Työelämän tietosuojalaki: työntekijän henkilötietojen keräämisen pelisäännöt muuttumassa

Voimassa olevan työelämän tietosuojalain 4 §:n mukaan työnhakijan ja työntekijän henkilötiedot tulee kerätä ensisijaisesti henkilöltä itseltään. Jos henkilötietoja kerätään muista lähteistä, työnantajan tulee lähtökohtaisesti hankkia henkilön suostumus. Suostumusta ei kuitenkaan tarvita, jos viranomainen luovuttaa työnantajalle henkilötietoja sellaisen tehtävän suorittamiseksi, joka on laissa säädetty työnantajan tehtäväksi, tai jos henkilötietojen keräämisestä tai saamisesta on nimenomaisesti säädetty laissa.

Työntekijän henkilötietojen kerääminen muista lähteistä kuin työntekijältä itseltään työsuhteen aikana helpottuisi

Edellä mainittua säännöstä on ehdotettu muutettavaksi työsuhteen voimassaoloaikana kerättävien työntekijän henkilötietojen osalta. Jatkossa henkilötietojen kerääminen olisi mahdollista ilman työntekijän suostumusta silloin, kun se on tarpeen työnantajalle laissa säädettyjen oikeuksien ja velvollisuuksien toteuttamiseksi, esimerkiksi työnantajan työn johto- ja valvontaoikeuden käyttämiseksi.

Toinen poikkeus työntekijän suostumusta koskevasta vaatimuksesta olisi jatkossakin tilanne, jossa henkilötietojen käsittelystä säädetään muualla lainsäädännössä toisin. Säännöksessä ei kuitenkaan enää edellytettäisi, että henkilötietojen luovuttajana on viranomainen.

Lisäksi lakimuutoksessa täsmennettäisiin, että suostumuksella tarkoitetaan tietosuoja-asetuksen mukaista suostumusta. Lakimuutoksen tavoitteena on muun muassa selkeyttää sääntelyä ja sovittaa yhteen yhtäältä työntekijöiden yksityisyyden suoja ja toisaalta työnantajien lainsäädäntöön perustuvat tarpeet kerätä työntekijöiden henkilötietoja.

Lakimuutosta on käsitelty eduskunnan työelämä- ja tasa-arvovaliokunnassa, ja asiasta on järjestetty asiantuntijakuulemisia. Käsittely jatkunee syysistuntokaudella, kun eduskunnan istuntotauko päättyy.

Nykyinen lainsäädäntö on aiheuttanut haasteita työnantajalle

Työnhakijoiden ja työntekijöiden henkilötietoja käsitellessään työnantajan tulee huomioida tietosuoja-asetuksen lisäksi myös muu tietosuojalainsäädäntö, kuten työelämän tietosuojalaki. Työelämän tietosuojalaissa rajataan edellä kuvatuin poikkeuksin työnantajan mahdollisuuksia kerätä työnhaun tai työsuhteen kannalta tarpeellisia henkilötietoja muista lähteistä kuin suoraan henkilöltä itseltään ilman tämän antamaa suostumusta.

Tällä hetkellä tällainen henkilötietojen kerääminen on sallittua vain silloin, jos viranomainen luovuttaa työnantajalle henkilötietoja sellaisen tehtävän suorittamiseksi, joka on laissa säädetty työnantajan tehtäväksi, tai jos tällaisesta henkilötietojen käsittelystä on laissa nimenomaisesti säädetty.

Käytännössä erityisesti työntekijöiden henkilötietoja on kuitenkin kerätty myös muista lähteistä ilman suostumusta. Tämä on osin perustunut tietosuojavaltuutetun vakiintuneeseen tulkintakäytäntöön, kun kyse on ollut työntekijän luotettavuuden selvittämisestä tai siihen rinnastuvista syistä ja henkilötietojen kerääminen on tapahtunut työnantajan työnjohto- ja valvontaoikeuden puitteissa. Esimerkkejä tällaisista tilanteista ovat esimerkiksi työntekijää koskevien asiakaspalautteiden käsittely tai työntekijän työsuorituksen arviointi koeaikana.

Työnantajilla on tietyissä tilanteissa tarve kerätä henkilötietoja ilman suostumusta

Henkilötietojen keräämistä koskevan suostumusvaatimuksen tavoitteena on ollut edistää muun muassa henkilötietojen käsittelyn läpinäkyvyyttä sekä työnhakijan ja työntekijän oikeutta tulla arvioiduksi oikeiden ja luotettavien tietojen valossa.

Käytännössä suostumusta koskevan vaatimuksen tiukka noudattaminen ei kuitenkaan anna työnantajalle mahdollisuutta käsitellä työntekijöiden henkilötietoja kaikissa niissä työelämän tilanteissa, joissa henkilötietojen keräämiselle muualta kuin työntekijältä itseltään ja ilman hänen suostumustaan on perusteltu tarve.

