Hyppää sisältöön
Henkilöstöhallinto
Blogi
23.5.2023

6 kohdan muistilista tietosuojasta HR-ammattilaiselle

Tietosuojaan liittyy paljon yksityiskohtaista lainsäädäntöä, jonka noudattamatta jättämisestä voi koitua mainehaittaa sekä rahallista vahinkoa yhtiölle – esimerkiksi GDPR-sakkoja tai vahingonkorvauksia. Toisaalta lainsäädännön noudattamisen perustana on aina se, että halutaan turvata työntekijöiden yksityisyys työelämässä.

Tietosuojalainsäädännön tulisi olla jokaisen organisaation henkilöstö- ja palkkahallinnon hallussa, sillä näissä tehtävissä joudutaan väkisinkin tekemisiin henkilötietojen kanssa.

Mikä kaikki sitten on henkilötietoa? Hyvä pääsääntö on, että henkilötietoa on kaikki sellainen tieto, joka voidaan yhdistää suoraan tai välillisesti yksilöön.

Yleisiä työssä käsiteltäviä henkilötietoja voivat olla esimerkiksi:

Auttaaksemme sinua olemme koostaneet tähän blogitekstiin selkeitä pääsääntöjä ja kuuden kohdan muistilistan tietosuojalainsäädännöstä. Blogi perustuu Accountorin tietosuojajuristi Anette Lindroosin kesäkuussa 2022 pitämään webinaariin.

Voit ladata muistilistan talteen tästä!

6 kohdan muistilista tietosuojasta

1. Tarpeellisuusvaatimus punaisena lankana

2. Henkilötiedot kerätään lähtökohtaisesti henkilöltä itseltään

3. Noudata erityistä huolellisuutta näiden henkilötietojen käsittelyssä

4. Muista YT-menettelyt, mikäli henkilötietojen käsittelyn periaatteet muuttuvat

5. Tietosuojan vaikutustenarviointi

6. Muista tietosuoja myös työsuhteen päättyessä

1. Tarpeellisuusvaatimus punaisena lankana

Työelämän tietosuojalaissa 3§ on määritelty tarpeellisuusvaatimus, joka onkin hyvä pitää punaisena lankana henkilötietojen käsittelyssä ja keräämisessä.

Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta.

On myös hyvä muistaa, että tarpeellisuusvaatimuksesta ei voida poiketa edes työntekijän suostumuksella. Työnantajalla on vastuu siitä, että kerättävä tieto on todellakin työsuhteen kannalta tarpeellista, eikä mitään ylimääräistä tietoa saa kerätä edes työntekijän/ -hakijan luvalla.

Annamme seuraavaksi konkreettisia esimerkkejä, millaisissa tilanteissa tarpeellisuusvaatimus toteutuu ja milloin ei. Henkilötietojen käsittelyssä tarpeellisuusvaatimus kattaa koko työsuhteen elinkaaren rekrytoinnista, työsuhteeseen ja työsuhteen päättymiseen asti.

Mitä kysymyksiä ei lähtökohtaisesti saa kysyä työhaastattelussa?

Pahimmillaan nämä kysymykset voivat johtaa syrjintäolettamaan. Jos näitä kysymyksiä kuitenkin esitetään haastattelussa, haastateltavan ei ole pakko vastata niihin, ja vastaamatta jättäminen ei saisi vaikuttaa rekrytointipäätökseen.

On kuitenkin huomattava, että tietyissä tilanteissa työnantajalla voi olla oikeus kysyä yllä listattuja kysymyksiä. Esimerkiksi ulkomaankomennuksiin liittyvissä tapauksissa saattaa olla tarpeen tietää perhesuhteista ja lapsista tavanomaista enemmän järjestelyjen vuoksi, vaikka näin yksityiskohtaiset tiedot muissa tapauksissa eivät olisi tarpeellisia. Tarpeellisuusvaatimuspunninta on siis tapauskohtaista.

Mitä kiellettyjen kysymysten esittämisestä voi seurata?

