AI-yhteenveto
Rekisteröidyn tarkastusoikeus tarkoittaa GDPR 15 artiklan mukaista oikeutta saada pääsy omiin henkilötietoihin – mukaan lukien kameravalvonnan tallenteisiin. Rekisterinpitäjällä on 30 päivää aikaa vastata pyyntöön. Muiden henkilöiden kasvot on sumennettava ennen tallenteen luovuttamista. Pyyntö voidaan hylätä vain poikkeuksellisissa, perustelluissa tilanteissa.
Mitä rekisteröidyn tarkastusoikeus tarkoittaa käytännössä?
GDPR:n 15 artikla takaa jokaiselle henkilölle oikeuden tietää, käsitelläänkö häntä koskevia henkilötietoja ja millaisia tietoja käsitellään. Kameravalvonnan yhteydessä tämä tarkoittaa oikeutta nähdä tallenteet, joissa oma kuva esiintyy. Tämä on yksi rekisteröidyn tärkeimmistä perusoikeuksista, ja sen noudattamatta jättäminen voi johtaa merkittäviin seuraamuksiin.
Suomessa tietosuojavaltuutetun toimisto on toistuvasti korostanut, että rekisterinpitäjien on varauduttava tarkastuspyyntöihin etukäteen. Tämä tarkoittaa selkeitä sisäisiä prosesseja, henkilökunnan koulutusta ja teknistä valmiutta käsitellä pyyntöjä asianmukaisesti.
Tallenteiden katselu ei ole automaattinen oikeus kaikkiin järjestelmässä oleviin videoihin – oikeus koskee vain niitä tallenteita, joissa rekisteröity itse esiintyy tunnistettavasti. Rekisterinpitäjän on pystyttävä erottelemaan tämä aineisto muusta materiaalista.
Pyyntömenettely vaihe vaiheelta
Pyynnön vastaanottaminen
Rekisteröity voi esittää tarkastuspyynnön kirjallisesti, sähköpostitse tai suullisesti. Parhaiden käytäntöjen mukaan pyyntö kannattaa tehdä kirjallisesti, jotta se on todennettavissa jälkikäteen. Organisaation on kirjattava pyyntö heti sen vastaanottamisesta ja aloitettava käsittely viipymättä.
Pyynnössä tulee yksilöidä riittävän tarkasti, mistä ajankohdasta ja missä sijainnista tallenteita haetaan. Epämääräiseen pyyntöön voi pyytää lisätietoja, mutta tämä ei saa merkittävästi pidentää käsittelyaikaa.
Identiteettivarmistus
Rekisterinpitäjällä on oikeus ja velvollisuus varmistaa pyynnön esittäjän henkilöllisyys ennen tallenteen luovuttamista. Tämä on keskeinen turvatoimenpide: tallenne voidaan luovuttaa vain sille henkilölle, jota se koskee.
Henkilöllisyyden varmistaminen voidaan tehdä:
- Pyytämällä virallinen henkilöllisyystodistus paikan päällä
- Sähköisellä tunnistautumisella (pankkitunnukset, mobiilivarmenteen avulla)
- Muulla luotettavaksi katsottavalla menettelyllä
On tärkeää, ettei identiteettivarmistuksesta synny kohtuutonta estettä tarkastusoikeuden käyttämiselle. Jos prosessi on liian raskas, se voi jo itsessään olla GDPR:n vastainen.
Tallenteiden etsiminen ja arviointi
Rekisterinpitäjän on etsittävä pyydetyt tallenteet järjestelmästä. Tässä vaiheessa arvioidaan:
- Ovatko tallenteet vielä saatavilla (säilytysaika ei ole kulunut)?
- Esiintyykö rekisteröity tallenteessa tunnistettavasti?
- Onko tallenteen luovuttamiselle laillisia esteitä?
Mikäli tallenteet on jo poistettu normaalin säilytysajan päätyttyä, tämä on kerrottava selkeästi rekisteröidylle. Poistettujen tallenteiden palauttaminen ei ole velvollisuus.
Kasvojen sumennustoimenpide
Yksi teknisesti haastavimmista vaiheista on muiden henkilöiden yksityisyyden suojaaminen. Ennen tallenteen luovuttamista kaikki muut kuvassa esiintyvät henkilöt on tunnistettava ja heidän kasvonsa on sumennettava tai peitettävä.
Tähän on olemassa sekä manuaalisia että automatisoituja ratkaisuja:
- Videoeditoriohjelmistoilla tehtävä manuaalinen sumennys
- AI-pohjaiset automaattiset sumennustyökalut
- VMS-järjestelmissä integroitu anonymisointitoiminto
Sumennuksen laatu on tarkistettava huolellisesti ennen luovutusta. Riittämätön sumennys voi loukata muiden henkilöiden oikeuksia.
