Suulliset henkilötiedot ja yksityisyyden suojasta työelämässä annettu laki

1 Suulliset henkilötiedot ja yksityisyyden suojasta työelämässä annettu laki 1. Yleislaki ja erityislaki Lailla yksityisyyden suojasta työelämässä (759/2004) täydennettiin henkilötietojen käsittelyä yleisesti koskevan henkilötietolain (523/1999) säännöksiä työelämän erityistarpeisiin soveltuviksi. Erityislailla rajoitettiin työnantajan oikeutta käsitellä ja kerätä työntekijän henkilötietoja eräissä työelämän keskeisissä kysymyksissä. Samalla työnantajalle säädettiin menettelytapoja koskevia velvoitteita, joita henkilötietolaissa ei ole voitu ottaa huomioon. Lisäksi lain tarkoituksena on edistää hyvän tietojenkäsittelytavan noudattamista ja kehittämistä käsiteltäessä sekä työnhakijoiden että työntekijöiden henkilötietoja työelämässä. Lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia työelämässä. Esitystä valmisteltaessa otettiin huomioon muun muassa yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettu Euroopan parlamentin ja neuvoston direktiivi sekä Suomen perustuslaki. Yksityisyyden suojasta annetun lain mukaan työnantaja saa käsitellä vain välittömästi työsuhteen kannalta tarpeellisia työntekijän henkilötietoja, eikä tästä tarpeellisuusvaatimuksesta voida poiketa työntekijän suostumuksellakaan. Työnantajan on kerättävä työntekijää koskevia henkilötietoja ensi sijassa työntekijältä itseltään. Muualta kuin työntekijältä itseltään kerättävien henkilötietojen hankintaan työnantajan tulee yleensä saada työntekijän suostumus, ja tällä tavalla hankitusta tiedosta tulee antaa tieto työntekijälle tietyin laissa säädettävin poikkeuksin. Henkilötietolaki yleislakina ei ratkaise kaikkia henkilötietojen käsittelyyn eri aloilla liittyviä yksittäisiä kysymyksiä. Erityisenä ongelmana työelämää koskevien henkilötietojen käsittelyssä on ollut se, minkälaisia henkilötietoja laissa yksityisyyden suojasta työelämässä tarkoitetaan. Eri käsityksiä on esitetty varsinkin siitä, koskeeko henkilötietolainsäädäntö vain rekisteriin otettuja henkilötietoja ja vastaavia tietoja, jotka on tarkoitus ottaa rekisteriin. Jos henkilötiedolla tarkoitetaan vain jollekin alustalle merkittyjä rekisteritietoja, silloin säädetty erityislaki ei poikkea tältä osin lainkaan yleislaista. Moni voi tällöin kysyä sitä, mitä lain erityisluonne oikeastaan tarkoittaa työelämän henkilötietojen osalta ja voiko työnantaja hankkia suullisesti käsiteltäviä työntekijää tai työnhakijaa koskevia henkilötietoja mistä asioista tahansa ja keneltä tahansa. 2. Henkilötietojen sääntelyn taustaa Henkilötietolain mukaiset henkilötietojen käsittelyn edellytykset ovat monilta osin varsin yleisiä ottaen huomioon ne tarpeet, joita toisaalta työntekijän yksityisyyden suojaaminen ja toisaalta työelämän tarpeet edellyttävät. Yksityisyyteen työpaikalla kuuluu työnhakijan ja työntekijän mahdollisimman suuri oikeus tietää ja päättää omiin henkilötietoihinsa liittyvästä käsittelystä, tietää omien henkilötietojensa sisällöstä ja oikeus tulla arvioiduksi oikeiden henkilötietojen perusteella. Työelämässä yksityisyyden suojassa on kyse kahden osapuolen, työnantajan ja työnhakijan tai työntekijän, välisestä tasapainosta ja suhteesta. Laki yksityisyyden suojasta työelämässä perustuu moniin kansainvälisiin asiakirjoihin ja lähtökohtiin. Kansainvälisissä sopimuksissa, suosituksissa ja ohjeistuksissa henkilötiedolla tarkoitetaan eri asiakirjoissa hieman erilaisia asioita. Tästä syystä niiden perusteella ei voida

