De GDPR en het Recht op Afbeelding - Aandachtspunten voor Fotografen. Laurens Naudts: Anton Vedder

De GDPR en het Recht op Afbeelding - Aandachtspunten voor Fotografen

Laurens Naudts: laurens.naudts@kuleuven.be Anton Vedder

De GDPR: Basisbeginselen

 Artikel 7: Privacy

“Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie.

 Artikel 8: Bescherming van persoonsgegevens

1. “Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens.”

2. “Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde

grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan.”

3. “Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.”

Handvest van de Grondrechten van de EU

• Materieel Toepassingsgebied: De geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

• Territoriaal Toepassingsgebied:

• Verwerking in het kader van de activiteiten van een vestiging van de verantwoordelijke of verwerker in de Unie

• Verwerking van betrokkenen die zich in de Unie bevinden

• Verwerking van verantwoordelijke, niet in de Unie, maar waarop lidstatelijk recht van toepassing is.

Toepassingsgebied GDPR

• Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

• Verwerking: Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens

Verwerking van Persoonsgegevens

Recital 18: “De GDPR is niet van toepassing op de verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit. Tot persoonlijke of huishoudelijke activiteiten kunnen behoren het voeren van correspondentie of het houden van adresbestanden, het sociaal netwerken en online-activiteiten in de context van dergelijke activiteiten. De GDPR geldt wel voor verwerkingsverantwoordelijken of verwerkers die de middelen verschaffen voor de verwerking van persoonsgegevens voor dergelijke persoonlijke of huishoudelijke activiteiten.”

• Verantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

• Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.

Verantwoordelijke voor de Verwerking

• Verantwoordelijke bepaalt:

• Doel: datgene wat je wil bereiken, of datgene wat je activiteiten richting geeft (het ‘waarom’?).

• Middelen: Hoe ga je het doel bereiken (het ‘hoe’)?

• Technische en organisatorische middelen die ingezet zullen worden (kunnen ook aan een verwerker worden uitbesteed.)

• Welke gegevens zullen verwerkt worden, wie zal er toegang toe krijgen, wanneer zullen gegevens verwijderd worden, etc.

• Het begrip verantwoordelijke is functioneel, en zal gebaseerd zijn op een feitenanalyse, eerder dan een formele analyse.

Verantwoordelijke en Verwerker

a) Rechtmatig, behoorlijk en transparant b) Doelbinding

c) Minimale gegevensverwerking d) Juistheid

e) Opslagbeperking

f) Integriteit en vertrouwelijkheid g) Verantwoordingsplicht

Beginselen inzake verwerking persoonsgegevens (art.

5 GDPR)

• Verwerking dient te gebeuren voor:

• Welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (doelspecificatie)

• Niet verder verwerkt op een met die doeleinden onverenigbare wijze (Doelbinding)

• Doeleinde verzameling versus doeleinden verdere verwerking

• Het kader waarin de gegevens zijn verzameld

• De aard van de gegevens, en met name of bijzondere categorieën zijn verwerkt

• De mogelijke gevolgen van verdere verwerking voor betrokkenen

• Het bestaan van passende waarborgen

Doelbinding

a) De betrokkene heeft toestemming gegeven voor de verwerking van zijn voor een of meerdere specifieke doeleinden

• Wat kinderen betreft (België): 13 jaar. Indien niet, toestemming/machtiging ouderlijke verantwoordelijke.

b) Noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene voor de sluiting van een overeenkomst maatregelen te nemen.

c) Noodzakelijk om te voldoen aan een wettelijke verplichting die op de verantwoordelijke rust.

d) Noodzakelijk om de vitale belangen van de betrokkene of van een ander natuurlijk persoon te beschermen.

e) Noodzakelijk voor de vervulling van een taak in het algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag aan de verantwoordelijke opgedragen.

f) Noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

• Art. 29 WP: exercise of the right to freedom of expression or information including in the media and the arts.

• Rechtmatig, voldoende specifiek en niet speculatief

Rechtmatigheid van de Verwerking

• Toestemming: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.

1. Aantonen dat de betrokkene toestemming heeft gegeven .

2. Informatie in begrijpelijke en gemakkelijk toegankelijke vorm, duidelijke en eenvoudige taal.

3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken.

