Suostumus valokuvan julkaisuun

Suostumus valokuvan julkaisuun Suomessa on EU:n yleisen tietosuoja-asetuksen (GDPR, 2016/679) 6 artiklan ja tietosuojalain (1050/2018) mukainen kirjallinen lupa, jolla kuvattava henkilö — tai alaikaisen huoltaja — antaa luvan valokuvansa tai videonsa julkaisemiseen määriteltyihin tarkoituksiin. Koska henkilokuva on GDPR 4 artiklan 1 kohdan mukainen henkilötieto, sen kerääminen, tallentaminen ja julkaiseminen edellyttää aina perustetta — yleisin peruste on rekisteroitavan vapaaehtoinen suostumus.

Suomessa tietosuojalaki (1050/2018) tarkentaa GDPR:n saannoksia kansallisella tasolla. Laki asettaa kuvaajalle ja julkaisijalle velvollisuuden hankkia informoitu suostumus ennen kuvan käytäntöä, jollei käyttöön ole muuta lakiperusteista oikeutta. Informoitu suostumus tarkoittaa, että kuvattavalle — tai alaikaisen kohdalla huoltajalle — on selitetty, miten, missä ja mihin tarkoituksiin kuvaa käytetään, ennen kuin suostumus annetaan.

Tekijänoikeuslaki (404/1961) 45 pykälän mukainen kuvaajanoikeus antaa valokuvaajalle oikeuden valokuvaansa 50 vuoden ajaksi kuvaamisesta. Tämä tarkoittaa, että kuvaajalla on oikeus kuvaan, mutta kuvattavalla — henkilötietona — on GDPR:n nojalla oikeus siihen, miten kuvaa käytetään. Suostumuslomake on keino sovittaa nämä oikeudet yhteen: kuvaaja saa kayttoikeuden kuvaansa, ja kuvattava antaa suostumuksensa kuvansa käyttöön määritellyin ehdoin.

Tietosuojavaltuutetun toimisto Suomessa valvoo GDPR:n noudattamista. Tietosuojavaltuutettu on kirjoittanut ohjeistusta valokuvauksen tietosuojanäkökulmasta, ja toistuvat rikkomukset voivat johtaa hallinnollisiin sakoihin GDPR 83 artiklan nojalla. Euroopan tietosuojaviranomainen (EDPB) on antanut suuntaviivoja suostumuksen keräämiseen.

Suostumuksen tulee olla GDPR 7 artiklan mukaan vapaaehtoista, yksityiskohtaista, tietoon perustuvaa ja yksiselitteistä. Suostumusta ei voi olla kytketty palvelun tai etuuden ehtoon, ellei kuvan kaytto ole palvelun tarpeellinen osa. Suostumuksen antajalla on myös oikeus peruuttaa suostumus milloin tahansa GDPR 7 artiklan 3 kohdan nojalla, eikä peruuttaminen vaikuta ennen peruuttamista tapahtuneeseen lailliseen käsittelyyn.

Tekijänoikeuslain (404/1961) 45 pykälän mukainen kuvaajanoikeus antaa valokuvaajalle yksinoikeuden valokuvaansa 50 vuoden ajaksi. Kuvaajanoikeus ei anna oikeutta loukata kuvattavan GDPR-suojaa. GDPR 4 artiklan 1 kohdan mukainen tunnistettava henkilokuva on henkilötieto, jonka käsittelyyn tarvitaan aina peruste. Tietosuojavaltuutettu Suomessa valvoo GDPR:n noudattamista ja voi määrätä hallinnollisen sakon GDPR 83 artiklan nojalla rikkomuksesta.

Euroopan tietosuojaneuvoston (EDPB) ohjeistus painottaa, että suostumuksen tulee olla aktiivinen ja yksiselitteinen. Hiljainen tai oletettu suostumus ei täyttä GDPR:n vaatimuksia. Esimerkiksi se, että kuvattava ei vastusta kuvausta, ei ole GDPR-yhteensopiva suostumus. Kuvaajan on aina hankittava aktiivinen, nimenomainen suostumus kirjallisesti ennen julkaisemista.

