DPIA eli tietosuojan vaikutustenarviointi tarvitaan kameravalvonnassa silloin, kun henkilötietojen käsittely voi aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille. Tämä koskee erityisesti laajamittaista, järjestelmällistä tai uutta teknologiaa hyödyntävää valvontaa. Tietosuojavaltuutetun mukaan vaikutustenarviointi pitää tehdä ennen käsittelyn aloittamista ja sitä on päivitettävä tarvittaessa. (Tietosuojavaltuutetun toimisto)
Milloin DPIA kannattaa tehdä?
DPIA kannattaa tehdä aina, kun kameravalvonta menee perinteistä “kamera oven yläpuolella” -tasoa pidemmälle. Erityisesti AI-kameravalvonta, videoanalytiikka, rekisterikilpitunnistus ja laajamittainen aluevalvonta voivat nostaa riskitasoa.
DPIA on erityisen tärkeä, jos valvonta sisältää:
- •laajamittaista yleisölle avoimen alueen valvontaa
- •työntekijöiden järjestelmällistä valvontaa
- •AI-analytiikkaa tai automaattista luokittelua
- •rekisterikilpitunnistusta
- •biometrisiä ominaisuuksia
- •useiden tietolähteiden yhdistämistä
- •pitkäaikaista tai jatkuvaa seurantaa
Mitä DPIA sisältää?
DPIA ei ole lomake, joka täytetään arkistoon pölyttymään. Se on riskienhallinnan työkalu. Siinä arvioidaan, mitä tietoja käsitellään, miksi käsittely on tarpeen, mitä riskejä ihmisille syntyy ja miten riskit pienennetään. GDPR art. 35 velvoittaa rekisterinpitäjän tekemään vaikutustenarvioinnin ennen korkean riskin käsittelyn aloittamista. Jos arvioinnissa ilmenee korkea jäännösriski, asiasta on neuvoteltava tietosuojavaltuutetun kanssa (art. 36).
DPIA:ssa kuvataan yleensä:
- käsittelyn tarkoitus
- käsiteltävät henkilötiedot
- rekisteröityjen ryhmät
- kameravalvonnan laajuus
- käsittelyperuste
- tarpeellisuus ja oikeasuhteisuus
- riskit rekisteröidyille
- tekniset ja organisatoriset suojatoimet
- jäännösriski
- päätös käyttöönotosta tai muutostarpeista
Yhteenveto: DPIA vs. muu dokumentointi
DPIA eroaa tavallisesta tietosuojaselosteesta tai oikeusperustedokumentista: se on ennakoiva riskiarvio, ei jälkikäteinen kuvaus. Oikeutetun edun tasapainotesti (ks. oikeutettu-etu) arvioi käsittelyperusteen — DPIA arvioi riskit rekisteröidyille. Molemmat voidaan tarvita, mutta ne ovat erillisiä dokumentteja eri tarkoituksiin. Lataa lakisääteinen kameravalvonnan tietosuojaseloste tästä.