Toestemming

1. De lidstaten brengen het recht op bescherming van persoonsgegevens wettelijk in overeenstemming met het recht op vrijheid van meningsuiting en van informatie, daaronder begrepen de verwerking van journalistieke doeleinden en de verwerking ten behoeve van academische, artistieke of literaire uitdrukkingvormen.

2. Lidstaten kunnen uitzonderingen of afwijkingen bepalen inzake de:

• Beginselen van gegevensbescherming

• Rechten van de betrokkene

• De verantwoordelijkheden van de verantwoordelijke en de verwerker

• Doorgifte naar derde landen

• Toezichthoudende autoriteiten

• Samenwerking en coherentie

• Specifieke gegevensverwerkingssituaties

Verwerking en Vrijheid van Meningsuiting en van

Informatie (Art. 85 GDPR)

Bijzondere Categorieën

Persoonsgegevens

• Bijzondere gegevens: persoonsgegevens inzake ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

• Biometrische gegevens: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens

• Genetische Gegevens: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon

Bijzondere Categorieën Persoonsgegevens I.

• De verwerking van bijzondere categorieën van persoonsgegevens is verboden, tenzij:

• De betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking

• De verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt.

Bijzondere Categorieën Persoonsgegevens II.

• Recital 51 GDPR: De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken.

Bijzondere Categorieën van Gegevens

Rechten van de betrokkene

• Recital 39: Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. Dat beginsel betreft met name het informeren van de betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot de natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. Natuurlijke personen moeten bewust worden gemaakt van de risico's, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld.

Transparante Informatie en Communicatie– Art. 12

GDPR

• De identiteit en de contactgegevens van de verantwoordelijke

• De verwerkingsdoeleinden

• De rechtsgrond voor de verwerking

• De gerechtvaardigde belangen (indien van toepassing)

• De ontvangers of categorieën van ontvangers van de persoonsgegevens

• De bewaartermijn (of criteria die deze bepalen)

• Informatie inzake rechten betrokkenen, e.g. tot inzage, rectificatie en beperking, en het recht een klacht in te dienen bij gegevensbeschermingsautoriteit

• Indien rechtsgrond toestemming: recht tot intrekking toestemming

• Of verstrekking persoonsgegevens een wettelijke of contractuele verplichting is, dan wel noodzakelijke voorwaarde om de overeenkomst te sluiten

• En: mogelijke gevolgen indien gegevens niet worden verstrekt

Recht tot Informatie (Art. 13-14 GDPR)

Betrokkene heeft het recht uitsluitsel te krijgen over het al dan niet verwerken van diens persoonsgegevens, en daartoe inzage te krijgen, alsook volgende

informatie:

• De verwerkingsdoeleinden

• De betrokken categorieën van persoonsgegevens

• De ontvangers of categorieën van ontvangers

• De bewaartermijn (of criteria voor de bewaartermijn)

• Informatie inzake rechten van de betrokkenen, e.g. tot rectificatie, wissing, beperking, bezwaar, alsook het recht tot indienen klacht bij

gegevensbeschermingsautoriteit

Recht van Inzage (Art. 15 GDPR)

• Recht onverwijld rectificatie van onjuiste persoonsgegevens te verkrijgen

• Recht vervollediging onvolledige persoonsgegevens

Recht op Rectificatie (Art. 16)

• Het recht, zonder onredelijke vertraging, wissing van persoonsgegevens te verkrijgen. Verantwoordelijke is verplicht de gegevens te wissen indien:

• De persoonsgegevens niet langer nodig zijn voor de doeleinden waarover zij zijn verzameld of anderszins verwerkt

• Indien rechtsgrond toestemming:

• toestemming wordt ingetrokken en;

• Er geen andere rechtsgrond voor handen is.

• De betrokkene maakt bezwaar tegen de verwerking (Art. 21 GDPR) en er zijn geen dwingende gerechtvaardigde gronden voor de verwerking zijn.