Suostumus valokuvan julkaisuun Suomessa tarvitaan aina, kun yksityishenkilö, organisaatio tai yritys haluaa julkaista, käyttää tai tallentaa tunnistettavia henkilokuvia tietosuojalain (1050/2018) ja GDPR:n mukaisesti. Seuraavat tilanteet ovat tyypillisimpiä.

Markkinointi ja mainonta. Yritys, joka ottaa valokuvia tai videoita markkinointimateriaaliin, esitteisiin, mainoksiin tai katalogeihin, tarvitsee kirjallisen suostumuksen jokaiselta tunnistettavalta henkilöltä. Myös sosiaalisen median markkinointikuvissa — Instagramissa, Facebookissa tai LinkedInissa — suostumus on pakollinen.

Yrityksen verkkosivut. Verkkosivuille ladattavat henkilokuvat, kuten yrityksen henkilöesittelyt tai asiakastarinat, edellyttävät kirjallista suostumusta. GDPR:n mukaan tunnistettava henkilokuva on henkilötieto, jonka julkaisemiseen tarvitaan peruste.

Sosiaalisessa mediassa julkaiseminen. Tunnisteellisen kuvan julkaiseminen sosiaalisessa mediassa — myös epävalinaisesti yksityisessä ryhmässä — edellyttää kuvatun suostumusta. Yksityishenkilö voi vapaasti julkaista omia kuviaan, mutta muiden kuvaaminen edellyttää suostumusta erityisesti, kun kuvat liittyvät yritystoimintaan tai kaupalliseen käyttöön.

Alaikaiset ja kouluvalokuvat. Alaikäisen kuvan julkaisemiseen tarvitaan huoltajan kirjallinen suostumus. Koulujen, päiväkotien ja urheiluseurojen on hankittava huoltajien suostumukset ennen kuin lasten kuvia voidaan julkaista tiedotteissa, verkkosivuilla tai sosiaalisessa mediassa. Suomessa monet oppilaitokset keräävät suostumuksen vuosikirjalomakkeen yhteydessa.

Painettu materiaali ja vuosikertomus. Vuosikertomuksiin, opetusmateriaaliin tai muihin painettuihin julkaisuihin käytetyt henkilokuvat edellyttävät suostumusta. Suostumuksen tulee kattaa nimenomaan se käyttötarkoitus, johon kuvaa käytetään.

Uutiskirjeet ja sähköinen viestinta. Sähköisiin uutiskirjeisiin tai tiedotteisiin liitettävät henkilokuvat edellyttävät suostumusta. Suostumuksen laajuus tulee käyttötarkoituksessa yksilöida tarkasti GDPR 6 artiklan mukaisen rajatun käyttötarkoituksen periaatteen mukaisesti.

Kulttuuritapahtumat ja taiteilijat. Kulttuuritapahtumien kuvaajat ja taiteilijat, jotka haluavat käyttää teoksissaan tunnistettavia henkilokuvia, tarvitsevat suostumuksen. Taideteoksen osana käytettävä henkilokuva voi kuulua tekijänoikeuslain (404/1961) suojan piiriin, mutta se ei poista GDPR:n mukaista suostumustarvetta.

Urheilu- ja harrastustoiminta. Urheiluseuran joukkuekuvaukset, kilpailukuvat ja harrastustapahtumien valokuvaukset edellyttävät kaikkien kuvattavien suostumusta. Alaikaisista otettavissa kuvissa tarvitaan aina huoltajan kirjallinen suostumus. Urheiluseurat kayttavat yleensä kausittaista suostumuslomaketta, joka kattaa koko kauden ottamat kuvat ja niiden julkaisemisen seuran verkkosivuilla ja sosiaalisessa mediassa.

Liiketoiminnan uudet kanavat. Yritys, joka laajentaa toimintaansa uusille somekanavilla tai aloittaa videomarkkinoinnin, tarvitsee päivitetyt suostumukset jo kuvatuille henkiloille. Vanha suostumus, joka kattaa vain painetun materiaalin, ei riita sosiaalisen median käyttöön. GDPR:n käyttötarkoitusten rajaamisperiaate edellyttää, että jokaiseen uuteen käyttötarkoitukseen hankitaan erillinen suostumus tai paivitetaan olemassa olevaa.

