Työelämän tietosuojalain (759/2004) ydin on yksinkertainen: työnantaja saa käsitellä vain välittömästi työsuhteen kannalta tarpeellisia henkilötietoja. Laki koskee työsuhteita, virkasuhteita ja soveltuvin osin työnhakijoita. Työntekijän suostumus ei koskaan kumoa tätä tarpeellisuusvaatimusta, joten HR ei voi kiertää rajoitusta pyytämällä lupaa laajempaan tietojenkeruuseen.

Lyhyesti:

• Tietosuojalain vaatimukset koskevat vain tarpeellisia henkilötietoja, joita käytetään työtehtävään liittyviin tarkoituksiin.

• Terveystietoja voi käsitellä vain rajatuissa tilanteissa, kuten työkyvyn arvioinnissa, ja tiedot on säilytettävä erillään muista henkilötiedoista.

• Luottotietojen käyttö on sallittua vain, jos työntekijä käsittelee huomattavia taloudellisia vastuita tai arvo-omaisuutta, ei yleisesti rekrytoinnissa.

• Rekrytoinnissa tietoja saa kerätä vain työnhakijalta suoraan ja asianmukaisesti, ilmoittaen siitä ennen tietojen käyttöä.

• Sähköpostin hakeminen tai kulunvalvontaan liittyvät toimet vaativat läpinäkyvää menettelyä ja ovat sallittuja vain tarpeellisissa tilanteissa.

RecruitifyHallitse rekrytointitietoja turvallisestiRecruitify yhdistää rekrytointiprosessin, GDPR-suostumusten hallinnan ja täydellisen kirjausketjun samaan järjestelmään.Tutustu Recruitifyhin

Sisällysluettelo

• Miten työelämän tietosuojalaki asettuu GDPR:n ja kansallisen tietosuojalain rinnalle

• Keskeiset säännökset HR:n käytännössä: tarpeellisuus, terveydentilat, luottotiedot ja testaukset

• Tekninen valvonta ja viestintä: kameravalvonta, kulunvalvonta, paikannus ja sähköpostin hakeminen

• Rekrytointi ja työhönotto: hyväksyttävät työnhakijatiedot ja ilmoitusvelvollisuudet

• Työterveys ja tietojen luovutus: mitä lausuntoja työnantaja saa vastaanottaa

• Valvonta ja seuraamukset: mihin viranomaisiin ottaa yhteyttä ja työntekijän oikeusturva

• Käytännön toimet HR:lle: dokumentointi, minimointi, pääsynhallinta ja tietosuojavastaavan rooli

• Tiimin näkökulma: miten yhdistää laki ja toimintaprosessit rekrytoinnissa

• Lähteet

• Usein kysytyt kysymykset

Miten työelämän tietosuojalaki asettuu GDPR:n ja kansallisen tietosuojalain rinnalle

HR:n on tunnistettava, että Suomessa noudatetaan kolmitasoista sääntelyä. Ylimpänä on EU:n yleinen tietosuoja-asetus, jonka artikla 88 antaa jäsenvaltioille luvan säätää tarkempia kansallisia sääntöjä työsuhteiden tietosuojasta. Suomi on käyttänyt tätä mahdollisuutta säätämällä erityislain, joka menee yleisen tietosuojalain edelle aina, kun kyse on työsuhteesta.

Käytännössä tämä tarkoittaa, että HR:n pitää tarkistaa ensin erityissäännös eikä yleissäännöstä. Tähän kannattaa palata säännöllisesti, sillä lakia on muutettu:

• Laajempi muutospaketti (347/2019) täsmensi 1.4.2019 terveydentilatietojen käsittelyä, huumausainetestien vaatimuksia ja säilytysaikoja.

• Valtioneuvoston työryhmä arvioi edelleen lain päivitystarpeita, erityisesti luotettavuusselvityksiin liittyen.

• Ajantasaisin tulkinta löytyy aina Finlexin lakitekstistä ja hallituksen esitysten (HE) valmisteluaineistoista, ei kolmannen osapuolen oppaista.

Keskeiset säännökset HR:n käytännössä: tarpeellisuus, terveydentilat, luottotiedot ja testaukset

Tarpeellisuusvaatimus on koko lain selkäranka. Se rajaa sekä rekrytoinnin että työsuhteen aikaisen tiedonkeruun: jos tietoa ei tarvita työtehtävän hoitamiseen tai työsuhteesta johtuvien oikeuksien ja velvollisuuksien toteuttamiseen, sitä ei saa kysyä eikä tallentaa.

Neljä käytännön tilannetta toistuu HR:n arjessa jatkuvasti:

1. Terveydentilatiedot. Työnantaja saa käsitellä terveystietoja vain rajatuissa tilanteissa, esimerkiksi sairauspoissaolon tai työkyvyn arvioinnin yhteydessä. Tiedot on säilytettävä erillään muista henkilötiedoista ja pääsy niihin on rajattava vain sitä välttämättä tarvitseville.

