Apteekki kameravalvonta laki GDPR FAQ – terveystieto, erityinen henkilötieto, tietosuojaseloste, YT-menettely

Apteekin GDPR-vaatimukset ovat tiukemmat kuin tyypillisessä kaupassa — terveystiedon mahdollinen paljastuminen nostaa tietosuojariskiä ja edellyttää etukäteisvalmistelua.

Oikeusperuste + tietosuojaseloste + kyltti = minimipaketti

Kolme dokumentoitua elementtiä suojaa apteekkaria GDPR-rikkomukselta. Tietosuojaseloste julkisena rakentaa luottamuksen.

DPIA ennen käyttöönottoa — parempi etukäteen kuin jälkikäteen

Apteekin tietosuojan vaikutustenarviointi maksaa murto-osan mahdollisesta sakosta.

Aiheeseen liittyvät

Usein kysytyt kysymykset

Onko apteekin asiakkaiden kuvaaminen terveystiedon keräämistä GDPR:n näkökulmasta?

GDPR ja terveystieto apteekin kameravalvonnassa: pääsääntö (kamera ei automaattisesti kerää terveystietoa — tallentaa kuvan, mutta ei diagnoosia tai sairaustietoa suoraan); milloin terveystiedoksi katsotaan (jos kuvaustarkkuus mahdollistaa lääkepakkauksen nimen lukemisen ja sen yhdistämisen kasvokuvaan — sairaus paljastuu; GDPR Artikla 9 soveltuu; erityinen henkilötieto); käytännön riski (apteekissa kamera suunnattu kassalle tai reseptinlunastuspisteeseen niin tarkasti, että resepti näkyy — ongelma; ylhäältäpäin yleiskuva ilman tekstintunnistusta — ei välttämättä terveystieto); turvallisin tulkinta (apteekin on dokumentoitava harkintansa: mihin kamera on suunnattu, millä tarkkuudella, mitä tietoa voi paljastua; GDPR:n tietosuojaperiaate vaatii etukäteisharkintaa); epäselvissä tilanteissa (DPIA — tietosuojan vaikutustenarviointi — suositellaan apteekin kameravalvonnalle, koska potentiaalia terveystiedon käsittelyyn on).

Mikä on apteekin kameravalvonnan GDPR-oikeusperuste?

GDPR-oikeusperuste apteekin kameravalvonnalle: oikeutettu intressi (GDPR Artikla 6(1)(f) — apteekin oikeutettu intressi on henkilöstön turvallisuus ja omaisuuden suoja; arvioidaan: onko tarkoitus oikeutettu, onko kamera tarpeellinen, ylikuormaako rekisteröidyn oikeudet?); lakisääteinen velvoite (GDPR Artikla 6(1)(c) — apteekilla on lakisääteinen velvoite turvata huumausaineiden säilytys; kameravalvonta voi olla osa tätä velvoitetta); suostumus (ei suositella pääoikeusperusteeksi — asiakas voi peruuttaa suostumuksen, mikä tekee käytöstä hankalaa; apteekin on voitava toimia ilman yksittäisen asiakkaan suostumusta); erityinen henkilötieto (jos kamera tallentaa terveystietoa — GDPR Artikla 9; tarvitaan lisäoikeusperuste; oikeutettu intressi ei yksin riitä); turvallisin peruste (oikeutettu intressi + dokumentoitu oikeasuhtaisuusarviointi + tietosuojaseloste + informointikyltti).

Mitä apteekin tietosuojaselosteen tulee sisältää kameravalvonnan osalta?

Apteekin kameravalvonnan tietosuojaseloste: rekisterinpitäjä (apteekin nimi, Y-tunnus, apteekkarin nimi, osoite, tietosuojavastaavan yhteystieto); henkilötiedot (kuvattavat: asiakkaat, henkilöstö, vieraat; erityishuomio: potentiaalinen terveystieto — apteekkiympäristön erityispiirteet; onko biometrista dataa?); käyttötarkoitus (turvallisuus ja omaisuuden suoja; häiriötilanteiden selvittely; ei potilastiedon kerääminen); oikeusperuste (oikeutettu intressi tai lakisääteinen velvoite — kirjataan arviointi; mahdollinen erityinen henkilötieto ja lisäoikeusperuste); tallennusaika (asiakastilat: 30 vrk automaattipoisto; varastoalueet: 30–90 vrk; poikkeamatallenteet erikseen pidempään); käyttöoikeudet (apteekkari, tarvittaessa turvallisuusvastaava — ei yleinen pääsy; lokit kaikesta katselusta); rekisteröidyn oikeudet (tarkastusoikeus, poistopyyntö, valitusoikeus tietosuojavaltuutetulle); tietosuojaseloste saatavilla apteekissa tai verkkosivulla.

Tarvitseeko apteekki DPIA:n kameravalvonnastaan?

