Gebruikt u foto’s van werknemers voor bijvoorbeeld uw website of een smoelenboek? Dat mag op grond van de privacywetgeving alleen wanneer uw werknemer hier uitdrukkelijk toestemming voor heeft gegeven.

Toestemming speelt een belangrijke rol in de Algemene verordening gegevensbescherming (AVG). Deze wet, die per 25 mei 2018 is ingegaan, stelt verschillende eisen aan het gebruik van (uitdrukkelijke) toestemming. Een voorbeeld van een vereiste is dat uw organisatie moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn of haar persoonsgegevens (wie, wanneer, op welke wijze). Om dit aantoonbaar te maken kunnen zowel technische als organisatorische aanpassingen vereist zijn.

Zorg dus dat u schriftelijk toestemming vraagt, en daarbij duidelijk uitlegt voor welke specifieke doeleinden u deze informatie wilt hebben. Zorg vervolgens dat de foto’s goed beveiligd worden tegen misbruik.

Let op! Geeft de werknemer de toestemming niet, gebruik de foto dan ook niet.

Voorwaarden toestemming

Indien toestemming van de betrokkene wordt gevraagd, moet aan de volgende voorwaarden worden voldaan:

  • Vooraf wordt vastgesteld of toestemming de juiste wettelijke basis voor deze gegevensverwerking (gebruik van een foto) is.
  • De toestemming dient op een duidelijke manier verkregen te worden: er wordt een positieve actie aan de betrokkene gevraagd voor het geven van toestemming (de zogenaamde ‘opt-in’). Er mag dus geen gebruik gemaakt worden van vooraf aangevinkte vakjes (de zogenaamde default-instelling).
  • Indien de betrokkene jonger is dan 16 jaar, is toestemming van een wettelijke vertegenwoordiger, zoals ouders, noodzakelijk.
  • Er moet een privacyverklaring of privacybeleid zijn waarin alle relevante informatie ten behoeve van de gegevensverwerking wordt gegeven.
  • Indien er op hetzelfde moment toestemming wordt gevraagd voor verschillende doeleinden (bijvoorbeeld gebruik van foto’s voor de website, het smoelenboek en advertenties) wordt er voor elk doeleinde afzonderlijk toestemming gevraagd.
  • Gewaarborgd wordt dat betrokkenen weten dat zij kunnen weigeren om toestemming te geven zonder dat dit negatieve gevolgen voor hen heeft. Het mag ook geen voorwaarde zijn voor een bepaalde dienst. Dit kan bijvoorbeeld aan de orde zijn in arbeidsrelaties ten aanzien van uw werknemers.

Deze voorwaarden gelden voor alle verwerkingen die plaatsvinden op basis van de grondslag toestemming.

Intrekken toestemming

Een betrokkene kan op ieder moment besluiten zijn of haar toestemming voor het gebruik van persoonsgegevens in te trekken. Dit dient mogelijk te zijn op dezelfde eenvoudige wijze als dat de toestemming is verkregen. Intrekking van toestemming maakt eerdere verwerking van persoonsgegevens niet ongedaan. Toestemming kan dus niet met terugwerkende kracht worden ingetrokken.

De verwerkingsactiviteiten op basis van deze toestemming dienen dan gestaakt te worden. Zo ook bij mogelijke (sub)verwerkers, zoals wanneer u uw salarisadministratie hebt uitbesteed. De betreffende persoonsgegevens dienen dan, indien ze niet voor een ander verwerkingsdoel nodig zijn, verwijderd te worden.

Gebruik foto’s

Foto’s waarop individuen identificeerbaar zijn, vormen ook persoonsgegevens. Uitgangspunt is dat voor het gebruiken van foto’s een wettelijke grondslag aanwezig moet zijn. In de meeste gevallen moet een betrokkene zijn toestemming geven voor het gebruiken van zijn foto. Dit betekent dat de hierboven beschreven voorwaarden met betrekking tot toestemming van toepassing zijn. Het is goed u hier als bedrijf bewust van te zijn bij het gebruik van foto’s van bijvoorbeeld werknemers of klanten.

Nieuwsbrief, website of andere media

Het continu om toestemming vragen voor gebruik van foto’s kan veel tijd in beslag nemen. Het handigste is als uw organisatie bijvoorbeeld in een procedure voor werknemers beschrijft dat het mogelijk is dat er bij verschillende gelegenheden foto’s gemaakt worden. Deze foto’s kunnen gebruikt worden voor diverse doeleinden, zoals de website van uw bedrijf, een nieuwsbrief of voor andere media.

Op basis van de procedure vraagt u vervolgens expliciet toestemming aan uw werknemers voor het gebruik van deze foto’s en u registreert dit (zie de eerder beschreven voorwaarden). Ook voor losse evenementen die u organiseert, kunt u het voor bijvoorbeeld uw klanten of gasten op deze wijze regelen.

Gebruik foto’s van andere websites

Het gebruiken van foto’s of andere persoonsgegevens van andere websites voor een eigen bedrijfspublicatie op internet is in principe niet toegestaan. Dat deze gegevens al op internet staan, betekent niet dat uw bedrijf ze ook mag gebruiken. De gegevens worden dan namelijk in een andere context en voor een ander doel gebruikt. Hiervoor moet u ook expliciet toestemming verkrijgen. Er geldt een uitzondering voor huishoudelijk/persoonlijk gebruik, dan is de namelijk AVG niet van toepassing. Voorwaarde is dan echter wel dat u de gegevens privé publiceert en dat deze alleen voor een beperkte kring mensen zichtbaar zijn.