Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl

Vertrouwelijk/Aangetekend
Stichting Oud Lemmer
p.a.
[VERTROUWELIJK]

Contactpersoon
[VERTROUWELIJK]

Onderwerp
Besluit tot het opleggen van een bestuurlijke boete en een last onder dwangsom

Geachte [VERTROUWELIJK],

De Autoriteit Persoonsgegevens (hierna: AP) heeft besloten om aan Stichting Oud Lemmer (hierna: de Stichting) een bestuurlijke boete van € 500,-- op te leggen. De AP is van oordeel dat de Stichting in ieder geval in de periode van 21 februari 2019 tot en met heden persoonsgegevens (heeft) verwerkt zonder wettelijke grondslag. De Stichting heeft daarmee artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de Algemene verordening gegevensbescherming (hierna: AVG) overtreden. De AP heeft tevens besloten aan de Stichting een last onder dwangsom op te leggen, die ziet op het ongedaan maken van deze voortdurende overtreding.

Hierna wordt het besluit nader toegelicht. Hoofdstuk 1 bevat de relevante feiten en omstandigheden. In hoofdstuk 2 wordt het wettelijk kader beschreven. In hoofdstuk 3 volgt de overtreding, waarna in hoofdstuk 4 de zienswijze wordt uitgewerkt. Hoofdstuk 5 bevat de bestuurlijke boete. Hoofdstuk 6 bevat de last onder dwangsom en hoofdstuk 7 bevat het dictum en de rechtsmiddelenclausule.

2/23

1. Feiten en omstandigheden

Naar aanleiding van twee separate klachten die op 1 november 2018 respectievelijk 25 maart 2019 bij de AP zijn ingediend, is de AP een onderzoek gestart naar de Stichting.1 Volgens de klagers wordt inbreuk gemaakt op de privacy doordat via een camera die is gericht op de openbare ruimte, meer specifiek de Binnenhaven/Museumhaven te Lemmer, persoonsgegevens worden verwerkt en uitgezonden door middel van live streaming op een website van de Stichting.2 Bij brief van 28 augustus 2019 heeft de AP aan de Stichting een voornemen tot handhaving verzonden alsmede het daaraan ten grondslag gelegde onderzoeksrapport en de onderliggende documentatie. Bij brief van 24 september 2019 heeft de Stichting haar zienswijze gegeven.

Op grond van het onderzoeksrapport, de onderliggende documentatie en de zienswijze komt de AP tot de vaststelling van de volgende relevante feiten.

De Stichting houdt zich bezig met de promotie van het dorp Lemmer, met in het bijzonder de oude dorpskern, de rijksmonumenten en de beeldbepalende panden.3 Deze promotie vindt onder andere plaats door het organiseren van activiteiten, met aandacht voor cultuur, historie, educatie, de inwoners en de toeristen.4 Daarnaast heeft de Stichting twee camera’s geplaatst die zijn gericht op de openbare ruimte, meer specifiek het doorgaande vaarwater de Zijlroede, ook wel “Het Dok” genoemd en de Binnenhaven/Museumhaven te Lemmer. Met behulp van deze camera’s worden live streambeelden uitgezonden via www.webcamlemmer.nl.5 Op deze website kan men de livestream zien, waarbij de datum en het tijdstip van de video-opname zichtbaar zijn.6 De camera’s zenden al enige tijd, en in ieder geval in de periode van 21 februari 2019 tot en met heden, live streambeelden uit.7 De woningen van de klagers zijn door de Stichting (gedeeltelijk) geblurd.8

De Stichting stelt dat het doel van het plaatsen van de camera’s is om sfeerbeelden live weer te geven om zo het centrum van Lemmer bekend te maken bij een zo breed mogelijk publiek.9 Bovendien kunnen brugwachters via de camera’s het vaarverkeer regelen tussen de bruggen en de sluis in Lemmer.10 Op haar website geeft de Stichting aan dat zij op eigen initiatief de twee camera’s heeft geplaatst.11 In het kader van de vraag wie als verwerkingsverantwoordelijke aan te merken is, is verder onder meer onderzoek gedaan naar het privacybeleid en de statuten van de Stichting. De website van de Stichting beschikt niet over een

1 Onderzoek van 2 juli 2019, bijlage 4. 2 Onderzoek van 2 juli 2019, bijlage 4. 3 Onderzoek van 2 juli 2019, bijlage 11. 4 Onderzoek van 2 juli 2019, bijlage 11. 5 Onderzoek van 2 juli 2019, paragraaf 3.1 en 3.2. 6 Onderzoek van 2 juli 2019, paragraaf 3.1. 7 Onderzoek van 2 juli 2019, bijlage 8. 8 Onderzoek van 2 juli 2019, paragraaf 3.2. 9 Onderzoek van 2 juli 2019, bijlage 8. 10 Onderzoek van 2 juli 2019, paragraaf 3.2. 11 Onderzoek van 2 juli 2019, paragraaf 3.1.

3/23

privacybeleid.12 De website waarop de live camerabeelden worden gestreamd, beschikt evenmin over een privacybeleid.13 Uit de statuten van de Stichting blijkt niet dat het inzetten van camera’s en het live uitzenden van beelden onderdeel uitmaken van de bedrijfsactiviteiten.14

In de periode van 21 februari 2019 tot en met 14 maart 2019 heeft de AP wekelijks beelden opgenomen van de live streambeelden.15 De opnames duren telkens tien tot twintig minuten.16 De AP heeft in haar onderzoeksrapport vastgesteld dat op de beelden personen en omliggende woningen herkenbaar in beeld komen.17

2. Wettelijk kader

Het juridisch kader voor dit besluit wordt gevormd door de volgende artikelen uit de AVG:

 artikel 2, eerste lid (materieel toepassingsgebied)  artikel 4, aanhef en onder 1 (persoonsgegevens)  artikel 4, aanhef en onder 2 (verwerking persoonsgegevens)  artikel 4, aanhef en onder 7 (verwerkingsverantwoordelijke)  artikel 5, eerste lid, aanhef en onder a (beginselen inzake verwerking van persoonsgegevens)  artikel 6, eerste lid, aanhef en onder f (rechtmatigheid van de verwerking)

In bijlage 1 bij dit besluit is een toelichting op deze artikelen gevoegd.

3. Overtreding

De Stichting heeft twee camera’s geplaatst die zijn gericht op de openbare ruimte en waarvan de beelden live worden uitgezonden op de website www.webcamlemmer.nl.18 Op deze website kan men de livestream zien, waarbij de datum en het tijdstip van de video-opname zichtbaar zijn.19

Persoonsgegevens Op de door de AP vastgelegde beelden is te zien dat personen herkenbaar in beeld zijn gebracht. Personen kunnen direct of indirect, zonder onevenredige inspanning, worden geïdentificeerd. Dit kan aan de hand van bijvoorbeeld fysieke kenmerken, zoals gezicht, lichaamsgestalte en haar. In dit kader is het van belang te vermelden dat, indien personen goederen bij zich hebben, zoals een fiets of een huisdier, dan wel een specifieke manier hebben waarop ze zichzelf kleden, dit, in combinatie met bepaalde fysieke kenmerken, de drempel verlaagt om tot identificatie over te gaan. Naast personen, komen ook gebouwen, waaronder

12 Onderzoek van 2 juli 2019, paragraaf 3.1. 13 Onderzoek van 2 juli 2019, paragraaf 3.1. 14 Onderzoek van 2 juli 2019, paragraaf 3.1. 15 Onderzoek van 2 juli 2019, paragraaf 3.1. 16 Onderzoek van 2 juli 2019, paragraaf 3.1. 17 Onderzoek van 2 juli 2019, paragraaf 3.1. 18 Onderzoek van 2 juli 2019, paragraaf 3.1. 19 Onderzoek van 2 juli 2019, paragraaf 3.1.

