Sijaintitieto työssä: milloin työnantaja saa seurata sijaintia

Lyhyesti

• Sijainnin tallennus on teknisin menetelmin toteutettua valvontaa, joten käyttöönottoa edeltää vuoropuhelu tai kuuleminen ja tiedottaminen (21 §).
• Vain välittömästi työsuhteen kannalta tarpeellista sijaintitietoa saa kerätä, eikä työntekijän suostumus laajenna sitä (3 §).
• Käyttötarkoitus nimetään ensin ja tarkkuustaso johdetaan siitä: työkohde, sijaintialue, koordinaatti tai jatkuvasti tallentuva reitti.
• Sijaintitiedon säilytysaika päätetään erikseen työaikakirjanpidon säilytysajasta; poiston kohde on sijainti, ei työaikamerkintä.

Sijaintitieto on henkilötietoa, kun se voidaan yhdistää työntekijään. Määrittele ennen käyttöönottoa, mihin tietoa tarvitaan, millä oikeusperusteella sitä käsitellään ja kuinka tarkka tieto riittää. Työelämän tietosuojasäännöt edellyttävät lisäksi tarpeellisuuden arviointia, asianmukaista henkilöstömenettelyä ja tiedottamista.

Sijainnin tallennus on teknisin menetelmin toteutettua valvontaa

Yksityisyyden suojasta työelämässä annetun lain 21 § nimeää kolme muotoa: kameravalvonnan, kulunvalvonnan ja muun teknisin menetelmin toteutetun valvonnan. Sijainnin lukeminen työntekijän puhelimesta, leimauslaitteesta tai työajoneuvosta kuuluu kolmanteen ryhmään riippumatta siitä, kuinka karkeaa tietoa tallennetaan. Tästä seuraa kolme velvoitetta, jotka ovat samat pienelle ja suurelle työnantajalle: menettely ennen päätöstä, valvonnan käyttötarkoituksen ja menetelmien määrittely sekä tiedottaminen henkilöstölle.

Lain 3 § rajaa käsittelyn työsuhteen kannalta välittömästi tarpeellisiin tietoihin. Lain 21 § puolestaan koskee valvonnan henkilöstömenettelyä ja tiedottamista. Näiden rinnalla arvioidaan tietosuoja-asetuksen mukainen käsittelyperuste sekä keruutavan muut vaatimukset.

Tarpeellisuus ja käsittelyperuste arvioidaan erikseen

Lain 3 §:n mukaan työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Sijainnin osalta tämä tarkoittaa, että käyttötarkoitus nimetään ensin ja tiedon tarkkuus johdetaan siitä. Työaikakirjauksen todentaminen, käynnin kuittaaminen asiakkaan kohteessa ja kilometrikorvauksen peruste ovat kaikki työsuhteen oikeuksien ja velvollisuuksien hoitamista. Yleinen kiinnostus siihen, missä henkilöstö liikkuu, on eri asia.

Suostumus ei korvaa tarpeellisuutta. Työntekijän suostumus ei oikeuta keräämään työsuhteen kannalta tarpeetonta tietoa (3 §). Tarpeellisuus ei puolestaan yksin ole tietosuoja-asetuksen mukainen käsittelyperuste. Tarkista erikseen käsittelyperuste sekä tiedon keruutapaan liittyvät suostumus- ja tiedottamisvaatimukset. Puhelimen sijaintilupa on tekninen käyttöoikeus, ei työnantajan tietosuojavelvoitteiden ratkaisu.

Tarpeellisuuden arviointi kannattaa tehdä käyttötarkoitus kerrallaan ja kirjata muistiin, koska sama arvio tarvitaan uudelleen kahdessa tilanteessa: kun työntekijä kysyy perustetta ja kun järjestelmää laajennetaan uuteen ryhmään. Jälkimmäinen on tavallisin kohta, jossa alun perin rajattu käytäntö leviää: asentajille perusteltu taso otetaan käyttöön myös myyjille, joiden työssä sama peruste ei päde.

Tarkkuustasot eroavat sen mukaan, mitä niillä voi todeta

Sijaintitiedon tasot muodostavat portaikon, jossa jokainen askel lisää sekä todistusarvoa että työntekijästä syntyvää kuvaa. Kolme ensimmäistä tasoa ovat hetkellisiä havaintoja, kaksi viimeistä kuvaavat liikkumista ajan yli.

