Henkilöstöpalvelualan. henkilötietojen käsittelyn käytännesäännöt. Henkilöstöpalveluyritysten Liitto

Transkriptio

1 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännesäännöt Henkilöstöpalveluyritysten Liitto

2 Sisällys 1. Johdanto Käytännesääntöjen tarkoitus Määritelmiä Henkilöstöpalveluyrityksen velvoitteet ja oikeudet Tietojen käsittelyn suunnitelmallisuus Rekisteriseloste Tietojen suojaaminen Huolellisuusvelvoite Yhteistoimintamenettely Rekisteröidyn oikeudet Työntekijän informointi tietojen käsittelystä Tarkastusoikeus Tietojen korjaaminen Suoramarkkinointia yms. koskevat kielto-oikeudet Henkilötietojen käsittelyn yleiset edellytykset Oikeus käsitellä työntekijän tai työnhakijan henkilötietoja Tarpeellisuusvaatimus Tietolähteet Työntekijä tai työnhakija itse Aikaisempi työnantaja Luottotietojen tarkistaminen Rikostaustaote Suppea, perusmuotoinen ja laaja turvallisuusselvitys... 17

3 7. Arkaluonteiset tiedot ja henkilötunnus Arkaluonteiset tiedot Henkilötunnus Testit Henkilö- ja soveltuvuustestit Huumetestit Työhönoton yhteydessä Työsuhteen aikana Tietojen luovuttaminen Yleistä Työntekijän suostumus Lakimääräiset tehtävät Yhteysvaatimukseen perustuva luovutus Ulkopuoliset palveluyritykset Konsernin sisäinen luovutus EU:n ulkopuolelle luovutettavat henkilötiedot Erityislaeista tulevia velvollisuuksia luovuttaa tietoja Tietojen poistaminen rekisteristä Tarpeettomien tietojen poistaminen Aikarajoja tietojen säilyttämiselle Tietojen hävittämistapa Malli rekisteriselosteesta (työnhakijarekisteri)... Liite Malli rekisteriselosteesta (työsuhderekisteri) Liite 2 36

4 1. Johdanto 1.1. Käytännesääntöjen tarkoitus Henkilötietojen käsittely on olennainen osa henkilöstöpalvelualan toimintaa. Henkilöstöpalveluyritykset saavat paljon henkilötietoja sisältäviä työhakemuksia työnhakijoilta. Toisaalta henkilöstövuokraukseen ja työntekijöiden rekrytointiin liittyy paljon tietojen välitystä asiakasyritysten ja henkilöstöpalveluyritysten välillä. Tämän vuoksi Henkilöstöpalveluyritysten Liitto haluaa kiinnittää jäsenyritystensä huomiota tietosuoja-asioihin. Henkilötietolaki antaa mahdollisuuden laatia toimialakohtaisia käytännesääntöjä. Toimialaa edustava yhteisö, esimerkiksi toimialaa edustava työnantaja- ja toimialaliitto, voi laatia käytännesäännöt jäsenistölleen ohjeistukseksi henkilötietolain soveltamiseksi ja hyvän tietojenkäsittelytavan edistämiseksi. Käytännesääntöjen tarkoituksena on luoda toimialaa varten ohjeita henkilötietojen käsittelyyn ja esittää tulkintoja ja suosituksia siitä, kuinka tiettyjä henkilötietolain säännöksiä tulee toimialalla soveltaa. Pyrkimyksenä on antaa toimialalle tietoa hyvästä ja oikeasta tietojenkäsittelytavasta, jotta rekisteröityjen yksityisyyden suojaa turvaavat perusoikeudet voidaan ottaa huomioon ja näin välttyä ongelmatilanteilta. Nämä käytännesäännöt sisältävät ohjeita mm. henkilötietojen keräämisestä, luovuttamisesta ja hävittämisestä. Käytännesäännöissä ei ole mahdollista ottaa kantaa kaikkiin henkilötietolain tai yksityisyyden suojasta työelämässä annetun lain mukaisiin säännöksiin, vaan niissä pyritään ottamaan kantaa alan kannalta olennaisimpiin asioihin. 3 4 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

5 Tietosuojavaltuutettu on tarkastanut nämä käytännesäännöt ja Henkilöstöpalveluyritysten Liiton hallitus on hyväksynyt ne Henkilöstöpalveluyritysten Liiton jäsenyritykset sekä Reiluja vuokratöitä -yhtiön auktorisoimat yritykset ovat velvollisia noudattamaan henkilötietolain ja yksityisyyden suojasta työelämässä annetun lain säännösten lisäksi näitä henkilöstöpalvelualan tietosuojan käytännesääntöjä. 2. Määritelmiä Henkilötiedolla tarkoitetaan kaikenlaisia henkilöä tai hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään koskeviksi. Jotta tietoa voidaan pitää lain tarkoittamana henkilötietona, tiedon tulee olla tallennettu käsin, koneellisesti tai sähköisesti. Siten mm. työnantajan käsin tekemät muistiinpanot esimerkiksi työhaastattelussa, tietokoneen muistiin tallennetut tiedot, kulunvalvontalaitteen rekisteriin tallentuvat tiedot ja puhelimen käytöstä syntyvät tiedot katsotaan henkilötiedoiksi. Näin ollen yksinomaan suullinen tieto ei ole henkilötieto, jollei se perustu rekisteriin tallennettuun tai rekisteristä luovutettuun tietoon. Suullisesti ilmaistun tiedon osalta on myös otettava huomioon rikoslaissa rangaistavaksi säädetty yksityiselämää loukkaava tiedon levittäminen. Jos henkilötiedosta ei voida tunnistaa, ketä tieto koskee, henkilötietolaki ei tule sovellettavaksi. Näin ollen laki ei rajoita esimerkiksi palkkatietojen käsittelyä, mikäli niistä on poistettu sellaiset osat, joiden perusteella tunnistaminen on mahdollista. Henkilötietojen käsittelyllä tarkoitetaan henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 5

6 Henkilörekisteri on henkilötietoja sisältävä manuaalisesti tai atk:n avulla ylläpidettävä rekisteri. Henkilöstöpalveluyrityksessä henkilörekisteri voi olla esimerkiksi manuaalinen rekisteri, kuten kortisto, luettelo, mappi, asiakirjanippu tai yksittäinen asiakirja, johon työntekijöiden henkilötiedot on kerätty. Jos henkilörekisteriin tallennetaan pelkästään sellaisia henkilötietoja, jotka sisältävät tiedotusvälineessä julkaistua aineistoa sellaisenaan, ei henkilötietolakia sovelleta. Rekisteröidyllä tarkoitetaan henkilöä, jota henkilötieto koskee, eli tässä tapauksessa työntekijää tai työnhakijaa. Rekisterinpitäjällä tarkoitetaan työnantajaa eli henkilöstövuokrauksessa henkilöstöpalveluyritystä. Jokainen työnantaja, myös henkilöstöpalveluyritys, on aina lain mukainen rekisterinpitäjä, jos se käsittelee työnhakijoiden tai työntekijöiden henkilötietoja. Myös asiakasyritys on lain tarkoittama rekisterinpitäjä, jos se käsittelee omaan lukuunsa vuokratyöntekijöiden tai -työnhakijoiden henkilötietoja. Tarpeellisuusvaatimuksella tarkoitetaan sitä, että työnantaja saa käsitellä vain työsuhteen kannalta välittömästi tarpeellisia henkilötietoja. Henkilötietojen on liityttävä osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille antamiin etuuksiin. Tarpeellisuusvaatimus täyttyy myös silloin, kun henkilötietojen käsittely johtuu työtehtävien erityisluonteesta, kuten esimerkiksi jos työtehtävät liittyvät valtion turvallisuuteen tai tehtäviin liittyy erityisiä terveydentilavaatimuksia. Tarpeellisuusvaatimuksesta ei saa poiketa edes työntekijän suostumuksella. Arkaluonteisina henkilötietoina pidetään henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan rotua tai etnistä alkuperää; henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta 6 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

