GDPR tietosuoja-asetus, mitä vaikuttaa kuvaajiin?

[jiiällä]

Uusi tietosuoja-asetus tulee voimaan piakkoin. Säännösten perusidea on varmaankin ymmärrettävä. Ihmettelyn aihettakin kuitenkin on. Onko kuvausharrastaja ja/tai -yrittäjä, kulttuuriperintöä vaaliva yhdistys tms. lain tarkoittama rekisterin pitäjä kuviensa vuoksi? Yksi lähtökohta on tässä lauseessa "Tunnistettu tai tunnistettavissa oleva luonnollinen henkilö, johon tiedot liittyvät, on rekisteröity." -> syntyy rekisteri.

Harrastajan yksityisessäkin kuva-arkistossa voi olla satoja ellei tuhansia kuvia, joista jonkin henkilön voi tunnistaa (eikä kirjallista suostumusta ole). On katunäkymiä, tapahtumia ja tilaisuuksien dokumentointia, siis tilanteita, joissa kuvaaminen on sinänsä sallittua. Syntyykö kuvista rekisteri? Onko isompi "rikos", jos kuvista voi tunnistaa henkilöiden etnisen taustan esim. ihonvärin perusteella tai aatteellisen kannan kuvatun tilaisuuden perusteella?

Onko kenen tahansa kuva-arkisto rekisteri, jota on ylläpidettävä lain ja asetuksen määräysten mukaan? Onko kuvien julkaisu esim. facebookissa rekisterin käyttöä?

[mremonen]

GDPR koskee ensinnäkin vain yrityksiä ja organisaatioita, eli jos et ole yrittäjä, ei ongelmaa.

Toinen juttu on sitten yrittäjät ja yritykset. Esimerkiksi valokuvaajan arkisto, jossa on kuvatut henkilöt nimineen ja muine tietoineen muodostaa ko. laissa tarkoitetun henliötietorekisterin.

Jos otetaan esimerkkinä vaikka perinteinen hää- tai muotokuvaus, niin erillistä lupaa tietojen tallettamiselle ei tarvita, koska koko humpan ideana on luoda ne kuvat. Sen sijaan tiedot (kuvat ja muut henkilö yksilöivät tiedot) pitää poistaa sen jälkeen kun niiden säilyttämiselle ei ole enää laillista perustetta. Esimerkiksi kirjanpitolaki määrää jotain kirjanpitoaineiston säilyttämisestä. Liiketoiminnallisesta perusteesta (rekisterinpitäjän oikeutettu etu) käy esimerkiksi vaikka voimassa oleva sähkösopimus, joka edellyttää että sähkön toimittajalla on toimitusta varten vaadittavat tiedot olemassa (esim. sopimuksen tekijä & asunnon osoite).

Valokuvaajalla ei varmaan ole olemassa mitään jatkuvaa sopimusta kenenkään asiakkaan kanssa, joten kuvat tulee poistaa jonkun järkevän ajan päästä kuvauksesta (esim. 12kk, kannattaa mainita sopimuksessa). Ja "välittömästi" asiakkaan niin vaatiessa. Kirjanpitolaki sitten tietysti sanoo kauanko laskutusaineisto pitää olla tallessa.

Sitten tullaankin mielenkiintoisempaan kohtaan: muodostaako vaikkapa katukuvausmateriaali laissa määritellyn rekisterin? Käytännössä valvominen lienee mahdotonta ja julkaisuhan on jo tälläkin hetkellä kiellettyä ilman kuvatun lupaa.

[Kryptos]

Sitten tullaankin mielenkiintoisempaan kohtaan: muodostaako vaikkapa katukuvausmateriaali laissa määritellyn rekisterin? Käytännössä valvominen lienee mahdotonta ja julkaisuhan on jo tälläkin hetkellä kiellettyä ilman kuvatun lupaa.

Tuskin.

Kuvat pelkästään eivät yksilöi ketään. Vasta kenties silloin, jos kuvien henkilöt jotenkin tunnistettaisiin ja kuvakirjastoon liitettäisiin henkilörekisterilaissa määriteltyä henkilötietoja siten, että niitä olisi helppoa selata ja löytää tiettyyn henkilöön liittyviä tietoja helposti.

[jaava]

Kuvaan vanhat filminegatiivit digi-kameralla ja tarkoitus on lisätä raw-tiedoston metatietoihin (user comment-kenttään) tietoja kuvasta (muun muassa henkilöiden nimet ja kuvauspaikka). Tämän jälkeen ajattelin jakaa syntynyttä materiaalia kiinnostuneille sukulaisille. Veloituksetta.

Olenko jo harmaalla alueella vai kenties mustalla?

