komt uit artikel 21 van de Auteurswet en geeft iemand op een foto het recht zich tegen publicatie te verzetten als hij daarbij een redelijk belang heeft. Pallas Advocaten schrijft dat die redelijkheidstoets overeenkomt met de belangenafweging uit de AVG.

Voor een bedrijfsfeest is dat concreet. Een sfeerfoto van een uitje levert volgens datzelfde stuk niet snel een redelijk belang op. Maar foto's van een uit de hand gelopen personeelsfeest worden er wél als voorbeeld genoemd, ook bij interne publicatie. Dat is de foto waar collega's bang voor zijn, en de reden om moderatie aan te zetten of iets weg te halen.

Heb je een verwerkersovereenkomst nodig met je fototool?

Bijna altijd wel. Zodra een externe partij persoonsgegevens verwerkt in jouw opdracht is zo'n overeenkomst verplicht, en bij een fototool is dat het geval omdat de gegevens bij een SaaS-dienst naar de server van een andere partij gaan. Jij blijft verwerkingsverantwoordelijke, de leverancier is verwerker.

Erin hoort het doel, de duur, om welke gegevens het gaat, en wie wat doet bij een datalek. Dat laatste is niet theoretisch: een melding moet binnen 72 uur bij de AP liggen. Vraag de overeenkomst op vóór aanschaf, en vraag er meteen bij waar de bestanden staan, want dat antwoord ontbreekt bij veel aanbieders.