Päivitetty: 9.11.2021
Tietosuojaseloste
1. Yleistä
Tällä tietosuojaselosteella annetaan EU:n yleisen tietosuoja-asetuksen (jäljempänä tietosuoja-asetus) sekä kansallisen lainsäädännön edellyttämiä tietoja yhtäältä rekisteröidylle eli rekisterinpitäjän asiakkaalle tai henkilöstölle ja toisaalta valvovalle viranomaiselle.
Tällä selosteella on huomioitu myös Euroopan tietosuojaneuvoston ohje henkilötietojen käsittelystä videolaitteiden välityksellä (3/2019).
2. Rekisterinpitäjä ja rekisterinpitäjän yhteystiedot
Kukin OP Ryhmän yhteisö, joka suorittaa kameravalvontaa
Rekisterinpitäjän yhteyshenkilö: OP Ryhmän Tietosuojatiimi
Puhelinnumero: 0100 0500
Sähköpostiosoite: tietosuoja@op.fi
3. Tietosuojavastaavan yhteystiedot
OP Ryhmän tietosuojavastaava
OP Ryhmä
Postiosoite: PL 308, 00013 OP
Sähköpostiosoite: tietosuoja@op.fi
4. Rekisterin nimi
Kameravalvonnan rekisteri
Rekisteröityjä ovat rekisterinpitäjän toimipisteissä, mukaan lukien tilapäisissä toimipisteissä, olevan kameravalvontajärjestelmän piirissä liikkuvat henkilöt, kuten tällä alueella liikkuvat rekisterinpitäjän asiakkaat, työntekijät ja yhteistyökumppanit.
5. Henkilötietojen käsittelyn tarkoitukset, käsittelyn oikeusperuste ja tasapainotesti
5.1 Käsittelyn tarkoitukset
Rekisterinpitäjän toiminnassa käsitellään luottamuksellisia tietoja ja usein myös käteistä rahaa. OP Ryhmän toiminnan yhteydessä tapahtuu säännöllisesti uhkatilanteita. Myös työturvallisuuslain (783/2002) mukaan työnantaja on vastuussa työntekijöidensä turvallisuudesta työssä. OP Ryhmässä kameravalvonta palvelee siis ensisijaisesti turvallisuuteen liittyviä käyttötarkoituksia.
Alla luetellaan, mihin tarkoituksiin rekisterinpitäjä käyttää rekisterin tietoja:
- rekisteröityjen, kuten rekisterinpitäjän työntekijöiden ja asiakkaiden henkilökohtaisen turvallisuuden varmistaminen
- palveluprosessien asianmukaisen ja turvallisen toiminnan valvominen
- rekisterinpitäjän ja rekisteröityjen, kuten rekisterinpitäjän työntekijät, tietojen ja omaisuuden suojaaminen
- turvallisuutta, omaisuutta tai palveluprosessia vaarantavien tilanteiden ennaltaehkäiseminen ja selvittäminen
- riskienhallinta fyysiseen turvallisuuteen liittyen.
Rekisteröidyn henkilötietoja voidaan käyttää rahanpesun ja terrorismin rahoittamisen estämiseen, paljastamiseen ja selvittämiseen sekä rahanpesun ja terrorismin rahoittamisen ja sen rikoksen, jolla rahanpesun tai terrorismin rahoittamisen kohteena oleva omaisuus tai rikoshyöty on saatu, tutkintaan saattamista varten.
5.2 Käsittelyn oikeusperuste
Selosteella lueteltuja käsittelytoimia suoritetaan rekisterinpitäjän oikeutetun edun perusteella. Kameravalvonta on tarpeen, jotta rekisterinpitäjä pystyy torjumaan mm. turvallisuutta, omaisuutta, tuotantoprosesseja ja yleisesti toiminnan jatkuvuutta vaarantavia tapahtumia. Rekisterinpitäjä on huomioinut lainsäädäntöön, kuten lakiin yksityisyyden suojasta työelämässä, perustuvat kameravalvontaa koskevat erityisvaatimukset.
5.3 Tasapainotesti
Oikeutettu etu käsittelyperusteena edellyttää, että rekisteröidyn edut ja oikeudet huomioidaan erityisen tarkkaan. Alla on kuvattu kameravalvontaan liittyvän tasapainotestin lopputulokset jaottelulla, joka noudattaa sekä Suomen tietosuojavaltuutetun että EU:n tietosuojaviranomaisten ohjeistusta (esim. Ohje ”WP217”).
1. Onko oikeutettu etu sopivin käsittelyperuste?
Oikeutettu etu on soveltuvin käsittelyperuste. Muut käsittelyperusteet, kuten suostumus, eivät sovellu rekisterinpitäjän toimipaikkojen yleiseen kameravalvontaan.
