Het online beschikbaar stellen van beeldmateriaal en de AVG. Auteur: Mirjam Louisse, Gemeentearchief Goes

Korte inleiding

De gemeente Goes (c.q. gemeentearchief Goes) heeft in het jaar 2000 een collectie beeldmateriaal in bewaring genomen van de heer X. Deze collectie bestaat uit een bonte verzameling van 1500 afbeeldingen uit Goes en omgeving: afbeeldingen van gebouwen, landschapsfoto’s, luchtfoto’s, diverse ansichtkaarten, portretfoto’s maar ook afbeeldingen van groepen personen zoals klassenfoto’s en diverse evenementen door de jaren heen. De afbeeldingen zijn gemaakt begin 20ste eeuw tot heden.

Auteurswet 1912

Een gedeelte van de afbeeldingen is gemaakt door de vader van de heer X. Van de meeste afbeeldingen is echter niet bekend waar de auteursrechten liggen. Dit betreft o.a. de ansichtkaarten en luchtfoto’s. Ook bevat de collectie veel kopieën van fotomateriaal gemaakt door de vader van de heer X waarvan onduidelijk is wie de maker is en waar het auteursrecht ligt.
In de overeenkomst die gesloten is met de heer X, is toestemming gegeven om al het beeldmateriaal uit deze collectie ter inzage te geven aan derden (fysiek/online). Bij eventueel gebruik door derden moet schriftelijk toestemming gegeven worden door de heer X. Gezien de Auteurswet heeft heer X echter slechts het auteursrecht op het beeldmateriaal dat door de familie zelf is gemaakt.
Voor alle duidelijkheid; het auteursrecht is door de heer X niet overgedragen aan de gemeente Goes (c.q. het gemeentearchief Goes).

Conclusie

Foto’s waarvan onduidelijk is door wie ze zijn gemaakt of wie het auteursrecht heeft, mogen door de heer X dus niet geclaimd worden als auteursrechthebbende. Bij het sluiten van de overeenkomst van in bewaring geven is men er ten onrechte vanuit gegaan dat de heer X. het auteursrecht had van alle afbeeldingen. Bij nader onderzoek bleek dit dus niet zo te zijn.

Archiefwet 1995

Deze collectie is een particuliere verzameling die in bewaring is gegeven en is opgenomen in de archiefbewaarplaats. Deze archiefbescheiden behoren niet tot bescheiden, die ongeacht hun vorm, door overheidsorganen zijn ontvangen of opgemaakt en naar hun aard bestemd zijn daaronder te berusten (artikel 1, c lid 1). Het zijn echter wel bescheiden, ongeacht hun vorm welke ingevolge overeenkomst of beschikkingen van instellingen of personen dan wel uit anderen hoofde in een archiefbewaarplaats zijn opgenomen om daar te berusten (artikel 1, c lid 3).

Probleemstelling

Het gemeentearchief Goes heeft meer van dergelijke collecties als van de heer X, in eigendom. In het verleden werden deze collecties zonder meer op het World Wide Web geplaatst. Bij de gestructureerde, geautomatiseerde ontsluiting van onze beeldcollectie maken we gebruik van bepaalde metadata (gegevens).
De invoering van de Algemene Verordening Gegevensbescherming (hierna te noemen AVG) op 25 mei 2018 heeft ons voor de vraag gesteld of wij bij het verwerken van dit beeldmateriaal persoonsgegevens verwerken en zo ja, of de verwerking van deze persoonsgegevens rechtmatig en zorgvuldig is.

Wij proberen aan de hand van een analyse van de collectie van de heer X een antwoord te krijgen op deze probleemstelling. Dit doen we aan de hand van een aantal deelvragen.

Deelvragen

a. Is er sprake van verwerking van persoonsgegevens bij het bewaren, ontsluiten en beschikbaar stellen van beeldmateriaal? Met andere woorden is de AVG van toepassing?
b. Valt de verwerking binnen het territoriale toepassingsbereik van de AVG? Zijn wij als gemeentearchief Goes verwerkingsverantwoordelijke, of zijn wij verwerker?
c. Zo ja, is dan bij de gemeente Goes (c.q. gemeentearchief Goes) de verwerking van deze persoonsgegevens rechtmatig, behoorlijk en transparant?
d. Is de verwerking van deze persoonsgegevens gebonden aan specifieke verzameldoelen (doelbinding?)
e. Kunnen wij (als gemeentearchief) ons bij de verwerking baseren op tenminste één van de grondslagen die de AVG noemt?
N.B. Er zijn vier verschillende manieren waarop afbeeldingen in deze collectie bij het Gemeentearchief Goes worden bewaard, ontsloten en beschikbaar gesteld. De probleemstelling is van toepassing op deze vier verschillende deelgebieden.