[mremonen]

Ohessa yksi aika hyvä artikkeli kolmannella kotimaisella:
https://togsinbusiness.com/gdpr-photographers/" onclick="window.open(this.href);return false;

Mutta edelleen: asiakkaisiin liittyvät kuvat ovat aika lailla GDPR:n piirissä. Ad-hoc -kuvat? Jää nähtäväksi. GDPR:ssähän määritellään myös epäsuora henkilön tunnistaminen, joten kuvantunnistus voi mennä sen piiriin. Joka tapauksessa jos sinulla on kuvia tuntemattomista ihmisistä ja onnistut (tai joku muu onnistuu) yhdistämään kuvat ja nimet, niin ollaan GDPR:n määrittämällä alueella.

Esimerkkinä FB-kuvien tägääminen. FB:ssähän voi ryhmäkuviin tägätä henkilöitä. Tällaisessa tapauksessa FB:n pitäisi poistaa ko. kuva, jos yksikin kuvassa oleva, tunnistettu henkilö sitä vaatii.

[Kryptos]

Huomioon ottaen sen, miten maailma nykyään makaa, en erityisesti ihmettelisi vaikka tästäkin saataisiin jokin käsittämätön byrokratian ja lainsäädännön sekamelska, jota kukaan ei osaa tulkita ja jota ei mitenkään voida valvoa.

Tästä huolimatta, en jaksa uskoa, että GDPR mitenkään ulottuisi yksityishenkilöiden valokuva-albumeihin. Silloin pitäisi lähteä myös keräämään selonteot yksityisyydensuojan käsittelystä kaikilta Pihtiputaan mummoilta ja papoilta sekä muilta, jotka pitävät jonkinlaisia valokuva-albumeita, joissa on sukulaiset ja ystävät, sekä viereen kauniisti kirjoitettuna keitä kuvissa näkyy. Plus kommentit sukulais- ja ystävyyssuhteista.

[Kryptos]

Esimerkkinä FB-kuvien tägääminen. FB:ssähän voi ryhmäkuviin tägätä henkilöitä. Tällaisessa tapauksessa FB:n pitäisi poistaa ko. kuva, jos yksikin kuvassa oleva, tunnistettu henkilö sitä vaatii.

Eikös tägäämisen voi estää Facebookin asetuksissa? Joissakin käyttämissäni palveluissa tämän voi lähtökohtaisesti estää. En tiedä, miten Facebook Analytican palvelu toimii ja mitä tapahtuu, jos on ensin sallinut tägit ja sen jälkeen kieltää sen. Poistuvatko tunnisteet jo tunnistetuista kuvista?

[rolsen]

Tämä on taas niitä asioita, missä Suomi toimii EU:n mallioppilaana ja tekee kaikki pilkulleen oikein. Tuosta ei tarvitse kuin loikata tuo etelän puolella oleva lätäkkö yli, niin jo alkaa lipsuminen, puhumattakaan kun saavutaan välimeren maihin. Yrityksien osalta selvä pyy ja hyvä näin, mutta suomalainen tietysti kilttinä miettii noita albumeitaan ja muita mahollisia juttuja, ehkä jopa päiväkirjojaankin. Mitenkähän nähdyt unet pitäisi käsitellä...

[mremonen]

GDPR koskee siis organisaatoita, ei yksityisiä henkilöitä.

Mutta voin kertoa, että tästä saadaan käsittämätön byrokratian ja lainsäädännön sekamelska. Olen nyt toista vuotta vetänyt ao. projektia asiakkaalle ja jo pelkästään tietojärjestelmien vaatimat muutokset ovat olleet melkoinen savotta. Tosin työllistävä vaikutus on ollut positiivinen...

[Rockford]

Instassa tägään henkilöt aina kun mahdollista, koska haluan, että henkilöt joiden kuvia julkaisen tietää että olen julkaissut heidän kuvansa, ja voivat sitten kertoa jos eivät haluat että julkaisen heidän kuvansa. Aina en tietenkään tiedä kuvan henkilöä/henkilöitä mutta koska mun kuvat instassa on useimmiten tanssi/voimistelu/luistelukuvia niin vähintään tanssikoulun/seuran tms. tilin voin tägätä ja tieto menee tätä kautta heille. Eli mun instatili on sitten varmaan jonkinlainen henkilörekisteri.

En ehtinyt vielä tutustua tähän GDPR:ään tarkemmin, mutta onneksi en ole yrittäjä jos tuo koskee vain yrityksiä.

[rolsen]

GDPR koskee siis organisaatoita, ei yksityisiä henkilöitä.