Eräässä yrityksessä rekrytointiprosessin aikana työnhakijoilta kysyttiin lomakkeella mm. uskonnolliseen vakaumukseen, terveydentilaan ja perhesuhteisiin liittyviä kysymyksiä. Yksi hakijoista oli yhteydessä tietosuojaviranomaiseen epäillessään menettelyn hyväksyttävyyttä. Tutkinnan aikana yritys totesi, että tietojen antaminen lomakkeella oli ollut vapaaehtoista. Tietosuojaviranomainen kuitenkin totesi menettelyn olevan vastoin tarpeellisuusvaatimusta ja lopulta yritykselle koitui 12 500 € sakko.

Haastattelussa voi kuitenkin antaa työnhakijalle mahdollisuuden tuoda esiin hänen mielestään työtehtävien kannalta relevantteja seikkoja. Työnantaja voi kysyä esimerkiksi ”Haluatko kertoa itsestäsi vielä jotakin, jolla koet olevan merkitystä työtehtävien kannalta?”. Tämä avaa työntekijälle mahdollisuuden kertoa vapaammin seikoista, joiden työntekijä kokee vaikuttavan työsuhteeseen tai työtehtävien suorittamiseen. Jos työnhakija tällöin itse ottaa esille esimerkiksi perhesuhteet, niin se on täysin ok. Rekrytoijan tulisi kuitenkin välttää näiden seikkojen kirjaamista henkilörekisteriin.

Kun henkilö on palkattu ja työsuhde käynnistyy samat periaatteet säilyvät, eli mitään tarpeetonta henkilötietoa ei saa kerätä tai säilyttää.

2. Henkilötiedot kerätään lähtökohtaisesti henkilöltä itseltään

Työnantajan tulisi kerätä kaikki työsuhteen kannalta oleelliset henkilötiedot ensisijaisesti työntekijältä itseltään. Näin työntekijä saa parhaiten selville, mitä tietoja hänestä kerätään ja mihin tarkoitukseen. Tässä voidaan hoitaa GDPR:n mukainen informointi samalla.

Jos työnantaja kerää tietoa jostakin muualta, tulee siihen olla työntekijän suostumus, ellei laissa toisin todeta. Esimerkiksi luottotiedot ovat sellaista tietoa, jotka saa lain mukaan kerätä luottotietorekisteristä ilman työntekijän suostumusta. Tämä tieto voi olla tarpeellinen esimerkiksi, kun henkilöä palkataan rooleihin, jossa käsitellään mm. rahavirtoja. On kuitenkin huomioitava, että työnantajan on ilmoitettava luottotietojen keräämisestä työntekijälle etukäteen – eli ennen kuin tiedot kerätään. Lisäksi työnantajan on ilmoitettava työntekijälle saamistaan tiedoista ennen kuin niitä käytetään työntekijää koskevassa päätöksenteossa.

Tämä sääntö pätee myös rekrytoinnissa. Eli vaikka kiusaus voi olla suuri lähteä Googlettamaan työnhakijaa, niin ei saa tietosuojaviranomaisen mukaan kuitenkaan tehdä, vaan tiedot tulisi hankkia työnhakijalta itseltään. Tämä johtuu siitä, että hakukoneilla löytyvät tiedot eivät välttämättä ole luotettavia tai ajan tasalla. Eri asia on, jos henkilö on itse linkittänyt hakemukseensa esim. LinkedIn-profiilinsa, silloin rekrytoija voi sitä käydä katsomassa. Myös mikäli rekrytoija törmää mielenkiintoiseen profiiliin LinkedInissä, voi hän olla siellä yhteydessä henkilöön ja jatkaa keskustelua, jolloin henkilölle käy selväksi, että keskustelu pohjautuu ko. kanavassa oleviin tietoihin.

On myös olemassa tilanteita, joissa työsuhteen aikana henkilöistä kertyy tietoja, kuten esimerkiksi valvontakameratallenteita tai kulunvalvontatietoja, joihin ei ole välttämätöntä kysyä henkilöltä erikseen lupaa. Tekninen valvonta voi olla tarpeen esimerkiksi työntekijöiden ja muiden työnantajan tiloissa olevien henkilökohtaisen turvallisuuden varmistamiseksi. Työnantajan on kuitenkin tässäkin varmistuttava teknisen valvonnan tarpeellisuudesta ja muistettava informoida valvonnan kohteena olevia. Lisäksi kulunvalvontalokit ja kameratallenteet tulisi poistaa ennalta määritellyn säilytysajan päättymisen jälkeen. Työnantajan ei tule myöskään unohtaa muita tekniseen monitorointiin liittyviä velvollisuuksia, kuten tietosuojan vaikutustenarviointeja.