2. Henkilöluottotiedot. Luottotietoja saa käyttää vain tehtävissä, joissa työntekijä käsittelee huomattavia taloudellisia vastuita tai arvo-omaisuutta, ei yleisenä seulontakeinona.

3. Huumausainetestit. Testauksen edellytykset ovat tarkat: testi voidaan vaatia esimerkiksi turvallisuuskriittisissä tehtävissä, ja 1.4.2019 voimaan tullut muutos täsmensi, miten testitulokset saa käsitellä ja kuinka pitkään niitä saa säilyttää.

4. Rekrytointivaiheen erityistiedot. Samat rajoitukset koskevat myös työnhakijoita, ei vain vakituista henkilöstöä.

Ammattilaisen vinkki: Rakenna sisäinen lista siitä, mitkä tietokentät kuuluvat “tarpeellinen” ja mitkä “kiva tietää” -kategoriaan. Jos kenttää ei osaa perustella työtehtävän kannalta, se pitää poistaa lomakkeelta kokonaan.

Tekninen valvonta ja viestintä: kameravalvonta, kulunvalvonta, paikannus ja sähköpostin hakeminen

Kameravalvontaa saa käyttää ainoastaan työntekijöiden turvallisuuden, omaisuuden suojan tai tuotantoprosessin valvonnan vuoksi. Tietosuojavaltuutetun käsikirja korostaa, että kameraa ei saa suunnata seuraamaan yksittäisen työntekijän suoritusta jatkuvasti, eikä valvontaa saa kohdistaa esimerkiksi taukotiloihin tai wc-tiloihin.

Sähköpostin hakeminen edellyttää läpinäkyvää menettelyä:

• Työnantajan on kerrottava etukäteen, missä tilanteissa ja kuka voi hakea työntekijän sähköpostiviestejä työntekijän poissa ollessa.

• Hakemiselle on oltava perusteltu syy, kuten liiketoiminnan jatkuvuuden turvaaminen.

• Kulunvalvonta- ja paikannustietoja saa kerätä vain siihen laajuuteen, joka on välttämätöntä turvallisuuden tai työn organisoinnin kannalta, ja ne on poistettava, kun tarve päättyy.

Minimointi ei ole vain juridinen muotoseikka. Se vähentää konkreettisesti sitä tietomäärää, joka voi vuotaa tai joutua väärin käsitellyksi, jos tietojärjestelmä murtuu.

Rekrytointi ja työhönotto: hyväksyttävät työnhakijatiedot ja ilmoitusvelvollisuudet

Rekrytoinnissa pätevät samat rajat kuin työsuhteen aikana, mutta HR joutuu soveltamaan niitä nopeasti ja usein kiireessä. Tietojen keruun perussääntö on selkeä: tiedot kerätään ensisijaisesti työnhakijalta itseltään, ei sivullisilta lähteillä ilman lupaa.

Käytännössä tämä tarkoittaa seuraavaa:

• Hakemuksessa ja haastattelussa kysytään vain tehtävän hoitamisen kannalta olennaisia asioita, kuten koulutusta, kokemusta ja teknistä osaamista.

• Jos tietoa hankitaan muualta, esimerkiksi entiseltä työnantajalta, hakijalle on ilmoitettava tästä etukäteen.

• Ennen kuin tietoa käytetään valintapäätökseen, hakijalla on oikeus tietää, mistä lähteestä tieto on peräisin ja oikaista virheellinen tieto.

GDPR-vaatimustenmukaisuus rekrytoinnissa rakentuu pitkälti näiden samojen periaatteiden varaan: dokumentoitu käsittelyperuste ja läpinäkyvä tiedonlähde suojaavat toimistoa jälkikäteisiltä valituksilta.

Työterveys ja tietojen luovutus: mitä lausuntoja työnantaja saa vastaanottaa

Työterveyshuolto ei koskaan luovuta työnantajalle diagnooseja tai muita yksityiskohtaisia potilastietoja ilman työntekijän nimenomaista suostumusta. KT:n ohjeistuksen mukaan työnantaja saa vastaanottaa vain lausunnon työkyvystä, esimerkiksi arvion siitä, soveltuuko työntekijä tiettyyn tehtävään tai tarvitaanko työjärjestelyjä.

HR:n käytännön vastuu on rajattu: tällaiset lausunnot tallennetaan erilliseen, pääsynhallinnaltaan rajattuun kansioon, eikä niitä jaeta laajemmin kuin päätöksenteko edellyttää. Lakisääteinen luovutus, esimerkiksi työtapaturmatilanteessa, on poikkeus, joka on syytä kirjata ylös erikseen.

Valvonta ja seuraamukset: mihin viranomaisiin ottaa yhteyttä ja työntekijän oikeusturva

Kaksi viranomaista valvoo lain noudattamista eri näkökulmista. Tietosuojavaltuutetun toimisto käsittelee henkilötietojen käsittelyyn liittyvät valitukset, kun taas työsuojeluviranomaiset valvovat työelämän yleistä lainmukaisuutta ja voivat puuttua esimerkiksi laittomaan valvontaan.

