Een fotograaf levert de beelden op, de organisatie zet ze in de beeldbank, zo ging dat jarenlang, zonder dat iemand zich afvroeg hóe die bestanden eigenlijk van A naar B kwamen. Maar een foto waarop iemand herkenbaar is, geldt onder de AVG als persoonsgegeven. En dus is foto’s veilig delen niet alleen een kwestie van gemak, maar ook van zorgvuldigheid. Zeker voor organisaties in de zorg, het onderwijs, de overheid of een lab, waar herkenbare mensen op de beelden staan. In dit artikel leg ik uit wat je van je fotograaf kunt vragen bij oplevering en bewaring, en net zo belangrijk: wanneer dat echt nodig is, en wanneer niet.
In het kort
- Een foto waarop iemand herkenbaar is, is onder de AVG een persoonsgegeven; oplevering en opslag vallen daarmee onder privacyregels.
- Niet elke shoot vraagt dezelfde beveiliging: een websiteportret is iets anders dan een congres met honderden herkenbare deelnemers.
- Leg eisen over opslaglocatie, versleuteling en bewaartermijn vóór de shoot vast in de offerte of briefing, niet op de dag zelf.
Wanneer is een bedrijfsfoto een persoonsgegeven?
Zodra iemand op een foto herkenbaar is, gaat het om een persoonsgegeven. Dat geldt voor het portret van je directeur net zo goed als voor de collega die toevallig op de achtergrond van een sfeerbeeld loopt. De AVG stelt daar eisen aan: je verwerkt zulke gegevens alleen met een goede grondslag, en je gaat er zorgvuldig mee om, ook tijdens het versturen en bewaren. Over die grondslag schreef ik eerder uitgebreid; lees vooral waarom toestemming alleen niet genoeg is bij werknemersfotografie. Dit artikel gaat over de stap daarna: de beelden zijn gemaakt, en nu willen ze veilig van mijn computer naar jouw organisatie.
Belangrijkste punten
- Herkenbare personen op een foto maken dat beeld tot een persoonsgegeven onder de AVG.
- Opslag binnen de EU/EER bij een Europese aanbieder houdt beelden buiten bereik van buitenlandse wetgeving zoals de CLOUD Act.
- Versleuteling hoort er bij gevoelig werk te zijn tijdens verzending én in opslag.
- Toegang beperk je tot wie de beelden echt nodig heeft, bij voorkeur met tweestapsverificatie.
- Verlopen links of automatisch verdwijnende bestanden beperken hoe lang beeld rondzwerft.
- Spreek vooraf af hoe lang de fotograaf de beelden zelf bewaart.
Hoe ik zelf oplever, en waarom dat niet altijd hetzelfde is
Ik lever het grootste deel van mijn werk op via een online galerij (Pixieset), want veel van mijn werk is niet gevoelig. Een reeks zakelijke portretten voor de website, een reportage in een productiehal, de mensen op die beelden hebben toestemming gegeven, de foto’s zijn bedoeld voor publicatie, en een galerij is voor de klant verreweg de prettigste manier om te kijken en te kiezen.
Maar soms is een andere route een eis van de opdrachtgever. En dan lever ik op via het systeem dat de organisatie voorschrijft. Zo fotografeerde ik een Europees congres op het ss Rotterdam, waar een foto van een herkenbare deelnemer nadrukkelijk als persoonsgegeven gold. De beelden mochten niet in een cloud buiten de EU terechtkomen, en de oplevering liep via een beveiligde, versleutelde route. Dat kost een paar extra handelingen. Het was het daar ook waard.
Dat is meteen mijn kernboodschap: proportionaliteit. Niet elke shoot vraagt om een kluis. Een portretsessie voor de website is iets anders dan een congres met honderden herkenbare deelnemers, of een shoot in een zorginstelling waar patiënten en bewoners rondlopen. De vraag is niet “wat is het veiligste systeem?”, maar “wat vragen déze beelden?”.
Foto’s veilig delen: waar let je op bij oplevering en opslag?
Als jouw organisatie met gevoelig beeld werkt, zijn dit de punten waarover je met je fotograaf het gesprek voert. Geen van deze punten is exotisch, een professionele fotograaf kan er gewoon in meegaan.
Opslag binnen de EU/EER. Waar staan de bestanden fysiek, tijdens de overdracht en daarna? Amerikaanse aanbieders vallen onder de Amerikaanse CLOUD Act, ook als hun servers in Europa staan. Daarom kiezen sommige overheden en zorgorganisaties bewust voor Europese aanbieders. Dat is geen paranoia; het is een afweging die je vooraf maakt, niet achteraf.
Versleuteling, onderweg én in rust. Bestanden horen versleuteld verstuurd te worden, en bij gevoelig werk ook versleuteld opgeslagen te staan. Vraag ernaar, het antwoord zegt veel over hoe serieus een leverancier het neemt.
Toegang alleen voor wie het nodig heeft. Een downloadlink die iedereen kan doorsturen is handig, maar bij gevoelig beeld wil je weten wie erbij kan. Tweestapsverificatie en persoonlijke accounts helpen daarbij.
Links die verlopen. Een link die na de overdracht automatisch vervalt, of bestanden die na het ophalen verdwijnen, voorkomen dat beeld maanden later nog ergens bereikbaar is zonder dat iemand het weet.
Bewaartermijn bij de fotograaf. Spreek af hoe lang ik, of welke fotograaf dan ook, de beelden bewaar, en wat er daarna mee gebeurt. Dat hoort gewoon in de afspraken thuis.
Een masterarchief in eigen beheer. De duurzaamste oplossing: jouw organisatie bewaart zelf het definitieve archief, op een plek die jullie zelf beheren. Dan ben je voor de lange termijn niet afhankelijk van mijn opslag of van een externe dienst. Hoe je zo’n verzameling beeld opbouwt en bruikbaar houdt, lees je op mijn pagina over beeldbank-fotografie.
