Op 9 juli behandelde het gerechtshof Den Haag het hoger beroep van Privacy First over ANPR-massasurveillance door de politie. Sindsdien vragen VvE-besturen, facilitaire managers en hotelexploitanten ons hetzelfde: "Hebben wij nu ook een probleem met onze ANPR-camera's?" De rechtszaak gaat over iets anders, maar een private parkeerlocatie heeft wel eigen AVG-verplichtingen.
Revtek · 21 juli 2026
De rechtszaak van Privacy First draait om artikel 126jj van het Wetboek van Strafvordering. Dat artikel verplicht de politie om via vaste ANPR-camera's de rijbewegingen van iedereen op te slaan, ook van mensen die nergens van verdacht worden. De gegevens gaan naar een centrale politiedatabase en worden daar vier weken bewaard. Privacy First vindt dat disproportioneel.
De zaak gaat over een surveillancesysteem van de overheid. Een VvE-parkeerterrein, kantoorgarage of hotelparking valt daarbuiten: u heeft geen politiebevoegdheid, beheert geen landelijk netwerk en verwerkt geen rijbewegingen van willekeurige voorbijgangers.
Uw ANPR-camera registreert kentekens van mensen die uw privéterrein op willen rijden, met als doel: toegang verlenen aan wie dat recht heeft en weigereren aan wie dat niet heeft. Dat is een heel andere verwerkingsgrondslag, met heel andere regels. Die regels staan in de Algemene Verordening Gegevensbescherming (AVG) en zijn goed te volgen als u ze vooraf inregelt.
De AVG vereist dat u voor elke verwerking van persoonsgegevens een geldige rechtsgrond heeft. Een kenteken is een persoonsgegeven, omdat het herleidbaar is naar een specifiek voertuig en in de meeste gevallen naar een persoon.
Voor private parkeerexploitanten is de meest gebruikte grondslag gerechtvaardigd belang (artikel 6, lid 1, sub f AVG). U heeft een legitiem belang bij het handhaven van uw parkeerbeleid op uw eigen terrein. In vrijwel alle gangbare parkeersituaties weegt dat op tegen de beperkte privacyinbreuk, omdat het om toegang tot één locatie gaat en niemand over meerdere terreinen gevolgd wordt.
Als u bewoners of huurders een parkeerplaats verhuurt via een contract, kunt u de uitvoering van dat contract ook als aanvullende grondslag noemen.
Belangrijk: documenteer welke grondslag u kiest in uw verwerkingsregister en uw privacyverklaring. "Wij vonden het handig" volstaat niet voor de Autoriteit Persoonsgegevens (AP).
Hier is de praktische splitsing die veel exploitanten niet maken: er is verschil tussen camerabeelden en toegangslogdata.
Camerabeelden waarop personen zichtbaar zijn, bewaren de meeste beveiligingsprofessionals maximaal 28 dagen. Die termijn staat niet in de wet; de Autoriteit Persoonsgegevens gebruikt hem als uitgangspunt. Langer bewaren kan als u de noodzaak kunt onderbouwen, bijvoorbeeld omdat een incident nog in onderzoek is.
Toegangslogdata is iets anders: kenteken, tijdstip en toegangsbeslissing, zonder beeldmateriaal. Voor louter toegangscontrole geldt het principe van dataminimalisatie. Bewaar wat u nodig heeft voor het doel, niet meer. Bij een VvE of kantoorgebouw waarbij u uitsluitend bijhoudt wie er inrijdt, is een bewaarperiode van vier tot acht weken in de meeste gevallen proportioneel. Bij een commercieel parkeerterrein waar u achteraf parkeertransacties wil kunnen herleiden voor klachten of terugvorderingen, kunt u een langere periode rechtvaardigen. Leg die keuze dan schriftelijk vast.
Stel automatisch verwijderen in waar mogelijk. Wie de retentie handmatig moet bijhouden, doet het niet.
