AVG en vergaderopnames: waar moet je op letten?
Dit artikel is een algemeen overzicht en geen juridisch advies. Twijfel je over jouw situatie, vraag het dan aan je functionaris gegevensbescherming (FG), een jurist of kijk op de website van de Autoriteit Persoonsgegevens.
Wie een vergadering opneemt, legt vast wat mensen zeggen, met hun stem en vaak hun naam. Dat zijn persoonsgegevens. Neem je op voor je werk, als organisatie of als zelfstandige, dan geldt de Algemene verordening gegevensbescherming (AVG). Hieronder lees je de belangrijkste punten om op te letten.
Is een vergaderopname een persoonsgegeven?
Ja, in de regel wel. Een stem is te herleiden tot een persoon, en in een vergadering worden mensen bij naam genoemd. Ook het transcript en de samenvatting bevatten persoonsgegevens: wie wat zei, wie welke taak kreeg. Soms gaat het gesprek over gevoelige onderwerpen, zoals gezondheid of een ziekmelding. Voor zulke bijzondere persoonsgegevens gelden strengere regels.
Let ook op als een app stemmen herkent om sprekers automatisch te benoemen. Gegevens die worden gebruikt om iemand aan zijn stem te herkennen, kunnen onder de strengere regels voor biometrische gegevens vallen. Laat je daarover goed adviseren voordat je zo’n functie standaard inzet.
Stap 1: een grondslag
Onder de AVG mag je persoonsgegevens alleen verwerken als je daar een grondslag voor hebt. Bij vergaderopnames gaat het meestal om een van deze twee:
- Toestemming. Alle deelnemers stemmen vooraf in. Toestemming moet vrij gegeven zijn. In een werkrelatie is dat lastig, omdat een medewerker zich vaak niet echt vrij voelt om nee te zeggen.
- Gerechtvaardigd belang. Je hebt een goede reden om op te nemen, zoals een nauwkeurig verslag, en die weegt zwaarder dan de inbreuk op de privacy van de deelnemers. Dat vraagt om een afweging die je vastlegt.
Welke grondslag past, hangt af van je situatie. Leg in elk geval vast waarom je opneemt.
Stap 2: informeer de deelnemers
Deelnemers moeten weten dat er wordt opgenomen, waarom, wat er met de opname gebeurt en hoe lang die bewaard wordt. Doe dat vóór de opname begint, niet achteraf. Een korte melding aan het begin van de vergadering, en een zin in de uitnodiging, helpen.
Stap 3: neem niet meer op dan nodig
De AVG vraagt om dataminimalisatie: verwerk niet meer dan nodig is voor je doel. In de praktijk:
- Neem alleen op als je de opname echt gebruikt.
- Heb je een transcript of verslag, overweeg dan of je het geluid nog nodig hebt.
- Deel niet het hele transcript als alleen de besluiten of actiepunten nodig zijn.
Stap 4: bepaal een bewaartermijn
Bewaar opnames en transcripten niet langer dan nodig. Spreek een termijn af, bijvoorbeeld tot het verslag is vastgesteld, en verwijder daarna. Zorg ook dat verwijderen echt verwijderen is: kijk of er nog kopieën staan in back-ups, gedeelde mappen of bij een externe dienst.
Stap 5: beveilig de gegevens
Je moet passende maatregelen nemen om de gegevens te beschermen. Denk aan:
- versleutelde opslag;
- een vergrendelde telefoon of laptop;
- beperkte toegang: alleen wie het nodig heeft;
- geen opnames in persoonlijke cloudmappen of chatgroepen.
Stap 6: let op externe diensten
Gebruik je een app die de opname naar een server stuurt om die uit te schrijven of samen te vatten, dan verwerkt die aanbieder persoonsgegevens voor jou. In de regel is dat een verwerker, en dan heb je een verwerkersovereenkomst nodig. Controleer ook:
- waar de gegevens worden verwerkt, binnen of buiten de EU;
- of de aanbieder gesprekken gebruikt om modellen te trainen;
- hoe lang de aanbieder de gegevens bewaart, en of je ze kunt laten verwijderen;
- welke andere partijen (sub-verwerkers) de aanbieder inschakelt.
Een app die alles op het toestel zelf doet, zonder het geluid of de tekst te versturen, maakt dit deel een stuk eenvoudiger: dan gaat er geen gesprek naar een externe dienst. Je blijft zelf wel verantwoordelijk voor de andere punten, zoals informeren, bewaren en beveiligen.
Stap 7: rechten van deelnemers
Deelnemers hebben rechten onder de AVG, zoals het recht op inzage en in bepaalde gevallen op verwijdering. Zorg dat je een opname of transcript kunt terugvinden en kunt verwijderen als iemand daarom vraagt.
Een DPIA?
Neem je op grote schaal of structureel op, bijvoorbeeld alle vergaderingen binnen een organisatie, of gaat het om gevoelige gesprekken, dan kan een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn. Bespreek dat met je FG.
Waar Vault Notes bij helpt
Vault Notes verwerkt het geluid op de telefoon en uploadt het nooit. Er is geen account en er gaat geen transcript naar een server. Het geluid staat versleuteld opgeslagen tot het definitieve transcript klaar is, en wordt daarna gewist. Per vergadering laat een privacybon zien of er tijdens de opname verbinding was en welke modellen draaiden. Stemmen onthouden staat standaard uit; zet je het aan, dan staan stemprofielen alleen in de versleutelde database en kun je ze los of allemaal tegelijk wissen.
Dat neemt de AVG-plichten niet weg. Je moet deelnemers nog steeds informeren, een grondslag hebben en niet langer bewaren dan nodig. Maar het risico dat een gesprek bij een derde terechtkomt, valt weg.
Tot slot
Een vergadering opnemen kan prima binnen de AVG, als je het bewust doet: met een grondslag, met duidelijke informatie aan de deelnemers, zo min mogelijk gegevens, een bewaartermijn en goede beveiliging. Nogmaals: dit is geen juridisch advies. Voor jouw situatie is je FG of een jurist het juiste aanspreekpunt.