Mutta voin kertoa, että tästä saadaan käsittämätön byrokratian ja lainsäädännön sekamelska. Olen nyt toista vuotta vetänyt ao. projektia asiakkaalle ja jo pelkästään tietojärjestelmien vaatimat muutokset ovat olleet melkoinen savotta. Tosin työllistävä vaikutus on ollut positiivinen...

Jeps, ummarran. Meilläkin firmassa on tuosta melko iso työ, koska myö myydään pilvee.

[mremonen]

Eikös tägäämisen voi estää Facebookin asetuksissa?

Voi joissain rajoissa. Esim. täysin tuntemattomia voi estää tägäämästä sinua.

[jaava]

GDPR koskee siis organisaatoita, ei yksityisiä henkilöitä.

Mutta voin kertoa, että tästä saadaan käsittämätön byrokratian ja lainsäädännön sekamelska. Olen nyt toista vuotta vetänyt ao. projektia asiakkaalle ja jo pelkästään tietojärjestelmien vaatimat muutokset ovat olleet melkoinen savotta. Tosin työllistävä vaikutus on ollut positiivinen...

Missä menee yksityisen ja organisaation raja?

Vaaditaanko kaupparekisteri- tai yhdistysrekisteri-ilmoitus. Yritystoiminnan omaista toimintaahan saattaa olla viranomaisen mielestä ilmankin. Ilmeisesti myös yhdistystoimintaa.

Verottaja tulkitsee ainkin riittävän isolla volyymilla tehdyn yksityishenkilön kuvakaupan yritystoiminnaksi, vaikka ostajapuoli olisi pelkkiä sukulaisia. Riittäisikö tuossa vakuuttelu suunnatusta ilmaisjakelusta.

[mremonen]

Missä menee yksityisen ja organisaation raja?

En tiedä. Eiköhän se ole jossain määritelty. Tosin en usko, että EU:n tarkastajat ovat ovellasi ihan ensimmäisenä kolkuttelemassa, vaikka myisit sukulaiset täyteen kuvia. Jos sakko on 4% maailmanlaajuisesta liikevaihdosta, ei omakustannekuvaajan liikevaihdolla saa edes metrolipun kustannuksia katettua. Muusta puhumattakaan.

Tähtäimessä on ensimmäisessä vaiheessa facebookit ja muut.

[Kryptos]

Yksityishenkilö on yksityishenkilö. Yrityksillä, kunnilla, valtioilla, säätiöillä, julkisyhteisöillä ja muilla yhteisöillä voidaan sanoa olevan organisaatioita. Vaikka organisaatio on käsitteenä hieman laajempi, GDPR-asetuksessa organisaatiolla viitataan tällaisiin entiteetteihin, ei yksityishenkilöihin.

Jos kuitenkin yksityishenkilön valokuvarekisterin tietosisältö muistuttaa laajuudeltaan sukututkimusta, silloin sukututkimuksen käytännesäännöt antanevat ohjeistusta miten toimia, ja GDPR-asetus asettaa vaateita.
https://www.genealogia.fi/kaytannesaannot" onclick="window.open(this.href);return false;

[jaava]

Yksityishenkilö on yksityishenkilö. Yrityksillä, kunnilla, valtioilla, säätiöillä, julkisyhteisöillä ja muilla yhteisöillä voidaan sanoa olevan organisaatioita. Vaikka organisaatio on käsitteenä hieman laajempi, GDPR-asetuksessa organisaatiolla viitataan tällaisiin entiteetteihin, ei yksityishenkilöihin.

Filosofisesti asiaa miettien meidän kielen sanat on maailmaa kaksiarvoistavia ilman että edes mietimme asiaa: Sana tuoli tarkoittaa tietynlaista objektia ja kaikki muut entiteetit ovat ei_tuoleja. On kuitenkin suuri joukko "tuoleja", joista ihmiset ei ole samaa mieltä: toiset pitää tuolina, toiset ei_tuolina. Siis jonkinlaisia harmaan alueen tuoleja. Myös voi sanoa reaalimaailman sanoissa olevan oikeasti sumeutta, vaikka puheessamme oletamme (alitajuisesti) niiden olevan selkeitä.

Verottaja päättää yksityishenkilön kohdalla onko hän yksityishenkilö verotuksellisesti vai jokin muu (vaikka organisaatio, jos se on verotajan käyttämä termi). Poliisi saattaa päättää moottoripyöräkerhon kohdalla, onko se kaveriporukka vai (rikollis-)organisaatio huolimatta sen Yhdistysrekisterimerkinnöistä. Tällaisiahan piisaa. Tovottavasti GDPR ei poi'i lisää esimerkkejä.