Työntekijällä on oikeus pyytää nähtäväkseen itseään koskevat tiedot, vaatia virheellisen tiedon korjaamista ja tehdä valitus, jos hän kokee tarpeellisuusvaatimuksen rikkoutuneen. Rikkomukset voivat johtaa hallinnollisiin seuraamuksiin ja GDPR:n puolella myös taloudellisiin sanktioihin, jos kyse on samalla tietosuoja-asetuksen rikkomisesta. Käytännössä useimmat tapaukset ratkeavat korjaavilla toimenpiteillä, mutta toistuva tai tahallinen laiminlyönti voi johtaa vakavampiin seuraamuksiin.

Käytännön toimet HR:lle: dokumentointi, minimointi, pääsynhallinta ja tietosuojavastaavan rooli

Lain noudattaminen ei ole kertaluonteinen projekti, vaan jatkuva prosessi. Seuraava tarkistuslista kannattaa käydä läpi vähintään vuosittain:

1. Käsittelyperuste ja säilytysaika. Kirjaa jokaiselle tietoryhmälle, miksi sitä kerätään ja milloin se poistetaan.

2. Roolipohjainen pääsynhallinta. Rajaa terveystietojen, luottotietojen ja testitulosten näkyvyys vain niille, jotka niitä työssään tarvitsevat.

3. Audit-lokit. Varmista, että jokainen tietueen katselu ja muokkaus jää jäljelle, jotta poikkeamat voidaan jäljittää.

4. Sisäinen koulutus. Esihenkilöille on syytä kertoa selkeästi, mitä he saavat kysyä ja mitä ei, jotta virheet eivät synny epätietoisuudesta.

Ammattilaisen vinkki: Nimeä yhteyshenkilö, joka vastaa tietosuojakysymyksiin sisäisesti. Ei tarvitse olla erillinen titteli, mutta jonkun on tiedettävä vastata, kun esihenkilö kysyy, saako hakijalta pyytää terveystietoja etukäteen.

Dokumentoinnin ei tarvitse olla raskasta. Riittää, että käsittelyperuste ja säilytysaika näkyvät samassa paikassa, mistä tieto itsessään löytyy.

Tiimin näkökulma: miten yhdistää laki ja toimintaprosessit rekrytoinnissa

Moni toimisto ostaa ensin teknologian ja miettii tietosuojan jälkikäteen. Se on väärä järjestys: dokumentointi ja minimointi pitää suunnitella ennen kuin mitään järjestelmää otetaan käyttöön, koska prosessi määrittää, mitä tietoa järjestelmän ylipäätään tarvitsee tallentaa. Audit-lokit ja anonymisointi eivät ole tekninen lisä, vaan tapa osoittaa jälkikäteen, että tarpeellisuusvaatimusta on noudatettu. Yhtä tärkeää on säännöllinen yhteistyö työterveyshuollon kanssa, jotta HR ei erehdy pyytämään enempää kuin lausunto työkyvystä edellyttää.

This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.

Lähteet

• Laki yksityisyyden suojasta työelämässä (759/2004) - Finlex

• Työelämän tietosuoja - Työ- ja elinkeinoministeriö (TEM)

• Tiedot terveydentilasta - KT

Usein kysytyt kysymykset

Mitä tietoja työnantaja saa kerätä työntekijästä?

Vain tietoja, jotka ovat välittömästi tarpeellisia työsuhteen kannalta, esimerkiksi työtehtävän edellyttämä koulutus, kokemus ja yhteystiedot. Terveys ja luottotiedot ovat sallittuja vain erikseen rajatuissa tilanteissa.

Mikä on tietosuojalaki työelämässä?

Työelämän tietosuoja perustuu lakiin yksityisyyden suojasta työelämässä (759/2004), joka on GDPR:ää täydentävä erityislaki. Se rajaa tarkemmin, mitä henkilötietoja työnantaja saa käsitellä työsuhteessa.

Saako työterveys antaa tietoja työnantajalle?

Työterveyshuolto voi antaa työnantajalle lausunnon työkyvystä, mutta ei diagnooseja tai muita potilastietoja ilman työntekijän suostumusta.

Mitä esimies ei saa kysyä työntekijältä tai hakijalta?

Esimies ei saa kysyä tietoja, jotka eivät liity suoraan työtehtävän hoitamiseen, esimerkiksi terveydentilaa, perhesuhteita tai poliittisia mielipiteitä, ellei niillä ole selkeää yhteyttä tehtävän vaatimuksiin.

Voiko työntekijän suostumus laajentaa tietojen käsittelyä?

Ei. Suostumus ei poista tarpeellisuusvaatimusta, joten työnantaja ei voi kerätä laajempaa tietoa vain sillä perusteella, että työntekijä on antanut luvan.

Suositukset

• Tietosuojakäytäntö

• Kolme askelta GDPR-vaatimustenmukaisuuteen – näin turvaat rekrytointisi