4/23

woningen, in beeld. Een woning kan, in combinatie met andere gegevens, een persoonsgegeven zijn. Indien een persoon alleen of tezamen een woning bewoont, kan deze persoon aan de hand van deze combinatie van gegevens, direct of indirect worden geïdentificeerd. Op grond van het voorstaande zijn de beelden te kwalificeren als persoonsgegevens in de zin van artikel 4, aanhef en onder 1 van de AVG.

Verwerking van persoonsgegevens De persoonsgegevens worden met camera’s verwerkt en uitgezonden door middel van live streaming. Het verspreiden of op andere wijze ter beschikking stellen van persoonsgegevens is een (gedeeltelijke) geautomatiseerde verwerking in de zin van artikel 4, aanhef en onder 2 van de AVG. In het geval dat de Stichting (gedeelten van) de woningen van klagers blurt, worden de live beelden en daarmee de persoonsgegevens bijgewerkt of gewijzigd. Daarmee is tevens sprake van een verwerking van persoonsgegevens, zoals bedoeld in artikel 4, aanhef en onder 2 van de AVG. De AP komt tot de conclusie dat er sprake is van een verwerking van persoonsgegevens waarop de AVG van toepassing is in de zin van artikel 2, eerste lid van de AVG.

Verwerkingsverantwoordelijkheid In het kader van de vraag of de Stichting voor het uitzenden van livestreambeelden een grondslag heeft, zoals bedoeld in artikel 6, eerste lid van de AVG, is van belang om te bepalen wie aan te merken is als verwerkingsverantwoordelijke als bedoeld in artikel 4, aanhef en onder 7 van de AVG. Daarvoor is bepalend wie het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

De Stichting geeft aan dat het doel van het plaatsen van de camera’s is om sfeerbeelden live weer te geven om zo het centrum van Lemmer bekend te maken bij een zo breed mogelijk publiek.20 Tevens kunnen brugwachters middels de camera’s het vaarverkeer regelen tussen de bruggen en de sluis in Lemmer.21

Betreffende brugwachters hebben hier niet officieel om verzocht bij de Stichting. De Stichting heeft aldus zelfstandig het doel van de verwerking vastgesteld. Bovendien geeft de Stichting op haar website aan dat zij op eigen initiatief de twee camera’s heeft geplaatst.22 De Stichting bepaalt zelf welke delen van de beelden worden geblurd.23 Alles samengenomen, concludeert de AP dat de Stichting eindverantwoordelijk is voor het gevoerde beleid met betrekking tot de camera’s die zij in beheer heeft en dat zij daarmee het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. De AP komt tot de conclusie dat de Stichting verwerkingsverantwoordelijke is als bedoeld in artikel 4, aanhef en onder 7 van de AVG.

Rechtmatigheid van de verwerking Sinds het van kracht worden van het Handvest van de grondrechten van de Europese Unie (hierna: Handvest) is het fundamentele recht op bescherming van persoonsgegevens binnen de EU een nieuw en zelfstandig grondrecht. Ingevolge artikel 8, eerste lid van het Handvest heeft eenieder recht op bescherming van zijn persoonsgegevens. Het tweede lid van het artikel bevat ook een nadere uitwerking van dit recht, namelijk dat persoonsgegevens eerlijk, voor bepaalde doeleinden en met toestemming van

20 Onderzoek van 2 juli 2019, bijlage 8. 21 Onderzoek van 2 juli 2019, bijlage 8. 22 Onderzoek van 2 juli 2019, paragraaf 3.1. 23 Onderzoek van 2 juli 2019, paragraaf 3.3.3.

5/23

de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet, worden verwerkt.

Om persoonsgegevens te mogen verwerken, moet de verwerking daarvan rechtmatig zijn, zoals in artikel 5 eerste lid, onder a van de AVG is beschreven. Deze rechtmatigheid betekent dat er een grondslag moet zijn zoals bedoeld in artikel 6, eerste lid van de AVG. De AVG biedt aldus een juridische basis om persoonsgegevens te mogen verwerken. Deze basis bestaat uit zes grondslagen.

De Stichting beroept zich voor het live streamen van de camerabeelden op het gerechtvaardigd belang in de zin van artikel 6, eerste lid, aanhef en onder f van de AVG als grondslag voor de verwerking.24

Voor een geslaagd beroep op de grondslag van gerechtvaardigde belangen moet aan drie cumulatieve voorwaarden worden voldaan opdat een verwerking van persoonsgegevens rechtmatig is: 1. Er moet sprake zijn van een gerechtvaardigd belang; 2. De verwerking van persoonsgegevens ten behoeve van de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of derde dient noodzakelijk te zijn; 3. Bij de afweging tussen de belangen van de verwerkingsverantwoordelijke (of derde) en de betrokkene prevaleren de belangen of fundamentele rechten en vrijheden van de betrokkene(n) niet.

Ad 1) behartiging van een gerechtvaardigd belang

De eerste voorwaarde is dat de belangen van de verwerkingsverantwoordelijke of een derde kwalificeren als gerechtvaardigd. Dat houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Het moet gaan om een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden. De verwerkingsverantwoordelijke of derde moet zich dus op een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel kunnen beroepen.

Het voorgaande brengt met zich dat gerechtvaardigde belangen een min of meer dringend en specifiek karakter hebben dat uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel voortvloeit; het moet in zekere zin onontkoombaar zijn dat deze gerechtvaardigde belangen worden behartigd.25

Het door de Stichting gestelde belang mist een min of meer dringend karakter dat uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel voortvloeit. Het doel om sfeerbeelden live weer te geven om zo het centrum van Lemmer bekend te maken bij een zo breed mogelijk publiek is geen

24 De overige grondslagen uit artikel 6, eerste lid van de AVG zijn evident niet van toepassing. 25 Zie bijvoorbeeld het arrest van het Europese Hof van Justitie van 4 mei 2017, ECLI:Eu:C:2017:336, r.o. 29: ‘[.] dat het belang van een derde bij het verkrijgen van persoonsgegevens van degene die schade heeft aangebracht aan zijn eigendom, teneinde de schade op deze persoon in rechte te verhalen, een gerechtvaardigd belang is’. Zie in die zin het arrest van het Europese Hof van Justitie van 29 januari 2008, ECLI:EU:C:2008:54, r.o. 53.

6/23

rechtsbelang en kan dus en daarom niet worden afgedwongen in rechte. De AP concludeert dan ook dat het door de Stichting gestelde belang niet kwalificeert als gerechtvaardigd.

De AP is van oordeel dat de verwerking door de Stichting in het kader van het promoten van het dorp Lemmer niet voldoet aan de eerste voorwaarde van de toets uit artikel 6, eerste lid, aanhef en onder f van de AVG.

Ad 2) noodzakelijkheidsvereiste

Met betrekking tot de tweede voorwaarde van de toets uit artikel 6, eerste lid, aanhef en onder f van de AVG – het noodzakelijkheidsvereiste – stelt het Hof van Justitie van de Europese Unie (hierna: Hof van Justitie) voorop dat uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke moeten blijven.26

Voor de toetsing van deze voorwaarde moet worden nagegaan of het gerechtvaardigde belang van de verwerking van gegevens dat wordt nagestreefd, redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de fundamentele vrijheden en rechten van de betrokkenen.27 In dit kader geeft het Hof van Justitie voorts aan dat de voorwaarde inzake noodzakelijkheid van de verwerking moet worden onderzocht in samenhang met het beginsel van ‘minimale gegevensverwerking’,28 welk beginsel is vastgelegd in artikel 5, eerste lid, onder c van de AVG. Volgens dat artikel moeten persoonsgegevens toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

Uit het bovenstaande volgt dat de gegevensverwerking door de Stichting moet voldoen aan de eisen van subsidiariteit en proportionaliteit. Het proportionaliteitsbeginsel houdt in dat de inbreuk evenredig moet zijn aan het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel moet het doel waarvoor de persoonsgegevens worden verwerkt niet op een andere, voor de betrokkenen minder nadelige, wijze kunnen worden verwerkelijkt.