Vastaaminen 30 päivässä
GDPR velvoittaa vastaamaan tarkastuspyyntöön kuukauden kuluessa. Erityisen monimutkaisissa tapauksissa määräaikaa voidaan pidentää toisella kuukaudella, mutta tästä on ilmoitettava rekisteröidylle ensimmäisen kuukauden kuluessa perusteluineen.
Milloin tarkastuspyyntö voidaan hylätä?
Tarkastuspyyntö voidaan hylätä ainoastaan poikkeuksellisissa tilanteissa:
Muiden oikeuksien suojaaminen: Jos tallenteen luovuttaminen loukkaa merkittävästi muiden henkilöiden yksityisyyttä, eikä anonymisointi ole mahdollista, pyyntö voidaan hylätä. Tämä on kuitenkin poikkeus, ei sääntö.
Ilmeisen perusteeton tai kohtuuton pyyntö: Jos sama henkilö esittää toistuvasti identtisiä pyyntöjä häirintätarkoituksessa, rekisterinpitäjä voi periä kohtuullisen maksun tai kieltäytyä. Tämä edellyttää hyvää dokumentaatiota.
Rikostutkinnan vaarantaminen: Jos tallenteet liittyvät käynnissä olevaan rikostutkintaan ja niiden luovuttaminen vaarantaisi tutkinnan, pyyntö voidaan hylätä yhteistyössä viranomaisten kanssa.
Hylkäämispäätös on aina perusteltava kirjallisesti, ja rekisteröidylle on kerrottava oikeudesta tehdä valitus tietosuojavaltuutetulle.
Käytännön vinkkejä organisaatioille
Laadi selkeä sisäinen prosessi: Nimeä vastuuhenkilö tarkastuspyyntöjen käsittelylle ja laadi kirjallinen ohjeistus henkilökunnalle.
Investoi sopivaan teknologiaan: Varmista, että VMS-järjestelmässänne on riittävät hakutoiminnot ja anonymisointityökalut. Manuaalinen käsittely on hidasta ja virhealttista.
Dokumentoi kaikki vaiheet: Pidä kirjaa vastaanotetuista pyynnöistä, toimenpiteistä ja vastauksista. Hyvä dokumentaatio suojaa organisaatiota mahdollisissa riidoissa.
Kouluta henkilöstö: Varmista, että vahtimestarit, turvallisuushenkilöstö ja muut relevantit henkilöt tietävät, miten toimia tarkastuspyynnön tullessa.
Tiedota selkeästi: Valvontakylteissä tai erillisessä tietosuojalausekkeessa on kerrottava, miten tarkastusoikeutta käytetään ja kehen otetaan yhteyttä.
Rekisteröidyn oikeudet eivät pääty tarkastusoikeuteen
Tarkastusoikeuden lisäksi rekisteröidyllä on kameravalvonnan yhteydessä myös:
- Oikeus tietojen oikaisemiseen (vaikka tallenteiden korjaaminen on käytännössä harvinaista)
- Oikeus poistamiseen ("oikeus tulla unohdetuksi"), joskin tähän liittyy poikkeuksia
- Oikeus käsittelyn rajoittamiseen tietyin edellytyksin
- Oikeus vastustaa käsittelyä erityisesti oikeutetun edun perusteella
Lisätietoja kameravalvonnan GDPR-vaatimuksista löydät Security.fi:stä, joka tarjoaa kattavan oppaan suomalaisten organisaatioiden tietosuojakäytäntöihin.
Usein kysytyt kysymykset
Voinko vaatia saada kaikki tallenteet, joissa esiinnyn? Voit pyytää nähdä tallenteet, joissa esiinnyt tunnistettavasti. Rekisterinpitäjä on velvollinen etsimään ne kohtuullisen ajan sisällä ja pyynnön tarkennusten perusteella. Koko järjestelmän kaikkia tallenteita ei voi vaatia.
Kuinka kauan tallenteita on säilytettävä tarkastusoikeuden vuoksi? Tarkastusoikeus ei pidennä normaalia säilytysaikaa. Jos tallenteet on poistettu säilytysajan päätyttyä, rekisterinpitäjä ilmoittaa tästä rekisteröidylle, eikä mitään velvollisuutta palauttaa tietoja ole.
Onko tarkastuspyynnön esittäminen maksutonta? Pääsääntöisesti tarkastusoikeuden käyttäminen on maksutonta. Maksu voidaan periä vain selvästi kohtuuttomista tai toistuvista, perusteettomista pyynnöistä.
Mitä jos organisaatio ei vastaa 30 päivässä? Rekisteröity voi tehdä valituksen tietosuojavaltuutetulle, joka voi määrätä organisaatiolle hallinnollisen sakon tai muita toimenpiteitä.
Saanko kopion tallenteesta vai pelkästään katsella sitä? GDPR:n mukaan rekisteröidyllä on oikeus saada kopio henkilötiedoistaan. Käytännössä tallenteesta voidaan toimittaa kopio anonymisoituna versiona tai järjestää valvottu katselu, jos kopion luovuttaminen muiden oikeuksien suojaamiseksi ei ole mahdollista.