On site beschikbaar stellen

a. Het meeste beeldmateriaal wordt fysiek bewaard en fysiek ontsloten. Het fysieke beeldmateriaal is per stad/dorp opborgen in zuurvrije dozen en iedere stad/dorp is per doos onderverdeeld in bepaalde rubrieken. Omdat nog niet al ons fotomateriaal is gescand, wordt het niet gescande beeldmateriaal soms nog fysiek beschikbaar gesteld in de studiezaal. Per fysieke afbeelding is een beschrijving toegevoegd. Voor gebruik door derden wordt het auteursrecht onderzocht en toegepast.
b. Afbeeldingen die digitaal zijn opgeslagen en ontsloten, maar waarvan het auteursrecht niet bij het gemeentearchief berust, kunnen via de database bekeken worden in de studiezaal. Wil een bezoeker afbeeldingen gebruiken, dan wordt er toestemming gevraagd aan de auteursrechthebbende.

Online beschikbaar stellen van materiaal waarvan het auteursrecht bij het gemeentearchief berust

a. De fysieke afbeeldingen die wel zijn gescand, zijn via een database ontsloten en worden online beschikbaar gesteld. Deze scans hebben een uniek nummer gekregen en zijn ontsloten via een aantal metadata.
b. Digital born afbeeldingen worden digitaal bewaard, ontsloten en online beschikbaar gesteld. Digital born afbeeldingen worden direct in de database opgeslagen en via een aantal metadata ontsloten.
Schematische weergave

Schematische weergave

Korte analyse van de privacy wet- en regelgeving en toepassing daarvan op de praktijksituatie

Deelvraag a. Is er sprake van een bewerking van persoonsgegevens bij het documenteren van beeldmateriaal?

Vraag 1: Is er sprake van verwerking van gegevens?
De AVG geeft in artikel 4, lid 2 de volgende definitie van verwerking: ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens’.
Conclusie: collecties van zowel fysiek als digitaal beeldmateriaal zijn verzameld en opgeslagen in de archiefbewaarplaats. Gegevens zijn fysiek en digitaal vastgelegd door middel van metadata. De collecties zijn geordend en geanalyseerd en zijn on site (=studiezaal) en online in te zien door derden. De verwerking van gegevens is geheel of gedeeltelijk geautomatiseerd.

Vraag 2: Bevatten deze gegevens persoonsgegevens?
De AVG geeft als definitie (artikel 4, lid 1) bij ‘persoonsgegevens’ aan dat persoonsgegevens betrekking moeten hebben op een persoon. Gegevens hebben alleen betrekking op een natuurlijke persoon wanneer deze geïdentificeerd is of identificeerbaar is. Om de identiteit van een persoon vast te stellen wordt doorgaans gebruik gemaakt van gegevens die een unieke, persoonlijke relatie tot die persoon hebben, zogenaamde ‘identificatoren’. Bij identificatoren kan allereerst worden gedacht aan gegevens zoals naam, adres en geboortedatum (zogenaamde directe identificatoren). Er kan ook geïdentificeerd worden op basis van andere mindere identificatoren zoals uiterlijke kenmerken (lengte, postuur, haarkleur), sociale en economische kenmerken (beroep, inkomen of opleiding) en online identificatoren zoals IP-adressen. We spreken dan van ‘indirect identificerende gegevens’.
Conclusie: er is bij het verwerken van gegevens in de beeldbank sprake van verwerking van persoonsgegevens omdat:
a. Er wordt gebruik gemaakt van beeldmateriaal (uiterlijke kenmerken), soms in combinatie van een beschrijving waarin de namen van de personen worden vermeld. Te denken valt bijvoorbeeld aan klassenfoto’s, afbeeldingen van evenementen, portretfoto’s. Personen zijn te identificeren.
b. We geven aan in de database wie de vervaardiger is van het fotomateriaal en wie de auteursrechthebbende is. Indien er een overeenkomst is gesloten met de auteursrechthebbende wordt dit vastgelegd.

