Corporate video's compliant met GDPR: valkuilen en tips

Christophe Lenaerts
22 uur geleden
6 minuten om te lezen

Waarom GDPR en corporate video vaker botsen dan je denkt

Als eventmanager sta je onder druk om elke townhall, productlancering of aandeelhoudersvergadering vlekkeloos vast te leggen. Wat daarbij zelden op de agenda staat: het juridische kader rond beelden van herkenbare personen. Wij zien dit constant in onze samenwerking met corporate teams in België. Bij hybride evenementen waarbij we zowel de fysieke als de online beleving verzorgen, stellen opdrachtgevers regelmatig vast dat ze nooit een toestemmingsproces hebben opgezet voor de beelden die ze willen hergebruiken op hun website of intranet.

De GDPR, die in mei 2018 van kracht werd, kwalificeert een herkenbaar gezicht als persoonsgegeven. Dat staat expliciet in de EDPB-richtsnoeren 3/2019 over verwerking van persoonsgegevens via videoapparatuur. Beelden die je deelt via YouTube, LinkedIn of een bedrijfswebsite vallen volledig onder de verordening. Boetes lopen op tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is.

Voor eventmanagers die werken met professionele livestreaming op locatie of hybride formats, is compliance geen bijzaak. Het is een operationele vereiste die je vóór de opnamedag moet regelen.

Valkuil 1: Filmen zonder expliciete toestemming

Dit is de meest voorkomende fout bij bedrijfsevenementen. Bezoekers registreren zich voor je congres of townhall, maar nergens in het registratieproces staat dat ze gefilmd worden voor een aftermovie die op de bedrijfswebsite verschijnt.

De EDPB maakt een duidelijk onderscheid: filmen voor intern gebruik tijdens een besloten event is iets anders dan dat materiaal publiek verspreiden. Zodra beelden extern gaan, op een platform terechtkomen of in een promotievideo verwerkt worden, heb je een geldige rechtsgrond nodig. In de praktijk is expliciete, geïnformeerde toestemming de veiligste keuze voor promotionele doeleinden.

Wat werkt:

Zet een toestemmingsvraag in het registratieformulier, met een heldere beschrijving van het gebruik ("beelden worden gebruikt in een promovideo op onze website en LinkedIn-kanaal")
Bied een opt-outmogelijkheid aan die de deelname aan het event niet in gevaar brengt
Bewaar het bewijs van toestemming digitaal, gekoppeld aan de deelnemersinformatie
Kondig bij aanvang van het event opnieuw aan dat er gefilmd wordt, inclusief hoe deelnemers zich kunnen afmelden

Valkuil 2: Persoonsgegevens via videoplatformen verwerken zonder controle

Bij webinars en hybride events verzamelen streamingplatformen automatisch data: IP-adressen, kijkgedrag, inlogtijden. Als jij als verwerkingsverantwoordelijke een platform inzet dat data buiten de EU opslaat of doorgeeft zonder adequaatheidsbesluit, ben je zelf aansprakelijk.

Dit raakt direct aan de platformkeuze voor je volgende event. Niet elk platform dat zichzelf "GDPR-vriendelijk" noemt, voldoet aan de vereisten rond verwerkersovereenkomsten, dataminimalisatie en opslaglocatie.

Onze aanpak bij CenterStage, ons eigen enterprise-streamingplatform voor zakelijke broadcasts, is gebouwd rond controle voor het corporate team: branded omgeving, Q&A-moderatie, sessiebeheer en real-time analytics, zonder dat deelnemersdata buiten de afgesproken grenzen gaat. Voor aandeelhoudersvergaderingen en investor relations-webcasts is dat geen luxe, het is een basisvereiste.