Lainsäädäntö esimerkiksi asettaa työnantajalle useita velvollisuuksia, joiden noudattamiseksi työnantajan voi olla välttämätöntä kerätä työntekijän henkilötietoja myös ilman työntekijän suostumusta. Lainsäädännössä ei kuitenkaan tavallisesti nimenomaisesti anneta työnantajalle oikeutta kerätä työnantajan velvollisuuksien toteuttamiseksi tarvittavia henkilötietoja muualta kuin työntekijältä itseltään. Esimerkiksi työturvallisuuslaissa työnantajalle asetetaan useita työturvallisuusvelvoitteita. Työnantajan tulee muun muassa välittömästi puuttua työpaikalla ilmenevään epäasialliseen kohteluun. Käytännössä tällaisten asioiden selvittäminen ja niihin puuttuminen monessa tapauksessa edellyttää, että työnantaja kerää työntekijöiden henkilötietoja myös muista lähteistä kuin työntekijältä itseltään. Työturvallisuuslaissa ei kuitenkaan nimenomaisesti säädetä henkilötietojen keräämisestä tällaisissa tilanteissa. On kuitenkin selvää, että näissä tilanteissa lainsäädännön tarkoituksena ei ole ollut, että työntekijän suostumus asetetaan työnantajan lakisääteisten velvoitteiden noudattamiseksi tarpeellisen henkilötietojen keräämisen ehdoksi.

Suostumuksen käyttö työsuhteessa

Suostumuksen käyttäminen työntekijän henkilötietojen käsittelyssä on ylipäätään haasteellista, kun huomioidaan tietosuoja-asetuksessa säännellyt pätevän suostumuksen edellytykset sekä työnantajan ja työntekijän asema.

Tietosuoja-asetuksen mukaan pätevältä suostumukselta edellytetään muun muassa, että se on annettu vapaaehtoisesti. Henkilöllä on toisin sanoen oltava aito mahdollisuus kieltäytyä suostumuksen antamisesta, eikä suostumuksen antamatta jättämisestä tai sen peruuttamisesta saa seurata henkilölle negatiivisia vaikutuksia.

Työntekijällä tulee siis olla tosiasiallinen mahdollisuus kieltäytyä suostumuksen antamisesta. Käytännössä työnantajan tarve käsitellä henkilötietoja ei kuitenkaan yleensä poistu, vaikka työntekijä ei antaisi suostumusta tai peruuttaisi aiemmin antamansa suostumuksen. Työsuhteessa myös vallitsee tietynlainen epätasapaino työnantajan ja työntekijän välillä, eikä työntekijä siten välttämättä tosiasiassa voi kieltäytyä suostumuksen antamisesta ilman seuraamuksia.

Lisäksi suostumuksen hankkiminen ei ole kaikissa työelämän tilanteissa tarkoituksenmukaista tai mahdollistakaan. Ei ole perusteltua edellyttää työnantajalta, että esimerkiksi työntekijää koskevien kulunvalvontatietojen käsittelyyn hankittaisiin asianomaiselta työntekijältä suostumus, vaan tällaisten henkilötietojen käsittelyn on oltava mahdollista ilman suostumustakin. Tämä myös vastaa työelämässä yleisesti hyväksyttyjä käytänteitä. Lakimuutos on näin ollen tarpeellinen ja perusteltu.

Muut henkilötietojen käsittelyn pääsäännöt säilyvät ennallaan

Lakimuutos koskisi vain työsuhteen aikana käsiteltäviä henkilötietoja. Jatkossakin tarpeelliset työnhakijan henkilötiedot tulisi kerätä vain työnhakijalta itseltään, ellei laki tai työhakijan antama erillinen suostumus poikkeuksellisesti anna oikeutta kerätä henkilötietoja muista lähteistä.

Lisäksi tietosuoja-asetuksen edellytykset ja työelämän tietosuojalain tarpeellisuusvaatimus sekä muut erityissäännökset määrittäisivät jatkossakin sen, mitä henkilötietoja työnantaja voi ylipäätään käsitellä. Tarpeellisuusvaatimuksesta ei voisi jatkossakaan poiketa edes työnhakijan tai työntekijän suostumuksella. Lisäksi esimerkiksi työntekijän terveydentilatietojen kerääminen muualta kuin työntekijältä itseltään olisi jatkossakin mahdollista vain työntekijän kirjallisella suostumuksella ja vain työelämän tietosuojalaissa erikseen säänneltyjä tarkoituksia varten.

Mitä muutos edellyttää työnantajalta?

Lakimuutoksen myötä työnantajien on suositeltavaa tarkastaa nykyiset käytännöt työntekijöiden henkilötietojen keräämisen osalta. Lisäksi henkilötietojen käsittelyä kuvaavat dokumentit, kuten työntekijöitä koskeva tietosuojaseloste, tulisi tarpeen mukaan päivittää. Jos tietoja kerätään edelleen suostumuksen nojalla, on varmistettava, että suostumuksen pyytämiseen käytettävä menettely ja dokumentaatio täyttää tietosuojalainsäädännön vaatimukset.

Työ- ja elinkeinoministeriön tiedote ehdotuksesta työelämän tietosuojalain muuttamiseksi

Hallituksen esitys HE 35/2022 vp

Kuu31Touko5