DPIA (tietosuojan vaikutustenarviointi) apteekin kameravalvonnassa: milloin suositellaan tai vaaditaan (apteekki kuvaa erityisherkän henkilöryhmän asiakkaita — lääkkeiden käyttäjät; potentiaalinen terveystiedon käsittely — DPIA suositeltava; laajamittainen tai jatkuva valvonta asiakastiloissa; kasvojentunnistuksen tai AI-analytiikan käyttö); DPIA:n sisältö (kameravalvonnan kuvaus; kuvattavat henkilöt ja mahdolliset terveysviitteet; riskit rekisteröidyille; lieventämistoimenpiteet — sijoittelun valinta, kuvauskentän rajaus, tallennusajan minimiointi; johtopäätös); kuka tekee (DPO tai ulkopuolinen tietosuojakonsultti; apteekkiketjulle: yhteinen DPIA kaikille toimipisteille); ei vaaditaan aina (pienimuotoinen kameravalvonta (sisäänkäynti + kassalue, 3–4 kameraa) — normaali oikeasuhtaisuusarviointi voi riittää; DPIA on silti hyvä käytäntö apteekin erityispiirteiden vuoksi). Parempi tehdä DPIA ennakkoon kuin jälkikäteen tietosuojavaltuutetun kehotuksesta.

Miten YT-menettely käydään läpi apteekin kameravalvonnassa?

YT-menettely apteekin kameravalvonnassa: velvoite (laki yhteistoiminnasta yrityksissä — yli 20 henkilön apteekeissa tai apteekkiketjuissa; kameravalvonta henkilöstön työskentelyalueella vaatii YT-neuvottelun); prosessi (1. Kirjallinen neuvottelukutsu henkilöstölle; 2. YT-neuvottelu — kerrotaan miksi, mihin kamera sijoitetaan, kuka pääsee tallenteisiin, tallennusaika; 3. Pöytäkirja; 4. 14 vrk odotusaika ennen asennusta); mitä käsitellään (kameran sijoittelu; käyttötarkoitus — turvallisuus, ei suoritusvalvonta; pääsyoikeuden rajoitukset; tallennusaika; valitusoikeus); pienen apteekin poikkeus (alle 20 henkilöä — YT-laki ei suoraan sovella, mutta informointi pakollinen GDPR:n nojalla; käytäntö: informointipalaveri + dokumentointi); apteekin erityispiirre (farmasistit ovat terveydenhuollon ammattilaisia — kamera ei saa valvoa potilasneuvontaa tai apteekin ammattitoimintaa; tämä kirjataan YT-neuvottelussa). YT-menettely suojaa sekä apteekkaria että henkilöstöä.

Miten apteekin kameravalvonta eroaa muun terveysalan kameravalvonnasta?

Apteekki vs. muut terveyspalvelut kameravalvonnassa: apteekki (kaupallinen toimija + terveydenhuoltopalvelu — asiakas ostaa lääkkeitä; julkinen asiointiympäristö; kameravalvonta sallittua asiakastiloissa GDPR-rajoitteilla; merkittävin GDPR-riski on kameran tarkkuus reseptilunastuspisteessä); lääkäriasema tai sairaala (puhtaasti terveydenhuollon ympäristö — selkeästi tiukempi kameravalvontarajoitus; potilaan tietosuoja suojattu erityislainsäädännöllä; odotustila: sallittu yleisvalvonta; vastaanottotilanteessa ei kuvata); terveyskioski tai -asema (samantyyppinen kuin apteekki — kaupallinen ja terveydellinen; GDPR-harkinta erikseen); ero käytännössä (apteekki voi hyödyntää kameravalvontaa myös kaupallisen omaisuuden suojaamiseksi; puhtaasti terveyspalvelut eivät — potilassuoja menee edelle); turvallisin lähestymistapa (apteekin kameravalvonta: kohdennetaan turvallisuustarkoitukseen, ei potilasneuvonnan kuvaaminen, kamerat niiden alueiden ulkopuolella, joissa terveysherkkyys on suurin).

Voiko apteekissa käyttää kasvojentunnistusta?

Kasvojentunnistus apteekissa: GDPR-asema (kasvojentunnistus tuottaa biometrista dataa — GDPR Artikla 9 erityinen henkilötieto; apteekissa yhdistettynä lääkeostoksiin: hyvin korkea tietosuojariski); DPIA pakollinen (jos kasvojentunnistus käytössä — tietosuojan vaikutustenarviointi on pakollinen ennen käyttöönottoa; tietosuojavaltuutetulle ennakkoilmoitus tietyissä tapauksissa); käytännön esteet (apteekin asiakkailla ei ole velvollisuutta tunnistautua kameralle — rekisteröitymissuostumusta on vaikea saada kaikille kävijöille; suostumuksen peruuttaminen yksittäiseltä tekee käytöstä hankalaa); sallitut käyttötapaukset (kulunvalvonta henkilöstölle — henkilöstö suostuu tunnistautumiseen työsuhteen yhteydessä; asiakastiloissa kasvojentunnistus ei käytännössä sovi GDPR-vaatimusten vuoksi); suositus (apteekeille: ei kasvojentunnistusta asiakastiloissa; perinteinen kameravalvonta on tietosuojan kannalta turvallisempi ja oikeudellisesti selkeämpi).