Deelvraag b. Valt de verwerking binnen het territoriale toepassingsbereik van de AVG? Is de gemeente Goes (c.q. gemeentearchief Goes) verwerkingsverantwoordelijk of verwerker?

Vraag 1: verwerkingsverantwoordelijk of verwerker?
De verwerkingsverantwoordelijke is degene die doel en middelen bepaalt voor de verwerking. De verwerker handelt in opdracht van de verwerkingsverantwoordelijke bij het verwerken van de persoonsgegevens, zonder onder diens rechtstreeks gezag te staan (Zie AVG artikel 4, lid 7 en 8). De verwerker is een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
Conclusie: De gemeente Goes (c.q. gemeentearchief Goes) is degene die de persoonsgegevens verzamelt en doel en middelen bepaalt voor de verwerking en is derhalve verwerkingsverantwoordelijke. Verwerker is het bedrijf dat de webbased omgeving beheert en waar de gemeente Goes data host. Er is een verwerkersovereenkomst afgesloten.

Vraag 2: bepalen territoriaal toepassingsbereik
Zie uitvoeringswet AVG, artikel 4:
De AVG zal niet alleen van toepassing zijn op de verwerking van de persoonsgegevens in het kader van activiteiten van een vestiging van de verantwoordelijke in de EU, maar ook van een bewerker (de ‘verwerkingsverantwoordelijke’ respectievelijk de ‘verwerker’). Hierbij is het niet relevant of de verwerking zelf ook plaatsvindt in de EU.
a. De verordening is van toepassing op organisaties die in Nederland of in landen van de EU gevestigd zijn.
b. Echter de AVG is ook van toepassing op verwerking van persoonsgegevens van betrokkenen die zich in Nederland bevinden, door een niet in de Europese Unie gevestigde verwerkingsverantwoordelijke of verwerker wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan deze betrokkenen in Nederland of het monitoren van hun gedrag, voor zover dit gedrag in Nederland plaatsvindt.

Conclusie

Zowel de verwerkingsverantwoordelijke als de verwerker voeren de verwerking van de persoonsgegevens uit in Nederland.

Deelvraag c. Vindt bij de gemeente Goes (c.q. gemeentearchief Goes) de verwerking van deze persoonsgegevens rechtmatig, behoorlijk en transparant plaats?

Zie AVG, artikel 89 lid 1 en lid 3:
Verwerkingen voor wetenschappelijk en historisch onderzoek, statistische doeleinden en archivering in het algemeen belang worden altijd verenigbaar geacht met het oorspronkelijke verzameldoel. Maar ook als het geen verdere verwerkingen zijn, mogen persoonsgegevens worden verwerkt voor deze doeleinden, mits aan de eisen uit de AVG wordt voldaan.

De AVG eist dat voor bescherming van rechten en vrijheden van betrokkenen passende waarborgen worden getroffen. Die waarborgen moeten er onder andere voor zorgen dat technische en organisatorische maatregelen zijn getroffen om zo min mogelijk persoonsgegevens te verwerken, zoals pseudonimiseren of anonimiseren.
AVG-overweging nr. 158 bepaalt hierover het volgende:
‘Wanneer persoonsgegevens voor archiveringsdoeleinden worden verwerkt, dient deze verordening ook voor verwerking met dit doel te gelden, met dien verstande dat deze verordening niet van toepassing mag zijn op persoonsgegevens van overleden personen. Overheidsinstanties of openbare of particuliere organen die in het bezit zijn van gegevens van algemeen belang moeten diensten zijn die, conform(…) het lidstatelijke recht, wettelijk verplicht zijn gegevens van blijvende waarde voor het algemeen belang te verwerven, te bewaren, te beoordelen, te ordenen, te beschrijven, mee te delen, onder de aandacht te brengen, te verspreiden en toegankelijk te maken. (…)’
Zo staat in artikel 45 lid 1 Uitvoeringswet dat het gaat om persoonsgegevens die berusten in de archiefbewaarplaats. Samenvattend kan gesteld worden dat het begrip ‘archivering in het algemeen belang’ slechts betrekking heeft op verwerkingen die direct verband houden met bewaring van persoonsgegevens voor de lange termijn, en alleen voor zover dat dit in de nationale wet geregeld is. In Nederland is dat de Archiefwet 1995.

Conclusie

De verwerking van persoonsgegevens in de beeldbank betreft alleen persoonsgegevens die berusten in de archiefbewaarplaats. Op persoonsgegevens van nog levende personen is de AVG van toepassing. Er zal echter bij het gemeentearchief Goes gekeken moeten worden naar technische en organisatorische maatregelen om voor de rechten en vrijheden van betrokkenen passende waarborgen te treffen.