7 tai ammattiliittoon kuulumista; rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta; henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia; henkilön seksuaalista suuntautumista tai käyttäytymistä; taikka henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia. 3. Henkilöstöpalveluyrityksen velvoitteet ja oikeudet 3.1. Tietojen käsittelyn suunnitelmallisuus Henkilötietojen käsittelyn tulee aina olla perusteltua työnantajan toiminnan kannalta. Ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi on määriteltävä tietojen käsittelyn tarkoitus. Tarkoituksesta on käytävä ilmi, minkälaisten tehtävien hoitamiseksi henkilötietoja käsitellään. Tarkoituksen määrittely on tärkeää, koska tietoja saa kerätä ja käyttää vain tavalla, joka on ennalta määritelty. Henkilöstöpalveluyrityksellä henkilötietojen käsittelyn tarkoitus on yleensä henkilötietojen käsittely työpaikan täyttämistä varten tai työsuhdeasioiden hoito. Käsittelyn tarkoituksen lisäksi on määriteltävä mistä henkilötietoja hankitaan ja mihin niitä luovutetaan. Henkilörekisteristä on laadittava rekisteriseloste ja käsiteltävät tiedot on määriteltävä jo ennen tietojen keräämistä. Tämän vuoksi on järkevää laatia rekisteriseloste jo henkilötietojen käsittelyä suunniteltaessa. Rekisterin sisältämät tiedot on muutenkin hyvä miettiä etukäteen. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 7

8 3.2. Rekisteriseloste Rekisterinpitäjän on laadittava rekisteriseloste henkilörekisteristä, johon on tallennettu työhakijan tai työntekijän henkilötietoja. Rekisteriselosteen laatimisvelvollisuus koskee sekä atk:n avulla pidettäviä rekistereitä että manuaalirekistereitä. Rekisteriselosteet on pidettävä saatavilla siten, että kuka tahansa voi halutessaan tutustua rekisteriselosteeseen. Rekisteriselosteesta on käytävä ilmi seuraavat asiat: Rekisterinpitäjän eli yrityksen nimi ja yhteystiedot Rekisteriselosteeseen on hyvä määritellä myös yhteyshenkilö, joka vastaa rekisterinpitoon liittyvistä tehtävistä. Henkilötietojen käsittelyn tarkoitus Työpaikkaa hakevien osalta käsittelyn tarkoitus voi olla henkilötietojen säilyttäminen työpaikan täyttämistä varten. Työsuhteessa olevien henkilöiden osalta käsittelyn tarkoitus voi olla työsuhdeasioiden ja niihin liittyvien velvoitteiden hoito. Kuvaus rekisteröityjen ryhmästä sekä kuvaus näihin liittyvistä tiedoista Henkilöstöpalveluyrityksessä mahdollisia ryhmittelyperusteita ovat työnhakijoiden ja työntekijöiden ryhmittely. Konsernin asiakasrekisterissä konsernin eri yhtiöiden työntekijät voidaan ryhmitellä erikseen. Tietojen luovutus Henkilöstön vuokrauksessa henkilötietoja voidaan luovuttaa käyttäjäyritykselle ja rekrytoinnissa rekrytoivalle yritykselle. Jos tietoja mahdollisesti siirretään EU:n tai Euroopan talousalueen ulkopuolelle, rekisteriselosteesta on käytävä ilmi maat, joihin tietoja luovutetaan. 8 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

9 Kuvaus rekisterin suojauksen periaatteista Ks kohta Tietojen suojaaminen. Katso malli rekisteriselosteesta, liite 1 ja liite Tietojen suojaaminen Työnantajan on huolehdittava henkilörekisterissä olevien tietojen suojaamisesta, jotta asiattomat eivät pääse käsiksi tietoihin. Lisäksi on estettävä henkilötietojen vahingossa tai laittomasti tapahtuva tietojen hävittäminen, muuttaminen, luovuttaminen tai siirtäminen. Henkilötietojen sähköisessä siirrossa asiattomien pääsy käsiksi tietoihin voidaan estää esimerkiksi tietoteknisin keinoin. Työnantajan on määriteltävä etukäteen, kenen työtehtäviin henkilötietojen käsittely kuuluu. Ne työntekijät, jotka käsittelevät henkilötietoja, ovat vaitiolovelvollisia. He eivät siten saa ilmaista sivulliselle henkilörekisterissä olevia tietoja. Työnantajan on nimettävä henkilöt tai määriteltävä tehtävät, joihin sisältyy terveydentilatietojen käsittelyä. Työnantajan on säilytettävä työntekijää koskevat arkaluonteiset tiedot erillään muista työnantajan keräämistä henkilötiedoista Huolellisuusvelvoite Henkilöstön vuokrauksessa myös käyttäjäyrityksen on huolehdittava vuokratyöntekijöiden tietojen suojaamisesta. Tietoja on suojattava samalla tavoin kuin omien työntekijöidenkin kohdalla. Asiakassopimuksessa olisi hyvä todeta käyttäjäyrityksen henkilötietojen käsittelyyn liittyvät vastuut. Työnantajan on käsiteltävä henkilötietoja huolellisesti. Tietojen huolellinen käsittely edellyttää, että henkilörekisteriin tallennettavat tiedot vastaavat työnantajan tarpeita. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 9

10 3.5. Yhteistoimintamenettely Yhteistoimintamenettelyssä on käsiteltävä yrityksessä noudatettavat periaatteet siitä, mitä tietoja työntekijästä kerätään työhönoton yhteydessä ja työsuhteen aikana. Tämän tulee tapahtua työelämän tietosuojalain ja yhteistoimintamenettelylain mukaisessa menettelyssä. Yhteistoimintaneuvotteluissa käsitellään työntekijöitä koskevien henkilötietojen yleinen jaottelu, kuten esimerkiksi henkilön perustiedot, työsuhdetta koskevat tiedot, palkanlaskentaa varten tarvittavat tiedot, työajan seuranta ja vuosilomat. Työnantajan oikeutta kerätä tietoja ei voida yhteistoimintaneuvotteluissa laajentaa. Yhteistoimintamenettelyssä on käsiteltävä, millä tavalla ja mistä tietoja kerätään. Tietojen keräämistavat käsittävät ainakin työhönottolomakkeet sekä koulutusta ja työkokemusta osoittavat todistukset, suositukset, lääkärinlausunnot ja muut terveydentilaa koskevat kirjalliset selvitykset sekä henkilö- ja soveltuvuustestien tulokset. Lisäksi yhteistoimintamenettelyssä on määriteltävä ne työtehtävät, jotka oikeuttavat käsittelemään huumausainetestiä koskevaa todistusta. Koska yhteistoimintamenettelyssä on käsiteltävä yrityksessä noudatettavat periaatteet ja käytännöt siitä, mitä tietoja työntekijästä kerätään työhönoton yhteydessä, turvallisuusselvitysten ja henkilön luottotietojen hankkiminen on syytä myös käsitellä yhteistoimintamenettelyssä. Vaikka tietojen lähteenä on pääsääntöisesti työntekijä itse, työnantaja voi hankkia tietoja myös muilta tahoilta. Jos työnantaja aikoo säännönmukaisesti hankkia tietoja ulkopuolisilta lähteiltä, tämä on myös käsiteltävä yhteistoimintamenettelyssä. Henkilöstöpalveluyrityksessä työntekijämäärään lasketaan myös vuokratyöntekijät. Tyhjentävää ja yksityiskohtaista listaa siitä, mitä tietoja työnantaja kerää ja mitä tapoja tietojen hankkimiseen käytetään, ei kannata laatia. Yleinen jaottelu on riittävä, kunhan kunkin tietotyypin osalta tarve voidaan perustella laista tai toiminnasta johtuvalla hyväksyttävällä syyllä. 10 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

