Opas: 6 kohdan muistilista tietosuojasta HR-ammattilaisille

Tietosuojaan liittyy paljon yksityiskohtaista lainsäädäntöä, jonka noudattamatta jättämisestä voi koitua mainehaittaa sekä rahallista vahinkoa yhtiölle – esimerkiksi GDPR-sakkoja tai vahingonkorvauksia.

Toisaalta lainsäädännön noudattamisen perustana on aina se, että halutaan turvata työntekijöiden yksityisyys työelämässä. Tietosuojalainsäädännön tulisi olla jokaisen organisaation henkilöstö ja palkkahallinnon hallussa, sillä näissä tehtävissä joudutaan väkisinkin tekemisiin henkilötietojen kanssa.

1 Tarpeellisuusvaatimus punaisena lankana

Työelämän tietosuojalaissa 3§ on määritelty tarpeellisuusvaatimus, joka onkin hyvä pitää punaisena lankana henkilötietojen käsittelyssä ja keräämisessä. Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta.

On myös hyvä muistaa, että tarpeellisuusvaatimuksesta ei voida poiketa edes työntekijän suostumuksella. Työnantajalla on vastuu siitä, että kerättävä tieto on todellakin työsuhteen kannalta tarpeellista, eikä mitään ylimääräistä tietoa saa kerätä edes työntekijän/ -hakijan luvalla. Henkilötietojen käsittelyssä tarpeellisuusvaatimus kattaa koko työsuhteen elinkaaren rekrytoinnista, työsuhteeseen ja työsuhteen päättymiseen asti. Seuraavalla sivulla on konkreettisia esimerkkejä, millaisissa tilanteissa tarpeellisuusvaatimus toteutuu ja milloin ei

Kysymyksiä, joita ei lähtökohtaisesti saa kysyä työhaastattelussa

• Onko sinulla lapsia tai/ja parisuhdetta?
• Aiotko hankkia lapsia lähitulevaisuudessa?
• Mitä uskontoa edustat?
• Kerro harrastuksistasi ja perheestäsi?
• Oletko jonkin puolueen tai ammattiliiton jäsen?
• Millaiset omistus-, liike ja/tai yrityssuhteet perheelläsi on?
• Onko sinulla jokin vakava sairaus?

Pahimmillaan nämä kysymykset voivat johtaa syrjintäolettamaan. Jos näitä kysymyksiä kuitenkin esitetään haastattelussa, haastateltavan ei ole pakko vastata niihin, ja vastaamatta jättäminen ei saisi vaikuttaa rekrytointipäätökseen. On kuitenkin huomattava, että tietyissä tilanteissa työnantajalla voi olla oikeus kysyä yllä listattuja kysymyksiä.

Esimerkiksi ulkomaankomennuksiin liittyvissä tapauksissa saattaa olla tarpeen tietää perhesuhteista ja lapsista tavanomaista enemmän järjestelyjen vuoksi, vaikka näin yksityiskohtaiset tiedot muissa tapauksissa eivät olisi tarpeellisia. Tarpeellisuusvaatimuspunninta on siis tapauskohtaista. Haastattelussa voi kuitenkin antaa työnhakijalle mahdollisuuden tuoda esiin hänen mielestään työtehtävien kannalta relevantteja seikkoja.

Työnantaja voi kysyä esimerkiksi ”haluatko kertoa itsestäsi vielä jotakin, jolla koet olevan merkitystä työtehtävien kannalta?”. Tämä avaa työntekijälle mahdollisuuden kertoa vapaammin seikoista, joiden työntekijä kokee vaikuttavan työsuhteeseen tai työtehtävien suorittamiseen. Jos työnhakija tällöin itse ottaa esille esimerkiksi perhesuhteet, niin se on täysin ok. Rekrytoijan tulisi kuitenkin välttää näiden seikkojen kirjaamista henkilörekisteriin. Kun henkilö on palkattu ja työsuhde käynnistyy samat periaatteet säilyvät, eli mitään tarpeetonta henkilötietoa ei saa kerätä tai säilyttää