Welke soorten oplossingen bestaan er?
Ik geef bewust geen ranglijst, “de beste” bestaat niet, want de juiste keuze hangt af van wat jouw organisatie al in huis heeft en wat de beelden vragen. Maar om het gesprek met je IT-afdeling concreet te maken, een paar voorbeelden van soorten oplossingen:
| Oplossing | Wat het is | Sterk in | Houd rekening met |
|---|---|---|---|
| Nextcloud | Open source, zelf te hosten of bij een Europese aanbieder | Volledige controle over waar data staat | Vraagt beheer en inrichting aan jouw kant |
| Tresorit | Versleuteld delen, Zwitsers bedrijf | Versleuteling zonder eigen serverbeheer | Abonnementsdienst, afhankelijk van een externe partij |
| Cryptshare | Versleuteld versturen, Duits bedrijf | Eenmalige, beveiligde overdracht van grote bestanden | Gericht op verzenden, niet op langdurig archiveren |
| Eigen NAS | Opslagapparaat in eigen beheer | Masterarchief volledig in eigen hand | Niet de snelste manier om te delen |
De eerlijkheid gebiedt te zeggen: strengere oplevering kost gemak. Inloggen, verlopen links, een extra verificatiestap, het is allemaal nét wat omslachtiger dan een open galerij. Dat is het alleen waard als de beelden het vragen. Voor een reeks teamportretten die toch op de website komen, schiet een zwaar beveiligde route zijn doel voorbij. Voor beelden uit een zorginstelling, een lab of een congres met honderden herkenbare deelnemers ligt dat anders.
Stappen
- Bepaal vóór de shoot hoe gevoelig de beelden zijn: wie staat erop, en in welke context?
- Zet eisen over opslaglocatie, versleuteling en overdracht in de offerte of briefing, niet op de shootdag zelf.
- Spreek af wie binnen de organisatie de beelden ontvangt en wie er toegang toe krijgt.
- Leg vast hoe lang de bestanden via de opleverroute beschikbaar blijven en wanneer links vervallen.
- Maak afspraken over hoe lang de fotograaf de beelden zelf bewaart.
- Richt een masterarchief in eigen beheer in, zodat je voor de lange termijn niet afhankelijk bent van derden.
Begrippen
Persoonsgegeven: elk gegeven over een geïdentificeerde of identificeerbare persoon, een foto waarop iemand herkenbaar is, valt daar dus onder.
EER: de Europese Economische Ruimte, het gebied waarbinnen de AVG-bescherming voor persoonsgegevens geldt.
CLOUD Act: Amerikaanse wet die Amerikaanse aanbieders verplicht data te kunnen afgeven aan de Amerikaanse overheid, ook als die data in Europa staat.
Versleuteling: het onleesbaar maken van bestanden voor iedereen zonder de juiste sleutel, zowel tijdens verzending als in opslag.
Tweestapsverificatie: inloggen met een tweede bevestiging naast het wachtwoord, zodat een gelekt wachtwoord alleen niet genoeg is.
Masterarchief: het definitieve beeldarchief dat de organisatie zelf beheert, onafhankelijk van de fotograaf of een externe dienst.
Begin het gesprek vóór de shoot
De belangrijkste les uit mijn eigen praktijk is simpel: dit regel je vooraf, niet op de dag zelf. Een fotograaf die op de ochtend van de shoot hoort dat de beelden via een specifieke beveiligde route opgeleverd worden, kan daar meestal wel in meegaan, maar in de offertefase kost dezelfde afspraak niemand moeite. Twijfel je wat jouw beelden nodig hebben, of wil je weten hoe ik de oplevering voor jullie situatie zou inrichten? Dan plannen we gewoon een belafspraak of videogesprek. Dan kijken we samen wat de beelden vragen, en wat overdreven zou zijn.
Veelgestelde vragen
- Is een bedrijfsfoto een persoonsgegeven?
- Ja, zodra iemand op de foto herkenbaar is, geldt het beeld onder de AVG als persoonsgegeven. Dat geldt voor het portret van een directeur en net zo goed voor de collega die op de achtergrond van een sfeerbeeld loopt. Daarom vallen niet alleen het maken, maar ook het versturen en bewaren van die beelden onder de privacyregels.
- Hoe deel je foto's veilig met een organisatie?
- Via een route die past bij hoe gevoelig de beelden zijn. Voor gewone bedrijfsfoto's volstaat een online galerij. Bij gevoelig beeld, zoals in de zorg, een lab of op een congres met herkenbare deelnemers, kies je voor opslag binnen de EU, versleuteling, toegang alleen voor wie het nodig heeft en links die na de overdracht verlopen.
- Is WeTransfer veilig genoeg voor bedrijfsfoto's?
- Voor beelden die toch gepubliceerd worden, is een gewone transferdienst meestal prima. Bij gevoelig beeld wil je meer weten: waar de bestanden staan, of ze versleuteld zijn, wie de link kan doorsturen en wanneer die verloopt. Kan een dienst die vragen niet goed beantwoorden, spreek dan met je fotograaf een andere opleverroute af, vóór de shoot.
- Hoe lang bewaart een fotograaf mijn foto's?
- Dat verschilt per fotograaf, en daarom hoort het in de afspraken. Leg vooraf vast hoe lang de fotograaf de beelden bewaart, hoe lang de opleverlink beschikbaar blijft en wat er daarna met de bestanden gebeurt. De duurzaamste oplossing is een masterarchief in eigen beheer van je organisatie, zodat je op termijn niet afhankelijk bent van de fotograaf.
