Työntekijän henkilötiedot: mitä saa kerätä ja kuinka kauan säilyttää

Työnantaja saa käsitellä vain työsuhteen kannalta välittömästi tarpeellisia henkilötietoja. Tiedoille määritellään käyttötarkoitus, käyttöoikeudet ja säilytysaika. Osa aineistosta, kuten työaikakirjanpito, on säilytettävä myös työsuhteen päättymisen jälkeen.

Tarpeellisuusvaatimus rajaa kokoelman

Lain 3 §:n mukaan tarpeellisia ovat tiedot, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Tieto on siis perusteltava tehtävällä tai velvoitteella, ei sillä, että se on saatavilla tai että siitä voisi joskus olla hyötyä.

Käytännön testi on kenttäkohtainen. Jokaisen kentän viereen merkitään se työnantajan oikeus tai velvollisuus, jota kenttä palvelee: palkanmaksu, työvuorosuunnittelu, työaikakirjanpito, työturvallisuus tai kelpoisuuden osoittaminen viranomaiselle. Kenttä, jonka viereen ei tule mitään, kuuluu pois lomakkeelta ennen kuin se ehtii rekisteriin.

Suostumus ei oikeuta keräämään tarpeetonta tietoa. Työelämän tietosuojalain 3 §:n tarpeellisuusvaatimusta ei voi ohittaa työntekijän suostumuksella. Arvioi lisäksi tietosuoja-asetuksen mukainen käsittelyperuste sekä 4 ja 5 §:n edellytykset tiedon hankkimiselle ja terveydentilatietojen käsittelylle.

Tiedot kysytään työntekijältä itseltään

Työnantajan on kerättävä työntekijää koskevat henkilötiedot ensi sijassa työntekijältä itseltään (4 §). Muualta hankkimiseen tarvitaan työntekijän suostumus; poikkeuksena ovat viranomaisen lakisääteinen luovutus ja tilanteet, joissa keräämisestä on erikseen laissa säädetty.

Sama pykälä asettaa kaksi tiedonantovelvollisuutta, jotka osuvat eri hetkiin. Ennen kuin tietoja hankitaan työntekijän luotettavuuden selvittämistä varten, työnantajan on ilmoitettava siitä työntekijälle etukäteen. Jos taas tietoja on kerätty muualta kuin työntekijältä itseltään, työnantajan on kerrottava saamistaan tiedoista työntekijälle ennen kuin niitä käytetään häntä koskevassa päätöksenteossa. Jälkimmäinen koskee myös suullisia lähteitä, kuten aiemmalta työnantajalta puhelimessa saatua arviota.

Työhön otettaessa tämä tarkoittaa, että tiedot kysytään ensin henkilöltä itseltään ja taustalähteitä käytetään vasta hänen tietensä. Työsuhteen aikana se tarkoittaa, että esihenkilön muistiinpano toisen kertomasta on henkilötietoa siinä missä lomakkeen kenttäkin, jos se päätyy rekisteriin ja vaikuttaa päätökseen.

Terveydentilatiedoilla on oma menettelynsä

Terveydentilaa koskevien tietojen käsittely poikkeaa 5 §:n nojalla muusta henkilötietojen käsittelystä neljällä tavalla.

Peruste. Lain 5 § sallii terveydentilatietojen käsittelyn tietyin edellytyksin esimerkiksi sairausajan palkan maksamista tai poissaolon perusteen selvittämistä varten. Tiedot kerätään työntekijältä tai hänen kirjallisella suostumuksellaan muualta. Tarvittavat tiedot arvioidaan käyttötarkoituksen mukaan: pelkkä poissaolon ajankohta ei aina riitä sairausajan palkan perusteen arviointiin, mutta diagnoosia ei myöskään kerätä varmuuden vuoksi.

Nimetyt käsittelijät. Terveydentilatietoja saavat käsitellä vain ne henkilöt, jotka näiden tietojen perusteella valmistelevat tai tekevät työsuhdetta koskevia päätöksiä taikka panevat niitä toimeen. Työnantajan on nimettävä nämä henkilöt tai määriteltävä tehtävät, joihin käsittely kuuluu. Nimeäminen on kirjattava ylös, koska se on osoitettava jälkikäteen.

Erillään säilyttäminen. Hallussa olevat terveydentilatiedot on säilytettävä erillään muista kerätyistä henkilötiedoista. Erillisyys toteutuu joko omana rekisterinään tai pääsynhallintana, joka rajaa nämä tiedot nimetyille käsittelijöille silloinkin, kun ne ovat samassa järjestelmässä muun henkilöstötiedon kanssa.

Poisto ja määräaikainen arviointi. Terveydentilatiedot on poistettava välittömästi sen jälkeen, kun käsittelylle ei ole enää 5 §:ssä tarkoitettua perustetta. Käsittelyn perustetta ja tarvetta on lisäksi arvioitava vähintään viiden vuoden välein. Arviointi on oma toimenpiteensä, jonka ajankohta ja lopputulos kannattaa kirjata: viiden vuoden kuluttua kukaan ei muista, kenen sairauspoissaolotiedot jäivät järjestelmään ja millä perusteella.