Deelvraag d. Zo ja, heeft het gemeentearchief Goes dan een duidelijk bepaald en gerechtvaardigd doeleinde voor het verzamelen van persoonsgegevens?

Men mag op grond van de AVG persoonsgegevens slechts verwerken voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen. We mogen geen persoonsgegevens verwerken zonder dat een doel is bepaald (zie AVG artikel 5, overweging 5).
Wij verwerken persoonsgegevens voor de volgende doeleinden:
a. Vastleggen van vervaardiger en auteursrechthebbende. Dit is noodzakelijk om bij het ter beschikking stellen van beeldmateriaal, de auteurswet 1912 behoorlijk en rechtmatig te kunnen uitvoeren.
b. Documenteren en beschikbaar stellen van ons cultureel erfgoed t.b.v. wetenschappelijk en historisch onderzoek, statistische doeleinden en archivering in het algemeen belang.
Koppeling van persoonsgegevens met beeldmateriaal geeft inzicht in de historie van de gemeente Goes.

Conclusie

Wij hebben een duidelijk bepaald en gerechtvaardigd doeleinde, echter deze doeleinden zijn niet schriftelijk vastgelegd.

Deelvraag e. Kunnen wij de verwerking (inclusief het verzamelen) baseren op tenminste een van de grondslagen die de AVG noemt?

Zie AVG, artikel 7:
Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.

Wijze van verwerking
a. In een overeenkomst waar de auteursrechten worden vastgelegd, geeft de auteursrechthebbende toestemming voor de verwerking van zijn persoonsgegevens voor dit specifieke doeleinde (AVG artikel 6, lid 1 a).
b. Documenteren en beschikbaar stellen van ons cultureel erfgoed t.b.v. wetenschappelijk en historisch onderzoek, statistische doeleinden en archivering kan worden gezien als een taak in het algemeen belang (AVG artikel 6, lid e).

Conclusie

Wij kunnen het verwerken van (persoons)gegevens baseren op grondslagen die zijn vastgelegd in de AVG, maar aangezien het beeldmateriaal regelmatig gegevens over nog levende personen bevat, is voorzichtigheid geboden.

Managementsamenvatting: mogelijke oplossing(en) voor het geschetste probleem

Het gemeentearchief Goes maakt bij de (digitale) ontsluiting van de beeldbank gebruik van persoonsgegevens. Deze verwerking is bedoeld voor wetenschappelijk en historisch onderzoek, statistische doeleinden en archivering in het algemeen belang. Bovendien betreft het archiefbescheiden die zijn overgebracht voor blijvende bewaring in de archiefbewaarplaats. De conclusie kunnen wij daarom trekken dat het verwerken van persoonsgegevens kan worden gezien als rechtmatig (zie ook bijlage 1). Er zal bij de verwerking van persoonsgegevens moeten worden gezocht naar technische en organisatorische maatregelen om voor de rechten en vrijheden van nog levende personen passende waarborgen te treffen. Er zullen bij het verwerken van beeldcollecties duidelijke afspraken moeten worden gemaakt welke persoonsgegevens in de database mogen worden verwerkt.

Dit betekent het volgende:
a. In iedere overeenkomst die met de auteursrechthebbende wordt afgesloten, duidelijke afspraken maken over welke persoonsgegevens in de database mogen worden verwerkt en schriftelijk vastleggen of deze gegevens wel/niet online ter beschikking mogen worden gesteld.
b. Namen van fotografen/auteursrechthebbende (in combinatie met NAW-gegevens) alleen maar ter beschikking stellen aan archiefmedewerkers, met als doel te kunnen bepalen of beeldmateriaal ter beschikking kan worden gesteld. (Onze database biedt de mogelijkheid om autorisaties aan te brengen voor bepaalde handelingen).
c. Een stroomschema/checklist opstellen aan de hand waarvan de verwerkers van gegevens kunnen bekijken of het verwerken van (persoons)gegevens in de beeldbank eventueel in strijd is met de AVG (zie bijlage).
d. Doeleinden en grondslagen in overleg met de gemeentejurist schriftelijk laten vastleggen om verdere problemen met de Autoriteit Persoonsgegevens te voorkomen.

Bijlage 1. Is op een collectie de AVG van toepassing?