2 ratkaista sitä, miten meillä henkilötieto tulisi ymmärtää. Toisaalta ne kuitenkin kuvaavat nyt arvioitavan olevan henkilötietosääntelyn lähtökohtia ja tavoitteita. Henkilötietodirektiivi. Henkilötietodirektiivi annettiin 24 päivänä lokakuuta 1995. Direktiivin tavoitteisiin kuuluu turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti oikeus yksityisyyteen henkilötietoja käsiteltäessä. Koska direktiivi liittyy sisämarkkinoiden kehittämiseen, sen tarkoituksena on EU:n jäsenvaltioiden lainsäädännön harmonisoinnilla turvata henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä. Jäsenvaltio ei saa estää henkilötietojen siirtämistä toiseen jäsenvaltioon yksityisyyden suojaan liittyvistä syistä. Jäsenvaltion tulee lisäksi valvoa, että henkilötietoja käsitellään direktiivissä edellytetyllä tavalla ja että henkilötietoja vastaanottavassa kolmannessa maassa on toteutettu riittävä tietosuojan taso. Suomessa tietosuojadirektiivin säännökset on saatettu osaksi kansallista lainsäädäntöä henkilötietolailla. Direktiivissä "henkilötiedoilla" tarkoitetaan kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä ("rekisteröity") koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella. "Henkilötietojen käsittelyllä" tarkoitetaan vuorostaan kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen, Henkilötietodirektiivissä tarkoitetun henkilötiedon piiriin kuuluvat myös suulliset tiedot. Henkilötieto käsite ei edellytä sitä, että tieto perustuisi esimerkiksi henkilörekisteriin eli että se annettaisiin rekisterin perusteella. Henkilötietojen käsittelyn piiriin suulliset tiedot kuitenkin kuuluvat vain, jos niitä käsitellään automaattisesti tai manuaalisesti (esimerkiksi suulliset tiedot merkitään jollekin alustalle). Yleensä esimerkiksi työnantajan toimeenpanemat kyselyt käsitellään kyseisellä tavalla. Direktiivin 3 artiklan mukaan direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Direktiiviä ei vuorostaan sovelleta henkilötietojen käsittelyyn, joka a) suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta ja rikosoikeuden alalla tapahtuvaa valtion toimintaa, ja b) jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa. Direktiivin soveltamisalan ja soveltamisalan ulkopuolelle jäävien asioiden väliin sijoittuu työelämässä tavanomainen työnantajan toimesta tapahtuva suullinen henkilötietojen kerääminen. Tämän välitilan osalta tulkinnan lienee perustuttava direktiivin tarkoitukseen eli yksityisyyden suojaan. Jos työnantaja kerää tietoja suullisesti (vrt. esim. direktiivissä mainittu kysely) ja jos kyseiset tiedot normaalisti ajatellen huolellisen työnantajan tulisi laittaa jollekin alustalle, kyse on manuaalisesta henkilötietojen keräämisestä. Tietosuojadirektiivin (95/46/EC) artiklan 29 nojalla perustettu työryhmä on vastikään (20.6.2007) antanut ohjausta (Opinion Nº 4/2007 on the concept of personal data, WP 136) henkilötiedon käsitteen määrittelemisestä. Työryhmä analysoi käsitettä direktiivissä määritellyn neljän elementin perusteella: 1) mikä tahansa tieto, 2) joka viittaa, 3) tunnistettuun tai tunnistamattomaan, 4) luonnolliseen