Portaikon alin taso jää usein harkitsematta: työkohde kirjataan valintana tai kohteeseen kiinnitetystä tunnuksesta luettuna, ja sijainti jää lukematta. Se riittää kustannusten kohdistamiseen ja raportointiin, jotka ovat tavallisimmat syyt koko keskustelun aloittamiseen.

Ylin taso eroaa muista laadullisesti. Hetkellinen havainto kertoo yhden tapahtuman, jatkuva jälki kertoo päivän kulun: milloin tauko pidettiin, missä se pidettiin ja kuinka kauan matka kesti. Sen käyttöönotto vaatii käyttötarkoituksen, joka kestää saman tarkastelun kuin mikä tahansa muu valvonta, ja tietosuoja-asetuksen mukainen vaikutustenarviointi on laajamittaisessa seurannassa tavanomainen työvaihe.

Esimerkki: neljä käyttötarkoitusta ja niiden vaatima sijaintitieto

Taulukko havainnollistaa erilaisia käyttötarkoituksia. Se ei ole luettelo automaattisesti sallituista seurannoista: arvioi tarpeellisuus, oikeusperuste ja riittävä tarkkuus omassa työssä. Rajaa katseluoikeudet tehtävien mukaan.

Turvallisuuskäytössä nimeä hälytyksen vastaanottajat ja varahenkilöt. Myös muiden käyttötarkoitusten katseluoikeudet rajataan niitä tarvitseville. Tekninen mahdollisuus nähdä sijainti ei itsessään anna oikeutta käyttää tietoa muuhun tarkoitukseen.

Ajopäiväkirja tarkoittaa kahta eri asiaa. Työaikalain 31 §:n henkilökohtainen ajopäiväkirja on moottoriajoneuvon kuljettajan työ- ja lepoaikojen seurantaa varten, ja siihen merkitään työn, lepojen ja taukojen alkamis- ja päättymisajat. Verotuksen puolella kilometrikorvauksen peruste on matkalasku, josta ennakkoperintäasetuksen 17 §:n mukaan käyvät ilmi matkan tarkoitus, kohde, tarvittaessa matkareitti, matkustamistapa sekä matkan alkamis- ja päättymisajankohdat, ja kilometrikorvauksissa lisäksi kilometrimäärät ja yksikköhinnat. Molemmat täyttyvät kirjatuilla tiedoilla.

Rajaa seuranta perusteltuun käyttötarkoitukseen

Yksityistä liikkumista ei pidä tallentaa työnantajan seurantaan. Työajan raja ei kuitenkaan yksin ratkaise kaikkia tilanteita: esimerkiksi korvattavan työmatkan tiedot voivat olla tarpeen, vaikka matkustamisaikaa ei luettaisi työajaksi. Arvioi jokainen käyttötarkoitus erikseen ja estä siihen kuulumattoman sijainnin tallentuminen.

Käytännössä rajaus on tekninen päätös, ei ohje. Kolme kohtaa, joissa se joko toteutuu tai jää toteutumatta:

• Sovelluksen sijaintilupa. Lupa määrittää, milloin sovellus saa käyttää sijaintia. Sovelluksen toteutus ratkaisee, milloin sijaintia todella luetaan ja tallennetaan. Varmista erikseen, että kerääminen päättyy sovitusti; pelkkä luvan nimi ei takaa tätä.
• Ajoneuvon paikannuslaite. Työajon ja yksityisajon erottelu tehdään laitteessa, koska kirjatun työvuoron ulkopuolinen jälki ei palvele mitään nimettyä käyttötarkoitusta.
• Vuoron päättyminen. Kun leimaus tai vuoro päättyy, sijainnin lukeminen päättyy samalla tapahtumalla, ei erillisellä muistutuksella työntekijälle.

Tavallinen kodin ja varsinaisen työpaikan välinen matka on yleensä omaa aikaa. Muun matkustamisen työaikaluonne ratkaistaan työaikalain 3 §:n ja työn todellisten olosuhteiden perusteella. Erota työajan kirjaaminen, matkakulujen korvaaminen ja sijaintitiedon käsittely toisistaan.

