Op 9 juli behandelde het gerechtshof Den Haag het hoger beroep van Privacy First over ANPR-massasurveillance door de politie. Sindsdien vragen VvE-besturen, facilitaire managers en hotelexploitanten ons hetzelfde: "Hebben wij nu ook een probleem met onze ANPR-camera's?" Nee — niet hetzelfde probleem. Maar u heeft wel uw eigen AVG-verplichtingen, en die verdienen aandacht.
Revtek · 21 juli 2026
De rechtszaak van Privacy First draait om artikel 126jj van het Wetboek van Strafvordering. Dat artikel verplicht de politie om via vaste ANPR-camera's de rijbewegingen van iedereen op te slaan — ongeacht of diegene ergens van verdacht wordt. De gegevens gaan naar een centrale politiedatabase en worden daar vier weken bewaard. Privacy First vindt dat disproportioneel.
Dit is de overheid die haar eigen surveillancesysteem betwist in de rechtbank. Uw VvE-parkeerterrein, kantoorgarage of hotelparking valt daar buiten — u heeft geen politiebevoegdheid, u hanteert geen nationaal netwerk en u verwerkt geen rijbewegingen van willekeurige voorbijgangers.
Uw ANPR-camera registreert kentekens van mensen die uw privéterrein op willen rijden, met als doel: toegang verlenen aan wie dat recht heeft en weigereren aan wie dat niet heeft. Dat is een heel andere verwerkingsgrondslag, met heel andere regels. Die regels zijn de Algemene Verordening Gegevensbescherming (AVG) — en die zijn beheersbaar, mits u ze goed inregelt.
De AVG vereist dat u voor elke verwerking van persoonsgegevens een geldige rechtsgrond heeft. Een kenteken is een persoonsgegeven, omdat het herleidbaar is naar een specifiek voertuig en in de meeste gevallen naar een persoon.
Voor private parkeerexploitanten is de meest gebruikte grondslag gerechtvaardigd belang (artikel 6, lid 1, sub f AVG). U heeft een legitiem belang bij het handhaven van uw parkeerbeleid op uw eigen terrein — dat weegt in vrijwel alle gangbare parkeerscenario's op tegen de privacyinbreuk, die beperkt is. Het gaat immers om toegangscontrole voor uw eigen locatie, niet om het volgen van rijgedrag over meerdere terreinen.
Als u bewoners of huurders een parkeerplaats verhuurt via een contract, kunt u de uitvoering van dat contract ook als aanvullende grondslag noemen.
Belangrijk: documenteer welke grondslag u kiest in uw verwerkingsregister en uw privacyverklaring. "Wij vonden het handig" volstaat niet voor de Autoriteit Persoonsgegevens (AP).
Hier is de praktische splitsing die veel exploitanten niet maken: er is verschil tussen camerabeelden en toegangslogdata.
Camerabeelden — volledige opnames waarop personen zichtbaar zijn — bewaren de meeste beveiligingsprofessionals maximaal 28 dagen. Dat is geen harde wettelijke termijn, maar een praktische norm die de Autoriteit Persoonsgegevens als uitgangspunt hanteert. Langer bewaren kan, maar u moet de noodzaak dan aantoonbaar kunnen motiveren — bijvoorbeeld omdat een incident in onderzoek is.
Toegangslogdata is iets anders: kenteken, tijdstip en toegangsbeslissing, zonder beeldmateriaal. Voor louter toegangscontrole geldt het principe van dataminimalisatie. Bewaar wat u nodig heeft voor het doel, niet meer. Bij een VvE of kantoorgebouw waarbij u uitsluitend bijhoudt wie er inrijdt, is een bewaarperiode van vier tot acht weken in de meeste gevallen proportioneel. Bij een commercieel parkeerterrein waar u achteraf parkeertransacties wil kunnen herleiden voor klachten of terugvorderingen, kunt u een langere periode rechtvaardigen — leg dat expliciet vast.
Stel automatisch verwijderen in waar mogelijk. Wie de retentie handmatig moet bijhouden, doet het niet.
Artikel 13 AVG verplicht u om betrokkenen te informeren op het moment dat u hun gegevens verzamelt. Dat betekent: voordat het kenteken door de ANPR-camera wordt gelezen, moet de bestuurder al gewaarschuwd zijn dat dit gebeurt.
Een bord bij de ingang van het terrein is de standaardoplossing. Dat bord moet minimaal vermelden: wie de verwerkingsverantwoordelijke is (naam + contactgegevens), voor welk doel u verwerkt, hoe lang u gegevens bewaart, en waar betrokkenen terecht kunnen met een inzageverzoek of klacht.
Naast de fysieke signing hoort er ook een privacyverklaring op uw website te staan die de verwerking beschrijft. Voor een VvE die geen eigen website heeft, volstaat een document dat beschikbaar is voor bewoners — via het bewonersportaal of op verzoek.
Dit is het punt waar de meeste exploitanten in de fout gaan. Camera's hangen er, systeem werkt — maar het bord bij de ingang ontbreekt of is tien jaar oud en verwijst naar een bedrijf dat niet meer bestaat. De AP legt hier bij controles direct een herstelverplichting op, en bij herhaling ook boetes.
Artikel 30 AVG verplicht organisaties om een register bij te houden van hun verwerkingsactiviteiten. Voor organisaties met meer dan 250 medewerkers is dit altijd verplicht. Voor kleinere organisaties geldt dit ook als de verwerking niet-incidenteel is — en dagelijks kentekens scannen op een parkeerterrein is per definitie niet-incidenteel.
Wat u in het register opneemt voor uw ANPR-verwerking:
Dat laatste punt valt op: als u een platform zoals Revtek gebruikt voor uw parkeerbeheer, dan verwerkt Revtek uw kentekendata namens u. U bent verwerkingsverantwoordelijke; Revtek is verwerker. Een verwerkersovereenkomst is verplicht — die sluit u bij ingebruikname af.
Betrokkenen — bewoners, huurders, bezoekers — hebben op grond van de AVG het recht om te weten welke gegevens u over hen heeft (inzagerecht) en om die gegevens te laten verwijderen als er geen dwingende reden is ze te bewaren (verwijderrecht).
In de praktijk levert dit bij goed ingeregelde systemen weinig last op. Een bewoner vraagt wanneer zijn auto de afgelopen maand het terrein in- en uitgereden is? U kunt dat uit het logboek halen. Een bezoeker die eenmalig op het terrein geweest is, wil zijn kenteken verwijderd hebben? Als de retentietijd nog niet verstreken is, verwijder dan het relevante record. Een systeem dat automatisch verwijdert na de ingestelde bewaartermijn, handelt dergelijke verzoeken in de meeste gevallen al af voordat ze binnenkomen.
Leg verzoeken en uw reactie altijd schriftelijk vast. U heeft 30 dagen de tijd om te reageren.
De AVG-verplichtingen voor private ANPR zijn overzichtelijk: rechtsgrond documenteren, retentie instellen, bord bij de ingang, verwerkingsregister bijhouden, verwerkersovereenkomst met uw leverancier. Geen juridisch doolhof — mits u het van tevoren regelt en niet achteraf probeert te repareren.
De uitdaging bij VvE's is dat het bestuur wisselt en kennis wegvloeit. Vertrouw niet op "de vorige beheerder heeft dat ooit geregeld" — controleer het zelf. De kosten van een boete van de Autoriteit Persoonsgegevens wegen snel niet op tegen vijf minuten werk om een bord te bestellen en een document bij te werken.
Revtek levert bij implementatie standaard een verwerkersovereenkomst mee en kan u helpen met de tekst voor uw entreebordje en privacyverklaring. Dat ontslaat u niet van uw eigen verantwoordelijkheid als verwerkingsverantwoordelijke — maar het scheelt een flinke hoeveelheid zoekwerk.
Dit artikel is informatief van aard en vormt geen juridisch advies. Raadpleeg een privacyspecialist of juridisch adviseur voor uw specifieke situatie.
Plan een gratis demo en ontdek wat Revtek voor uw situatie kan betekenen.
Plan een demoOf mail naar info@revtek.nl