11 4. Rekisteröidyn oikeudet 4.1. Työntekijän informointi tietojen käsittelystä Henkilötietolain mukaisen informointivelvollisuuden tarkoituksena on varmistaa, että henkilö saa tiedon rekisteriselosteessa mainituista asioista. Henkilötietoja kerättäessä rekisteröityjä on informoitava seuraavista asioista: Rekisterinpitäjä tai tämän edustaja Henkilötietojen käsittelyn tarkoitus Mihin tietoja säännönmukaisesti luovutetaan Kuinka rekisteröityjen oikeuksia käytetään (mm. tarkastusoikeus ja virheen korjaaminen) Informointi voidaan toteuttaa rekisterinpitäjän valitsemalla tavalla. Lain säännökset kuitenkin velvoittavat työnantajaa toimimaan aktiivisesti informoinnissa. Tällöin voidaan kertoa esimerkiksi suullisesti tai kirjallisesti henkilötietojen käsittelystä, tarkastusoikeuden ja virheen korjaamisoikeuden toteuttamisesta. Apuna informoinnissa voidaan käyttää rekisteriselostetta. Jos tietoja on tarkoitus kerätä Internetsivuilla olevien lomakkeiden avulla, työntekijää informoidaan tässä yhteydessä esimerkiksi rekisteriselosteen avulla. Informointi palvelee myös työnantajaa hyvän yrityskuvan luomisessa sekä esimerkiksi rekrytointiprosessin asianmukaisessa toteuttamisessa Tarkastusoikeus Työnhakijalla tai työntekijällä on oikeus saada tietää, mitä tietoja hänestä on tallennettu henkilörekisteriin. Näiden tietojen lisäksi työnhakijalla tai työntekijällä on oikeus saada tietoonsa rekisteriselosteessa mainitut asiat. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 11

12 Työnhakijan tai työntekijän pyynnöstä rekisterinpitäjän on kerrottava tai annettava kirjallisesti häntä koskevat rekisterin tiedot. Tarkastusoikeuden käyttäminen on kerran vuodessa maksuton. Jos työntekijä tai työnhakija käyttää tarkastusoikeuttaan useammin, rekisterinpitäjä saa periä kohtuullisen korvauksen. Työnhakijan tai työntekijän henkilöllisyys tulee varmentaa, koska tarkastusoikeuden käyttäminen on aina henkilökohtainen oikeus. Tiedot voidaan toimittaa työntekijälle tai työnhakijalle kohtuullisen ajan kuluessa. Tietoja ei siis välttämättä tarvitse antaa samalla hetkellä Tietojen korjaaminen Rekisterissä olevien tietojen on oltava laadukkaita ja ajantasaisia. Tarpeettomiksi käyneitä tai vanhentuneita tietoja ei saa käsitellä. Työnantajan on oma-aloitteisesti tai työntekijän tai työnhakijan pyynnöstä huolehdittava, että rekisterissä oleva virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto oikaistaan, poistetaan tai täydennetään. Hakemukset, jotka on kohdistettu yksilöityyn työpaikkaan, tulee kuitenkin tallentaa. Näin mahdollisessa erimielisyystilanteessa henkilöstöpalveluyritys voi osoittaa, minkälaisia tietoja työnhakija on itsestään kertonut kyseisen hakuprosessin yhteydessä Suoramarkkinointia yms. koskevat kielto-oikeudet Rekisteröidyllä on henkilötietolain mukaan oikeus kieltää rekisterinpitäjää käsittelemästä häntä itseään koskevia tietoja suoramainontaa, etämyyntiä ja muuta suoramarkkinointia sekä markkina- ja mielipidetutkimusta samoin kuin henkilömatrikkelia Henkilöstöpalveluyrityksen olisi hyvä laatia pelisäännöt, millä tavoin työnhakijoiden tiedot pidetään ajan tasalla. Hyvä käytäntö voisi olla esimerkiksi se, että avoimen työhakemuksen jättäneelle työnhakijalle lähetettäisiin sähköpostin välityksellä esimerkiksi puolen vuoden tai vuoden välein tiedustelu siitä, hakeeko hän vielä töitä ja pyyntö tarkistaa tietojen oikeellisuus. 12 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

13 ja sukututkimusta varten. Tämä koskee erityisesti työntekijän tai työnhakijan yksityisiä, esim. kotiyhteystietoja. Työnantajan työnjohto-oikeuteen voi kuitenkin kuulua päättää työpaikalle tulevasta suoramarkkinoinnista. Työntekijän työyhteystietojen käsittely suoramarkkinointitarkoituksessa voi olla mahdollista lain nojalla, jos tiedot koskevat rekisteröidyn tehtäviä ja asemaa elinkeinoelämässä tai julkisessa tehtävässä ja niitä käytetään hänen työtehtäviinsä liittyvän informaation lähettämiseen. Työntekijän työyhteystietojen käytöstä suoramarkkinoinnissa työpaikalla on suositeltavaa sopia työnantajan ja työntekijöiden kesken. Rekisterinpitäjän on informoitava rekisteröityä kielto-oikeudesta ja sen toteuttamistavasta henkilötietoja kerättäessä. 5. Henkilötietojen käsittelyn yleiset edellytykset 5.1. Oikeus käsitellä työntekijän tai työnhakijan henkilötietoja Henkilöstöpalveluyrityksen oikeus käsitellä työnhakijan ja työntekijän henkilötietoja perustuu yleensä suostumukseen. Lisäksi työntekijöiden osalta työnantajan oikeus käsitellä henkilötietoja perustuu työsuhteeseen. Konsernilla on oikeus tarpeellisuusvaatimus huomioiden käsitellä kaikkien konserniin kuuluvien työntekijöiden henkilötietoja konsernin sisällä siitä huolimatta, onko työntekijä työsuhteessa tytär- vai emoyhtiöön. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 13

14 5.2. Tarpeellisuusvaatimus Työnantaja saa käsitellä vain työntekijän työsuhteen kannalta tarpeellisia henkilötietoja. Tietojen tulee liittyä työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin. Tietojen tarpeellisuus voi johtua myös työtehtävien erityisluonteesta. Työntekijän suostumus ei oikeuta työnantajaa käsittelemään työsuhteen kannalta tarpeettomia tietoja. Työnhakija voi hakea henkilöstöpalveluyrityksestä työtä ns. täysin avoimella hakemuksella, tiettyä ammattialaa tai tiettyä työpaikkaa koskevalla hakemuksella. Työnantaja voi kysyä työnhakijalta vain rajoitetusti tietoja silloin, kun tarkkaa tietoa työpaikasta ei vielä ole. Jos taas työnhakija hakee tiettyä työpaikkaa, työnantaja voi kysyä myös yksityiskohtaisempia tietoja kyseiseen työpaikkaan liittyen. Jos työnhakija hakee esimerkiksi asbestipurkutyötä rakennukselta, häneltä voidaan kysyä terveydentilatietoja, jotta saadaan selvitettyä, soveltuuko hän kyseiseen työhön. 6. Tietolähteet 6.1. Työntekijä tai työnhakija itse Työnantajan on kerättävä henkilötiedot ensi sijassa työntekijältä tai työnhakijalta itseltään. Jos tietoja kerätään muualta, siihen tarvitaan suostumus. Ennen kuin työnantaja käyttää päätöksenteossa muualta kuin työntekijältä tai työnhakijalta itseltään hankittuja tietoja, työnantajan on kerrottava työntekijälle tai työnhakijalle saamistaan tiedoista. 14 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