Praktische stappen:

Sluit altijd een verwerkersovereenkomst (DPA) af met je streamingplatform
Controleer of dataopslag in de EU plaatsvindt
Kies platforms met expliciete consent-tools voor deelnemers
Documenteer welke data het platform verzamelt en hoe lang die bewaard wordt

Valkuil 3: Gerechtvaardigd belang inroepen waar toestemming vereist is

"Wij hebben een gerechtvaardigd belang om onze medewerkers te filmen" is een redenering die we in de praktijk vaak horen. De GDPR laat gerechtvaardigd belang als rechtsgrond toe, maar alleen als de verwerking noodzakelijk is én als de belangen van de betrokkene niet zwaarder wegen. Voor promotievideo's en aftermovies die extern verspreid worden, is die afweging zelden in het voordeel van de organisatie.

De EDPB-richtsnoeren 3/2019 zijn hier duidelijk over: bij camerabeelden moet de verwerkingsverantwoordelijke kunnen aantonen waarom toestemming niet haalbaar was en waarom het gerechtvaardigd belang zwaarder weegt. Dat is een hoge lat voor standaard marketingmateriaal.

Wat je in de praktijk kunt doen:

Gebruik gerechtvaardigd belang alleen voor intern gebruik of beveiligingsdoeleinden, niet voor externe promotie
Documenteer de belangenafweging als je er toch voor kiest
Laat gezichten blurren in postproductie als consent ontbreekt voor specifieke personen
Werk met een productieploeg die weet hoe je shots kunt kadreren zonder herkenbare individuen onnodig op de voorgrond te plaatsen

Valkuil 4: Geen verwerkingsregister en geen retentiebeleid

De GDPR verplicht organisaties om te kunnen aantonen hoe ze persoonsgegevens verwerken. Voor video betekent dat: een register bijhouden van welke opnames gemaakt zijn, voor welk doel, op basis van welke rechtsgrond, en hoe lang het materiaal bewaard wordt.

Het recht op vergetelheid geldt ook voor videobeelden. Als een medewerker of deelnemer vraagt om verwijderd te worden uit een opname, moet je daar een proces voor hebben. Dat is moeilijker als je aftermovies op meerdere platforms hebt gepubliceerd en geen overzicht hebt van waar het materiaal staat.

Een werkbare aanpak voor eventmanagers:

Maak per event een kort verwerkingsoverzicht: welke beelden, welk doel, welke rechtsgrond, bewaartermijn
Bewaar ruwe opnames niet langer dan nodig voor postproductie
Houd een lijst bij van publicatiekanalen per video
Zorg dat iemand intern verantwoordelijk is voor verwijderverzoeken

Wil je weten hoe je de impact van je videoproducties ook meetbaar maakt naast compliant? Ons artikel over corporate video ROI meten met concrete KPI's geeft communicatiemanagers een praktisch kader.

Praktische GDPR-checklist voor je volgende corporate videoproductie

Gebruik dit als startpunt voor elk event of elke videoproductie:

Vóór het event:

Toestemmingsformulier opgesteld met duidelijke beschrijving van gebruik
Opt-outprocedure gecommuniceerd aan deelnemers
Verwerkersovereenkomst afgesloten met productie- en streamingpartner
Platform gecontroleerd op EU-dataopslag

Tijdens opname:

Aankondiging aan het begin dat er gefilmd wordt
Opt-outprocedure herhaald voor latecomers
Gevoelige shots (minderjarigen, medische context) vermeden of apart behandeld

Postproductie:

Gezichten geblurd waar consent ontbreekt
Finaal materiaal gevalideerd tegen de toestemmingslijst
Publicatiekanalen gedocumenteerd

Na publicatie:

Verwerkingsregister bijgewerkt
Bewaartermijn vastgelegd
Proces voor verwijderverzoeken operationeel

Voor Belgische eventmanagers die werken met ons webinarstudio in Zaventem, integreren we deze stappen standaard in de productievoorbereiding. Zo draag je als opdrachtgever geen extra administratieve last.