Tekninen valvonta on erillinen menettely

Jos henkilötietoa syntyy teknisin menetelmin toteutetusta valvonnasta, kuten kulunvalvonnasta, kameravalvonnasta tai leimauslaitteesta, valvonnan tarkoitus, käyttöönotto ja menetelmät kuuluvat 21 §:n mukaan yhteistoimintalaissa tarkoitetun vuoropuhelun piiriin. Menettelyn jälkeen työnantaja määrittelee valvonnan käyttötarkoituksen ja menetelmät sekä tiedottaa niistä työntekijöille. Järjestys ja se, mitä tiedotteeseen kirjoitetaan, käydään läpi oppaassa Työajanseurannan käyttöönotto.

Tietosuoja-asetus antaa työntekijälle oikeudet omiin tietoihinsa

Työnantaja on henkilöstörekisterin rekisterinpitäjä, ja tietosuoja-asetuksen yleiset periaatteet koskevat sitä täysimääräisesti. Neljä niistä näkyy henkilöstöhallinnon arjessa suoraan.

Työntekijälle on kerrottava, mitä tietoja hänestä käsitellään, mihin tarkoitukseen ja kuinka kauan. Työntekijällä on oikeus saada pääsy omiin tietoihinsa, eli pyynnöstä hänelle on toimitettava hänestä tallennetut tiedot; pyyntöön vastataan myös voimassa olevan työsuhteen aikana. Virheellinen tieto on oikaistava, ja oikaisu kannattaa tehdä siihen järjestelmään, josta tieto kopioituu muualle. Säilytyksen rajoittaminen tarkoittaa, että tunnistettavassa muodossa olevaa tietoa säilytetään vain niin kauan kuin käyttötarkoitus vaatii – tästä syystä säilytysaika on määriteltävä tietoryhmittäin eikä rekisterille kokonaisuutena.

Lakisääteiset säilytysajat pitävät osan aineistosta

Osalla henkilöstöaineistoa on oma säilytysvelvoitteensa, joka on riippumaton työnantajan omista käytännöistä. Nämä ajat ovat vähimmäisaikoja: tieto on säilytettävä vähintään näin kauan, ja sen jälkeen sitä säilytetään vain, jos säilyttämiselle on peruste.

Työaikakirjanpidon merkinnät, kirjaustavat ja säilytys käydään läpi omassa oppaassaan Työaikakirjanpito. Vuosilomakirjanpidosta on 29 §:n mukaan käytävä ilmi vuosilomien pituudet ja ajankohdat, lisävapaapäivien määrä ja ajankohdat sekä palkkojen ja korvausten suuruus ja määräytymisen perusteet, ja se on vaadittaessa näytettävä työsuojelutarkastuksen toimittajalle sekä luottamusmiehelle, luottamusvaltuutetulle tai työsuojeluvaltuutetulle. Ilmoituskanavan ilmoituksista 29 § edellyttää lisäksi, että henkilötiedot, joilla ei selvästi ole merkitystä ilmoituksen käsittelyn kannalta, poistetaan ilman aiheetonta viivytystä.

Yhteistoiminta ja tiedottaminen

Henkilötietojen kerääminen työhön otettaessa ja työsuhteen aikana on käsiteltävä yhteistoimintalaissa tarkoitetussa vuoropuhelussa (4 §). Vuoropuhelu koskee menettelyä, ei yksittäistä työntekijää: mitä tietoja kerätään, mistä lähteistä ja mihin tarkoitukseen. Kun rekisterin sisältöä muutetaan – uusi lomakekenttä, uusi tietolähde, uusi järjestelmä – asia kuuluu vuoropuheluun ennen käyttöönottoa.

Yhteistoimintalain vuoropuhelu koskee yrityksiä, joissa on säännöllisesti vähintään 20 työntekijää; 20–49 työntekijän yrityksissä se käydään lain 7 a §:n kevennetyssä muodossa. Tätä pienemmissä yrityksissä vuoropuheluvelvoitetta ei ole, mutta teknisin menetelmin toteutetusta valvonnasta työnantajan on 21 §:n mukaan varattava työntekijöille tai heidän edustajilleen tilaisuus tulla kuulluiksi ennen päätöksentekoa. Tiedottamisvelvollisuus valvonnan tarkoituksesta, käyttöönotosta ja menetelmistä koskee molempia.

Yksityisyyden suojasta työelämässä annettu laki on 23 §:n mukaan pidettävä työntekijöiden nähtävillä työpaikoilla. Sama paikka, jossa työaikalaki ja työvuoroluettelo ovat saatavilla, käy tähänkin.

Työsuhteen päättyessä aineisto jakautuu kahtia

Päättymispäivä on hyvä hetki käydä rekisteri läpi, koska osa käsittelyperusteista päättyy samana päivänä ja osa jatkuu vuosia. Kolme ryhmää erottuvat toisistaan.