15 6.2. Aikaisempi työnantaja Vain suullisesti käsiteltävät tiedot ja muistikuvat henkilöstä eivät pääsääntöisesti ole henkilötietojen suojan piirissä. Näin ollen työnantaja voi soittaa työnhakijan aikaisemmalle työnantajalle myös ilman työnhakijan suostumusta ja kysyä häneltä mielikuvia työnhakijasta. Yksityisyyden suojaa tai muita perusoikeuksia ei kuitenkaan tule loukata. Kysymysten tulisi liittyä vain esim. työelämässä toimimiseen ja työtehtävien hoitamiseen. Jos henkilöstöpalveluyritys kirjaa edellisen työnantajan mielikuvat ylös, tällöin kyse on kuitenkin henkilötietojen käsittelystä. Henkilötietojen käsittelystä on kyse myös silloin, jos entinen työnantaja suullisestikin luovuttaa tietoja, jotka perustuvat esimerkiksi henkilöstöhallinnon rekisteriin tallennettuihin tietoihin. Hyvän henkilöstöpolitiikan mukaista on, että työntekijältä pyydettäisiin suostumus ennen kuin aikaisempaan työnantajaan ollaan yhteydessä, vaikka tarkoituksena olisikin vain kysyä mielikuvia Luottotietojen tarkistaminen Työnantajalla on oikeus saada ja käyttää tehtävään valittua työnhakijaa koskevia luottotietoja luotettavuuden arvioimiseksi, kun työnhakijan on tarkoitus toimia työtehtävissä, jotka edellyttävät erityistä luotettavuutta. Lisäksi edellytetään, että työhön sisältyy: päätäntävaltaa tehdä merkittäviä taloudellisia sitoumuksia; taloudellisesti merkittävien luottojen myöntämistä ja valvontaa; Kun kyse on pelkästään asiakaspalvelussa tapahtuvasta maksujen vastaanottamisesta, kuten kaupan kassalla työskentelevästä työntekijästä, työnantajalla ei ole oikeutta hankkia luottotietoja. pääsy keskeisiin liike- tai ammattisalaisuuksiin; sellaisia tietojärjestelmän käyttöoikeuksia, joiden avulla voidaan siirtää yrityksen tai tämän asiakkaan varoja tai muuttaa niihin liittyviä tietoja; Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 15

16 arvoltaan merkittävän rahan, arvopapereiden tai arvoesineiden osan käsittelyä ilman valvontaa; yrityksen tai tämän asiakkaan omaisuuden vartiointitehtäviä; valvomatonta työskentelyä yksityiskodissa. Jos työntekijän työtehtävät työsuhteen aikana muuttuvat siten, että ne täyttävät edellä mainitut edellytykset, työnantaja saa selvittää luottotiedot siinä vaiheessa. Oikeus selvittää työnhakijan tai työntekijän luottotiedot on kuitenkin hyvin poikkeuksellista, joten kannattaa huolellisesti tarkistaa yllä mainittujen edellytysten täyttyminen. Työnantajan on ilmoitettava etukäteen työnhakijaa tai työntekijää koskevien tietojen hankkimisesta luotettavuuden selvittämistä varten. Työntekijälle tai työnhakijalle tulee myös ilmoittaa, mistä rekisteristä luottotiedot hankitaan. Työnantajan on ilmoitettava saamistaan tiedoista työntekijälle tai työnhakijalle ennen kuin niitä käytetään häntä koskevassa päätöksenteossa Rikostaustaote Silloin, kun työhön kuuluu pysyväisluonteisesti ja olennaisesti lasten kanssa työskentelyä ilman huoltajan läsnäoloa, työnantajalla on velvollisuus selvittää työnhakijan rikostausta rikosrekisteriotteen avulla. Rikostaustaotteen esittämisvelvollisuudesta on mainittava siinä yhteydessä, kun työpaikka ilmoitetaan haettavaksi. Rikostaustaotetta ei saa pyytää, kun tehtävät kestävät yhden vuoden aikana enintään kolme kuukautta. Kun työnhakija esittää rikostaustaotteen, se ei saa olla kuutta kuukautta vanhempi. Työnantajan on pyydettävä rikostaustaote työnhakijalta nähtäväksi. Koska rekisterissä olevat tiedot ovat arkaluonteisia, työnhakija 16 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

17 toimittaa itse otteen työnantajalle. Työnhakija saa tilata otteen Oikeusrekisterikeskuksesta. Työnantaja saa tehdä työntekijän tietoihin merkinnän ainoastaan otteen esittämisestä ja sen tunnistetiedoista. Rikostaustaote on tämän jälkeen palautettava työntekijälle, eikä siitä saa ottaa edes jäljennöstä. Rikostaustaotteen tietoja ei saa ilmaista muille kuin työhönotosta päättäville henkilöille Suppea, perusmuotoinen ja laaja turvallisuusselvitys Turvallisuusselvityksiä on kolmea eri tyyppiä: suppea, perusmuotoinen ja laaja turvallisuusselvitys. Suppean selvityksen hakukynnys on matalampi kuin perusmuotoisen ja laajan selvityksen. Kaikkien kolmen turvallisuusselvityksen hakemiseen vaaditaan työntekijän tai työnhakijan kirjallinen suostumus. Lisäksi selvityksen teettämisestä on ilmoitettava jo työpaikkailmoituksessa tai muulla sopivalla tavalla. Suppeaa turvallisuusselvitystä haetaan poliisilta. Perusmuotoisen ja laajan turvallisuusselvityksen tekee suojelupoliisi. Turvallisuusselvityslaki sisältää pitkän ja yksityiskohtaisen luettelon niistä tilanteista ja suojattavista intresseistä, joissa suppea selvitys voidaan teettää. Laissa oleva lista on tyhjentävä. Suojattavia intressejä ovat: viranomaisten suojatut asiakirjat työskentely passin tai muun vastaavan asiakirjan valmistuksessa pysyväisluontoinen pääsy viranomaisen suljettuun toimitilaan tai alueelle pääsy yleisöltä suljettuihin tiloihin lentoasemalla, satamassa tai muulla merkittävällä liikennealueella sekä pääsy tietoliikenneyhteyksien ja sähkön ja energiantuotannon kannalta merkityksellisiin kohteisiin ydinturvallisuus räjähdysaineiden ja muiden vastaavien aineiden käsittely Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 17