GDPR als kwaliteitssignaal, niet als rem

GDPR-compliance bij corporate video is geen juridische hindernis, het is een teken van professioneel opdrachtgeverschap. Eventmanagers die dit proces goed inrichten, bouwen vertrouwen bij deelnemers en beschermen het merk van hun organisatie. Met de juiste partner en een helder toestemmingsproces is compliance geen vertraging, het is onderdeel van een kwalitatieve productie.

Plan een kennismaking met ons team in Zaventem en bespreek hoe we jouw volgende event end-to-end compliant produceren.

Veelgestelde vragen

Wat is GDPR-compliant bij corporate video's?

Een corporate video is GDPR-compliant als herkenbare personen op beeld expliciet toestemming hebben gegeven voor het gebruik van hun beelden, als de rechtsgrond voor verwerking gedocumenteerd is, en als de data via GDPR-conforme platforms verwerkt en opgeslagen wordt. Dat geldt zowel voor aftermovies en promotievideo's als voor livestreams en webinar-opnames die extern gedeeld worden. Intern gebruik vraagt een andere afweging dan externe publicatie.

Zijn gezichten in een bedrijfsvideo persoonsgegevens onder de GDPR?

Ja. De EDPB-richtsnoeren 3/2019 stellen expliciet dat een herkenbaar gezicht in een videoopname een persoonsgegeven is. Dat betekent dat de GDPR van toepassing is zodra je videobeelden verwerkt waarop individuen identificeerbaar zijn, ongeacht of de video intern of extern gebruikt wordt. Voor externe publicatie is een geldige rechtsgrond, in de meeste gevallen expliciete toestemming, verplicht.

Mag je deelnemers aan een bedrijfsevenement filmen zonder toestemming?

Filmen op een besloten bedrijfsevenement voor intern gebruik kan in bepaalde gevallen op basis van gerechtvaardigd belang, maar dat vergt een gedocumenteerde belangenafweging. Zodra de beelden extern gedeeld worden, op een website, LinkedIn of YouTube, is expliciete toestemming de veiligste en meest afdwingbare rechtsgrond. Deelnemers moeten altijd geïnformeerd worden dat er gefilmd wordt en een reële opt-outmogelijkheid krijgen.

Welke boetes riskeert een bedrijf bij GDPR-overtredingen in video?

De GDPR voorziet boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger uitvalt. Nationale toezichthouders zoals de Belgische Gegevensbeschermingsautoriteit en de Nederlandse Autoriteit Persoonsgegevens leggen actief sancties op. Naast financiële boetes riskeer je reputatieschade, wat voor een bedrijfsevenement of productlancering bijzonder gevoelig ligt.

Hoe verwerk je een verwijderverzoek voor een gepubliceerde bedrijfsvideo?

Het recht op vergetelheid verplicht je om een persoon op verzoek te verwijderen uit gepubliceerde videobeelden. In de praktijk betekent dat: het materiaal offline halen, de persoon blurren in postproductie, en het herwerkte materiaal opnieuw publiceren. Houd een register bij van alle publicatiekanalen per video, zodat je snel kunt handelen. Zorg dat er intern een verantwoordelijke aangewezen is voor dit proces.

Wat is het verschil tussen toestemming en gerechtvaardigd belang bij videoproductie?

Toestemming is een vrije, specifieke en geïnformeerde keuze van de betrokkene om beeldverwerking te aanvaarden. Gerechtvaardigd belang is een alternatieve rechtsgrond waarbij de organisatie moet aantonen dat haar belang zwaarder weegt dan de privacyrechten van de betrokkene, en dat de verwerking noodzakelijk is. Voor promotionele video's en aftermovies is toestemming de aanbevolen route. Gerechtvaardigd belang is moeilijker te verdedigen bij externe publicatie en vereist een gedocumenteerde belangenafweging.

Bronnen

Europees Comité voor Gegevensbescherming (EDPB), 2019 — Richtsnoeren 3/2019 over verwerking van persoonsgegevens via videoapparatuur
Business.gov.nl / Rijksdienst voor Ondernemend Nederland — Overzicht van GDPR-verplichtingen voor ondernemers in de EU