Yhteistoiminta ja tiedottaminen ennen käyttöönottoa

Tekninen valvonta käsitellään ennen päätöstä työnantajaan sovellettavan yhteistoimintalain mukaisesti. Yrityksissä, joissa on 20–49 työntekijää, vuoropuhelua koskevat kevennetyt säännöt. Valtiolla, kunnissa ja muilla julkisilla työnantajilla sovelletaan niiden omia yhteistoimintasäännöksiä. Yhteistoimintalainsäädännön ulkopuolella työntekijöille tai heidän edustajilleen on varattava tilaisuus tulla kuulluiksi (työelämän tietosuojalaki 21 §).

Menettelyn jälkeen työnantajan on 21 §:n mukaan määriteltävä valvonnan käyttötarkoitus ja siinä käytettävät menetelmät sekä tiedotettava työntekijöille valvonnan tarkoituksesta, käyttöönotosta ja menetelmistä. Aikajanalla tämä on kolme erillistä tapahtumaa, joista jokaisesta jää oma merkintänsä: kuuleminen tai vuoropuhelu, päätös määrittelyineen ja tiedote. Saman lain 4 §:n mukaan henkilötietojen kerääminen työhön otettaessa ja työsuhteen aikana on käsiteltävä yhteistoimintalaissa tarkoitetussa vuoropuhelussa, joten sijaintitiedon käyttöönotto kuuluu asialistalle myös tällä perusteella.

Lain 23 § velvoittaa työnantajan pitämään yksityisyyden suojasta työelämässä annetun lain työntekijöiden nähtävillä työpaikoilla. Sama paikka on luonteva myös sijaintikäytännölle: kirjattu käytäntö löytyy silloin sieltä, mistä työntekijä sitä etsii.

Esimerkki: tiedotteen runko työntekijöille

Tiedote vastaa niihin kysymyksiin, jotka työntekijä muuten esittää esihenkilölleen yksi kerrallaan. Järjestys on tarkoituksellinen: peruste ensin, sitten laajuus, lopuksi oikeudet.

1. Mihin sijaintia käytetään. Yksi lause käyttötarkoitusta kohti, ja jokaisen perässä se, mitä tapahtuu, jos sijaintia ei ole saatavilla.
2. Mitä tallennetaan ja millä tarkkuudella. Työkohteen nimi, työpaikalla tai ei, koordinaatti tai reitti; taso nimetään sellaisena kuin se on.
3. Milloin sijainti luetaan. Tapahtuma, joka lukemisen käynnistää (leimaus, käynnin aloitus, matkakirjaus) ja aikaväli, jolla se tapahtuu.
4. Keitä käytäntö koskee. Tehtävät tai ryhmät, joissa taso on käytössä, ja millä laitteilla.
5. Kuka näkee sijainnin. Roolit nimeltä, ja se, mitä kukin rooli näkee.
6. Kuinka kauan sijainti säilyy. Säilytysaika ja se, mikä tiedosta jää jäljelle sen päätyttyä.
7. Miten virheellinen sijainti korjataan. Kenelle ilmoitetaan, missä ajassa korjaus tehdään ja miten korjaus näkyy hyväksyjälle.
8. Miten omat tiedot saa nähtäväksi. Kenelle pyyntö osoitetaan ja missä ajassa siihen vastataan.
9. Mistä käytäntö löytyy ja milloin se tulee voimaan. Voimaantulopäivä ja paikka, jossa kirjattu käytäntö on luettavissa.

Uudet työntekijät saavat saman tiedon perehdytyksessä, ja tason muutos on aina oma tiedotteensa. Tason nostaminen kesken käytön palaa 21 §:n menettelyyn: uusi menetelmä tarkoittaa uutta kuulemista tai vuoropuhelua.

Säilytysaika päätetään erikseen työaikakirjanpidosta

Säilytä henkilötietoa vain niin kauan kuin perusteltu käyttötarkoitus ja sovellettavat velvoitteet edellyttävät. Sijaintitiedolle ei ole yhtä kaikkiin tilanteisiin sopivaa säilytysaikaa. Arvioi erikseen esimerkiksi käynnin todentaminen, matkalaskun peruste ja mahdollinen oikeusvaade.

Raaka sijaintihistoria ja siitä muodostettu työaika- tai matkalaskumerkintä voivat tarvita eri säilytysajat. Älä säilytä koko reittiä automaattisesti yhtä kauan kuin lakisääteistä tositetta. Määritä säilytys käyttötarkoituksen, tarpeellisuuden ja mahdollisten säilytysvelvoitteiden mukaan.