• Persoonsgegevens onrechtmatig zijn verwerkt

Recht op Gegevenswissing (Art. 17 GDPR) I

• Indien de gegevens openbaar zijn gemaakt (publieke website)

• Wissen iedere koppeling naar, of kopie of reproductie

• Recht op Gegevenswissing is niet van toepassing:

• Indien noodzakelijk voor het uitoefenen van recht op vrijheid van meningsuiting en informatie

Recht op Gegevenswissing (Art. 17 GDPR) II

• De betrokkene heeft het recht de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

a) De juistheid van persoonsgegevens wordt betwist door de betrokkene

b) Verwerking onrechtmatig is

c) De gegevens niet langer nodig zijn voor de doeleinden

d) De betrokkene bezwaar heeft gemaakt tegen de verwerking (Art. 21)

Recht op Beperking van de Verwerking (Art. 18

GDPR)

• De betrokkene heeft het recht om, zonder hinder, een indien mogelijk

rechtstreeks, diens persoonsgegevens in een gestructureerde, gangbare en

‘machine leesbare’ vorm te verkrijgen en deze aan een andere verantwoordelijke over te dragen, indien:

• De verwerking berust op toestemming

• De verwerking via geautomatiseerde procedés wordt verricht

Recht op Overdraagbaarheid van Gegevens (Art. 20

GDPR)

• Indien rechtsgrond ‘gerechtvaardigd belang’ heeft de betrokkene te allen tijde het recht om vanwege zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van diens

persoonsgegevens

• De verantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende, gerechtvaardigde gronden aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene

• Direct Marketing:

• Te allen tijde een recht bezwaar te maken

• Verantwoordelijke: stopzetting verwerking

Recht van Bezwaar (Art. 21)

• Verwerking van gegevens voor uitsluitend journalistieke doeleinden:

• “Een verwerking die voornamelijk gericht is op de voorlichting van het publiek en waarbij de verwerkingsverantwoordelijke de aan journalisten opgelegde deontologische regels herkent.”

• http://www.rvdj.be/code-raad-voor-de-journalistiek

• E.g. Art. 14 CrvJ: Het nieuwsmateriaal, e.g. foto’s, wordt, voordat het wordt openbaar gemaakt, door de redacties behandeld volgens de klassieke regels van de journalistieke bronnencontrole. Het is dus ook de redactie die verantwoordelijk is voor wat wordt gepubliceerd.

• Verwerking voor uitsluitend artistieke doeleinden

Uitzonderingen België? (Op basis van huidig

wetsvoorstel)

1. Bijzondere categorieën van gegevensverwerking (journalistiek en artistiek) – Art. 9-10 GDPR:

• de verwerking betrekking heeft op persoonsgegevens die kennelijk

publiek zijn gemaakt door de betrokkene of die in nauw verband staan met het publiek karakter van de betrokkene of van het feit waarin die

persoon betrokken is.

2. Verstrekken van informatie (journalistiek en artistiek) – Art. 13-14 GDPR

• Wanneer toepassing zou leiden tot:

• De verzameling van gegevens in het gedrang zou worden gebracht

• Een voorgenomen publicatie in het gedrang wordt gebracht

• De toepassing zou aanwijzingen verschaffen over de bronnen van informatie

Uitzonderingen I.

3. Recht op Rectificatie (journalistiek en artistiek) – Art. 16 (GDPR)

• Indien toepassing een voorgenomen publicatie in het gedrang zou brengen in zoverre de betrokken beschikt over het recht om, na de publicatie, aanvullende verklaringen af te leggen en een soortgelijke

publiciteit daarbij wordt verzekerd door de verwerkingsverantwoordelijke en de verwerker, tenzij de aanvullende verklaring beledigend zou zijn of in

strijd met de wetten en de goede zeden

4. Internationale doorgifte van gegevens (journalistiek en artistiek) – Art.

44-45 GDPR

• Wanneer noodzakelijk om recht op privacy met vrije meningsuiting te verzoenen

5. Controle bevoegdheid DPA (journalistiek en artistiek) – Art. 58 GDPR

Uitzonderingen II.

Verantwoordelijkheden

• Technische en organisatorische maatregelen ter waarborging gegevensbescherming, rekening houdende met:

• Aard, omvang , context en doel verwerking

• Waarschijnlijkheid en ernst van risico’s voor rechten en vrijheden natuurlijke personen.

• Gegevensbescherming door ontwerp (en door standaardinstellingen)

Verantwoordelijkheden van de Verantwoordelijke

• De verwerking door een verwerker wordt geregeld in een overeenkomst die de verwerker ten aanzien van de verantwoordelijke verbindt. Deze overeenkomst bepaalt de verwerking wat betreft:

• Onderwerp

• Duur

• Aard

• Doel

• Soort persoonsgegevens

• Categorieën van betrokken

• Rechten en verplichtingen verantwoordelijke

Verwerkingsovereenkomst I.