Koska henkilöä pitää informoida siitä, mitä tietoja hänestä kerätään ja mihin niitä käytetään, pitäisi kaikille työnhakijoille kuin työntekijöillekin olla saatavilla tietosuojaseloste, josta nämä asiat käyvät ilmi.

3. Noudata erityistä huolellisuutta näiden henkilötietojen käsittelyssä

Tiettyjen henkilötietoryhmien käsittely vaatii erityistä huolellisuutta. Arkaluontoisia tietoja, kuten terveystietoja ja ammattiliiton jäsenyyttä koskee lähtökohtaisesti käsittelykielto. Työnantaja saa kuitenkin käsitellä edellä mainittuja tietoja työnantajan velvoitteiden hoitamiseksi.

Muita henkilötietoja, joiden käsittelyssä pitää noudattaa erityistä huolellisuutta ovat mm. sijaintitiedot ja henkilötunnus. Alla on avattu tarkemmin reunaehtoja terveystietoja, sijaintietoja ja henkilötunnusta koskien.

Terveystiedot

Sijaintitiedot

Sijaintitietoihin liittyvät vaatimukset kannattaa huomioida myös uusien sovellusten käyttöönotossa: esimerkiksi työajanleimaussovellusta käyttöönotettaessa työnantajan tulee arvioida työntekijäkohtaisesti, onko sijaintitietojen kerääminen tarpeellista työtehtävien kannalta. Lisäksi tulee muistaa esimerkiksi tietosuojan vaikutustenarviointi sekä YT-menettelyt.

On hyvä muistaa, että jos työnantajan suorittama paikantaminen kohdistuu esimerkiksi työnantajan ajoneuvoon, voidaan tämä tulkita työntekijän paikantamisena. Kyseessä on työntekijän paikantaminen, jos tarkoituksena on henkilöstöresurssien ohjaaminen tai ajoneuvon perusteella voidaan selvittää sen kulloinenkin käyttäjä esim. työvuorolistan perusteella. Pelkkä kuljetettavan omaisuuden seuranta ei kuitenkaan ole työntekijän paikantamista.

Henkilötunnus

Vaikka henkilötunnus ei ole itsessään arkaluontoinen tieto, vaatii sen käsittely erityistä huolellisuutta. Henkilötunnusta ei saa esimerkiksi tarpeettomasti kirjata mihinkään näkyviin, ellei se ole välttämätöntä. Henkilötunnus tulee siis jättää pois esimerkiksi työvuoro- tai lomalistoilta.

Mepcon verkkopalkkalaskelmalta on poistettu henkilötunnuksen loppuosa, koska sen on todettu olevan tarpeetonta tietoa. Palkkalaskelmalta löytyy henkilön nimi ja työntekijänumero, joten henkilötunnusta ei tarvita.

4. Muista YT-menettelyt, mikäli henkilötietojen käsittelyn periaatteet muuttuvat

Työnantajan toteuttaman henkilötietojen käsittelyn pitäisi olla suunnitelmallista. Jos yrityksenne on YT-lainsäädännön alainen, on teillä velvollisuus käydä yhteistoimintamenettelyissä henkilötietojen käsittelyn periaatteet läpi, jotta työntekijät tietävät, mitä kaikkea tietoa kerätään ja mihin työnantajan puolelta dataa käytetään, jotta kaikille olisi selvillä yhteiset pelisäännöt.

Yhteistoimintamenettelyssä on käsiteltävä mm. seuraavat teemat:

YT:iden tarve tulee arvioida aina, kun henkilötietojen käsittely olennaisesti muuttuu.