Poisto kannattaa toteuttaa automaattisena, koska käsin tehtävä siivous jää tekemättä ensimmäisenä kiireisenä kuukautena. Poiston kohde on sijainti, ei työaikamerkintä: leimauksen kellonajat jäävät kirjanpitoon, ja niiden vierestä poistuu tieto siitä, missä leimaus tehtiin.

Työntekijä saa nähdä omat sijaintitietonsa

Lain 4 §:n mukaan työnantajan on kerättävä työntekijää koskevat henkilötiedot ensi sijassa työntekijältä itseltään, ja rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle tietoja sekä rekisteröidyn oikeudesta saada pääsy tietoihin säädetään tietosuoja-asetuksessa. Jos sijaintitietoa kerätään muualta kuin työntekijältä itseltään, esimerkiksi ajoneuvon paikannusjärjestelmästä tai kaluston vuokranantajalta, keräämiseen tarvitaan työntekijän suostumus, ja saaduista tiedoista on ilmoitettava hänelle ennen kuin niitä käytetään häntä koskevassa päätöksenteossa. Suostumus koskee tässä tiedon lähdettä; se, mikä tieto on tarpeellista, ratkeaa edelleen 3 §:n mukaan. Tämä on se kohta, jossa sijaintitieto tyypillisesti muuttuu riidaksi: jälki on olemassa kolmannen osapuolen järjestelmässä, ja se otetaan käyttöön vasta silloin, kun jotakin on tapahtunut.

Työaikapuolella oikeus on täsmällisempi. Työaikalain 32 §:n mukaan työntekijällä on pyynnöstään oikeus saada kirjallinen selvitys työvuoroluetteloiden ja työaikakirjanpidon häntä koskevista merkinnöistä, ja työnantajan on pyydettäessä toimitettava jäljennös työaikakirjanpidosta työsuojeluviranomaiselle ja työntekijää edustavalle luottamusmiehelle, luottamusvaltuutetulle tai muulle edustajalle. Kun sijainti on kiinnitetty leimaukseen, se on osa sitä merkintää, jota selvitys koskee.

Vastaamisen tapa kannattaa kokeilla ennen ensimmäistä pyyntöä: kuka kokoaa yhden henkilön sijaintimerkinnät, missä muodossa ne annetaan ja kuinka kauan se kestää. Luettelo, jossa on ajankohta, tallennettu taso ja kohde, on ymmärrettävä myös sille, joka näkee tietonsa ensimmäistä kertaa.

Tarkistuslista

Ennen kuin otat sijaintitiedon käyttöön:

• Käyttötarkoitukset on kirjoitettu auki, yksi lause kutakin kohti, ja jokaiselle on nimetty se päätös tai velvoite, jota tieto palvelee.
• Jokaiselle tarkoitukselle on valittu karkein taso, jolla tarkoitus täyttyy, ja valinta on perusteltu kirjallisesti.
• Tarpeellisuus ja oikeusperuste on arvioitu erikseen. Suostumus ei korvaa tarpeellisuutta, eikä tarpeellisuus yksin riitä käsittelyperusteeksi.
• Tiedon lähde on tiedossa. Työntekijältä itseltään kerättävä tieto erotetaan ulkopuolisesta järjestelmästä saatavasta, jota koskee 4 §:n suostumus- ja ilmoitusvelvollisuus.
• Kuuleminen tai vuoropuhelu on pidetty ennen päätöstä ja kirjattu osallistujineen ja päivämäärineen (21 §).
• Käyttötarkoitus ja menetelmät on määritelty päätöksen jälkeen ja tiedote on lähetetty kaikille, joita käytäntö koskee.
• Seuranta rajoittuu perusteltuun käyttöön. Yksityinen liikkuminen jää ulkopuolelle. Työmatkojen tallennus ja vuoron aikainen seuranta arvioidaan erikseen.
• Katseluoikeudet on nimetty rooleittain ja jokaisesta roolista tiedetään, mitä se näkee.
• Säilytysaika on päätetty erikseen työaikakirjanpidon säilytysajasta, ja poisto tapahtuu itsestään ilman erillistä toimenpidettä.
• Virheellisen sijainnin korjaustapa on kuvattu ja korjauksesta jää merkintä.
• Tietopyyntöön vastaaminen on kokeiltu yhdellä henkilöllä: kuka kokoaa, missä muodossa ja missä ajassa (32 §).
• Laki yksityisyyden suojasta työelämässä on työntekijöiden nähtävillä työpaikalla, ja sijaintikäytäntö on samassa paikassa (23 §).