In hoofdstuk 1 is beschreven dat de Stichting erop is gericht het dorp Lemmer te promoten, met in het bijzonder de oude dorpskern, de rijksmonumenten en de beeldbepalende panden.29 Daartoe zendt zij 24 uur per dag, 7 dagen per week, via camera’s live beelden uit van de openbare ruimte. Het feit dat de camera’s bijdragen aan het nastreven van het doel van de Stichting, maakt niet dat de plaatsing van de camera’s noodzakelijk is. Voornoemd doel zou ook op een andere, minder ingrijpende wijze kunnen worden bereikt. Dit wordt door de Stichting ook erkend in haar zienswijze. De Stichting zou bijvoorbeeld op verscheidene (niet-) digitale manieren het dorp kunnen promoten, met in het bijzonder de oude dorpskern, de rijksmonumenten en de beeldbepalende panden, zonder dat daarbij persoonsgegevens worden verwerkt. Daarbij kan gedacht worden aan promotie via haar website, maar ook aan promotie middels pers- en drukwerk. Mocht de Stichting al voor een digitale live stream methode kiezen om het

26 Hof van Justitie, zaak C-708/18, 11 december 2019, punt 46 en Hof van Justitie, zaak C-13/16, 4 mei 2017, punt 30. 27 Hof van Justitie EU, zaak C-708/18, 11 december 2019, r.o. 47. 28 Hof van Justitie EU, zaak C-708/18, 11 december 2019, r.o. 48. 29 Onderzoek van 2 juli 2019, bijlage 11.

7/23

dorp te promoten, dan zal zij de camera’s zo moeten positioneren dat er geen persoonsgegevens worden verwerkt. Op deze manieren wordt het dorp gepromoot zonder dat er (bij voortduring) persoonsgegevens worden verwerkt, zoals nu het geval is. Er wordt dan alsnog voorzien in een door de Stichting gestelde (sociale) behoefte.

De AP begrijpt dat een dergelijke vorm van promotie een andere organisatie vergt. Echter, dit neemt niet weg dat, in het licht van de AVG, een betere balans wordt gevonden waar het gaat om de hoeveelheid persoonsgegevens die wordt verwerkt in relatie tot het doel van de verwerking.

Het bij voortduring verwerken van persoonsgegevens werkt ook door in de beoordeling of de Stichting voldoet aan het vereiste van proportionaliteit. Op zichzelf kan, middels het via camera’s uitzenden van live beelden van de openbare ruimte, het door de Stichting gestelde doel worden bereikt waardoor aan het vereiste van effectiviteit is voldaan. Echter, het legitieme doel dat wordt nagestreefd, moet in verhouding staan tot het feit dat daarvoor persoonsgegevens moeten worden verwerkt. Vanwege de hoeveelheid persoonsgegevens die bij voortduring worden verwerkt, en die door een ieder live zijn te bekijken, worden de grenzen van proportionaliteit overschreden. Het doel is niet evenredig aan de verwerking van persoonsgegevens.

Op grond van het voorgaande stelt de AP vast dat de Stichting bij het verwerken van persoonsgegevens niet voldoet aan de vereisten van subsidiariteit en proportionaliteit. Geconcludeerd wordt dat het live streamen van de beelden niet noodzakelijk is voor het door de Stichting gestelde gerechtvaardigde belang.

De AP is van oordeel dat de verwerking door de Stichting in het kader van de promotie van het dorp Lemmer niet voldoet aan de tweede voorwaarde van de toets uit artikel 6, eerste lid, aanhef en onder f van de AVG.

Ad 3) belangenafweging

Voor een geslaagd beroep op de grondslag van gerechtvaardigde belangen geldt als derde voorwaarde dat bij de afweging tussen de belangen van de verwerkingsverantwoordelijke (of derde) en de betrokkene de belangen of fundamentele rechten en vrijheden van de betrokkene(n) niet prevaleren.

Het Hof van Justitie stelt in dit kader dat deze afweging van de betrokken tegengestelde rechten en belangen in beginsel afhangt van de bijzondere omstandigheden van een concreet geval.30 Het criterium inzake de ernst van de inbreuk op de rechten en vrijheden van de betrokkenen vormt een essentieel onderdeel van deze afweging.31 Het Hof van Justitie geeft daarbij aan dat in dit verband met name rekening moet worden gehouden met de aard van de betrokken persoonsgegevens, de aard en concrete wijze van verwerking van de betrokken gegevens en de redelijke verwachtingen van de betrokkene dat zijn persoonsgegevens niet worden verwerkt wanneer hij redelijkerwijs geen verdere verwerking ervan kan verwachten.32

30 Hof van Justitie, zaak C-13/16, 4 mei 2017, punt 31. 31 Hof van Justitie, zaak C-708/18, 11 december 2019, punt 56. 32 Hof van Justitie, zaak C-708/18, 11 december 2019, punt 57, 58.

8/23

Zoals hiervoor onder het kopje ”Persoonsgegevens” is aangegeven, is op de door de AP vastgelegde beelden te zien dat personen en gebouwen, waaronder woningen, herkenbaar in beeld zijn gebracht. De AP heeft geconstateerd dat de beelden duidelijk genoeg zijn om personen aan de hand van hun fysieke verschijning (gezicht, lichaamsgestalte en haar), te kunnen herkennen c.q. te identificeren. Ook in combinatie met andere gegevens kunnen personen, zonder onevenredige inspanning, worden geïdentificeerd.

Voor wat betreft de aard en concrete wijze van verwerking van persoonsgegevens heeft het via twee camera’s bij voortduring streamen van live beelden van de openbare ruimte een stelselmatig, indringend en omvangrijk karakter. Op de beelden worden personen en omliggende woningen herkenbaar in beeld gebracht. Door deze verwerking van persoonsgegevens kan informatie over het (private) leven van betrokkenen bekend worden bij de voor de verwerking verantwoordelijke en, in voorkomend geval, bij de derde die de livestream bekijkt. Dit type gegevens wordt in artikel 9 van de AVG weliswaar niet aangemerkt als bijzondere categorie van persoonsgegevens. Echter, wel is sprake van (gevoelige) gegevens die iets zeggen over betrokkenen en van invloed kunnen zijn op de privé situatie van betrokkenen. Er is daarmee sprake van een vergaande vorm van verwerking van persoonsgegevens.

De Stichting stelt dat op de desbetreffende twee locaties ter plaatse op een bord staat aangegeven dat er een camera is geplaatst. Ter ondersteuning van dit standpunt heeft de Stichting een foto toegezonden van een bord waarop onderaan naast elkaar enkel de volgende woorden duidelijk leesbaar zijn: “Stichting Oud Lemmer”, “De Fryske Marren” en “wecbamlemmer.nl”. De overige tekst op het bord is op de foto onleesbaar.