1. Poistuu, kun peruste päättyy. Käyttöoikeudet ja tunnisteet, kulkuluvat, yhteystiedot hälytyslistoilla, lähiomaisen tiedot, ajoneuvo- ja kalustokohdistukset sekä terveydentilatiedot, joiden peruste päättyi jo ennen työsuhteen loppua. Näiden säilyttämiselle ei ole enää tarkoitusta, ja 5 § vaatii terveydentilatietojen osalta poiston välittömästi.
2. Säilyy määräajan lakisääteisenä aineistona. Työaikakirjanpito, vuosilomakirjanpito, palkanlaskennan tositteet ja muu kirjanpitoaineisto sekä sisäisen ilmoituskanavan ilmoitukset yllä olevan taulukon mukaisesti. Näitä ei poisteta pyynnöstä kesken säilytysajan, koska ne ovat juuri sitä aineistoa, jolla työntekijän oma saatava selvitetään.
3. Säilyy perusteltua tarkoitusta varten. Työsopimus, työnteon ehdot ja päättämisasiakirjat voivat olla tarpeen oikeuksien osoittamiseksi myös työsuhteen jälkeen. Määritä tarkoitus, käsittelyperuste ja säilytysaika erikseen.

Kun säilytysperuste päättyy, henkilötiedot poistetaan tai aineisto anonymisoidaan. Anonymisointi edellyttää, ettei henkilöä voi enää tunnistaa kohtuudella käytettävissä olevin keinoin. Siksi nimen lisäksi on tarkistettava vapaat tekstit, liitteet, yksilöivät tunnukset ja tietojen yhdisteltävyys. Jos tunnistaminen on edelleen mahdollista, aineisto on henkilötietoa ja sille tarvitaan käsittelyperuste.

Poistopyyntö ei kumoa säilytysvelvoitetta. Kun työntekijä pyytää tietojensa poistoa, lakisääteisen säilytysvelvoitteen alainen aineisto jää paikoilleen säilytysajan loppuun. Vastauksessa kannattaa kertoa, mitkä tiedot poistetaan heti, mitkä säilyvät ja mihin päivämäärään asti.

Esimerkki: henkilöstörekisterin tietoryhmät

Alla on yhden työnantajan rekisteri ryhmiteltynä niin, että jokaisella rivillä on peruste, käsittelijä, säilytysaika ja päättymisen jälkeinen kohtalo. Sama taulukko toimii käsittelytoimien selosteen runkona.

Rivien järjestys kertoo myös käsittelijäjoukon muodon. Perustiedot ja työaikamerkinnät ovat laajimmin käytössä, terveydentilatiedot kapeimmin. Jos käyttöoikeudet on rakennettu yhtenä “HR näkee kaiken” -tasona, viides rivi ei toteudu, vaikka säilytysajat olisivat kohdallaan.

Tarkistuslista: henkilöstörekisterin tietosuojan tarkistus

• Jokaisella tietokentällä on nimetty käyttötarkoitus. Kenttä, jonka viereen ei synny työnantajan oikeutta tai velvollisuutta, poistetaan lomakkeelta ja rekisteristä.
• Tarpeellisuus ja tietosuoja-asetuksen käsittelyperuste on kirjattu erikseen. Keruutavan suostumusvaatimukset on tarkistettu.
• Tiedot kysytään ensi sijassa työntekijältä itseltään. Muusta lähteestä hankkimiseen on suostumus tai laissa säädetty peruste.
• Luotettavuuden selvittämisestä ilmoitetaan etukäteen ja muualta saaduista tiedoista kerrotaan työntekijälle ennen kuin niitä käytetään päätöksenteossa.
• Terveydentilatietojen käsittelijät on nimetty tai tehtävät määritelty, ja tiedot säilytetään erillään muista henkilötiedoista.
• Terveydentilatietojen käsittelyn peruste ja tarve on arvioitu viimeisten viiden vuoden aikana, ja arvioinnin päivämäärä on kirjattu.
• Teknisen valvonnan käyttötarkoitus ja menetelmät on määritelty ja niistä on tiedotettu työntekijöille.
• Henkilötietojen kerääminen on käsitelty yhteistoimintalain vuoropuhelussa, tai alle 20 työntekijän yrityksessä työntekijöille on varattu tilaisuus tulla kuulluiksi teknisestä valvonnasta ennen päätöstä.
• Säilytysaika on määritelty tietoryhmittäin ja lakisääteinen vähimmäisaika merkitty niille ryhmille, joita se koskee.
• Työsuhteen päättymiselle on lista: mikä poistuu heti, mikä säilyy määräajan ja mihin päivämäärään asti.
• Anonymisointi kattaa vapaat tekstit, liitetiedostot ja korttinumerot, ei vain nimi- ja yhteystietokenttiä.
• Työntekijä saa pyynnöstä omat tietonsa, virheellinen tieto oikaistaan lähdejärjestelmässä, ja yksityisyyden suojasta työelämässä annettu laki on nähtävillä työpaikalla (23 §).