Asiakasreferenssit ja case-studyt. Yritys, joka haluaa julkaista asiakkaiden kuvia tai asiakastarinoita, tarvitsee kirjallisen suostumuksen kaikilta tunnistettavilta henkilöiltä. Asiakasreferenssit ovat tyypillinen markkinointimateriaali, johon suostumus on hankittava erikseen. GDPR 7 artiklan mukaan suostumuksen hankkiminen erillisena toimenpiteena on selkein tapa dokumentoida laillinen peruste kuvan käyttöön.

Oikeudellisesti patevassa Suostumus valokuvan julkaisuun -asiakirjassa Suomessa on seuraavat osat, jotta se täyttää tietosuojalain (1050/2018) ja GDPR:n 7 artiklan vaatimukset.

Kuvaajan tai julkaisijan tunnistetiedot. Yrityksen tai henkilon nimi, sähköposti tai yhteystiedot. GDPR 13 artiklan mukainen rekisteriselostevastuu tarkoittaa, että tietojen käsittelijän on oltava selkeast yksilöity. Kuvattavan on tiedettava, kuka vastaa kuvan kasittelystä.

Kuvaustilaisuuden tai projektin kuvaus. Määritelmä siitä, missä ja milloin kuvaukset on suoritettu tai suoritetaan. Yksityiskohtainen kuvaus auttaa rajaamaan suostumuksen oikeisiin kuviin ja tilanteisiin.

Suostumuksen antajan tunnistetiedot. Koko nimi ja syntymaaika tai henkilotunnus. Jos kuvattava on alle 18-vuotias, huoltajan nimi, suhde kuvattavaan ja allekirjoitus. Alaikäisen kuvan suostumus on aina huoltajan vastuulla.

Käyttötarkoitusten erittely. GDPR 6 artikla edellyttää, että jokainen käyttötarkoitus on määritelty erikseen. Suostumuksen tulee kattaa kaikki tarkoitukset, joihin kuvaa käytetään: markkinointi, verkkosivut, sosiaalinen media, uutiskirjeet, vuosikertomus tai muut. Yhdellä suostumuksella katetaan vain ne tarkoitukset, jotka on nimenomaisesti mainittu.

Voimassaoloaika ja rajoitukset. Suostumuksen voimassaolo voidaan rajata tiettyyn päivämäärään tai tehtavaan. Rajoittamaton suostumus on mahdollinen, mutta GDPR:n säilytysaikasäännökset puoltavat aikarajoja. Rajoitukset, kuten kielto käyttää kuvaa tiettyihin tarkoituksiin, on kirjattava selkeast.

Tietosuojaoikeudet. Maininta GDPR 7 artiklan 3 kohdan mukaisesta oikeudesta peruuttaa suostumus milloin tahansa sekä tieto siitä, miten peruuttaminen tapahtuu. Suostumuksen antajalle on myös tiedotettava oikeuksistaan tarkastaa, korjata tai poistaa omia tietojaan GDPR 15-17 artikloiden mukaisesti.

Allekirjoitukset. Suostumuksen antajan — tai huoltajan — allekirjoitus sekä kuvaajan tai julkaisijan allekirjoitus. Molemminpuolinen allekirjoitus vahvistaa sopimuksen sitovuuden. Kuvaajan allekirjoitus toimii todisteena siitä, että hän on saanut tietää suostumuksen ehdoista. Käyttämällä forms-legal.com palvelua saat valittua kaikki tarvittavat osat suostumukseen.

Henkilötietovaikutusten arviointi. Suurissa tai arkaluonteisissa kuvausprojekteissa rekisterinpitäjän on harkittava, tarvitseeko toteuttaa GDPR 35 artiklan mukainen vaikutustenarviointi (DPIA). Alaikaisten laajan kuvauksen tai erityisten henkilöryhmien kuvauksen yhteydessa DPIA voi olla pakollinen. Euroopan tietosuojaviranomainen (EDPB) on antanut suuntaviivoja DPIA:n toteuttamisesta.

Suostumustietojen säilytysaika. GDPR:n säilytysminimointiperiaate (Data Minimisation) tarkoittaa, että henkilötietoja, mukaan lukien kuvia, ei saa säilyttää kauempaa kuin on tarpeen. Suostumuksen voimassaoloaika tulee maarittaa asianmukaisesti. Jos suostumuksen perusteella kuvia on kaytossa, kuvat ja suostumustiedot sailytetaan kayton ajan. Suostumuksen peruuttamisen jälkeen kuvat tulee poistaa aktiivisesta käytöstä.