18 mahdollisuus saada haltuunsa aineita, joita voidaan käyttää biologisena, kemiallisena taikka toksiiniaseena työskentely yhdyskuntateknisessä taikka elintarvike- tai lääkehuoltoon liittyvässä tehtävässä laadultaan tai määrältään merkittävä omaisuuden, kuten rahan, arvopapereiden tai arvoesineiden itsenäinen käsittely oikeutettu asemansa vuoksi siirtämään työnantajan tai tämän asiakkaan rahavaroja tai muuttamaan niihin liittyviä tietoja Perusmuotoista turvallisuusselvitystä haetaan suojelupoliisilta. Jos työnantaja harkitsee perusmuotoisen turvallisuusselvityksen hakemista, on suositeltavaa ottaa ensin yhteys suojelupoliisiin ja keskustella, onko selvityksen saaminen mahdollista. Perusmuotoista turvallisuusselvitystä hakevan on osoitettava, että selvityksellä pyritään suojaamaan viranomaisintressejä tai yhteiskunnan toimivuuden kannalta välttämättömiä infrastruktuureja. Myös laajan turvallisuusselvityksen tekee suojelupoliisi. Laaja turvallisuusselvitys koskee vain valtion virkoja. Laajan turvallisuusselvityksen pyytäminen tuleekin vain hyvin poikkeuksellisesti kyseeseen henkilöstövuokrauksen kohdalla. Turvallisuusselvityksen hakijana on aina käyttäjäyritys, ei koskaan henkilöstöpalveluyritys tai työntekijä itse. Käyttäjäyrityksellä itsellään on paras tieto siitä, minkä laajuiseen turvallisuusselvitykseen heidän yrityksellään on oikeus. Selvityksen teknisestä toteuttamisesta vastaa usein henkilöstöpalveluyritys saamansa toimeksiannon mukaan. Turvallisuusselvitykset ovat salassa pidettäviä tietoja ja niitä tulee säilyttää erillään muista rekisterinpitäjän keräämistä tiedoista. Hakijan tulee säilyttää turvallisuusselvitys siten, että sen sisältämiä tietoja voivat käsitellä vain ne henkilöt, jotka niitä tehtävissään välttämättä tarvitsevat. Hakijan on hävitettävä turvallisuusselvitys heti, kun se ei enää ole tarpeen selvitystä haettaessa ilmoitetun käyttötarkoituksen kannalta, kuitenkin viimeistään kahden vuoden kuluttua selvityksen tekemisestä. 18 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

19 7. Arkaluonteiset tiedot ja henkilötunnus 7.1. Arkaluonteiset tiedot Arkaluonteisina henkilötietoina pidetään henkilötietoja, jotka kuvaavat rotua, etnistä alkuperää, henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta, ammattiliittoon kuulumista, rikollista tekoa, rangaistusta, henkilön terveydentilaa, sairautta tai vammaisuutta tai häneen kohdistettuja hoitotoimenpiteitä, henkilön seksuaalista suuntautumista tai käyttäytymistä, henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja tai etuuksia. Yleiset edellytykset Työnantajalla ei lähtökohtaisesti ole lainkaan oikeutta käsitellä arkaluonteisia henkilötietoja. Työnantaja ei siten saa kysyä työnhakijalta arkaluonteisia tietoja eikä hän saa käyttää niitä päätöksenteossa. Jos työnhakija kuitenkin omaaloitteisesti kertoo arkaluonteisia tietoja itsestään eikä työnantaja kirjaa niitä mihinkään, kyse ei ole henkilötietojen käsittelystä. Työnantaja ei kuitenkaan voi käyttää arkaluonteisia tietoja valintapäätöstä tehdessään, jos niiden käyttäminen johtaisi syrjintään. Jos työnhakija tai työntekijä antaa nimenomaisen suostumuksensa arkaluonteisten tietojen käsittelyyn, työnantaja voi käsitellä ko. tietoja. Suostumuksen on kuitenkin oltava nimenomainen, mielellään kirjallinen. Lisäksi työnantajan on tehtävä työntekijälle selväksi, että kyse on arkaluonteisista tiedoista, joiden käsittelemiseen tarvitaan työntekijän suostumus, sekä kerrottava, mihin tarkoitukseen lupaa pyydetään. Arkaluonteisten tietojen käsittely edellyttää lisäksi, että tarpeellisuusvaatimus täyttyy. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 19

20 Poikkeukset arkaluonteisten tietojen käsittelyssä Arkaluonteisten tietojen käsittelyn kiellosta on kuitenkin tiettyjä poikkeuksia, jolloin käsittely on sallittua. Tässä käsitellään vain ne poikkeukset, joilla on merkitystä henkilöstöpalveluyrityksen toiminnan kannalta. Terveydentilatiedot Työnantajalla on oikeus käsitellä terveydentilatietoja ainoastaan: sairausajan palkan tai terveydentilaan liittyvien etuuksien suorittamiseksi sen selvittämiseksi, onko poissaolo-oloon perusteltu syy kun työntekijä haluaa selvitettävän nimenomaisesti työkykyisyyttään tai kun muualla laissa on asiasta erikseen säädetty. Tämän kohdan perusteella työnantajalla on oikeus käsitellä terveydentilatietoja, jos työterveyttä ja työturvallisuutta koskeva lainsäädäntö sitä vaatii. Jotta työnantaja voisi käsitellä terveydentilatietoja, edellytetään lisäksi, että tiedot on kerätty työntekijän suostumuksella häneltä itseltään tai hänen nimenomaisella kirjallisella suostumuksellaan kolmannelta. Lain tarpeellisuusvaatimuksesta johtuen työnantaja voi käsitellä terveydentilatietoja vain siinä laajuudessa kuin se on tarpeellista. Sairausajan palkan maksamiseen riittää yleensä lyhyt ns. A-todistus, ja perusteellisemman ns. B-todistuksen käsittelyä voidaan pitää tarpeellisena vain poikkeustapauksissa. 20 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

21 Henkilöstöpalveluyrityksen oikeus luovuttaa työntekijän terveydentilatietoja käyttäjäyritykselle voi perustua ainoastaan lakiin tai työntekijän suostumukseen. Työntekijällä voi esimerkiksi olla sairaus, joka on otettava huomioon työtä tehtäessä tai arvioitaessa työntekijän kykyä suoriutua työstään. Esimiehen tulee esimerkiksi tuki- ja liikuntaelinsairauksien yhteydessä kiinnittää erityistä huomiota työn ergonomiaan. Henkilöstöpalveluyrityksen on tarkoin harkittava, mitkä työntekijän terveydentilatiedot ovat sellaisia, joiden luovuttaminen käyttäjäyritykselle on tarpeellista ja välttämätöntä työntekijän terveyden ja turvallisuuden vuoksi. Työntekijän sairausloman pituus on luonnollisesti tieto, jonka henkilöstöpalveluyritys voi kertoa käyttäjäyritykselle, sillä tiedolla on tärkeä merkitys töiden järjestelyiden kannalta. Työntekijän terveydentilatietoja saavat käsitellä ainoastaan ne henkilöt, jotka tekevät niiden perusteella työsuhdetta koskevia toimenpiteitä. Työnantajan on nimettävä ne henkilöt tai määriteltävä tehtävät, joihin sisältyy terveydentilaa koskevien tietojen käsittelyä. Terveydentilatietoja saavat käsitellä yleensä työntekijän esimies, joka harkitsee sairauspoissaolon aihheellisuuden ja päättää sairausajan palkanmaksusta, sekä palkanlaskijat. Työntekijät on ohjeistettava toimittamaan lääkärintodistukset ainoastaan niille, jotka tehtäviensä hoitamiseksi niitä välttämättä tarvitsevat. Työntekijän terveydentilatiedot on lisäksi säilytettävä erillään muista henkilötiedoista. Terveydentilaa koskevat tiedot ovat salassa pidettäviä tietoja eikä niitä saa ilmaista sivullisille. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 21