Mä en ole tutustunut ollenkaan GDPR-asetukseen, enkä tiedä sen määritelmistä. Onko tässä yksi ankeuttaja lisää EU-byrokratiaan, vai selkeyttääkö se tilannetta turvallisempaan suuntaan.

[mremonen]

Mä en usko, että GDPR ottaa kantaa tuoleihin... tai edes ei-tuoleihin. Jos ne eivät ole siis organisaatioita.

[jaava]

Mä en usko, että GDPR ottaa kantaa tuoleihin... tai edes ei-tuoleihin. Jos ne eivät ole siis organisaatioita.

Mun filofisesti asiaa syventävä pohdinta tais mennä harakoille.
Niinpä "Yksityishenkilö on yksityishenkilö". Ainakin jos kysytään yksityishenkilöiltä ... tai onhan niitä organisaatioiksikin itsensä mieltäviä ja itseään teititteleviä.

Mua epäilyttää tällaiset GDPR tuotokset, koska EU:n asetuksiin, direktiiveihin ja muihin säädöksiin vaikuttaa niin paljon vahvat lobbarijoukot, että jos ne eivät saa rampautettua, niin ainakin niihin saadaan aukkoja joiden avulla päästään hyötymään. Jos ei muut, niin ainakin eteläinen eurooppa.

[olli R]

GDPR on loppujen lopuksi (ainakin minun mielestäni) ihan hyvä säännöstö.

Jo aiemmin Suomen henkilötietolaki on sisältänyt aika laillla ne rajoitukset, joita sähköiseen henkilötietojen käsittelyyn on. Henkilötietolaki ei rajoitu pelkästään yrityksiin, vaan myös yksityishenkilöihin, joilla rekisteri on jossain tavanomaisesta poikkeavassa käytössä:

2 pykälässä: "Tämä laki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa."

Esimerkiksi, jos keräät tietoa kamerainnostuneista ihmisistä ja käytät sitä omiin jatkuviin massapostituksiin, vaikkakin hyväntahtoisiin, niin se on jo lain piirissä. Jos vaan pidät omaa osoitelistaasi, yksittäisiä viestejä varten, niin se ei ole.


GDPR tuo oikeastaan vain pari tärkeää asiaa lisää henkilötietolakiin. Yritysten on pidettävä yllä toimintatapaa sitä tilannetta varten, jos henkilötietosuoja pettää. Tällöin on muun muassa pakko ilmoittaa niille, joiden henkilötietoja on kadotettu.

Toinen tärkeä asia (mutta todella vaikea toteuttaa) on se, että pitää olla selvitettävissä, ketkä ovat henkilön yksityisiä tietoja nähneet (lokitus). Samalla tulee myös velvoite siitä, että tietoja ei saa nähdä ilman selkeää tarvetta. Näitä ei todellakaan ole kovin hyvin toteutettu oikein missään asiakasrekisterissä julkista terveydenhoitoa lukuunottamatta. Tällä saa hyvää paniikkia aikaan jatkossa missä tahansa yrityksessä menemällä kysymään listaa omia tietoja katselleista henkilöistä.

Ja muistuttaisin, että siis sakot olivat:

"hallinnollinen sakko, joka on enintään 20 000 000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi"

Eli siis 20 miljoonaa euroa tai 4% liikevaihdosta, valiten suurempi. Tosin tämä on siis enimmäissakko, riippuen tuottamuksen vakavuudesta ja tahallisuudesta sekä syntyneistä vahingoista. Pikkufirmalla 20 milliä on aika paljon.

[mremonen]

Kolmas tärkeä asia on se, että yrityksen on poistettava hallussaan olevat henkilötiedot henkilön näin pyytäessä (vaatiessa?), jollei säilytys perustu lakiin. Toki joissain tapauksissa henkilötietojen poistovaade voi aiheuttaa myös ostetun palvelun päättymisen (tyyliin sähkösopimus).

Neljäs tärkeä asia on, että GDPR määrittää, että henkilötietoja voi käyttää vain siihen tarkoitukseen mihin ne on aikanaan kerätty. Eli jos olet hankkinut firmalta sähkösopimuksen, sen tietojen perusteella sinulle ei voi kohdistaa markkinointia, vaan siihen on pyydettävä erikseen lupa. Ja lupa täytyy pyytää explisiittisesti sitä tarkoitusta varten, eikä myöskään "vaikeneminen ole myöntymisen merkki" tässä tapauksessa. Eli ei voi olla rastia "en halua suoramarkkinointia", vaan "haluan suoramarkkinointia".

Sitten onkin nämä lakiin perustuvat säilytyssäännökset. Esimerkiksi liikennevahinkojen osalta 100 vuotta... Jos olet joskus kolautttanut autoasi, niin aika kauan on tiedot jossain :)