saanko säilyttää asiakkaiden kamerakuvia myymälässäni

Kameran tallentaminen on sallittua, mutta ei rajoittamatta

Asiakkaiden kamerakuvaa voidaan säilyttää, kunhan sillä on selkeä tarkoitus ja kuvaa ei säilytetä pidempään kuin kyseiseen tarkoitukseen on tarpeen. Kaupan tavallinen tarkoitus on turvallisuus: varkauksien, murtojen tai henkilökuntaa kohtaan kohdistuvan väkivallan estäminen ja jälkikäteen tutkiminen. Tähän tarkoitukseen sovelletaan käytännössä lyhyttä säilytysaikaa — valvontaa, joka muutaman viikon jälkeen ei ole antanut aihetta erottaa kuvia, tulee säännöllisesti poistaa. Kamerakuvat ovat henkilötietoja, kun asiakas on niissä tunnistettavissa, ja siten niiden taltioiminen, säilyttäminen ja katsominen kuuluvat GDPR:n piiriin, kuten asiakasluettelo tai hakemushakemus.

Mitä kamera tallentaa, sen on oltava myös suhteessa tarkoitukseen. Kamera, joka filmi kassaa ja sisäänkäyntiä turvallisuuden vuoksi, on eri perusteella kuin kamera, joka kohdistuu jatkuvasti henkilökuntaan suorituksen valvomiseksi — jälkimmäinen on eri tarkoitus ja vaatii erilaista harkintaa. Myös asiakkaiden ja henkilökunnan on pystyttävä tietämään, että kameroita on asennettu, yleensä selkeän ilmoituksen kautta sisäänkäynnillä, ja että kuvia ei käytetä muuhun tarkoitukseen kuin siihen, jota varten ne on asennettu. Joka tallentaa turvallisuuskuvien lisäksi muita asiakastietoja, esimerkiksi uutiskirjeelle tai asiakasluettelolle, tekee hyvin, kun arvioi nämä käsittelyt erikseen — oikeusperuste ja säilytysaika voivat poiketa tietotyyppiä kohti.

Oikeusperuste ja tallennusrajoitus GDPR:stä

Se, että kuvantoistolla on oltava pätevä oikeusperuste, johtuu GDPR:n 6 artiklasta, joka kuvaa laillisen käsittelyn ehdot; kaupan turvallisuudessa tarkastellaan yleensä yrittäjän oikeutettua etua. Se, että kuvia ei saa säilyttää pidempään kuin kyseiseen tarkoitukseen on tarpeen, johtuu GDPR:n 5 artiklan tallennusrajoituksen periaatteesta. Nämä säännöt pätevät kaikkialla EU:ssa suoraan, koska GDPR on asetus; se, mikä vaihtelee, on valvontaviranomainen, joka valvoo sitä jäsenvaltiossa, ja mahdollinen lisäselvitys, jonka valvontaviranomainen antaa — Hollannissa se on Autoriteit Persoonsgegevens, joka myös julkaisee käytännön ohjeita kameravalvonnasta. Laajempaa kysymystä siitä, mitkä yritykset kuuluvat näiden sääntöjen piiriin, katso GDPR koskee myös yrittäjiä ja pienyrityksiä; ja joka pohtii, mikä oikeusperuste tarkalleen on voimassa tietyssä käsittelyssä, löytää mahdollisuudet selostettuina kohdasta milloin saan käsitellä henkilötietoja.