henkilöön. Yleisenä johtopäätöksenä työryhmä totesi, että lainsäätäjän tarkoituksena on ollut henkilötiedon käsitteen mahdollisimman laaja soveltaminen mutta soveltamisala ei kuitenkaan ole rajoittamaton. Työryhmän mielestä henkilötiedon käsitettä ei saa tulkita laajemmin kuin direktiiviä säädettäessä on ollut tarkoituksena, mutta toisaalta käsitteen määrittelemistä ei tulisi kohtuuttomasti rajoittaakaan. Tietosuojadirektiivin tarkoituksena on yksityisyyden suojan turvaaminen. Direktiiviä on työryhmän mukaan siten tarkoitus soveltaa tilanteisiin, joissa yksityisyyden suoja voisi olla uhattuna tai suojan tarpeessa. Kansainvälisen työjärjestön ohjeisto. Työntekijöiden henkilötietojen suojaamista koskeva ILOn ohjeisto hyväksyttiin järjestön asiantuntijakokouksessa vuonna 1996. Ohjeisto ei sido jäsenvaltioita, eikä se korvaa kansallisia lakeja, asetuksia tai määräyksiä, kansainvälisiä työelämän normeja tai muita hyväksyttyjä normeja. Ohjeiston tarkoituksena on antaa ohjeita työntekijöiden henkilötietojen suojaamisesta. Ohjeisto sisältää yleiset periaatteet siitä, miten työntekijöiden henkilötietojen keräämisessä, käsittelyssä, käyttämisessä, tallentamisessa, suojaamisessa ja luovuttamisessa tulisi menetellä, jotta työntekijöiden oikeus saada tietoa kerättävistä henkilötiedoista ja niiden käsittelystä turvattaisiin. Ohjeistolla on tarkoitus kattaa tietojen käsittelyn kaikki muodot, ja sitä sovelletaan sekä manuaaliseen että automaattiseen henkilötietojen käsittelyyn. Ilmaisulla "käsittely" tarkoitetaan henkilötietojen keräämistä, tallettamista,

3 yhdistämistä ja luovuttamista sekä muuta henkilötietojen käyttöä. Ohjeiston mukaan henkilötietoja tulee käsitellä laillisesti ja oikeudenmukaisesti ja vain työntekijän työsuhteen hoitamiseen välittömästi liittyviä tarkoituksia varten. Työntekijöistä kerättyjä henkilötietoja tulee ohjeiston periaatteiden mukaan käyttää vain niihin tarkoituksiin, joita varten tiedot on alun perin koottu. Esimerkiksi työnantajan toiselta työnantajalta kyselemät tiedot eivät kuulu tietojen alkuperäisen keräämistarkoituksen piiriin. Työntekijöiden henkilötietoja tulee ohjeiston periaatteiden mukaan lisäksi kerätä vain työntekijältä itseltään. Kerättäessä tietoja kolmansilta osapuolilta, asiasta tulee ensin ilmoittaa työntekijälle ja saada tietojen keräämiseen hänen nimenomainen suostumuksensa. Työnantajalla tulee olla peruste työntekijästä keräämilleen tiedoille, ja tietojen tulee olla merkityksellisiä työsuhteen kannalta. ILO:n ohjeisto on yleinen koskiessaan sekä manuaalista että automaattista tietojenkäsittelyä. Sen tarkoituksena on laajasti ohjeistaa työntekijää koskevien tietojen käsittelyä ja turvata tämän yksityisyyttä. Suosituksessa ei käsitellä suullisia tietoja, mutta suosituksen kiertäminen tietoja suullisesti keräämällä ei suojaa työntekijöiden yksityisyyttä eikä edistä hyvää tietojenkäsittelytapaa. Euroopan neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. Vuodelta 1981 olevan tietosuojasopimuksen tarkoituksena on turvata henkilötietojen automaattisessa tietojenkäsittelyssä jokaiselle hänen oikeutensa ja perusvapautensa ja erityisesti hänen oikeutensa yksityisyyteen. Yleissopimuksessa "henkilötiedot" tarkoittavat mitä tahansa tietoja, jotka koskevat tunnistettua tai tunnistettavissa