22 Ammattiliittoon kuuluminen Ammattiliittoon kuulumista koskeva tieto on arkaluonteinen tieto ja sen käsittely on lähtökohtaisesti kielletty. Oikeusvaade Arkaluonteisten tietojen käsittelykielto ei koske myöskään työsuhteen päättymiseen liittyviä mahdollisia oikeudenkäyntejä, joita varten työnantajalla saattaa olla tarve kerätä tietoja. Lakiperusteiset velvoitteet Kielto käsitellä arkaluonteisia tietoja ei koske sellaista tietojen käsittelyä, josta säädetään laissa tai joka johtuu välittömästi työnantajalle laissa säädetystä tehtävästä. Työnantajalla on kuitenkin oikeus käsitellä työntekijän ammattiliittoon kuuluvaa tietoa, kun jäsenyystietoa tarvitaan työehtosopimuksen sidonnaisuuden selvittämisessä tai sen selvittämiseksi, ketkä kuuluvat työtaistelun piiriin Henkilötunnus Henkilötietolain mukaan henkilötunnusta saa käsitellä työntekijän antamalla suostumuksella tai, jos käsittelystä säädetään laissa. Suostumus ei kuitenkaan yksin riitä, sillä henkilötunnuksen käsittelyn on aina täytettävä tarpeellisuusvaatimus. Työnantajan on huolehdittava siitä, ettei henkilötunnusta merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin. Henkilötunnusta saa käsitellä työsuhteita ja niihin liittyviä etuja koskevissa asioissa, kuten esimerkiksi palkanmaksussa. Henkilötunnusta ei saa kysyä työnhakulomakkeissa, koska ennen työsuhteen alkua työnantajalla ei ole perustetta eikä tarvetta käsitellä työntekijän henkilötunnusta. Henkilötunnus kysytään työntekijältä vasta työsuhteen alkaessa. Työntekijän syntymäajan tai iän voi kysyä, kun se on tarpeellinen tieto työtehtävän kannalta. 22 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

23 8. Testit 8.1. Henkilö- ja soveltuvuustestit Työnantaja voi testata työnhakijaa tämän suostumuksella työtehtävien hoidon edellytysten tai koulutustarpeen ja muun ammatillisen kehittämisen tarpeen selvittämiseksi. Myös testeillä kerättävien tietojen on aina oltava työsuhteen kannalta tarpeellisia henkilötietoja. Työnhakijalla on oikeus kieltäytyä testistä, mutta työnantajalla on tämän vuoksi oikeus olla valitsematta työnhakijaa ko. tehtävään. Työnantajan on käytettävä testeissä sellaisia menetelmiä, jotka tuottavat virheetöntä tietoa. Ellei työnantajalla itsellään ole asiantuntemusta tehdä testejä, työnantajan on käytettävä sellaisen testaajan palveluja, jolla on yleisesti tunnettu asiantuntemus. Työnantajan tai muun testaajan on työnhakijan pyynnöstä annettava hänelle maksutta henkilö- ja soveltuvuusarvioinneissa annettu kirjallinen lausunto. Viime kädessä lausunnon antamisesta vastaa kuitenkin työnantaja. Jos testaaja on antanut lausunnon työnantajalle suullisesti, selvitys lausunnon sisällöstä voidaan antaa työnhakijallekin suullisesti Huumetestit Työhönoton yhteydessä Ennen huumetestien käyttöönottoa, työnantajan on laadittava työterveyshuoltolain mukainen päihdeohjelma. Lisäksi käyttäessään huumetestejä työhönoton yhteydessä työnantajalla on oltava lain mukainen peruste testin käytölle. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 23

24 Perusteet on jaettu laissa neljään eri luokkaan: Testien käyttäminen yleensä Erityistä luottamusta edellyttävät tehtävät Alaikäisten kasvatus Työt, joissa on pääsy huumausaineisiin Testien käyttäminen yleensä Työnantaja voi käyttää testejä silloin, kun työnhakijan on tarkoitus toimia sellaisessa työssä, joka edellyttää tarkkuutta, luotettavuutta, itsenäistä harkintakykyä tai hyvää reagointikykyä. Lisäksi edellytetään, että tehtävien suorittaminen huumeiden vaikutuksen alaisena tai huumeista riippuvaisena voi vaarantaa tärkeitä intressejä, kuten työturvallisuutta. Luotettavuudella tarkoitetaan muuta kuin yleistä kaikkiin työsuhteisiin liittyvää velvoitetta. Jotta huumetestien tekeminen edellä mainituissa tilanteissa tulisi kyseeseen, vaaditaan lisäksi, että kyse on työstä, jossa työtehtävien suorittaminen huumeiden vaikutuksen alaisena tai huumeista riippuvaisena voi vaarantaa jotakin seuraavista intresseistä: henki, terveys tai työturvallisuus Esim. terveydenhuolto, rakennukset, teollisuus ja liikenne, liikkuvien koneiden kuljettajat ja vaarallisia aineita käsittelevät työntekijät. maanpuolustus tai valtion turvallisuus Esim. poliisi tai rajavartiolaitos. liikenneturvallisuus ympäristö Esim. ydinvoimalat ja öljylaivat. Tarkkuuden ja hyvän reagointikyvyn vaatimus voi täyttyä esimerkiksi silloin, kun työntekijä käyttää itsenäisesti erityistä vaaraa aiheuttavia koneita ja laitteita. Esimerkiksi autonkuljettajan kohdalla huumetestien käyttö on sallittua. Luotettavuus ja itsenäinen harkintakyky puolestaan ovat tarpeen esimerkiksi erilaisissa johtotehtävissä ja silloin, kun työntekijä vastaa omaisuudesta tai pääsee käsiksi luottamuksellisia tietoja sisältäviin asiakirjoihin. 24 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

25 tietojen suoja Esim. pankit ja vakuutusyhtiöt. liike- ja ammattisalaisuus sekä taloudelliset intressit, ellei riskin syntymistä voida estää muilla keinoilla Esim. tehtävät, joissa käsitellään rahaa ja arvoesineitä. Erityistä luottamusta edellyttävät tehtävät Työnantaja voi käyttää huumetestejä silloin, kun työnhakijan on tarkoitus hoitaa tehtäviä, joissa vaaditaan erityistä luottamusta ja työskentely tapahtuu muualla kuin työnantajan valvonnassa. Lisäedellytyksenä on, että työtehtävien suorittaminen huumeiden vaikutuksen alaisena tai huumeista riippuvaisena voisi aiheuttaa työnantajalle tai asiakkaalle merkittävää taloudellista vahinkoa tai vaarantaa henkilökohtaisen turvallisuuden. Tällaisia tehtäviä voivat olla esim. vanhusten kotihoito, vartiointi ja siivous. Alaikäisten kasvatus Huumetestien käyttö on sallittua, jos työnhakijan on tarkoitus hoitaa tehtäviä, joihin pysyväisluonteisesti ja olennaisesti kuuluu alaikäisten kasvatusta, opetusta, hoitoa tai muuta huolenpitoa tai muuta työskentelyä alaikäisen kanssa, jos työhön ei osallistu muita henkilöitä. Tämä tulee sovellettavaksi ainoastaan silloin, kun työntekijä työskentelee yksin. Työt, joissa on pääsy huumausaineisiin Työnantaja voi käyttää huumetestejä, jos työnhakijan on tarkoitus hoitaa sellaisia tehtäviä, joissa on itsenäisesti ja valvomattomasti pääsy huumausaineisiin tai sellaisiin lääkkeisiin, joita voidaan käyttää huumaaviin tarkoituksiin. Tämä tulee kyseeseen erityisesti sairaaloissa, lääkevarastoissa ja apteekeissa työskenneltäessä. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 25