2 Henkilötiedot kerätään lähtökohtaisesti henkilöltä itseltään

Työnantajan tulisi kerätä kaikki työsuhteen kannalta oleelliset henkilötiedot ensisijaisesti työntekijältä itseltään. Näin työntekijä saa parhaiten selville, mitä tietoja hänestä kerätään ja mihin tarkoitukseen. Näin voidaan hoitaa GDPR:n mukainen informointi samalla. Jos työnantaja kerää tietoa jostakin muualta, tulee siihen olla työntekijän suostumus, ellei laissa toisin todeta. Esimerkiksi luottotiedot ovat sellaista tietoa, jotka saa lain mukaan kerätä luottotietorekisteristä ilman työntekijän suostumusta.

Tämä tieto voi olla tarpeellinen esimerkiksi, kun henkilöä palkataan rooleihin, jossa käsitellään mm. rahavirtoja. On kuitenkin huomioitava, että työnantajan on ilmoitettava luottotietojen keräämisestä työntekijälle etukäteen. Lisäksi työnantajan on ilmoitettava työntekijälle saamistaan tiedoista ennen kuin niitä käytetään työntekijää koskevassa päätöksenteossa. Tämä sääntö pätee myös rekrytoinnissa. Eli vaikka kiusaus voi olla suuri alkaa googlettaa työnhakijaa, niin ei saa tietosuojaviranomaisen mukaan kuitenkaan tehdä.

Eri asia on, jos henkilö on itse linkittänyt hakemukseensa esim. Linkedin-profiilinsa, silloin rekrytoija voi sitä käydä katsomassa. Myös mikäli rekrytoija törmää mielenkiintoiseen profiiliin Linkedinissä, voi hän olla siellä yhteydessä henkilöön ja jatkaa keskustelua, jolloin henkilölle käy selväksi, että keskustelu pohjautuu ko. Kanavassa oleviin tietoihin.

On myös olemassa tilanteita, joissa työsuhteen aikana henkilöistä kertyy tietoja, kuten esimerkiksi valvontakameratallenteita tai kulunvalvontatietoja, joihin ei ole välttämätöntä kysyä henkilöltä erikseen lupaa. Tekninen valvonta voi olla tarpeen esimerkiksi työntekijöiden ja muiden työnantajan tiloissa olevien henkilökohtaisen turvallisuuden varmistamiseksi. Työnantajan on kuitenkin tässäkin varmistuttava teknisen valvonnan tarpeellisuudesta ja muistettava informoida valvonnan kohteena olevia. Lisäksi kulunvalvontalokit ja kamera-tallenteet tulisi poistaa ennalta määritellyn säilytysajan päättymisen jälkeen. Työnantajan ei tule myöskään unohtaa muita tekniseen monitorointiin liittyviä velvollisuuksia, kuten tietosuojan vaikutustenarviointeja.Koska henkilöä pitää informoida siitä, mitä tietoja hänestä kerätään ja mihin niitä käytetään, pitäisi kaikille työnhakijoille kuin työntekijöillekin olla saatavilla tietosuojaseloste, josta nämä asiat käyvät ilmi.

3 Noudata erityistä huolellisuutta näiden henkilötietojen käsittelyssä

Tiettyjen henkilötietoryhmien käsittely vaatii erityistä huolellisuutta. Arkaluontoisia tietoja, kuten terveystietoja ja ammattiliiton jäsenyyttä koskee lähtökohtaisesti käsittelykielto. Työnantaja saa kuitenkin käsitellä edellä mainittuja tietoja työnantajan velvoitteiden hoitamiseksi. Muita henkilötietoja, joiden käsittelyssä pitää noudattaa erityistä huolellisuutta ovat mm. sijaintitiedot ja henkilötunnus. Seuraavaksi on avattu tarkemmin reunaehtoja terveystietoja, sijaintietoja ja henkilötunnusta koskien.