Suostumus valokuvan julkaisuun Suomessa täyttäminen oikein edellyttää seuraavia vaiheita GDPR:n ja tietosuojalain (1050/2018) mukaisesti.

Vaihe 1 — Tunnista kuvaaja tai julkaisija. Kirjaa yrityksen tai henkilon virallinen nimi ja sähköposti tai muut yhteystiedot. GDPR:n mukainen rekisteriselostevastuu edellyttää, että tietojen käsittelijä on selkeast yksilöity.

Vaihe 2 — Kuvaa kuvaustilaisuus tai projekti. Kirjaa tarkasti, missä ja milloin kuvaukset on tehty tai tehdään, ja mista projektista tai tilaisuudesta on kyse. Esimerkiksi Yrityksen vuosikertomus 2026 tai Perhekuvaus 15.6.2026 tai Koulun luokkakuva syyslukukausi 2026.

Vaihe 3 — Tunnista suostumuksen antaja ja kuvattava. Jos kuvattava on taytysikäinen, hän allekirjoittaa itse. Jos kuvattava on alaikainen eli alle 18-vuotias, huoltaja — äiti, isä tai muu laillinen huoltaja — allekirjoittaa. Kirjaa kuvattavan nimi, syntymävuosi jos alaikainen, ja suostumuksen antajan suhde kuvattavaan.

Vaihe 4 — Valitse kayttotarkoitukset. Valitse kaikki kayttotarkoitukset, joihin suostumuksesi kattaa: painettu markkinointimateriaali, verkkosivut, sosiaalinen media, uutiskirjeet, vuosikertomus, opetusmateriaali, sisainen viestinta tai arkistointi. GDPR 6 artikla edellyttää, että jokainen tarkoitus on määritelty erikseen.

Vaihe 5 — Määrittele korvaus. Kirjaa, onko kuvan kaytto maksutonta vai maksaako kuvaaja korvausta. Jos korvaus maksetaan, kirjaa summa euroina. Maksuttomuus on yleista yksityishenkiloiden kuvauksissa.

Vaihe 6 — Määrittele voimassaoloaika ja rajoitukset. Jos haluat rajoittaa suostumuksen käyttöä, kirjaa voimassaoloaika muodossa PP.KK.VVVV tai kuvaa rajoitukset — esimerkiksi kielto käyttää kuvaa alkoholin tai tupakan markkinoinnissa. Rajoittamaton suostumus on myös mahdollinen.

Vaihe 7 — Allekirjoita. Suostumuksen antaja — tai huoltaja — ja kuvaaja allekirjoittavat lomakkeen. Päivämäärä muodossa PP.KK.VVVV. Säilytä kopio molemmilla osapuolilla GDPR:n mukaista dokumentointivelvollisuutta varten.

Vaihe 8 — Tietosuojaohjeistus. Kuvaajan on täydennettävä oma tietosuojaselosteensa, jossa selitetaan kaikki kuviin liittyvät käsittelytoimet. Suostumuksen lisäksi on hyvaskyttava, että kuvattavalla on oikeus peruuttaa suostumuksensa milloin tahansa GDPR 7 artiklan 3 kohdan nojalla. Tietosuojavaltuutetun toimisto Suomessa antaa lisäohjeistusta tarvittaessa.

Suostumustiedostojen säyttöarkistointi. GDPR edellyttää rekisterinpitäjältä pystyvän todistamaan suostumuksen saamisen. Lomakkeet tulee arkistoida systematisoitusti esimerkiksi dokumenttienhallintajärjestelmässä. Tietosuojavaltuutettu voi suorittaa tarkastuksia, jolloin suostumustiedostojen tulee olla helposti kaytetttavissa.

Sähköinen suostumuslomake. Suostumus voidaan kerätä myös sähköisesti, esimerkiksi verkkosivun lomakkeella tai sahkopostilla. Sähköisen suostumuksen tulee olla tallennettavissa ja todennettavissa. Paina-nappi-suostumus tai rekisterointilomake, jossa on erillinen valintaruutu kuvaluvan antamiselle, on yleinen ja GDPR-yhteensopiva tapa kerätä suostumus. Tietosuojavaltuutettu Suomessa on hyvaaksynyt sahkoiset suostumusmenetelmat.