Het feit dat de Stichting de plaatsing van de camera’s heeft aangekondigd, brengt enige transparantie maar neemt niet weg dat er bij voortduring persoonsgegevens worden verwerkt. Aan de hand van de toegezonden foto kan niet worden geconcludeerd dat hierdoor voor betrokkenen redelijkerwijs te verwachten valt dat hun persoonsgegevens worden verwerkt. De omstandigheid dat het gaat om het uitzenden van live streambeelden van het doorgaande vaarwater de Zijlroede, ook wel “Het Dok” genoemd en de Binnenhaven/Museumhaven te Lemmer, gebieden die openbaar toegankelijk zijn voor het algemeen publiek, en de verwerking van de videobeelden is aangekondigd, betekent bovendien nog niet dat de verwerking aansluit bij de redelijke verwachtingen van betrokkenen. Door het live streamen van de beelden kan – in theorie – eenieder toegang krijgen tot deze gegevens. Daar doet de aankondiging van de plaatsing van de camera’s niet aan af.

Tot slot moeten bij de beoordeling ook eventuele (aanvullende) waarborgen worden meegenomen. Waarborgen kunnen de gevolgen voor betrokkenen verminderen en zijn daarmee van invloed op de belangenafweging. De Stichting stelt dat zij een interne klachtenregeling heeft voor partijen die “bezwaren/vragen/twijfels” hadden naar aanleiding van de informatie.33 Met een dergelijke werkwijze wordt van betrokkenen verwacht zich op de hoogte te stellen van deze interne klachtenprocedure en deze vervolgens ook in gang te zetten indien zij het uitzenden van de beelden onwenselijk achten. Daarbij geldt verder dat het streamen van de beelden met de reactieve maatregelen niet kan worden voorkomen. Gelet hierop is de kans dat ongewenste beelden toch worden uitgezonden aanzienlijk, terwijl betrokkenen in

33 Zienswijze de Stichting, onder 3.1.

9/23

redelijkheid mogen verwachten dat ongewenste beelden niet worden verspreid.

Alles afwegende is de AP van oordeel dat het genoemde belang van de Stichting, te weten de promotie van het dorp Lemmer, niet prevaleert boven de belangen, rechten en vrijheden, met inbegrip van hun fundamentele rechten op de bescherming van persoonsgegevens en privacy, van betrokkenen en derden. Wat met name meeweegt in dit oordeel, is het stelselmatige, indringende en omvangrijke karakter van de verwerking van persoonsgegevens. De inbreuk die deze vergaande vorm van verwerking maakt op de belangen en rechten van betrokkenen weegt niet op tegen het belang van de Stichting om op een dergelijke wijze het dorp te promoten. Er worden gegevens verwerkt die iets zeggen over betrokkenen en van invloed kunnen zijn op de privé situatie van betrokkenen. Daarbij kunnen delen van het (private) leven van betrokkenen in kaart worden gebracht. Er is sprake van een ernstige aantasting op de rechten en vrijheden van betrokkenen.

De waarborgen zoals hiervoor beschreven, vormen volgens de AP in dit specifieke geval niet voldoende grondslag voor het oordeel dat de Stichting voldoende (aanvullende) waarborgen heeft getroffen ter voorkoming en beperking van de ongewenste gevolgen van het live streamen van camerabeelden voor betrokkenen.

Gelet op het voorgaande stelt de AP vast dat de Stichting niet voldoet aan de derde stap in de toets van artikel 6, eerste lid, aanhef en onder f van de AVG. De belangen of fundamentele rechten en vrijheden van betrokkenen wegen zwaarder dan het belang van de Stichting.

Alles samengenomen, concludeert de AP dat de Stichting geen rechtmatige grondslag heeft om camerabeelden live te streamen en uit te zenden via de website www.webcamlemmer.nl.

De Stichting handelt daardoor in ieder geval in de periode van 21 februari 2019 tot en met heden in strijd met artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG.

4. Zienswijze

Bij brief van 28 augustus 2019 heeft de AP aan de Stichting een voornemen tot handhaving verzonden en haar uitgenodigd om een zienswijze hierover in te dienen. Bij brief van 24 september 2019 heeft de Stichting, kort samengevat, de volgende zienswijzen ingediend, waarop de AP reageert.

Er is geen sprake van persoonsgegevens zoals bedoeld in artikel 4, aanhef en onder 1 van de AVG De Stichting stelt dat de AVG toepassing mist omdat er geen sprake is van verwerking van persoonsgegevens. De camera’s zenden non-stop 24 uur per dag uit zonder dat beelden worden opgenomen of bewaard. De camera’s zijn beiden op ongeveer 35 meter afstand geplaatst en zenden beelden uit van lage kwaliteit. Beelden kunnen niet worden teruggespoeld en evenmin kan worden ingezoomd. Naar aanleiding van klachten zijn de woningen van de klagers in onderling overleg (gedeeltelijk) geblurd.

10/23

De Stichting stelt dat Lemmer het hele jaar druk is met bewoners, dagjesmensen en toeristen waardoor er vermenging optreedt en identificatie van de desbetreffende personen op de beelden vrijwel onmogelijk is.

De Stichting stelt ten slotte dat, indien de AP zou oordelen dat personen herkenbaar zouden zijn, sprake zou zijn van een strafbare handeling ex artikel 441b van het Wetboek van Strafrecht (hierna: Sr). De Stichting meent dat, met het oog op het vertrouwensbeginsel, de AP in eerdere communicatie met de Stichting dit reeds zou moeten hebben aangegeven.

Reactie In hoofdstuk 3, onder het kopje “Persoonsgegevens” en in de paragraaf “Rechtmatigheid van de verwerking”, is reeds uiteengezet dat de AP, ondanks de afstand waarop de camera’s zijn geplaatst, de beelden kwalificeert als persoonsgegevens in de zin van artikel 4, aanhef en onder 1 van de AVG. Dat er niet ingezoomd en teruggespoeld kan worden en de beelden niet worden opgenomen of bewaard, maakt dit niet anders.

De Stichting stelt dat Lemmer veel dagjesmensen en toeristen kent waardoor er vermenging optreedt en identificatie vrijwel onmogelijk is. Echter, dit doet niet af aan het feit dat personen die op de camerabeelden zichtbaar zijn direct of indirect kunnen worden geïdentificeerd. Wellicht zullen de aantallen dagjesmensen en toeristen ervoor kunnen zorgdragen dat er minder vaak herkenning van personen plaatsvindt, desalniettemin blijft het mogelijk om personen direct of indirect te identificeren waardoor er sprake is van persoonsgegevens zoals bedoeld in artikel 4, aanhef en onder 1 van de AVG.

De verwerking van persoonsgegevens staat los van een eventuele strafrechtelijke toetsing van strafbare handelingen ex artikel 441b Sr. Voor een geslaagd beroep op het vertrouwensbeginsel is nodig dat er aan het bestuursorgaan toe te rekenen concrete, ondubbelzinnige toezeggingen zijn gedaan door een daartoe bevoegd persoon, waaraan rechtens te honoreren verwachtingen kunnen worden ontleend.34 Van een (toerekenbare) schijn van bevoegdheid is geen sprake, aangezien de AP geen concrete, ondubbelzinnige toezeggingen heeft gedaan, waaraan de Stichting rechtens te honoreren verwachtingen kan ontlenen. Het beroep op het vertrouwensbeginsel gaat reeds om die reden niet op. Daarnaast is de AP niet het bevoegde gezag ten aanzien van (het toezicht op) artikel 441b Sr.