olevaa yksilöä ja "automaattisesti käsiteltävä rekisteri" tarkoittaa mitä tahansa kokoelmaa tietoa, jota käsitellään automaattisen tietojenkäsittelyn avulla. Automaattiseen tietojenkäsittelyyn" sisältyvät sopimuksen mukaan seuraavat toiminnot, jos ne tehdään kokonaan tai osittain automaattisesti: tietojen tallettaminen, loogisten ja/tai aritmeettisten toimintojen suorittaminen näillä tiedoilla, niiden muuttaminen, pyyhkiminen, esille saanti tai levittäminen. Suullisesti käsitellyt henkilötiedot eivät kuulu yleissopimuksen piiriin. Ministerikomitean suositus. Euroopan neuvoston ministerikomitean vuonna 1989 työsuhteen yhteydessä käytettävien henkilötietojen suojaamisesta antaman suosituksen tarkoituksena on yhtenäistää jäsenmaissa noudatettavaa tietojenkäsittelymenettelyä siten, että siinä otetaan huomioon työntekijöiden perusoikeuksien, erityisesti yksityisyyden suojan toteutuminen. Periaatteet koskevat henkilötietojen keräämistä, tietojen tallentamista, tietojen sisäistä käyttämistä, tietojen toimittamista työntekijöille ja luovuttamista ulkopuolisille sekä tietojen suojaamista ja säilyttämistä työsuhteen yhteydessä niin julkisella kuin yksityiselläkin sektorilla. Periaatteita sovelletaan automaattisen tietojenkäsittelyn avulla käsiteltyihin tietoihin, samoin kuin muihin työnantajilla työntekijöistä oleviin tietoihin, siinä määrin kuin nämä tiedot ovat edellytyksenä automaattisesti käsiteltyjen tietojen ymmärtämiselle. Lisäksi suosituksen mukaan työnantajien ei tulisi käsitellä tietoja manuaalisesti välttyäkseen soveltamasta tämän suosituksen periaatteita. Suositus tarkoittaa nimensä mukaisesti vain automaattisesti käsiteltäviä henkilötietoja. 3. Suullisista henkilötiedosta tarkemmin 3.1. Lähtökohta Henkilötietolain mukaan (3 ) henkilötiedoilla tarkoitetaan kaikenlaisia luonnollista henkilöä, hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Työntekijän ja työnhakijan henkilötietoja ovat siten kaikenlaiset heitä kuvaavat merkinnät, esimerkiksi heidän ominaisuuksiaan ja heidän elinolosuhteitaan kuvaavat merkinnät edellyttäen, että ne voidaan tunnistaa heitä, heidän perhettään tai heidän kanssa yhteisessä taloudessa eläviä koskeviksi. Henkilötieto voi olla kirjallinen tai koneellisesti, sähköisesti, optisesti tai magnetoimalla talletettu tieto. Yksinomaan suullisesti käsitellyt tiedot eivät ole henkilötietolain valmisteluasiakirjojen mukaan tämän lain tarkoittamia henkilötietoja, jolleivät ne perustu henkilörekisteriin tallennettuihin tietoihin. Vastaavasti tunnistettavien työnhakijoiden ja työntekijöiden automaattisesti käsiteltyihin tai manuaalisiin henkilörekistereihin talletettuihin henkilötietoihin kohdistuvat toimenpiteet ovat henkilötietolain tarkoittamaa henkilötietojen käsittelyä. Käsittely voi olla ainakin tietojen keräämistä, tallettamista, käyttöä, luovuttamista, siirtämistä ja yhdistämistä. Henkilötietojen osalta meillä omaksuttu henkilötietolakiin otettu määritelmä vastaa suurinta osaa kansainvälisiä sopimuksia ja suosituksia mutta sitä on tulkittu ainakin osaa näistä yksioikoisemmin