• Verwerking uitsluitend op schriftelijke instructies verantwoordelijke zal gebeuren

• Vertrouwelijkheid in acht zal genomen worden

• De verwerking zal beveiligd worden (Art. 32 GDPR)

• Geen andere verwerker in dienst zal genomen worden zonder voorafgaande specifieke of algemene toestemming van de verantwoordelijk.

• Waar mogelijk, de verantwoordelijke bijstand zal verlenen voor het nemen van gepaste technische en organisatorische maatregelen ter bescherming

fundamentele rechten.

• Gegevens zullen gewist of terugbezorgd worden na afloop van de verwerkingsdiensten

• De verantwoordelijke alle informatie ter beschikking stelt die nodig is ter naleving van de wetgeving.

Verwerkingsovereenkomst II.

Het Recht op Afbeelding

(Portretrecht)

• Eenieder heeft het recht op zijn of haar afbeelding

• Exclusief recht op de eigen beeltenis

• Uitdrukkelijke toestemming vooraf vereist

• Kan stilzwijgend gegeven worden, bijvoorbeeld door te poseren.

• Hergebruik

• Vernieuwde toestemming nodig

• Toestemming afbeelding te maken =/= toestemming afbeelding te gebruiken

Recht op Afbeelding

• (Tijdelijk) Publieke Personen, zolang:

• Geen commercieel gebruik

• Geen inbreuk op het privéleven van de publieke persoon

• Is de foto genomen tijdens de uitoefening van zijn beroep?

• Openbare Ruimte en Menigtes:

• Geen toestemming vereist: indien aanwezige personen toevallig, of bijkomstig, op de foto afgebeeld staan.

• Wel toestemming vereist: indien aanwezige personen duidelijk centraal in beeld worden gebracht, of door artistieke keuzes de aandacht op een

bepaalde persoon werd gevestigd.

Recht op Afbeelding II - Uitzonderingen

• Privacy en Gegevensbescherming: Vormt de afbeelding een inbreuk op de fundamentele rechten tot privacy en gegevensbescherming?

• Financieel: Kan de persoon financieel gewin halen uit het portret?

• Commercieel: Haal ik commercieel belang uit de publicatie van de foto?

• Context: Wordt het portret gebruikt binnen een context die overeenstemt met de context op het ogenblik dat het genomen werd?

Enkele Afwegingen

Deontologie Journalistiek

 De journalist die een minderjarige herkenbaar in beeld brengt, vraagt in principe toestemming aan de minderjarige zelf, en aan de ouders, de voogd, of een derde die tijdelijk of occasioneel verantwoordelijkheid draagt over de minderjarige.

 Toestemming is niet nodig voor algemene beelden op openbare plaatsen.

 Ook voor herkenbare beelden die door officiële instanties worden verspreid, is geen toestemming nodig.

 Toestemming voor herkenbare beelden is ook niet nodig wanneer een gewichtig maatschappelijk belang zwaarder doorweegt dan het belang van de minderjarige.

 Bij gebeurtenissen die voor de pers toegankelijk zijn of waar de pers uitgenodigd is, geldt de impliciete toestemming van de aanwezigen. Wanneer een minderjarige of degene die ter plekke verantwoordelijkheid over hem draagt zich uitdrukkelijk verzet tegen het maken van herkenbare beelden, houdt de journalist daar wel rekening mee.

 De journalist overweegt altijd of het niet aangewezen is om de minderjarige onherkenbaar te maken.

 In uitzonderlijke gevallen bekleden minderjarigen bewust een publieke rol. Dat verlaagt de drempel om herkenbaar over hen te berichten of hen herkenbaar in beeld te brengen.

De minderjarige in beeld

• GDPR

• https://www.privacycommission.be/sites/privacycommission/files/documents/b escherming-van-persoonsgegevens-in-belgie.pdf

• Article 29 Data Protection Working Party, Opinion 1/2010 on the concepts of

“controller” and “processor”

• http://www.rvdj.be/code-raad-voor-de-journalistiek

• https://mediawijs.be/dossiers/dossier-mediamakers/wat-het-portretrecht-het- recht-op-afbeelding

• https://ictrecht.nl/2014/03/03/auteursrecht-hoe-zit-het-met-portretrecht

Bronnen

KU Leuven Centre for IT & IP Law (CiTiP) - imec Sint-Michielsstraat 6, box 3443

BE-3000 Leuven, Belgium

http://www.law.kuleuven.be/citip