Arkistoinnin käytännöt. Säilytä suostumuslomakkeet vähintään niin kauan kuin kuvia on kaytossa, plus kolme vuotta mahdollisten kanneaikojen varalta. GDPR:n 77-79 artiklojen mukaan rekisteroityja voi tehdä valituksen tietosuojaviranomaiselle tai viedä asian tuomioistuimeen. Hyva arkistointi suojaa käyttäjää jalkikateisiltä vaatimuksilta.

Suostumus valokuvan julkaisuun Suomessa perustuu useaan lakiin, jotka saantelevat henkilotietojen käsittelyä ja tekijänoikeuksia.

EU:n yleinen tietosuoja-asetus (GDPR, 2016/679) 6 ja 7 artikla. Henkilokuva on henkilötieto GDPR 4 artiklan 1 kohdan mukaisesti, jos kuvattava on tunnistettavissa. Henkilötietojen käsittely edellyttää perustetta GDPR 6 artiklan mukaisesti. Yleisin peruste on rekisteroitavan vapaaehtoinen suostumus, joka on annettava informoidusti ja yksityiskohtaisesti. GDPR 7 artiklan 3 kohta antaa suostumuksen antajalle oikeuden peruuttaa suostumuksensa milloin tahansa.

Tietosuojalaki (1050/2018). Suomessa GDPR:ta tarkentava kansallinen laki. Tietosuojavaltuutettu Suomessa valvoo tietosuojalain noudattamista. Rikkomuksista voidaan määrätä hallinnollisia sakkoja GDPR 83 artiklan mukaisesti.

Tekijänoikeuslaki (404/1961) 45 pykälä kuvaajanoikeus. Valokuvaajalla on kuvaajanoikeus valokuvaansa, joka suojaa kuvaa 50 vuoden ajan kuvaamisesta. Tämä antaa kuvaajalle oikeuden määrätä kuvan kayttamisesta, mutta se ei yliaja kuvattavan GDPR:n mukaisia oikeuksia. Suostumuslomake sovittaa nämä oikeudet yhteen: kuvaaja saa kayttoikeuden, kuvattava antaa tietoon perustuvan suostumuksensa.

Sähköisen viestinnän tietosuojalaki (516/2004). Sähköisessä viestinnässä, kuten uutiskirjeissa tai verkkomainonnassa, käytettäville henkilokuville sovelletaan sahkoisen viestinnän tietosuojalakia tietosuojalain lisäksi.

Lastensuojelulaki (417/2007) ja laki lapsen huollosta ja tapaamisoikeudesta (361/1983). Alaikäisen kuva edellyttää huoltajan suostumusta. Lastensuojelulaki suojaa lapsen etua, ja laki lapsen huollosta määrää huoltajan vastuun. Kouluilla ja muilla oppilaitoksilla on erityinen vastuu alaikaisten tietosuojasta.

Euroopan tietosuojaviranomaisen (EDPB) suuntaviivat suostumuksesta (Guidelines 05/2020). EDPB on antanut suuntaviivoja GDPR-suostumuksesta, joissa määritellään vapaaehtoisen, yksityiskohtaisen, informoidun ja yksielaisen suostumuksen vaatimukset.

EDPB:n ohjeet suostumuksesta. Euroopan tietosuojaviranomainen (EDPB) on antanut suuntaviivoja suostumuksesta (Guidelines 05/2020 on Consent), joissa määritellään vapaaehtoisen, yksityiskohtaisen, informoidun ja yksielaisen suostumuksen vaatimukset. Tietosuojavaltuutettu Suomessa soveltaa näitä ohjeita kansallisessa valvontatyössään.

Sähköisen viestinnän tietosuojalaki (516/2004). Sähköisessä viestinnässä, kuten uutiskirjeissa tai verkkomainonnassa, käytettäville henkilokuville sovelletaan sahkoisen viestinnän tietosuojalakia yhdessä GDPR:n kanssa. Laissa määrätään sahkoisen mainonnan lähetysluvan hankkimisesta, joka koskee myös henkilökuvien käyttöä sahkoisessa mainonnassa.