Terveystiedot:

• Käsittelyssä noudatettava erityistä huolellisuutta
• Kerää tiedot vain työntekijältä tai kirjallisella suostumuksella muualta
• Käytä tietoa vain laissa mainittuihin tarkoituksiin (esim. sairausajan palkanmaksu, sairauspäiväraha, poissaolon selvittäminen, työkyky)
• Terveystiedot kuten sairauspoissaolotodistukset tulee säilyttää erillään muusta henkilöön liittyvästä tiedosta
• Tietojen poistaminen säännöllisesti
• Vaitiolovelvollisuus ja rajatut pääsyoikeudet

Sijaintitiedot:

• Työntekijään liittyvien sijaintitietojen käsittely vaatii todellisen tarpeen ja työntekijän suostumuksen.
• Suostumus tulee mielellään olla kirjallinen tai esim. työajanseurantasovelluksessa erikseen annettu suostumus
• Työntekijällä tulee olla mahdollisuus milloin tahansa helposti peruuttaa suostumus
• Lisäksi on huolehdittava siitä, että työntekijä voi kytkeä paikannuksen pois päältä ja päälle. Tämä tulee kyseeseen esim. kun työntekijä käyttää työsuhdepuhelintaan työajan ulkopuolella

Sijaintitietoihin liittyvät vaatimukset kannattaa huomioida myös uusien sovellusten käyttöönotossa: esimerkiksi työajanleimaussovellusta käyttöönotettaessa työnantajan tulee arvioida työntekijäkohtaisesti, onko sijaintitietojen kerääminen tarpeellista työtehtävien kannalta. Lisäksi tulee muistaa esimerkiksi tietosuojan vaikutustenarviointi sekä YT-menettelyt.

On hyvä muistaa, että jos työnantajan suorittama paikantaminen kohdistuu esimerkiksi työnantajan ajoneuvoon, voidaan tämä tulkita työntekijän paikantamisena. Kyseessä on työntekijän paikantaminen, jos tarkoituksena on henkilöstöresurssien ohjaaminen tai ajoneuvon perusteella voidaan selvittää sen kulloinenkin käyttäjä esim. työvuorolistan perusteella. Pelkkä kuljetettavan omaisuuden seuranta ei kuitenkaan ole työntekijän paikantamista.

4 Muista YT-menettelyt, jos henkilötietojen käsittelyn periaatteet muuttuvat

Työnantajan toteuttaman henkilötietojen käsittelyn pitäisi olla suunnitelmallista. Jos yrityksenne on YT-lainsäädännön alainen, on teillä velvollisuus käydä yhteistoiminta- menettelyissä henkilötietojen käsittelyn periaatteet läpi, jotta työntekijät tietävät, mitä kaikkea tietoa kerätään ja mihin työnantajan puolelta dataa käytetään, jotta kaikille olisi selvillä yhteiset pelisäännöt.

Yhteistoimintamenettelyssä on käsiteltävä mm. seuraavat teemat:

• Henkilötietojen käsittelyn periaatteet niin työhönotossa kuin työsuhteen aikana.
• Kamera- ja kulunvalvonta sekä muu tekninen valvonta
• Sähköpostin ja tietoverkon käyttö ja liitännäisten tietojen käsittely

käsittely YT:iden tarve tulee arvioida aina, kun henkilötietojen käsittely olennaisesti muuttuu.

5 Tietosuojan vaikutustenarviointi

Työnantajan on tehtävä tietosuojan vaikutustenarviointi (DPIA), mikäli henkilötietojen käsittely voi aiheuttaa korkeita riskejä työntekijöiden yksityisyydelle. Riskejä voi aiheutua esimerkiksi profiloinnista, arkaluontoisten henkilötietojen laajamittaisesta käsittelystä tai esimerkiksi kamera- ja kulunvalvonnasta. Mikäli työnantaja on epävarma DPIA:n pakollisuudesta, on se suositeltavaa tehdä, sillä se toimii erinomaisena välineenä tietosuojariskien tunnistamisessa ja hallinnassa.