Beroep op het gerechtvaardigd belang, eerste voorwaarde (1) De Stichting beroept zich voor het installeren en gebruiken van de twee camera’s die live streambeelden uitzenden op het gerechtvaardigd belang, zoals bedoeld in artikel 6, eerste lid, aanhef en onder f van de AVG. Het gerechtvaardigd belang ligt in het verlengde van het statutaire doel van de Stichting, namelijk de promotie van het dorp Lemmer. De Stichting meent dat de beoordeling van de AP dat er geen rechtsnorm bestaat waarop het genoemde belang kan worden gebaseerd, te kort door de bocht is. De Stichting stelt dat het begrip “rechtmatig” in de breedste zin des woords moet worden toegepast. Zij meent dat, binnen de grenzen van de wetgeving, ook andere elementen, zoals gebruiksrecht, gedragscodes, ethische codes, contractuele regelingen, en het algemene kader en de feiten van de zaak, in acht kunnen worden genomen bij de vaststelling of een bepaald doeleinde gerechtvaardigd is. Daarnaast meent de Stichting dat, wat kan worden beschouwd als “gerechtvaardigd belang”, ook kan veranderen in de loop van de tijd, afhankelijk

34 Zie bijvoorbeeld: ECLI:NL:RVS:2019:623, ECLI:NL:RVS:2017:2675, ECLI:NL:CBB:2018:510 en ECLI:NL:CRVB:2018:2470.

11/23

van wetenschappelijke en technologische ontwikkelingen en wijzigingen in maatschappelijke en culturele houdingen.

Reactie Zie hiervoor hoofdstuk 3, paragraaf “Rechtmatigheid van de verwerking”, onder “Ad 1) behartiging van een gerechtvaardigd belang”.

Beroep op het gerechtvaardigd belang, eerste voorwaarde (2) De Stichting refereert aan een niet-uitputtende lijst die de Europese toezichthouders verenigd in de Groep Gegevensbescherming Artikel 29 (hierna: WP29), de voorganger van de European Data Protection Board (hierna: EDPB), heeft opgesteld waarbij sprake zou kunnen zijn van een gerechtvaardigd belang.35 Op deze lijst zijn vormen van marketing opgenomen als gerechtvaardigd belang. Volgens de Stichting bedrijft zij ook een vorm van marketing aangezien zij door middel van de twee camera’s het dorp Lemmer promoot. De Stichting meent dat haar gerechtvaardigde belang valt binnen het voorbeeld zoals is opgenomen in overweging 47 bij de AVG.

Reactie In overweging 47 van de AVG wordt vermeld, voor zover hier van belang, dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Hier kan echter in veel situaties geen beroep op worden gedaan. De AP onderscheidt drie soorten direct marketing, te weten: 1) digitale direct marketing, 2) telemarketing en 3) reclamepost.36 Het uitzenden van live streambeelden via camera’s kan niet onder een van voornoemde soorten direct marketing worden geschaard. Er is aldus geen sprake van direct marketing, hetgeen tot gevolg heeft dat de stelling van de Stichting dat hun gerechtvaardigde belang valt binnen het voorbeeld zoals opgenomen in overweging 47 van de AVG, toepassing mist.

Beroep op het gerechtvaardigd belang, eerste voorwaarde (3) Bij het plaatsen van de camera’s heeft de Stichting medewerking verkregen van de gemeente Fryske Marren. Zo heeft de gemeente Fryske Marren een financiële bijdrage verstrekt voor het plaatsen van beide camera’s en heeft de burgemeester de eerste camera gestart door een druk op de knop. De Stichting stelt dat mede uit dit handelen kan worden geconcludeerd dat het gerechtvaardigd belang van de Stichting “rechtmatig” is.

Reactie Voor zover wordt betoogd dat door het accorderen van een bestuursorgaan het handelen daarmee gerechtvaardigd wordt, volgt de AP het betoog niet. Een schending van de AVG door een verwerkingsverantwoordelijke kan nimmer worden gelegitimeerd door financiering of feitelijk handelen van welk bestuursorgaan dan ook.

35 WP29 Opinion 06/2014 on the “Notion of legitimate interests of the data controller under Article 7 of Directive 95/46EC”. 36 https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/internet-telefoon-tv-en-post/direct-marketing, laatstelijk geraadpleegd op 28 april 2021.

12/23

Beroep op het gerechtvaardigd belang, tweede voorwaarde De Stichting stelt dat de camera’s noodzakelijk zijn en bijdragen aan het statutaire doel dat zij nastreeft. De camera’s bereiken een breder publiek dan enkel de bezoekers van de website van de Stichting. Bovendien voorzien de camera’s in een (sociale) behoefte. Echter, de Stichting erkent dat haar doel ook op een minder ingrijpende wijze zou kunnen worden bereikt.

Reactie Zie hiervoor hoofdstuk 3, paragraaf “Rechtmatigheid van de verwerking”, onder “Ad 2) noodzakelijkheidsvereiste”.

Beroep op het gerechtvaardigd belang, derde voorwaarde De Stichting stelt zich op het standpunt dat de gegevens en de context waarin deze gegevens worden verzameld, relatief onschuldig van aard zijn aangezien niet kan worden ingezoomd, de beelden niet worden opgeslagen en personen of voertuigen onherkenbaar in beeld komen.

De Stichting stelt dat zij passende waarborgen heeft getroffen, zoals informatieverschaffing ten tijde van het plaatsen van de camera’s, een interne klachtenregeling voor partijen die bezwaren/vragen/twijfels hadden naar aanleiding van de informatie en passende waarborgen voor de bezwaarmakers ten aanzien van de beelden. Hierdoor prevaleert het belang van de Stichting om de oude dorpskern weer te geven boven de belangen van betrokken omwonenden. De belangen van incidentele passanten prevaleren volgens de Stichting niet boven de belangen van de Stichting, aangezien de camera’s op afstand zijn geplaatst en de beelden niet scherp zijn, niet worden opgenomen en niet kunnen worden teruggespoeld.

De Stichting stelt dat zij tevens handelt in het belang van de bredere samenleving. De gevolgen van de verwerking van de gegevens acht de Stichting relatief beperkt voor de betrokkenen.

Reactie Zie hiervoor hoofdstuk 3, paragraaf “Rechtmatigheid van de verwerking”, onder “Ad 3) belangenafweging” en de reactie van de AP op de zienswijze “Er is geen sprake van persoonsgegevens zoals bedoeld in artikel 4, aanhef en onder 1 van de AVG”.

De AP merkt ten overvloede op dat de hoogte waarop de camera’s zijn geplaatst en dat beelden niet worden opgenomen of kunnen worden teruggespoeld, niet voorkomen dat delen van het (private) leven van betrokkenen in kaart worden gebracht. Indien de woning van een betrokkene is gelegen in het gebied waarop een van de camera’s is gericht, of het werk van een betrokkene is daar gevestigd dan wel een ander onderdeel van het (private) leven van een betrokkene speelt zich daar af, dan is het onmogelijk om buiten beeld te blijven. De omstandigheid dat de Stichting twee woningen (gedeeltelijk) heeft afgeschermd doet daar niet aan af. De bewegingen van personen in de richting van de betreffende woningen worden immers nog steeds vastgelegd.

Zoals de AP in hoofdstuk 3, paragraaf “Rechtmatigheid van de verwerking”, onder “Ad 3) belangenafweging”, heeft geconcludeerd, wegen de belangen of fundamentele rechten en vrijheden van betrokkenen zwaarder dan het belang van de Stichting. Het belang van de Stichting, dat zij tevens handelt in het belang van de bredere

13/23

samenleving, is onvoldoende concreet en rechtstreeks om te kunnen meenemen in deze belangenafweging.

5. Boete

5.1 Inleiding

Door persoonsgegevens te verwerken zonder wettelijke grondslag handelt de Stichting in ieder geval in de periode van 21 februari 2019 tot en met heden in strijd met artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG. De AP is van oordeel dat dit een ernstige overtreding betreft.