2. Täyttyvätkö perusvaatimukset?
Rekisterinpitäjän etu on oikeutettu, koska kyse on sekä asiakkaiden että työntekijöiden turvallisuuden varmistamisesta. Finanssialalla kameravalvontaa käytetään yleisesti ja myös asiakkaat odottavat, että esimerkiksi pankkien toimipaikoissa käytetään kameravalvontaa. Kyseessä ei ole siis rekisteröityjen näkökulmasta mitenkään poikkeuksellisesta tilanteesta.
Erityisesti pankeissa on kyse paikoista, joissa on ns. välitön vaara (”imminent danger”) Euroopan tietosuojaneuvoston ohjeessa 3/2019 mainitulla tavalla. Uhkaavia tilanteita tapahtuu OP Ryhmän toiminnassa säännönmukaisesti erityisesti asiakaspalvelutilanteissa eli kyseessä on todellinen ja välitön tarve käsitellä henkilötietoja. Etu ei ole siis myöskään spekulatiivinen.
Työntekijöiden osalta kameravalvonnan edellytyksiä arvioitaessa on otettava huomioon työelämän tietosuojalaki (759/2004) ja sen 5. luku. Käytännössä työnantaja saa toteuttaa työpaikalla kameravalvontaa vain: (i) työntekijöiden ja muiden tiloissa oleskelevien henkilökohtaisen turvallisuuden varmistamiseksi; (ii) omaisuuden suojaamiseksi (iii) tuotantoprosessien asianmukaisen toiminnan valvomiseksi tai (iv) turvallisuutta, omaisuutta tai tuotantoprosessia vaarantavien tilanteiden ennaltaehkäisemiseksi tai selvittämiseksi. Nämä perusvaatimukset täyttyvät.
3. Onko henkilötietojen käsittely tarpeen edun saavuttamiseksi?
OP Ryhmässä on satoja toimipaikkoja eri puolilla Suomea. Valvontakameroita on käytännössä mahdotonta korvata esimerkiksi vartijoilla tai lukituksilla, jotka mainitaan Euroopan tietosuojaneuvoston ohjeessa vaihtoehtoina. Uhkaavien tilanteiden ja muiden turvallisuuspoikkeaminen selvitys on myös tarkempaa tallenteiden avulla. Samaan lopputulokseen ei siis päästä vaihtoehtoisilla keinoilla. Myöskään ns. real-time-valvonta ei ole samoista syistä soveltuva vaihtoehto.
4. Syrjäyttääkö etu todella rekisteröidyn edut ja oikeudet?
Rekisterinpitäjän oikeutettu etu syrjäyttää selvästi rekisteröidyn edut ja oikeudet. Kameravalvontaa käytetään rekisterinpitäjän toimipisteissä, joissa tapahtuu uhkaavia tilanteita. Kameravalvontaa käytetään turvallisuustarkoituksissa ja valvonta palvelee myös rekisteröityjen etuja ja oikeuksia. Tallenteita säilytetään rajoitetun ajan ja tietoja haetaan vain tilanteissa, joissa tiettyä tapahtumaa joudutaan selvittämään esimerkiksi poliisin pyynnöstä.
Rekisteröityjen voidaan myös katsoa kohtuudella odottavan, että rekisterinpitäjä käsittelee kameravalvonnan kautta kerättyjä henkilötietoja. Tämä on todettu myös Euroopan neuvoston ohjeessa 3/2019 (kohta 37). Käsittely ei ole myöskään rekisteröidyn näkökulmasta ennakoimatonta ja odottamatonta.
Kameravalvontaa tehdään myös vain tavanomaisten asiakaspalvelu- ja työskentelytilanteiden yhteydessä. Näin ollen kameravalvonnan tarkoituksena ei ole käsitellä erityisiä henkilötietoryhmiä. Vaikka tallennukseen tulisi mukaan esimerkiksi lapsia, käsittely ei kuitenkaan vaikuta heidän asemaansa negatiivisesti. Toisin sanoen kameravalvonnalla turvataan myös tällaisten haavoittuvien ryhmien etuja ja oikeuksia.
Mikäli kameravalvontaa ei käytettäisi, olisi tällä haitallisia vaikutuksia rekisteröityihin. Esimerkiksi tapahtuneita rikoksia tai uhkaavia tilanteita ei voitaisi välttämättä selvittää luotettavasti. Kameravalvonnan kautta rekisteröityjen mahdolliset tekemät rikokset voidaan luonnollisesti selvittää tehokkaammin. Vaikka tämän voidaan katsoa aiheuttavan negatiivisia seurauksia yksittäisen rekisteröidyn näkökulmasta, niin tätä ei tule ottaa huomioon arvioitaessa rekisterinpitäjän oikeutettua etua. Toisin sanoen tämä rekisteröityyn liittyvä negatiivinen seuraus ei ole kohtuuton.
5. Varmista tietosuojan lisätakeet
Rekisterinpitäjä on toteuttanut asianmukaisia lisätakeita. Tallenteiden säilytysaika on määritelty lyhyeksi ja järjestelmien käyttöoikeudet ovat rajattuja.