Artikel 13 AVG verplicht u om betrokkenen te informeren op het moment dat u hun gegevens verzamelt. Dat betekent: voordat het kenteken door de ANPR-camera wordt gelezen, moet de bestuurder al gewaarschuwd zijn dat dit gebeurt.
Een bord bij de ingang van het terrein is de standaardoplossing. Dat bord moet minimaal vermelden: wie de verwerkingsverantwoordelijke is (naam + contactgegevens), voor welk doel u verwerkt, hoe lang u gegevens bewaart, en waar betrokkenen terecht kunnen met een inzageverzoek of klacht.
Naast de fysieke signing hoort er ook een privacyverklaring op uw website te staan die de verwerking beschrijft. Voor een VvE die geen eigen website heeft, volstaat een document dat bewoners via het bewonersportaal of op verzoek kunnen inzien.
Hier gaat het bij de meeste exploitanten mis. De camera's hangen en het systeem werkt, terwijl het bord bij de ingang ontbreekt of tien jaar oud is en naar een bedrijf verwijst dat niet meer bestaat. De AP legt hier bij controles direct een herstelverplichting op, en bij herhaling ook boetes.
Artikel 30 AVG verplicht organisaties om een register bij te houden van hun verwerkingsactiviteiten. Voor organisaties met meer dan 250 medewerkers is dit altijd verplicht. Voor kleinere organisaties geldt dit ook als de verwerking niet-incidenteel is, en dagelijks kentekens scannen op een parkeerterrein is dat altijd.
Wat u in het register opneemt voor uw ANPR-verwerking:
Dat laatste punt valt op: als u een platform zoals Revtek gebruikt voor uw parkeerbeheer, dan verwerkt Revtek uw kentekendata namens u. U bent verwerkingsverantwoordelijke; Revtek is verwerker. Een verwerkersovereenkomst is verplicht en sluit u af bij ingebruikname.
Bewoners, huurders en bezoekers hebben op grond van de AVG het recht om te weten welke gegevens u over hen heeft (inzagerecht) en om die gegevens te laten verwijderen als er geen dwingende reden is ze te bewaren (verwijderrecht).
Bij een goed ingericht systeem kosten zulke verzoeken weinig tijd. Vraagt een bewoner wanneer zijn auto de afgelopen maand het terrein op- en afreed, dan haalt u dat uit het logboek. Wil een eenmalige bezoeker zijn kenteken laten verwijderen, dan verwijdert u het record als de bewaartermijn nog niet verstreken is. Een systeem dat automatisch verwijdert na de ingestelde bewaartermijn, handelt dergelijke verzoeken in de meeste gevallen al af voordat ze binnenkomen.
Leg verzoeken en uw reactie altijd schriftelijk vast. U heeft 30 dagen de tijd om te reageren.
De AVG-verplichtingen voor private ANPR zijn overzichtelijk: rechtsgrond documenteren, retentie instellen, bord bij de ingang, verwerkingsregister bijhouden, verwerkersovereenkomst met uw leverancier. Dat is goed te doen, zeker als u het regelt voordat de camera's aangaan.
De uitdaging bij VvE's is dat het bestuur wisselt en kennis wegvloeit. Ga er niet van uit dat de vorige beheerder het ooit geregeld heeft; controleer het zelf. De kosten van een boete van de Autoriteit Persoonsgegevens wegen snel niet op tegen vijf minuten werk om een bord te bestellen en een document bij te werken.
Revtek levert bij implementatie standaard een verwerkersovereenkomst mee en helpt met de tekst voor uw entreebord en privacyverklaring. De verantwoordelijkheid als verwerkingsverantwoordelijke blijft bij u; het zoekwerk wordt een stuk minder.
Dit artikel is informatief van aard en vormt geen juridisch advies. Raadpleeg een privacyspecialist of juridisch adviseur voor uw specifieke situatie.
Plan een gratis demo en ontdek wat Revtek voor uw situatie kan betekenen.
Plan een demoOf mail naar info@revtek.nl