De AP ziet hierin aanleiding om gebruik te maken van haar bevoegdheid om een boete op grond van artikel 58, tweede lid, aanhef en onder i en artikel 83, vijfde lid van de AVG, gelezen in samenhang met artikel 14, derde lid van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG), aan de Stichting op te leggen. De AP hanteert hiervoor de Boetebeleidsregels 2019.37

Zienswijze de Stichting De Stichting stelt dat als de AP handhavend zou willen optreden, een herstelsanctie meer voor de hand ligt dan de in het voornemen opgenomen boetemogelijkheid. Ze heeft daarvoor als argument aangevoerd dat de Stichting niet over vermogen beschikt c.q. geen draagkracht heeft aangezien de Stichting puur afhankelijk is van giften van derden en subsidies van de gemeente Frykse Marren. Het opleggen van een boete is volgens de Stichting niet evenredig, doeltreffend en fataal.

Reactie Door bij voortduring middels twee camera’s livebeelden van de openbare ruimte uit te zenden, brengt de Stichting personen, die direct of indirect geïdentificeerd kunnen worden, en gebouwen, waaronder woningen, doorlopend zichtbaar in beeld. Hierdoor worden persoonsgegevens publiekelijk zichtbaar gemaakt en wordt inbreuk gemaakt op het recht van eerbiediging van de persoonlijke levenssfeer en het recht op de bescherming van persoonsgegevens van een groot aantal betrokkenen. Het verwerken van grote hoeveelheden persoonsgegevens zonder grondslag en gedurende geruime tijd is naar het oordeel van de AP een ernstige overtreding. Het opleggen van louter een herstelsanctie volstaat daarbij niet. Wel zal de AP in paragraaf 5.3.5 nog beoordelen of de hoogte van de boete op grond van evenredigheid aanpassing behoeft.

De AP ziet in het door de Stichting gestelde dan ook geen aanleiding om van haar bevoegdheid tot het opleggen van een boete wegens overtreding van artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG af te zien.

5.2 Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (Boetebeleidsregels 2019)

De boete voor de onderhavige overtreding van artikel 5, eerste lid, onder a van de AVG is afhankelijk gesteld van de onderliggende bepaling, zijnde artikel 6, eerste lid, van de AVG. In Bijlage 2 van de

37 Stcrt. 2019, 14586, 14 maart 2019.

14/23

Boetebeleidsregels 2019 is de overtreding van artikel 6, eerste lid van de AVG ingedeeld in categorie III. Voor overtredingen in categorie III van Bijlage 2 van de Boetebeleidsregels 2019 geldt een boetebandbreedte tussen € 300.000 en € 750.000 en een basisboete van € 525.000.

Ingevolge artikel 7 van de Boetebeleidsregels 2019 houdt de AP onverminderd de artikelen 3:4 en 5:46 van de Algemene wet bestuursrecht (hierna: Awb) rekening met de volgende factoren die zijn ontleend aan artikel 83, tweede lid van de AVG, in de Boetebeleidsregels 2019 genoemd onder a tot en met k.

5.3 Boetehoogte

In deze paragraaf wordt eerst ingegaan op de factoren die ingevolge artikel 7 van de Boetebeleidsregels 2019 in dit geval relevant zijn voor het bepalen van de boetehoogte. Tot slot zal de AP op grond van haar Boetebeleidsregels 2019 en artikelen 3:4 en 5:46 van de Awb toetsen of de toepassing van haar beleid voor het bepalen van de hoogte van de boete, gezien de omstandigheden en de zeer beperkte draagkracht van de Stichting in dit concrete geval, niet tot een onevenredige uitkomst leidt.

5.3.1 Aard, ernst en duur van de inbreuk

Ingevolge artikel 7, aanhef en onder a van de Boetebeleidsregels 2019 houdt de AP rekening met de aard, de ernst en de duur van de inbreuk. Bij de beoordeling hiervan betrekt de AP onder meer de aard, de omvang of het doel van de verwerking alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade.

Zienswijze de Stichting De Stichting stelt dat de omvang, aard en ernst van de inbreuk beperkt is en op reële waarde moet worden geschat en derhalve op nihil zou moeten worden gesteld. Daarnaast stelt de Stichting dat zij geen speciale persoonsgegevens verwerkt.

Reactie Ingevolge artikel 5, eerste lid, aanhef en onder a jo. artikel 6, eerste lid van de AVG dienen persoonsgegevens te worden verwerkt op een wijze die ten aanzien van de betrokkene (onder meer) rechtmatig is, in die zin dat daar een wettelijke grondslag voor bestaat. Dit zijn, in het licht van het bovenstaande, fundamentele bepalingen in de AVG. Indien in strijd daarmee wordt gehandeld, raakt dit de kern van het recht dat betrokkenen hebben op de eerbiediging van hun persoonlijke levenssfeer en de bescherming van hun persoonsgegevens.

Hier geldt dat natuurlijke personen doorlopend zichtbaar in beeld worden gebracht en direct of indirect geïdentificeerd kunnen worden. Aangezien zonder geldige grondslag met twee camera’s persoonsgegevens worden verwerkt waarvan de beelden voor een ieder toegankelijk zijn, kan dit tot gevolg hebben dat delen van het (private) leven van natuurlijke personen in kaart worden gebracht. Dit kan resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen of enig ander economisch of maatschappelijk nadeel voor de personen in kwestie.

15/23

Bij haar beoordeling betrekt de AP tevens dat de verwerking van persoonsgegevens op grote schaal plaatsvindt aangezien de twee camera’s gericht zijn op de openbare ruimte en 24 uur per dag live beelden uitzenden. Voorts betrekt de AP de duur van de overtreding bij haar beoordeling, aangezien de camera’s al enige tijd live beelden uitzenden. Gelet op het voorgaande, acht de AP de overtreding ernstig, maar ziet hierin in dit geval geen aanleiding om het basisboetebedrag te verhogen of te verlagen.

5.3.2 Opzettelijke of nalatige aard van de inbreuk (verwijtbaarheid)

Ingevolge artikel 5:46, tweede lid van de Awb houdt de AP bij de oplegging van een bestuurlijke boete rekening met de mate waarin deze aan de overtreder kan worden verweten. Ingevolge artikel 7, onder b van de Boetebeleidsregels 2019 houdt de AP rekening met de opzettelijke of nalatige aard van de inbreuk. Nu het hier gaat om een overtreding, is voor het opleggen van een bestuurlijke boete conform vaste rechtspraak38 niet vereist dat wordt aangetoond dat sprake is van opzet en mag de AP verwijtbaarheid veronderstellen als het daderschap vaststaat.39

Zienswijze van de Stichting De Stichting stelt dat er geen sprake is geweest van een opzettelijke inbreuk of van nalatigheid. Het verwerken van persoonsgegevens is volgens de Stichting geen doel op zich geweest bij het plaatsen van de camera’s. De Stichting wordt gedreven door vrijwilligers en heeft geen commercieel oogmerk met het verwerken van persoonsgegevens. De Stichting wil met gebruikmaking van moderne techniek laten zien hoe mooi de dorpskern van Lemmer is op ieder willekeurig moment.

Reactie Zoals hiervoor uiteengezet, mag in beginsel bij bewezenverklaring van de gedraging waarvoor de boete wordt opgelegd van de verwijtbaarheid van de overtreding worden uitgegaan. In situaties waarin verwijtbaarheid volledig ontbreekt, en dus alle schuld afwezig is, bestaat evenwel geen grond voor boeteoplegging. Een zodanige situatie doet zich naar het oordeel van de AP in dit geval niet voor.