DPIA on pakollinen mm. seuraavissa tilanteissa:

• Biometristen tietojen (esim. sormenjälki- ja kasvojentunnistus) käsittely
• Sijaintitietojen kerääminen
• Ilmiantokanavan käyttöönotto

Näissä tilanteissa tulee arvioida, millaisia riskejä työntekijälle mahdollisesti koituu kyseisten tietojen keräämisestä, ja miten riskit minimoidaan. Tämä tulee olla dokumentoituna, jotta toimitaan GDPR:n mukaisesti. Lisäksi on suositeltavaa arvioida riskit uudelleen, kun tietojen käsittely oleellisesti muuttuu.

6 Muista tietosuoja myös työsuhteen päättyessä

Kun työntekijän työsuhde päättyy, tulee ottaa huomioon työsuhteen elinkaari ja tietosuoja sen näkökulmasta. Alla on listattu muutamia seikkoja, jotka työnantajan olisi hyvä huomioida työsuhteen päättyessä.

Ohjeista työntekijää tekemään seuraavat asiat ennen työsuhteen päättymistä:

• Pyydä henkilöä asettamaan poissaoloviesti sähköpostiinsa. Jos viestiä ei ole, voi tärkeitä viestejä mennä työnantajalta ohi. Ja koska viestinnän luottamuksellisuus koskee myös sähköpostia, lähtökohtaisesti toisen sähköpostiin ei ole menemistä työsuhteen päätyttyä (eikä myöskään työsuhteen aikana).
• Vaihtoehtoisesti työntekijä voi esimerkiksi ohjata viestinsä sovitusti toisen henkilön sähköpostiin. Työnantajan olisikin hyvä kirjata työpaikalla sovellettavat käytännöt ylös.
• Ohjeista työntekijää poistamaan yksityiset tiedostot ja viestit tietokoneelta ja sähköpostista. Jos lopettaneen työntekijän koneelle pitäisi jostain syystä mennä ja siihen saadaan lupa, niin henkilölle on annettu mahdollisuus poistaa kaikki henkilökohtaiset tiedot. Työsuhteen aikana tai sen päätyttyä ei ole lupaa mennä henkilön sähköpostiin kuin lain sallimissa tilanteissa.
• Muistuta henkilöä palauttamaan työnantajan materiaalit, aineistot ja laitteet. Kannattaa myös muistuttaa lähtevää henkilöä mahdollisesta salassapitovelvollisuudesta myös työsuhteen päättymisen jälkeen.

Työsuhteen päättymisen jälkeen työnantajan tehtäväksi jää:

• Tunnukset kaikkiin sovelluksiin ja järjestelmiin suljetaan
• Kerätään kaikki kulkuavaimet ja kulkukortit pois
• Työsähköposti suljetaan ja poistetaan kohtuullisessa ajassa
• Työntekijää koskevat henkilötiedot, joita ei tarvita enää työsuhteen päättymisen jälkeen poistetaan (huom. lakisääteiset säilytysvelvollisuudet

Lakisääteisiä säilytysvelvollisuus koskee osaa tiedoista. Esimerkiksi palkkakirjanpito ja työaikakirjanpito tulee säilyttää, lisäksi työnantajan pitää pystyä antamaan yksityiskohtaisempi työtodistus 5 vuotta työsuhteen päättymisen jälkeen ja vielä 10 vuotta työsuhteen päättymisen jälkeenkin tulee pystyä antamaan suppeampi työtodistus. Työnantajan tulisikin arvioida jo henkilötietojen käsittelyä suunniteltaessa, mitä tietoja työnantaja tarvitsee, milloin tarve päättyy ja miten tiedot poistetaan tai tarvittaessa arkistoidaan.

Optimoi henkilöstöhallintosi Mepcon avulla! Tehosta tietosuojan hallintaa ja varmista, että yrityksesi henkilöstö- ja palkanlaskentaprosessit ovat ajan tasalla. Tutustu Mepcoon ja ota selvää, kuinka voimme auttaa sinua hallitsemaan tietosuojaa tehokkaasti osana HR-järjestelmääsi.