5. Tietosuojan vaikutustenarviointi

Työnantajan on tehtävä tietosuojan vaikutustenarviointi (DPIA), mikäli henkilötietojen käsittely voi aiheuttaa korkeita riskejä työntekijöiden yksityisyydelle. Riskejä voi aiheutua esimerkiksi profiloinnista, arkaluontoisten henkilötietojen laajamittaisesta käsittelystä tai esimerkiksi kamera- ja kulunvalvonnasta. Mikäli työnantaja on epävarma DPIA:n pakollisuudesta, on se suositeltavaa tehdä, sillä se toimii erinomaisena välineenä tietosuojariskien tunnistamisessa ja hallinnassa.

DPIA on pakollinen muun muassa seuraavissa tilanteissa:

Näissä tilanteissa tulee arvioida, millaisia riskejä työntekijälle mahdollisesti koituu kyseisten tietojen keräämisestä, ja miten riskit minimoidaan. Tämä tulee olla dokumentoituna, jotta toimitaan GDPR:n mukaisesti. Lisäksi on suositeltavaa arvioida riskit uudelleen, kun tietojen käsittely oleellisesti muuttuu.

6. Muista tietosuoja myös työsuhteen päättyessä

Kun työntekijän työsuhde päättyy, tulee ottaa huomioon työsuhteen elinkaari ja tietosuoja sen näkökulmasta. Alla on listattu muutamia seikkoja, jotka työnantajan olisi hyvä huomioida työsuhteen päättyessä.

Ohjeista työntekijää tekemään seuraavat asiat ennen työsuhteen päättymistä

Pyydä henkilöä asettamaan poissaoloviesti sähköpostiinsa. Jos viestiä ei ole, voi tärkeitä viestejä mennä työnantajalta ohi. Ja koska viestinnän luottamuksellisuus koskee myös sähköpostia, lähtökohtaisesti toisen sähköpostiin ei ole menemistä työsuhteen päätyttyä (eikä myöskään työsuhteen aikana). Vaihtoehtoisesti työntekijä voi esimerkiksi ohjata viestinsä sovitusti toisen henkilön sähköpostiin. Työnantajan olisikin hyvä kirjata työpaikalla sovellettavat käytännöt ylös.

Ohjeista työntekijää poistamaan yksityiset tiedostot ja viestit tietokoneelta ja sähköpostista. Jos lopettaneen työntekijän koneelle pitäisi jostain syystä mennä ja siihen saadaan lupa, niin henkilölle on annettu mahdollisuus poistaa kaikki henkilökohtaiset tiedot. Työsuhteen aikana tai sen päätyttyä ei ole lupaa mennä henkilön sähköpostiin kuin lain sallimissa tilanteissa.

Muistuta henkilöä palauttamaan työnantajan materiaalit, aineistot ja laitteet. Kannattaa myös muistuttaa lähtevää henkilöä mahdollisesta salassapitovelvollisuudesta myös työsuhteen päättymisen jälkeen.

Työsuhteen päättymisen jälkeen työnantajan tehtäväksi jää mm.

Lakisääteisiä säilytysvelvollisuus koskee osaa tiedoista. Esimerkiksi palkkakirjanpito ja työaikakirjanpito tulee säilyttää, lisäksi työnantajan pitää pystyä antamaan yksityiskohtaisempi työtodistus 5 vuotta työsuhteen päättymisen jälkeen ja vielä 10 vuotta työsuhteen päättymisen jälkeenkin tulee pystyä antamaan suppeampi työtodistus. Työnantajan tulisikin arvioida jo henkilötietojen käsittelyä suunniteltaessa, mitä tietoja työnantaja tarvitsee, milloin tarve päättyy ja miten tiedot poistetaan tai tarvittaessa arkistoidaan.

Lisätietoa Työelämän tietosuojan käsikirjasta

Mikäli tarvitset lisätietoa työelämän tietosuojan kiemuroista, tutustu tietosuojavaltuutetun toimiston julkaisemaan Työelämän tietosuojan käsikirjaan

* Huomioithan, että sivustolla ja blogissa olevat tiedot eivät ole oikeudellisia neuvoja, eikä niitä tule pitää oikeudellisena neuvona.

Lue myös:

Katso kaikki