In hoofdstuk 3, paragraaf “Rechtmatigheid van de verwerking”, is geconcludeerd dat de Stichting persoonsgegevens (heeft) verwerkt zonder rechtmatige grondslag. Weliswaar meende de Stichting voor de verwerking van persoonsgegevens een gerechtvaardigd belang te hebben, maar dit brengt niet zonder meer mee dat de Stichting geen verwijt kan worden gemaakt dat via de camera’s op grote schaal persoonsgegevens worden verwerkt en beelden live worden gestreamd. De verwijtbaarheid is gelegen in het feit dat de Stichting in strijd met de AVG heeft gehandeld en handelt.

In het licht van het voorgaande acht de AP de overtreding dan ook verwijtbaar, maar ziet op basis van deze geconstateerde verwijtbaarheid geen aanleiding om het basisboetebedrag te verhogen of te verlagen.

38 Vgl. CBb 29 oktober 2014, ECLI:NL:CBB:2014:395, r.o. 3.5.4, CBb 2 september 2015, ECLI:NL:CBB:2015:312, r.o. 3.7 en CBb 7 maart 2016, ECLI:NL:CBB:2016:54, r.o. 8.3, ABRvS 29 augustus 2018, ECLI:NL:RVS:2018:2879, r.o. 3.2 en ABRvS 5 december 2018, ECLI:NL:RVS:2018:3969, r.o. 5.1. 39 Kamerstukken II 2003/04, 29702, nr. 3, p. 134.

16/23

5.3.3 Genomen maatregelen om de door betrokkenen geleden schade te beperken

Zienswijze van de Stichting De Stichting heeft aangegeven dat zij omwonenden, horeca en de ondernemingsvereniging heeft ingelicht over het voornemen om de twee camera’s te plaatsen. Daarnaast stelt de Stichting dat aan de bezwaren van de twee omwonenden onmiddellijk tegemoet is gekomen doordat zij de desbetreffende beelden heeft geblurd.

Reactie De AP overweegt dat de Stichting diverse maatregelen heeft getroffen om de door betrokkenen geleden schade te beperken. Deze maatregelen nemen echter niet weg dat er zonder wettelijke grondslag bij voortduring persoonsgegevens worden verwerkt en camerabeelden live worden gestreamd.

Gelet op het voorgaande heeft de Stichting de omvang van de door betrokkenen geleden schade weliswaar beperkt, maar niet zodanig dat de AP hierin in dit geval aanleiding ziet om het basisbedrag van de boete op grond van artikel 7, onder c van de Boetebeleidsregels 2019 te verlagen.

5.3.4 Overige factoren

De AP ziet geen aanleiding het basisbedrag van de boete op grond van de overige in artikel 7 van de Boetebeleidsregels 2019 genoemde omstandigheden, voor zover van toepassing in het voorliggende geval, te verhogen of te verlagen.

5.3.5 Evenredigheid

Zienswijze van de Stichting De Stichting is van mening dat het opleggen van enige boete niet strookt met het beleid van de AP aangezien de AP het onderzoek op eigen initiatief heeft verbreed en in de media heeft aangegeven enkel op ernstige overtredingen te handhaven. Volgens de Stichting staat een handhavingsmaatregel om voornoemde redenen op gespannen voet met de algemene beginselen van behoorlijk bestuur.

De Stichting stelt dat zij voor de vervulling van haar statutaire doel volledig afhankelijk is van giften en subsidies van derden. Haar drie bestuursleden voeren hun bestuurstaken onbezoldigd uit. De Stichting stelt dat zij niet beschikt over eigen vermogen. De gemeente Fryske Marren heeft inmiddels aangegeven geen subsidie meer te verstrekken voor het evenement Nazomeren in Lemmer waardoor de inkomsten voor de Stichting verder achteruitlopen. De Stichting stelt dat, nu zij niet over vermogen beschikt, de draagkracht ontbreekt om überhaupt enige boete te kunnen voldoen, laat staan de basisboete.

Reactie De AP merkt op dat zij het onderzoek niet op eigen initiatief heeft verbreed aangezien de conclusie van het onderzoek – die is gebaseerd op de bij de AP ingediende klachten – exact de onderzoeksvraag

17/23

beantwoordt. De AP en de bij haar werkzame toezichthouders beschikken over verschillende (onderzoeks-) bevoegdheden die zij kunnen uitoefenen, teneinde adequaat toezicht te kunnen uitoefenen op de naleving van de AVG. Daartoe is niet een daaraan voorafgaand en redengevend feit, signaal, grond of vermoeden vereist.40 Tevens is voor de uitoefening van de (onderzoeks-) bevoegdheden niet relevant of en zo ja, hoeveel klachten er zijn ontvangen.

Voor zover de Stichting betoogt dat de AP in strijd handelt met haar prioriteringsbeleid, overweegt de AP als volgt. Op 13 oktober 2016 is bij de AP een verzoek tot handhaving ingediend aangezien de Stichting een camera heeft geplaatst die live beelden streamt en die onder meer is gericht op de woningen van de indieners van het verzoek.41 Dit handhavingsverzoek is afgehandeld bij brief van 26 januari 2017.42 Kort gezegd komt het erop neer dat de AP een globaal (bureau-) onderzoek heeft verricht en naar aanleiding daarvan heeft geconcludeerd dat de kwestie niet voldeed aan de destijds geldende prioriteringscriteria.43

Op 1 november 2018 respectievelijk 25 maart 2019 hebben voormelde verzoekers beiden een (nieuwe) klacht ingediend bij de AP.44 De AP heeft de inhoud van die klachten onderzocht in de mate waarin dit gepast is. Na een eerste beoordeling van de klachten heeft de AP het aannemelijk geacht dat het ging om een verwerking van persoonsgegevens en dat mogelijk sprake was van overtreding van de AVG. Gelet hierop en in aanmerking genomen dat het mogelijk om veel betrokkenen ging, de verwerking voor (enige) maatschappelijke ophef heeft gezorgd en de bredere maatschappelijke betekenis van een eventueel optreden van de AP, heeft de AP besloten tot het instellen van een nader onderzoek. Dit is in lijn met artikel 2 van de Beleidsregels prioritering klachtenonderzoek.45

Tot slot beoordeelt de AP op grond van artikelen 3:4 en 5:46 van de Awb (evenredigheidsbeginsel) of de toepassing van haar beleid voor het bepalen van de hoogte van de boete gezien de omstandigheden van het concrete geval, niet tot een onevenredige uitkomst leidt.

Door bij voortduring middels twee camera’s livebeelden van de openbare ruimte uit te zenden, verwerkt de Stichting persoonsgegevens zonder wettelijke grondslag zoals bedoeld in artikel 6, eerste lid van de AVG. Dit is een ernstige overtreding die aan de Stichting kan worden verweten.46 De maatregelen die de Stichting heeft getroffen om de door betrokkenen geleden schade te beperken, betreffen het informeren van betrokkenen over de plaatsing van de camera’s en het blurren van de woningen van twee omwonenden. Deze maatregelen nemen volgens de AP de onderhavige inbreuk op artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG niet weg. Ze hebben immers niet geleid tot een wettelijke grondslag voor het live streamen van camerabeelden.

40 ABRvS 21 augustus 2019, ECLI:NL:RVS:2019:2832, r.o. 41; Rb. Rotterdam, 23 mei 2019, ECLI:NL:RBROT:2019:4155, r.o. 15.2; Rb. Rotterdam (Vrznr.) 28 september 2018, ECLI:NL:RBROT:2018:8283, r.o. 6.1.; CBb 12 oktober 2017, ECLI:NL:CBB:2017:327, r.o. 6.4; CBb 12 oktober 2017, ECLI:NL:CBB:2017:326, r.o. 4.4; Gerechtshof Den Haag 13 juni 2013, ECLI:NL:GHDHA:2013:CA3041, r.o. 2.3. 41 Onderzoek van 2 juli 2019, bijlage 2. 42 Onderzoek van 2 juli 2019, bijlage 3. 43 Op dat moment golden de Wet bescherming persoonsgegevens en de Beleidsregels handhaving door het CBP, vastgesteld op 17 januari 2011 (Stcrt. 2011, nr. 1916). 44 Onderzoek van 2 juli 2019, bijlage 4. 45 Beleidsregels prioritering klachtenonderzoek, gepubliceerd in de Staatscourant op 1 oktober 2018. 46 Zie voor de motivering paragraaf 5.3.1 en 5.3.2.