Mitä seurauksia GDPR-rikkomuksesta on apteekille?

GDPR-rikkomuksen seuraukset apteekille: hallinnolliset sakot (vähäinen rikkomus: tietosuojaseloste puuttuu tai on puutteellinen — kehotus korjata; vakava rikkomus: kamera kielletyssä paikassa tai terveystietoa kerätään ilman oikeusperustetta — sakko jopa 20 milj. € tai 4 % vuosiliikvaihdosta; apteekin mittakaavassa: tuhansia euroja); tietosuojavaltuutetun tutkinta (kantelu — asiakas tai henkilöstö voi kannella; tietosuojavaltuutettu tutkii; korjauspyyntö tai sakko); maine (julkinen GDPR-tutkinta vahingoittaa apteekin mainetta; luottamus on apteekin tärkein pääoma asiakassuhteessa); rikosoikeudelliset seuraukset (vakavat loukkaukset — salakatselurikoksen kaltaisessa tilanteessa myös rikosseuraamusten riski); ennaltaehkäisy (kustannus: oikein tehty kameravalvontajärjestelmä + tietosuojaseloste: 200–300 € kertaluonteinen panostus; suhde sakkoriskiin: paljon pienempi). Apteekin kannattaa sijoittaa tietosuojaosaamisen rakentamiseen ennen asennusta.

Kenen vastuulla on apteekin kameravalvonnan GDPR-noudattaminen?

GDPR-vastuunjako apteekin kameravalvonnassa: apteekkari (rekisterinpitäjä — lain mukainen vastuu GDPR:n noudattamisesta; tietosuojaselosteen laadinta; YT-menettelyn käyminen; kameroiden sijoittelupäätös; pääsyoikeuksien asettaminen); tietosuojavastaava (DPO — yli tietyn kokoinen apteekki tai apteekkiketju voi olla velvoitettu; DPO neuvoo ja valvoo noudattamista; ei itse tee päätöksiä GDPR:n noudattamisesta — vastuu on apteekkariella); kameravalvontatoimittaja (käsittelee henkilötietoja apteekkarin puolesta — ali-käsittelijäsopimus tehdään; toimittaja noudattaa GDPR:n alihankkijavelvollisuuksia); Fimea (ei GDPR-valvoja — Fimea valvoo lääkealan toimintaa; GDPR:n noudattamista valvoo tietosuojavaltuutettu); apteekkiketju (jos apteekki on ketjun osa — ketjun yhteinen tietosuojakäytäntö; apteekkari silti vastuussa omasta toimipisteestään).

Miten asiakkaan tarkastusoikeus toteutetaan apteekin kameravalvonnassa?

Asiakkaan tarkastusoikeus apteekin kameravalvonnassa: GDPR:n mukainen oikeus (jokaisella rekisteröidyllä on oikeus pyytää, mitä henkilötietoja hänestä on kerätty — myös kameravalvontatallenteet, jos henkilö on tunnistettavissa); miten pyyntö tehdään (apteekin tietosuojaselosteen mukaisesti: kirjallinen tai sähköinen pyyntö apteekkille; toimitusaika 30 vrk); mitä toimitetaan (leike tallenteesta, jossa henkilö esiintyy; muiden henkilöiden kasvot peitettävä — kolmansien henkilöiden yksityisyys); tallennusaika (30 vrk — jos asiakas pyytää yli kuukauden kuluttua tapahtumasta: tallenne on voinut jo poistua automaattisesti); erityistilanne (henkilö pyytää tallenteen, josta selviäisi hänen ostamansa lääke — apteekin on harkittava: julkaisemmeko tallenteen, joka paljastaa kolmansien henkilöiden toimintaa?); käytäntö (apteekkari arvioi pyynnön; tarvittaessa pyyntö voidaan osittain evätä kolmannen henkilön suojaamiseksi; dokumentoidaan perustelu).

Apteekin kameravalvonta laki ja GDPR – FAQ

Tehdään turvallisuudesta selkeä kokonaisuus

Oikeusperuste + tietosuojaseloste + kyltti = minimipaketti

DPIA ennen käyttöönottoa — parempi etukäteen kuin jälkikäteen

Aiheeseen liittyvät

Varmista apteekin kameravalvonnan lainmukaisuus

Mitä asiakkaamme kertovat

Usein kysytyt kysymykset

Lähteet

Nopein kanava — yhteydenottolomake

Apteekin kameravalvonta laki ja GDPR – FAQ

Tehdään turvallisuudesta selkeä kokonaisuus

Oikeusperuste + tietosuojaseloste + kyltti = minimipaketti

DPIA ennen käyttöönottoa — parempi etukäteen kuin jälkikäteen

Aiheeseen liittyvät

Varmista apteekin kameravalvonnan lainmukaisuus

Mitä asiakkaamme kertovat

Usein kysytyt kysymykset

Lähteet

Nopein kanava — yhteydenotto­lomake

Evästeet ja yksityisyys

Nopein kanava — yhteydenottolomake