26 Työnhakijan suostumus testiin Jos henkilöstöpalveluyrityksellä tai käyttäjäyrityksellä on jokin edellä mainittujen luokkien mukainen peruste käyttää huumetestiä, testiin tarvitaan lisäksi työnhakijan suostumus. Työnhakijan kieltäytyessä menemästä huumetestiin, työnantajalla on oikeus jättää hänet huomioimatta työntekijää valitessaan. Työnhakijan suostuessa testiin huumetestin tulos osoitetaan todistuksella, joka annetaan aina työnhakijalle, joka puolestaan toimittaa sen työnantajalle. Työnantaja voi pyytää todistusta huumetestistä ainoastaan tehtävään valitulta henkilöltä, ei siis muilta hakijoilta Työsuhteen aikana Työsuhteen aikana työnantaja voi velvoittaa työntekijän toimittamaan todistuksen huumetestistä, jos on perusteltu aihe epäillä, että työntekijä on huumausaineiden vaikutuksen alaisena työssä tai että työntekijä on riippuvainen huumeista. Myös työsuhteen aikana huumetestien käyttöönotto edellyttää ennalta laadittua työterveyshuoltolain mukaista päihdeohjelmaa. Lisäksi edellytetään, että testaaminen on välttämätöntä työntekijän työ- tai toimintakyvyn selvittämiseksi ja työntekijä toimii sellaisessa työssä, joka edellyttää erityistä tarkkuutta, luotettavuutta, itsenäistä harkintakykyä tai hyvää reagointikykyä. Nämä edellytykset vastaavat työhönoton yhteydessä tehtävien huumetestien yleisiä edellytyksiä, mutta ne on kuitenkin tarkoitettu tiukemmiksi. Lisäksi edellytyksenä on, että kyseisten työtehtävien suorittaminen huumeiden vaikutuksen alaisena tai huumeista riippuvaisena voi vakavasti vaarantaa tärkeää etua. Huumetestejä voidaan käyttää lisäksi silloin, kun työskentely huumeiden vaikutuksen alaisena tai huumeista riippuvaisena voisi merkittävästi lisätä työnantajan hallussa olevien huumausaineiden laittoman kaupan ja leviämisen riskiä. 26 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

27 Työnantaja voi asettaa työntekijälle kohtuullisen määräajan, jonka kuluessa todistus on esitettävä. Jos työnantajalla on lain mukainen peruste pyytää työntekijää toimittamaan todistus eikä työntekijä suostu sitä toimittamaan, työntekijä rikkoo työsuhteeseen liittyviä velvoitteitaan. Tällöin tulee tapauskohtaisesti harkittavaksi, onko työnantajalla oikeus varoituksen antamiseen tai työsuhteen päättämiseen. Todistusta huumetestistä käsitellään vastaavasti kuin salassa pidettäviä terveydentilaa koskevia tietoja. Ks. 7. Arkaluonteiset tiedot, Terveydentilatiedot 9. Tietojen luovuttaminen 9.1. Yleistä Työntekijän henkilötietojen luovutus voi perustua henkilötietolain henkilötietojen käsittelyn yleisiin edellytyksiin tai tiettyjen erityislakien säännöksiin. Seuraavassa käydään läpi henkilöstöpalveluyrityksen kannalta merkityksellisimmät perusteet, joiden nojalla henkilötietoja voidaan luovuttaa Työntekijän suostumus Työnantaja voi luovuttaa työntekijän henkilötietoja ulkopuoliselle, jos hänellä on työntekijän suostumus tietojen luovuttamiseen. Suostumuksen antaminen on erilainen riippuen siitä, onko kyseessä eiarkaluonteisten vai arkaluonteisten tietojen luovuttaminen. Työnantaja voi luovuttaa ei-arkaluonteisia tietoja työntekijän joko suullisella tai kirjallisella suostumuksella. Arkaluonteisia tietoja työnantaja voi puolestaan luovuttaa ainoastaan työntekijän antamalla nimenomaisella kirjallisella suostumuksella, josta on käytävä ilmi luovutuksensaaja ja luovutettavat tiedot. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 27

28 Henkilötietojen luovuttaminen työntekijän suostumuksen perusteella tulee kysymykseen lähinnä yksittäistapauksissa, sillä yleensä henkilötietojen luovutus perustuu lakiin tai työehtosopimukseen, jolloin työntekijän suostumusta luovuttamiseen ei tarvita. Työnantaja voi luovuttaa työterveyshuollolle työntekijää koskevia perustietoja (esim. nimi ja työpaikka) ilman työntekijän suostumustakin. Työnantajalla on myös oikeus luovuttaa työntekijän toimittama lääkärintodistus työterveyshuoltoon, mikäli työntekijä ei ole kieltänyt luovuttamista. Koska kyse on arkaluonteisten tietojen luovuttamisesta, työterveyshuollosta tietoja voidaan luovuttaa työnantajalle vain työntekijän nimenomaisen kirjallisen suostumuksen perusteella tai jos laissa on luovuttamisesta nimenomaisesti säädetty. Käytännössä kuitenkaan työterveyshuolto ei toimita lääkärintodistusta työnantajalle, vaan työntekijä toimittaa sen itse, mikäli haluaa työnantajan maksavan sairausajan palkkaa. Ks. työntekijän terveydentilatietojen luovuttamisesta kohdasta Lakimääräiset tehtävät Työnantaja voi luovuttaa työntekijän henkilötietoja silloin, kun asiasta säädetään laissa. Jos tietojen luovuttaminen tapahtuu tällä perusteella, työnantajalla ei ole harkintavaltaa tietojen luovuttamisen suhteen ja se ei tarvitse tietojen luovuttamiseen työntekijän suostumusta. Työnantajan ei tarvitse ilmoittaa tietojen luovuttamisesta työntekijälle, eikä työntekijällä myöskään ole oikeutta kieltää tietojen luovuttamista. Työntekijän suostumukseen perustuvasta henkilötietojen luovutuksesta on kyse mm. silloin, kun luotonantaja tiedustelee työnantajalta työsuhteen olemassaoloa ja kestoa. Käytännössä tietojen luovuttaminen lakimääräisten tehtävien perusteella liittyy usein esimerkiksi sosiaaliturvan tai verotuksen täytäntöönpanoon. Työnantajan on usein annettava viranomaiselle tietoja, esimerkiksi eläkkeisiin liittyvissä asioissa tai työsuhteen päättymistä koskevissa tilanteissa. 28 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

29 9.4. Yhteysvaatimukseen perustuva luovutus Yhteysvaatimuksella tarkoitetaan esimerkiksi asiakas- tai palvelussuhteen (esimerkiksi asiakas- tai työsopimus) kautta syntyvää asiallista yhteyttä työnantajan toimintaan. Asiallisen yhteyden lisäksi tietojen luovutuksen on täytettävä seuraavat edellytykset: tietojen luovuttaminen kuuluu tavanomaisena osana työnantajan toimintaan, luovuttamisen tarkoitus on yhteensopiva henkilötietojen käsittelyn tarkoituksen kanssa ja työntekijän voidaan olettaa tietävän luovutuksesta. Kun edellytykset täyttyvät, henkilöstöpalveluyritys voi luovuttaa henkilötietoja siinä määrin, kuin sitä voidaan pitää tarpeellisena ja asiallisesti perusteltuna käyttäjäyrityksen päätöksenteon kannalta Ulkopuoliset palveluyritykset Työnantaja voi antaa henkilötietojen käsittelyn, lähinnä palkkahallinnon, ulkopuolisen palveluyrityksen hoidettavaksi. Koska kyse on palkkahallinnon teknisestä toimeenpanosta, työnantajaa pidetään tällöinkin rekisterinpitäjänä kaikkine velvoitteineen. Henkilötietojen käsittelyn ulkoistamisesta on tehtävä ilmoitus tietosuojavaltuutetulle. Henkilöstöpalveluyrityksen avoimissa nettilomakkeissa on suositeltavaa pyytää työntekijältä suostumus tietojen luovuttamiseen työntekijöitä hakeville yrityksille. Jos työnhakija hakee jotakin tiettyä työtehtävää tietyssä yrityksessä, henkilöstöpalveluyrityksellä on yhteysvaatimukseen perustuen oikeus luovuttaa kyseisen työtehtävän kannalta tarpeellisia työnhakijan henkilötietoja ilman työnhakijan nimenomaista suostumusta. Henkilötietolain mukaan henkilötietoja saa luovuttaa ulkopuoliselle palveluyritykselle, jos se on tarpeen rekisterinpitäjän maksupalvelua, tietojenkäsittelyä tai muuta niihin verrattavia Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 29