Työntekijöiden tietojen osalta asia on käsitelty yt-menettelyissä.
6. Osoita toiminnan lainmukaisuus ja varmista avoimuus
Avoimuuden varmistamiseksi kameravalvontaa koskeva tasapainotesti on sisällytetty tietosuojaselosteeseen.
6. Henkilötietoryhmät
Rekisterin tietosisältö koostuu kuva- ja äänitallenteista, jotka sisältävät rekisteröidyn kuvaa ja mahdollisesti ääntä kameravalvonta-alueella taltioituina sekä tiedon tallennusajankohdasta.
7. Henkilötietojen vastaanottajat ja vastaanottajaryhmät
Kerättyjä henkilötietoja voidaan luovuttaa OP Ryhmän sisällä lainsäädännön sallimissa puitteissa. Lisäksi henkilötietoja voidaan luovuttaa viranomaisille, kuten poliisille, lakisääteisissä tapauksissa.
8. Henkilötietojen siirtäminen
Rekisterinpitäjä käyttää alihankkijoita tietojen käsittelyssä, ja tietoja voidaan siirtää EU:n / ETA:n ulkopuolelle. EU:n / ETA:n ulkopuolelle siirrettäessä siirto tapahtuu käyttäen EU-komission mallisopimuslausekkeita tai muuta lainsäädännön sallimaa siirtomekanismia. Lisätietoja henkilötietojen kansainvälisistä siirroista sekä mallisopimuslausekkeista saat OP:n verkkosivuilta: op.fi/tietosuoja.
Osa rekisterinpitäjän käyttämistä alihankkijoista on muita OP Ryhmän yhteisöjä. Ne tuottavat rekisterinpitäjälle mm. tietoteknisiä ja muita tukipalveluja.
9. Henkilötietojen säilytysaika tai säilytysajan määrittämiskriteerit
Henkilötietoja säilytetään rekisterin tiedoille määriteltyjen käyttötarkoitusten toteuttamiseksi tarpeellinen aika. Rekisteröidyn tiedot poistuvat automaattisesti noin kolmen kuukauden kuluessa taltioinnista
Poikkeuksen yllä todetusta muodostavat rikosten selvittämisessä tarpeelliset tiedot, joita voidaan joutua säilyttämään tätä pitempään viranomaisen suorittaman esitutkinnan / oikeuskäsittelyn vuoksi.
10. Henkilötietojen lähteet ja päivittäminen
Henkilötietoja kerätään, kun rekisteröity liikkuu kameravalvontajärjestelmän piirissä.
11. Rekisteröidyn oikeudet
Rekisteröidyllä on oikeus saada rekisterinpitäjän vahvistus siitä, käsitelläänkö rekisteröidyn henkilötietoja vai ei tai onko niitä käsitelty.
Mikäli rekisterinpitäjä käsittelee rekisteröidyn henkilötietoja, rekisteröidyllä on oikeus saada tämän asiakirjan tiedot sekä jäljennös käsiteltävistä ja käsitellyistä henkilötiedoista.
Rekisterinpitäjä voi periä kohtuullisen hallinnollisen maksun rekisteröidyn pyytämistä lisäjäljennöskappaleista.
Tarkastusoikeus toteutetaan lähtökohtaisesti niin, että rekisteröity voi tulla katsomaan tallenteen tai siitä tehdyn yhteenvedon toimipaikassa. Rekisterinpitäjä ei luovuta sellaisia tallenteen osia, joissa mahdollisesti näkyy muita henkilöitä. Näin ollen rekisteröidyille annetut tiedot ovat usein joukko ns. still-kuvia.
Rekisteröidyllä on oikeus pyytää rekisterinpitäjää oikaisemaan tai poistamaan henkilötietojaan.
Kaikki tässä mainitut pyynnöt tulee toimittaa yllämainitulle rekisterinpitäjän yhteyshenkilölle.
Mikäli rekisteröity katsoo, ettei hänen henkilötietojensa käsittely ole lainmukaista, hänellä on oikeus tehdä asiassa valitus valvontaviranomaiselle.
12. Miten rekisterin suojaus on järjestetty
Rekisterinpitäjä käsittelee henkilötietoja turvallisella ja lainsäädännön vaatimukset täyttävällä tavalla. Se on huolellisesti arvioinut käsittelytoimiin liittyvät mahdolliset riskit ja ryhtynyt tarvittaviin toimenpiteisiin näiden riskien hallitsemiseksi.
Rekisterinpitäjä on suojannut tiedot asianmukaisesti teknisesti ja organisatorisesti. Rekisterin suojauksessa käytetään mm. seuraavia keinoja:
- rajoitettu pääsy, kulunvalvonta / lukitus
- käyttäjien tunnistus
- käyttövaltuudet
- käsittelyn ohjeistus ja valvonta
Rekisterinpitäjä edellyttää myös alihankkijoiltaan käsiteltävien henkilötietojen asianmukaista suojaamista.