18/23

Toepassing geven aan het evenredigheidsbeginsel brengt volgens de Boetebeleidsregels 2019 tevens mee dat de AP bij het vaststellen van de boete zo nodig rekening houdt met de financiële omstandigheden waarin de overtreder verkeert.

De AP overweegt dienaangaande als volgt. Gelet op de door de Stichting overgelegde financiële gegevens is de AP van oordeel dat de basisboete in dit geval onevenredig hoog is. De draagkracht van de Stichting is zeer beperkt en zij kan het boetebedrag van € 525.000,-- financieel niet dragen. Op grond daarvan ziet de AP aanleiding om het boetebedrag te matigen.

De AP acht, gelet op alle omstandigheden van het concrete geval, een boete van € 500,-- evenredig. De AP overweegt in dit verband dat niet is gebleken dat de Stichting deze boete niet zou kunnen dragen.

5.3.6 Conclusie

De AP stelt het totale boetebedrag vast op € 500,--.

6. Last onder dwangsom

6.1 Last

Nu het gaat om een voortdurende overtreding van artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG, dient deze zo spoedig mogelijk te worden beëindigd. Om die reden legt de AP naast voornoemde boete aan de Stichting een last onder dwangsom op, op grond van artikel 58, tweede lid, aanhef en onder d van de AVG, artikel 16, eerste lid van de UAVG en artikel 5:32, eerste lid van de Awb.

De Stichting dient de overtreding van artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG te beëindigen door maatregelen te nemen die ertoe leiden dat de gegevensverwerking via de camera’s wordt beëindigd, dan wel de camera’s te verplaatsen of de beelden zo te bewerken dat er geen persoonsgegevens meer worden verwerkt.

6.2 Begunstigingstermijn en hoogte dwangsom

De AP verbindt aan de last onder dwangsom een begunstigingstermijn van vier weken. Bij het vaststellen van deze termijn heeft zij rekening gehouden met de te verwachten duur van eventueel te nemen maatregelen door de Stichting. Indien de Stichting ervoor kiest om de twee camera’s uit te zetten, is dit op korte termijn realiseerbaar. Mocht de Stichting ervoor kiezen om de camera’s te verplaatsen of de beelden zo te bewerken dat er geen persoonsgegevens meer worden verwerkt, dan vallen deze mogelijkheden eveneens op korte termijn te realiseren. Niet valt in te zien dat de Stichting niet binnen deze begunstigingstermijn kan voldoen aan artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG.

Artikel 5:32b, derde lid van de Awb schrijft voor dat de dwangsombedragen in redelijke verhouding staan tot de zwaarte van het geschonden belang en tot de beoogde werking van de dwangsom. Bij dat laatste is

19/23

van belang dat van een dwangsom een zodanige prikkel moet uitgaan dat aan de last wordt voldaan.

Indien de Stichting de geconstateerde overtreding niet binnen vier weken beëindigt, verbeurt zij na afloop van die begunstigingstermijn voor iedere week dat niet (geheel) aan de last is voldaan een dwangsom. De AP stelt de hoogte van deze dwangsom voor iedere week na afloop van de begunstigingstermijn vast op een bedrag van € 500,-- (zegge: vijfhonderd euro), tot een maximumbedrag van in totaal € 2.000,-- (zegge: tweeduizend euro).

Indien de Stichting het verbeuren van de dwangsom direct na afloop van de begunstigingstermijn wenst te voorkomen, raadt de AP de Stichting aan om de stukken - waarmee de Stichting kan aantonen dat zij voldoet aan de last onder dwangsom - tijdig, doch uiterlijk een week voor het einde van de begunstigingstermijn aan de AP ter beoordeling toe te sturen.

20/23

7. Dictum

Boete

De AP legt aan de Stichting Oud Lemmer, wegens overtreding van artikel 5, eerste lid, onder a, jo. artikel 6, eerste lid van de AVG in de periode van in ieder geval 21 februari 2019 tot en met heden, een bestuurlijke boete op ten bedrage van € 500,-- (zegge: vijfhonderd euro).47

Last onder dwangsom

De Stichting dient binnen vier weken na dagtekening en met inachtneming van dit besluit in het kader van de gegevensverwerking door middel van twee camera’s waarvan de beelden live worden gestreamd, maatregelen te nemen die ertoe leiden dat deze gegevensverwerking wordt beëindigd, dan wel de camera’s te verplaatsen of de beelden zo te bewerken dat er geen persoonsgegevens meer worden verwerkt.

Indien de Stichting niet uiterlijk binnen vier weken na datum van dit besluit de maatregelen heeft uitgevoerd om (geheel) aan de last te voldoen, verbeurt de Stichting een dwangsom van € 500,-- (zegge: vijfhonderd euro) voor iedere week na afloop van de begunstigingstermijn, tot een maximumbedrag van in totaal € 2.000,-- (zegge: tweeduizend euro).

Hoogachtend, Autoriteit Persoonsgegevens,

ir. M.J. Verdier Vicevoorzitter

Bijlage  Bijlage 1 Toelichting op het juridisch kader

47 De AP zal voornoemde vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB).

21/23

Rechtsmiddelenclausule Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit digitaal of op papier een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. Het indienen van een bezwaarschrift schort de werking van dit boetebesluit op, met uitzondering van het gedeelte dat ziet op de last onder dwangsom. Voor het indienen van digitaal bezwaar, zie www.autoriteitpersoonsgegevens.nl, onder het kopje ‘Bezwaar maken’, onderaan de pagina onder de kop ‘Contact met de Autoriteit Persoonsgegevens’. Het adres voor het indienen op papier is: Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag. Vermeld op de envelop ‘Awb-bezwaar’ en zet in de titel van uw brief ‘bezwaarschrift’. Schrijf in uw bezwaarschrift ten minste:  Uw naam en adres  De datum van uw bezwaarschrift  Het in deze brief genoemde kenmerk (zaaknummer); u kunt ook een kopie van dit besluit bijvoegen  De reden(en) waarom u het niet eens bent met dit besluit  Uw handtekening Zie voor meer informatie: https://autoriteitpersoonsgegevens.nl/nl/bezwaar-maken

22/23

Bijlage 1 Toelichting op het juridisch kader

Toelichting op de artikelen uit de AVG, genoemd in hoofdstuk 2 van dit besluit.

Materieel toepassingsgebied Ingevolge artikel 2, eerste lid van de AVG is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

Persoonsgegevens Onder persoonsgegevens wordt volgens artikel 4, aanhef en onder 1 van de AVG verstaan: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (“de betrokkene”). Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

Verwerking van persoonsgegevens Volgens artikel 4, aanhef en onder 2 van de AVG moet onder verwerking worden verstaan: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

Verwerkingsverantwoordelijke Artikel 4, aanhef en onder 7 van de AVG definieert een verwerkingsverantwoordelijke als “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”

Beginselen inzake verwerking van persoonsgegevens Artikel 5, eerste lid, aanhef en onder a bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”).

Rechtmatigheid van de verwerking Artikel 6, eerste lid van de AVG bepaalt, voor zover hier van belang, dat de verwerking alleen rechtmatig is indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: […]

23/23

f. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen […].