Kameravalvonnan GDPR-vaatimukset koskevat jokaista taloyhtiötä, yritystä ja kiinteistönomistajaa, jonka kamera tallentaa tunnistettavia ihmisiä. Tämä artikkeli käy läpi, mitä kameravalvonnan GDPR-vaatimukset Suomessa käytännössä tarkoittavat: mitä pitää dokumentoida, miten valvonnasta kerrotaan, kuinka kauan tallenteita saa säilyttää ja missä kohdissa hyvää tarkoittava hallitus tai yrittäjä tavallisimmin kompastuu. Kun perusasiat ovat kunnossa, kameroista on oikeasti hyötyä eikä niistä tule riskiä.
Mihin kameravalvonnan GDPR-vaatimukset perustuvat
Kun kuvassa on tunnistettava ihminen, kuvasta tulee henkilötieto. Silloin sovelletaan EU:n tietosuoja-asetusta (GDPR) ja kansallista tietosuojalakia (1050/2018). Työpaikoilla tulee lisäksi noudattaa lakia yksityisyyden suojasta työelämässä (759/2004), jonka 5 luku käsittelee kameravalvontaa erikseen.
Rikoslain salakatselusäännös (24:6) asettaa ehdottoman rajan. Kotirauhan suojaamaa tilaa, wc:tä, pukuhuonetta tai muuta vastaavaa paikkaa ei saa kuvata teknisellä laitteella. Jos valvontaa hoitaa vartiointiliike, mukaan tulee myös laki yksityisistä turvallisuuspalveluista (1085/2015). Sen mukaan vartiointiliikkeellä on oltava Poliisihallituksen myöntämä toimilupa ja henkilöstöllä voimassa oleva vartijakortti.
Yleinen myytti: Suomessa ei ole yhtä erillistä ”kameralakia”. Vaatimukset tulevat useasta säädöksestä yhdessä, ja juuri siksi moni olettaa, että pelkkä tarra ovessa riittää. Ajantasaiset tulkinnat ja ohjeet kannattaa aina tarkistaa Tietosuojavaltuutetun toimiston sivuilta.
Käsittelyperuste ja tarkoitus ensin
Kokenut tietosuoja-asiantuntija aloittaa aina kysymyksestä: miksi kameroita tarvitaan? Taloyhtiöissä ja yrityksissä käsittelyperuste on yleensä oikeutettu etu, esimerkiksi omaisuuden suojaaminen ilkivallalta tai henkilöstön turvallisuus. Oikeutettu etu ei ole avoin valtakirja. Sen tueksi tehdään punninta, jossa valvonnan hyötyä verrataan kuvattavien ihmisten yksityisyyteen.
Tarkoitus pitää määritellä ennen asennusta. Kirjaukseksi ei riitä ”turvallisuus”. Parempi muoto on esimerkiksi ”jätekatoksen ilkivallan ja luvattoman jätteen tuonnin selvittäminen”. Tarkka tarkoitus rajaa myös sen, mihin tallenteita saa myöhemmin käyttää.
Laajamittainen ja järjestelmällinen yleisön kulkemien alueiden valvonta, kuten kauppakeskuksessa tai isolla asemalla, edellyttää yleensä tietosuojaa koskevaa vaikutustenarviointia (DPIA). Pienen taloyhtiön kahdelle kameralle sitä ei tavallisesti tarvita. Riskiarviointi kannattaa silti kirjata, koska sillä osoitetaan, että asiaa on harkittu.
Informointi ja dokumentaatio käytännössä
Valvonnasta pitää kertoa ennen kuin ihminen astuu kuvattavalle alueelle. Käytännössä se tarkoittaa näkyvää kameramerkkiä jokaisen valvotun alueen sisäänkäynnillä. Merkissä kerrotaan rekisterinpitäjä ja kerrotaan, mistä saa lisätietoa. Valmiita kylttejä saa rautakaupoista ja turvallisuusalan verkkokaupoista noin 5-25 eurolla. Kyltti on kuitenkin vasta ensimmäinen kerros.
Toinen kerros on tietosuojaseloste (GDPR 13 artikla). Siinä kuvataan tarkoitus, käsittelyperuste, säilytysaika, tallenteiden luovutukset ja rekisteröidyn oikeudet. Taloyhtiö voi julkaista selosteen omilla verkkosivuillaan tai isännöitsijän palvelussa ja laittaa sen lisäksi porraskäytävän ilmoitustaululle.
Työpaikoilla vaatimukset ovat tiukemmat. Kameravalvonnan tarkoitus, käyttöönotto ja käytettävät menetelmät käsitellään yhteistoimintamenettelyssä tai muuten henkilöstön kanssa, ja työntekijöille kerrotaan asiasta ennen kuin kamerat otetaan käyttöön. Valvontaa ei saa kohdistaa yksittäiseen työntekijään. Laissa on tähän kapeita poikkeuksia, esimerkiksi tilanne, jossa työntekijän turvallisuus on uhattuna väkivallan vuoksi.
Säilytysaika, pääsy tallenteisiin ja palveluntarjoajat
Laki ei määrää kiinteää säilytysaikaa. Tietoja saa säilyttää vain niin kauan kuin tarkoitus edellyttää. Käytännössä taloyhtiöissä ja liiketiloissa toimiva aika on usein 2-4 viikkoa, koska ilkivalta huomataan ja ilmoitetaan yleensä sen kuluessa. Jos järjestelmä on säädetty säilyttämään kuvaa 90 päivää, perustelun pitää olla paperilla.
Tallenteiden katseluoikeus annetaan mahdollisimman harvalle, esimerkiksi isännöitsijälle ja yhdelle hallituksen jäsenelle. Katselusta pidetään lokia. Rekisteröidyllä on oikeus pyytää omat tallenteensa nähtäväksi, ja pyyntöön on vastattava kuukauden kuluessa. Tallenteita pyytävälle poliisille ne luovutetaan, mutta naapurin uteliaisuus ei ole luovutusperuste.
Kun valvontaa hoitaa ulkopuolinen toimija, kuten Securitas, Avarn Security tai paikallinen vartiointiliike, tämä toimii yleensä henkilötietojen käsittelijänä. Silloin tarvitaan GDPR:n 28 artiklan mukainen käsittelijäsopimus. Tämä koskee erityisesti etävalvontaa ja videoanalytiikkaa, jossa kuva siirtyy valvomoon. Kameran laitteistotoimittaja ei automaattisesti ole vastuussa tietosuojasta. Vastuu säilyy rekisterinpitäjällä eli taloyhtiöllä tai yrityksellä.
Jos valvomo havaitsee kuvasta vakavan uhan, väkivaltaa tai tulipalon, hätänumeroon 112 soitetaan heti. Kamera ei korvaa hätäilmoitusta.
Yleisimmät virheet kameravalvonnassa
Tyypillinen tilanne: Tampereella sijaitsevan kerrostalon hallitus asentaa jätekatokseen kameran, koska sinne tuodaan toistuvasti huonekaluja. Kamera on halpa wifi-malli, jonka kuvakulma ulottuu katokselta naapuritontille ja kadulle. Kuva tallentuu valmistajan pilvipalveluun, ja sovellus on puolella hallituksesta. Kyltti on kiinnitetty katoksen sisäseinään. Tarkoitus oli hyvä, mutta toteutuksessa on useita virheitä:
– Kuvakulma kattaa yleistä katualuetta tai naapurin pihaa, vaikka tarkoitus koskee vain omaa katosta.
– Kameramerkki on vasta kuvattavalla alueella eikä sen rajalla.
– Tallenteita pääsee katsomaan liian moni, eikä katselusta jää lokia.
– Pilvipalvelun sijaintia ja käsittelijäsopimusta ei ole tarkistettu.
– Kamera nauhoittaa myös ääntä, mikä on lähes aina tarpeetonta ja voi täyttää salakuuntelun tunnusmerkistön.
Kuvakulmaan liittyvät virheet ovat tavallisimpia. Niihin auttaa harkittu kameroiden sijoittelu kiinteistöön, jossa käytetään yksityisyysmaskeja ja rajataan kuvaa jo asennusvaiheessa.
Poikkeukset ja rajatapaukset
Omakotitalon pihaa kuvaava yksityishenkilö voi olla GDPR:n kotitalouspoikkeuksen piirissä. Poikkeus kuitenkin raukeaa, jos kamera kuvaa yleistä aluetta, kuten katua tai jalkakäytävää. Tämä linjattiin EU-tuomioistuimen Ryneš-ratkaisussa (C-212/13). Myös ovikellokamerat ovat rajatapaus: rappukäytävään suunnattu kamera kuvaa yhteistä tilaa, eikä sitä voi pitää pelkästään asukkaan omana asiana.
Sairaaloissa, kouluissa ja muissa julkisissa tiloissa kuvataan usein haavoittuvassa asemassa olevia ihmisiä, joten punninta on tiukempi. Näihin kohteisiin liittyviä erityispiirteitä on käsitelty tarkemmin artikkelissa julkisten tilojen kameravalvonnan tietosuojasta ja luvista.
UKK
Tarvitseeko taloyhtiö yhtiökokouksen päätöksen kameravalvonnasta?
Hallitus voi yleensä päättää valvonnasta osana kiinteistön ylläpitoa. Laajat tai kalliit järjestelmät ja asukkaiden yksityisyyteen vahvasti vaikuttavat ratkaisut kannattaa kuitenkin viedä yhtiökokoukseen. GDPR-velvoitteet koskevat taloyhtiötä päätöstavasta riippumatta.
Kuinka kauan kameravalvonnan tallenteita saa säilyttää?
Kiinteää enimmäisaikaa ei ole. Säilytysajan pitää olla perusteltu ja mahdollisimman lyhyt. Taloyhtiöissä ja liiketiloissa toimiva aika on usein 2-4 viikkoa.
Mitä seuraa, jos GDPR-vaatimuksia ei noudateta?
Tietosuojavaltuutettu voi antaa huomautuksen, määrätä käsittelyn lopetettavaksi tai pyytää seuraamuskollegiota määräämään hallinnollisen sakon. Vakavimmissa tapauksissa sakon enimmäismäärä on 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta. Lisäksi lainvastaisesti kerättyjen tallenteiden käyttö voi vaikeutua.
Yhteenveto: tarkistuslista ennen kameroiden käyttöönottoa
Ennen kameroiden asennusta tarkoitus ja käsittelyperuste kirjataan ylös ja kuvakulmat rajataan vain siihen alueeseen, jota tarkoitus koskee. Kameramerkit sijoitetaan valvotun alueen rajalle, ja tietosuojaseloste on valmiina ennen kuin ensimmäinen kamera käynnistyy. Säilytysaika, tallenteiden katseluoikeudet ja käsittelijäsopimus valvomon tai pilvipalvelun kanssa sovitaan kirjallisesti. Kun nämä ovat kunnossa ja tilanne tarkistetaan kerran vuodessa, kameravalvonta tukee turvallisuutta eikä aiheuta tietosuojariskiä. Lain tulkinnat kehittyvät, joten Tietosuojavaltuutetun toimiston ajantasaiset ohjeet kannattaa tarkistaa aina ennen isoja muutoksia.