Alaikaisiin liittyvät GDPR-suojasäännökset. GDPR ei suoraan määrää ikärajaa suostumukselle, mutta 8 artikla saantelee tieto- yhteiskunnan palvelujen käytöstä alle 16-vuotiaiden kohdalla. Euroopan tietosuojaviranomainen suosittelee tulkittavaksi alaikaisiin kohdistuvat rajoitukset laajasti, eli myös valokuvien osalta huoltajan suostumus on aina varmistettava. Suomessa Tietosuojavaltuutettu on linjannut, että alaikaisten kuvien käyttöön tulee hankkia huoltajan suostumus.

Suostumus valokuvan julkaisuun Suomessa laadittaessa tehdään usein virheitä, jotka voivat johtaa GDPR-rikkomukseen tai kuvattavan oikeuksien loukkaamiseen.

Virhe 1 — Suostumus kerätty jalkikäteen tai pakottamalla. Suostumus on hankittava ennen kuvan ottamista tai viimeistaan ennen julkaisemista. Painostaminen tai suostumuksen kytkeminen palvelun saamiseen rikkoo GDPR 7 artiklan vapaehtoisuusvaatimusta. Oikea menettely on kerätä suostumus hyvissa ajoin ennen kuvaustilaisuutta.

Virhe 2 — Käyttötarkoitukset liian laajasti tai yleisesti määritelty. Yleiset ilmaisut kuten kaikkeen markkinointiin tai mihin tahansa tarkoitukseen eivät täyttä GDPR:n yksityiskohtaisuusvaatimusta. Oikea menettely on eritella kayttotarkoitukset yksityiskohtaisesti: verkkosivut, sosiaalinen media (Instagram, Facebook, LinkedIn), painettu materiaali, uutiskirjeet jne.

Virhe 3 — Alaikäisen kuvan julkaiseminen ilman huoltajan suostumusta. Koulu, urheiluseura tai yritys voi helposti unohtaa hankia huoltajan kirjallisen suostumuksen alaikaisen kuvalle. Tämä on vakava rikkomus GDPR:n alaikaisten suojasaannoksia vastaan. Oikea menettely on hankia kirjallinen huoltajan suostumus kaikilta alaikaisten osalta.

Virhe 4 — Suostumuksen peruuttamisoikeudesta ei ilmoiteta. GDPR 7 artiklan 3 kohta edellyttää, että rekisteroityja tiedotetaan oikeudestaan peruuttaa suostumus milloin tahansa. Monista suostumuslomakkeista tämä oikeus puuttuu kokonaan. Oikea menettely on sisällyttää lomakkeeseen selkea tieto peruuttamisoikeudesta ja menettelytavasta.

Virhe 5 — Sama kuva käyttöön eri tarkoituksiin ilman uutta suostumusta. Jos kuvaa käytetään alkuperäisen suostumuksen ulkopuolisiin tarkoituksiin, tarvitaan uusi suostumus. Esimerkiksi, jos kuva on alun perin otettu intranetia varten mutta julkaistaankin verkkosivuilla, tämä vaatii uuden suostumuksen. Oikea menettely on hankia uusi suostumus aina, kun käyttötarkoitus muuttuu.

Virhe 6 - Loukkaava muokkaus ilman lupaa. Kuvaa, johon on saatu suostumus, ei saa muokata loukkaavasti tai niin, että merkitys muuttuu oleellisesti ilman uutta suostumusta. Yksityiselämän suojalaki (531/1999) ja rikoslain (39/1889) kunnianloukkaussäännökset suojaavat kuvattavaa loukkaavalta käytöltä.

Virhe 7 - Vanha suostumus ei kata uusia käyttötarkoituksia. GDPR:n käyttötarkoitusten rajaamisperiaate edellyttää, että jokaiseen uuteen käyttötarkoitukseen hankitaan erillinen suostumus. Vanhat suostumukset, jotka on kerätty ennen GDPR:n voimaantuloa toukokuussa 2018, eivät välttämättä täyttä nykyisia vaatimuksia. On suositeltavaa päivittää vanhat suostumukset GDPR-vaatimusten mukaisiksi.