30 tehtäviä varten. Tällöin työntekijän suostumusta tietojen luovuttamiseen ei tarvita, eikä hänellä ole oikeutta kieltää luovuttamista. Kun ulkopuolinen palveluyritys käsittelee henkilötietoja, sillä on oikeus käsitellä samoja tietoja kuin työnantajalla. Työnantaja voi luovuttaa ulkopuoliselle palveluyritykselle esim. arkaluonteisia sairauspoissaolotai ammattiliittojäsentietoja, kun se on tarpeen palkan maksamiseksi tai sairausvakuutusetuuksien hakemiseksi Konsernin sisäinen luovutus Kun konserni käsittelee henkilötietoja, joissa on kysymys asiakkaita tai työntekijöitä koskevista tiedoista, voidaan tietoja käsitellä kyseisen konsernin sisällä. Näin ollen esimerkiksi tytäryhtiön työntekijän henkilötietoja voidaan käsitellä tarpeellisuusvaatimus huomioiden esimerkiksi emoyhtiön palkka- tai henkilöstöhallinnossa, eikä siihen tarvita työntekijän suostumusta. Henkilötunnuksen ja arkaluonteisten henkilötietojen luovuttaminen ei kuitenkaan ole sallittua konsernin sisällä ilman työntekijän nimenomaista suostumusta, ellei siihen ole arkaluonteisten tietojen käsittelykieltoa koskevaa poikkeusta tai henkilötunnuksen käsittelyyn oikeuttavaa perustetta. Franchising -ketjuun kuuluvat yritykset voivat luovuttaa toisilleen työntekijöitä koskevia tilastotietoja. Niistä ei kuitenkaan saa käydä ilmi yksittäisiä työntekijöitä koskevia henkilötietoja. Jos franchising -yrityksillä on kuitenkin esimerkiksi yhteinen palkkahallinto, henkilötietoja saa luovuttaa palkkahallintoa hoitavalle yritykselle silloin, kun se on tarpeen tehtävien hoitamiseksi. Silloin, kun työnhakijan työllistettävyyden kannalta on tarpeen luovuttaa hakijan henkilötietoja franchising -ketjuun kuuluvien yritysten välillä, hakemuksiin on syytä ottaa työntekijältä suostumus tietojen luovuttamiseen. 30 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt

31 9.7. EU:n ulkopuolelle luovutettavat henkilötiedot Työnantaja voi siirtää henkilötietoja Euroopan unionin alueella sekä Euroopan talousalueeseen kuuluvissa maissa samoilla edellytyksillä kuin Suomessa. Henkilötietoja voidaan siirtää EU:n tai ETA:n ulkopuolelle ainoastaan, mikäli kyseisessä maassa taataan tietosuojan riittävä taso tai jos EU:n komissio on nimenomaisesti todennut, että kyseisessä maassa tietosuojan riittävä taso on taattu. Luovutettaessa tietoja EU:n tai ETA:n ulkopuolelle edellytetään lisäksi, että myös henkilötietolain luovuttamisen muut edellytykset täyttyvät ja rekisteriselosteessa on maininta tietojen siirrosta näihin maihin. Henkilötietolaissa on kuitenkin säädetty poikkeuksista, joiden perusteella henkilötietojen siirtäminen EU:n tai ETA:n ulkopuolelle voidaan tehdä, vaikka kohdemaan tietosuojan riittävää tasoa ei ole voitu taata. Näiden poikkeusten käsitteleminen tässä yhteydessä ei ole kuitenkaan mahdollista, vaan ne on tarkistettava tapauskohtaisesti Erityislaeista tulevia velvollisuuksia luovuttaa tietoja Työntekijällä tai hänen valtuuttamallaan on aina oikeus saada työnantajalta työntekijää itseään koskevia tietoja. Myös muissa erityislaeissa, kuten työturvallisuuslaissa, työterveyshuoltolaissa, työaikalaissa, vuosilomalaissa ja tasa-arvolaissa, on säännöksiä tietojen luovuttamisesta. Luovutettaessa henkilötietoja erityislakien perusteella Tilaajavastuulaissa henkilöstöpalveluyritykselle on asetettu velvollisuus luovuttaa tietoja käyttäjäyrityksen luottamusmiehelle tilanteessa, jossa vuokratyöntekijän palkasta tai tämän työsuhteeseen liittyvien lakien tai sopimusten soveltamisesta on syntynyt erimielisyyttä. Luottamusmiehellä on oltava vuokratyöntekijän valtuutus tietojen saamiseksi. Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt 31

32 on otettava huomioon niin erityislaeissa kuin henkilötietolaissa ja yksityisyyden suojasta työelämässä annetussa laissa olevat edellytykset tietojen käsittelylle. 10. Tietojen poistaminen rekisteristä Tarpeettomien tietojen poistaminen Työnantajan on huolehdittava siitä, ettei se käsittele virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja. Näin ollen työnantajan on heti poistettava vanhentuneet tiedot rekisteristä. Työnantajan on myös poistettava työntekijää koskevat tiedot, jos ne eivät ole enää tarpeellisia. Tietojen tarpeellisuutta arvioidaan tarpeellisuussäännön nojalla ja tietojen poistamista on arvioitava erikseen kunkin tiedon kohdalla. Henkilötiedot voivat muuttua nopeastikin tarpeettomiksi, esimerkiksi tilanteissa, joissa työnhakija peruuttaa hakemuksensa, jolloin tarpeettomat henkilötiedot on palautettava hakijalle tai muutoin hävitettävä. Myös koko henkilötietorekisteri, joka ei ole enää työnantajan toiminnan kannalta tarpeellinen, on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi. Arkaluonteiset tiedot on poistettava välittömästi sen jälkeen, kun käsittelylle ei enää ole laissa säädettyä perustetta. Vanhentuneet ja tarpeettomiksi käyneet arkaluonteiset tiedot on poistettava rekisteristä, kun Työsopimuslain mukaan käyttäjäyrityksen on toimitettava vuokratyöntekijän työnantajalle ne tiedot, jotka työnantaja tarvitsee velvollisuuksiensa täyttämiseksi. Tällaisia tietoja ovat esimerkiksi työtodistukseen annettava arvio työtaidosta ja käyttäytymisestä sekä palkanmaksua varten tarvittavat tiedot työajasta. Henkilöstöpalveluyrityksillä on laajat työnhakijarekisterit. Yritysten olisi hyvä laatia selkeät pelisäännöt sille, miten rekisteri pidetään ajan tasalla, varsinkin ns. avointen työhakemusten osalta. Työnhakijoille voidaan esimerkiksi lähettää tietyin väliajoin sähköpostilla tiedustelu, onko työhakemus edelleen voimassa. Samalla heitä voi pyytää tarkistamaan tietojensa oikeellisuuden. 32 Henkilöstöpalvelualan henkilötietojen käsittelyn käytännönsäännöt