Kameravalvonta ja GDPR Suomessa 2026: Tietosuojavelvoitteet, luvat ja rekisteröidyn oikeudet
Kameravalvonta on tehokas turvatoimi, mutta Suomessa se on tiukasti säänneltyä. EU:n yleinen tietosuoja-asetus (GDPR, asetus 2016/679) ja kansallinen tietosuojalaki (1050/2018) asettavat velvoitteita kaikille kameravalvontaa harjoittaville organisaatioille. Security Eye Finland Oy auttaa asiakkaitaan täyttämään lailliset vaatimukset osana jokaista asennusprojektia.
Tietosuojavaltuutetun toimisto on korostanut, että tietosuojarikkomus kameravalvonnassa voi johtaa 20 miljoonan euron tai 4 % globaalista liikevaihdosta olevaan hallinnolliseen sakkoon.
GDPR:n soveltaminen kameravalvontaan
Henkilötiedon käsite kameravalvonnassa
Kameravalvontatallennus on henkilötieto aina, kun siitä voidaan tunnistaa luonnollinen henkilö. Tähän kuuluvat:
- Kasvot ja muut tunnistettavat piirteet
- Ajoneuvon rekisterinumero (mahdollistaa omistajan selvittämisen)
- Kulunvalvontatiedot yhdistettynä kameravalvontaan
Pelkkä yleiskuvaus ihmisjoukosta (esim. hämärässä tai kaukaa) ei välttämättä ole henkilötieto, jos yksittäistä henkilöä ei voi tunnistaa.
Käsittelyperusteet kameravalvonnalle
GDPR:n 6 artikla määrittelee lailliset käsittelyperusteet:
| Käsittelyperuste | Kameravalvonnan käyttötilanne | Huomiot |
|---|---|---|
| Oikeutettu etu (6(1)(f)) | Omaisuuden suoja, turvallisuus, häiriöiden ehkäisy | Yleisin peruste yrityksille; tasapainoarviointi tarpeen |
| Sopimus (6(1)(b)) | Työsopimukseen liittyvä seuranta | Edellyttää YT-lain mukaista käsittelyä |
| Lakisääteinen velvoite (6(1)(c)) | Pankki-, rahoitusala, kriittinen infrastruktuuri | Laki määrää valvonnan |
| Elintärkeä etu (6(1)(d)) | Hätätilanteet | Harvinainen, väliaikainen |
| Suostumus (6(1)(a)) | Vapaaehtoisuuteen perustuva | Ei suositeltava yrityskäyttöön — vaikea toteuttaa aidosti vapaaehtoisena |
Tärkein neuvomme: Oikeutettu etu on useimmiten paras peruste yrityskameravalvonnalle, mutta se edellyttää dokumentoitua tasapainoarviointia (LIA — Legitimate Interests Assessment).
Käytännön velvoitteet rekisterinpitäjälle
1. Informointi ja kyltitys
GDPR:n 13 artiklan mukainen informointi on annettava ennen valvonnan piiriin astumista.
Minimivaatimukset kylttiin:
- Rekisterinpitäjän nimi ja yhteystiedot
- Tietosuojavastaavan yhteystiedot (jos DPO nimetty)
- Käsittelyn tarkoitus ja oikeusperuste lyhyesti
- Tieto siitä, lähetetäänkö hälytykset vartiointiyritykselle
- Viittaus tarkempaan tietosuojaselosteeseen (esim. QR-koodi tai verkko-osoite)
Security.fi toimittaa jokaiseen asennukseen lain vaatimukset täyttävän informointikyltin.
2. Tietosuojaseloste (rekisteriseloste)
Tietosuojaseloste on dokumentti, joka sisältää kaikki GDPR:n vaatimat tiedot. Sen tulee sisältää:
- Rekisterinpitäjän täydelliset tiedot
- Käsittelyn tarkoitukset ja oikeusperusta
- Tallenteiden säilytysaika
- Tietojen vastaanottajat (vartiointiyritys, poliisi)
- Rekisteröidyn oikeudet ja niiden käyttäminen
- Valitusoikeus tietosuojavaltuutetulle
Tietosuojaselosteen malli on saatavilla tietosuojavaltuutetun verkkosivuilla (tietosuoja.fi).
3. Seloste käsittelytoimista (GDPR Art. 30)
Yli 250 henkilöä työllistävät organisaatiot (ja tietyin ehdoin pienemmätkin) ovat velvollisia pitämään selostetta käsittelytoimistaan. Kameravalvonta kirjataan erillisenä käsittelyaktiviteettina.
4. Tallenteiden säilytys ja suojaus
Säilytysaika:
- Yleissuositus: 30 vuorokautta
- Rekisterinpitäjä voi perustella pidemmän säilytysajan (dokumentoitava)
- Yksittäinen tallenne voidaan pidemmäksi aikaa, jos se liittyy vahinkoon tai rikosepäilyyn
Tekninen suojaus:
- Pääsy tallenteisiin vain valtuutetuille henkilöille (käyttäjätilit, salasanat)
- Automaattinen poisto säilytysajan umpeutuessa
- Suojaus luvattomalta pääsyltä ja tietomurroilta
Erityistilanteet
Kasvojentunnistus ja biometriikka
Kasvojentunnistus ja muu biometrinen tunnistaminen ovat GDPR:n 9 artiklan erityisiä henkilötietoja, joiden käsittelylle on erittäin korkea kynnys. Suomessa:
- Pelkkä tallentava kameravalvonta ≠ biometrinen käsittely
- Automaattinen kasvojentunnistus kyllä = biometrinen käsittely
- Biometrinen käsittely vaatii nimenomaisen suostumuksen tai erittäin painavan oikeutetun edun
- DPIA aina pakollinen ennen käyttöönottoa
Security.fi ei asenna kasvojentunnistusjärjestelmiä asiakkaille ilman lakimiehen hyväksymää tietosuoja-analyysiä.
Kameravalvonta työtilassa — Yhteistoimintalaki
Työnantajan asettama kameravalvonta työtilassa edellyttää yhteistoimintaneuvotteluja (YT-neuvottelu) ennen käyttöönottoa. Poikkeukset:
- Kassakaapin valvonta tai muu kohteen turvaamiseen liittyvä valvonta
- Asiakastilojen valvonta (ei tarkoitettu henkilöstön seurantaan)
Huom: Pukuhuoneiden, sosiaalitilan tai WC-tilojen kameravalvonta on Suomessa kielletty.
Laajemmin aiheesta: Henkilön kuvaaminen ilman lupaa työpaikalla noudattaa sekä tietosuoja- että työelämälakia, ja Kameravalvonta työpaikalla -opas käsittelee käytännön toteutusta.
Taloyhtiön kameravalvonta
Asunto-osakeyhtiön kameravalvonnan käyttöönotosta päätetään yhtiökokouksessa enemmistöpäätöksellä; hallitus valmistelee asian ja toteuttaa päätöksen. Asukkaiden tietopyynnöt hoidetaan normaalin GDPR-prosessin mukaan. Piha-alueen valvonta on sallittua yhtiökokouksen päätöksellä, mutta porraskäytävää kuvaava kamera edellyttää lisäksi kaikkien kyseisen porraskäytävän asukkaiden kirjallista suostumusta (Kiinteistöliitto: Kameravalvonta taloyhtiössä). Kuvaaminen asunnon oven sisäpuolelle on aina kielletty.
Rekisteröidyn oikeudet kameravalvonnassa
| Oikeus | Kameravalvonnassa | Käytännön toteuttaminen |
|---|---|---|
| Tarkastusoikeus (Art. 15) | Voi pyytää itseään koskevaa tallennetta | Toimita 30 päivässä; peitä muut henkilöt |
| Oikeus tietojen poistamiseen (Art. 17) | Pyytää tallenteen hävittämistä | Voidaan kieltäytyä, jos perusteltu tarve säilyttää |
| Käsittelyn rajoittaminen (Art. 18) | Pyytää käsittelyn rajoittamista riita-aikana | Tallennetta ei käytetä eikä poisteta riidan aikana |
| Vastustamisoikeus (Art. 21) | Vastustaa valvontaa oikeutetun edun perusteella | Rekisterinpitäjä arvioi painavammat perusteet |
Tietosuojavaltuutetun ohjeistus ja seuraukset
Yleisimmät virheet Suomessa
Tietosuojavaltuutettu on todennut seuraavat yleisimmät rikkomukset kameravalvonnassa:
- Puuttuva tai epäselväinen kyltitys — yleisin virhe
- Liian pitkä säilytysaika ilman perustetta
- Työtilakamerat ilman YT-käsittelyä
- Tallenteisiin pääsy usealla henkilöllä ilman rooli- tai käyttöoikeushallintaa
- Tietosuojaseloste puuttuu tai on vanhentunut
Seuraamusmaksut Suomessa
Tietosuojavaltuutettu on määrännyt seuraamusmaksuja suomalaisille organisaatioille vuodesta 2020. Kameravalvontarikkomuksista maksujen suuruusluokka on ollut 2 000–85 000 € organisaation koon ja rikkomuksen vakavuuden mukaan.
Security Eye Finland Oy:n tietosuojapalvelut
Security.fi auttaa asiakkaitaan täyttämään kaikki lakisääteiset vaatimukset:
Jokaiseen asennukseen sisältyy:
- GDPR-vaatimusten mukainen informointikyltti
- Tietosuojaselosteen pohja (asiakas täydentää omat tiedot)
- Tallentimen automaattinen poistoaika asetettu oikein
- Käyttöoikeusrajoitukset
Lisäpalveluna:
- Tietosuojavaikutuksen arviointi (DPIA) yhteistyössä lakimiespartnerin kanssa
- YT-prosessin tukeminen dokumentaatiolla
Tietosuojavelvoitteiden laiminlyönti voi tulla kalliiksi — oikein toteutettu kameravalvonta suojaa sekä henkilöitä että organisaatiota. Kysy tarjousta: ota-yhteytta