4 jättämällä kaikki suulliset tiedot henkilötieto -käsitteen ulkopuolelle. Arvioinnin lähtökohdan pitäisi työelämässä olla se, että kaikki tiedot, josta henkilö tunnistetaan, ovat henkilötietoja. Tämä on hyvin ymmärrettävää, koska suuri osa työelämän henkilötiedoista esitetään ja käsitellään suullisesti. Sen sijaan henkilötietojen käsittelyn osalta henkilötietolakimme sinänsä vastaa kansainvälistä säännöstöä mutta meillä ei ole tuotu vastaavalla tavalla esille esimerkiksi sitä, että säännöksiä ei sallita kiertää. Henkilötiedolla ei työelämän erityislain kannalta ole yksityisyyden suojaa korostavan tulkintatavan perusteella sellaista yhteyttä henkilörekisteriin, että henkilötietoja tulisi ja voitaisiin tulkita vain henkilörekisteri -käsitteen mukaisesti. Henkilörekisterillähän tarkoitetaan henkilötietolain mukaisesti manuaalisesti tai automaattisen tietojenkäsittelyjen avulla ylläpidettyä rekisteriä ja sellaista rekisteriä, johon kuuluvia henkilötietoja käsitellään molemmilla tietojenkäsittelytavoilla. Hallituksen esityksessä laiksi yksityisyyden suojasta työelämässä todetaan, että ehdotetussa laissa säädettäisiin työelämän tilanteita henkilötietolakia täsmällisemmin. Tämän jälkeen hallituksen esityksessä todetaan, että lakiehdotuksessa käytetään muun muassa henkilötietojen käsittelyyn liittyvää käsitteistöä merkityssisällöltään samana kuin henkilötietolain 3 :ssä. Näistä syistä erityislaissa nimenomaisesti viitataan henkilötietolakiin. Tämä yleinen maininta ei kuitenkaan riitä selvittämään sitä, käytetäänkö laissa yksityisyyden suojasta työelämässä henkilötietokäsitettä myös laajemmin kuin henkilötietolaissa. Kaikki se, mitä sanotaan henkilötietolain soveltamisesta, luonnollisesti pätee erityislain yhteydessä, mutta lainvalmistelunkaan mukaan henkilötietolaki ei yleislakina kata kaikkia työelämän erityistarpeita henkilötietojen osalta. 3.2. Argumentaation kehittelyä Työnantajalla on tosiasiallinen tarve kerätä ja rekisteröidä tietoja toimintansa järjestämiseksi. Toisaalta jokaisella työntekijällä on oikeus määrätä omien henkilötietojensa käytöstä ja luovuttamisesta. Lainsäädännössä sovitetaan yhteen työnantajan tarve saada käyttöönsä työntekijöiden henkilötietoja ja työntekijöiden tarve suojata omia henkilötietojaan. Henkilötiedon käsite laissa yksityisyyden suojasta työelämässä ei ole sidottu henkilörekisteriin. Kansainvälistä taustaa seuraten kyse on vain tiedosta, joka on yhdistettävissä tiettyyn henkilöön. Toisaalta henkilötietolakia vastaavasti tietojen keräämisellä työelämässä tarkoitetaan lakia koskevan hallituksen esityksen mukaan sellaista järjestelmällistä toimintaa, jonka tarkoituksena on muodostaa työnhakijoista ja työntekijöistä henkilörekisteri tai sen osa. Tämä on kiistaton lähtökohta. Laki yksityisyyden suojasta sisältää tähän kuitenkin tarkennuksia. Yksityisyyden suojasta työelämässä annetun lain mukaan henkilötiedot on ensi sijassa kerättävä työntekijältä itseltään. Tällä tavoin työntekijä saa parhaiten selville, mitä tietoja hänestä kerätään. Tässä kohdin tietojen kerääminen liitetään vain henkilötietokäsitteeseen ja velvoitetaan keräämään henkilötieto asianomaiselta itseltään. Työnantajalla on kuitenkin oikeus kerätä tietoja myös muualta. Työnantajan kerätessä henkilötietoja muualta kuin työnhakijalta tai työntekijältä itseltään työnantajan on pääsääntöisesti hankittava tämän suostumus. Jos työntekijä ei sanottua suostumusta anna tai sitä on asian laatu huomioon ottaen mahdotonta pyytää häneltä, on työnantajalla kuitenkin oikeus hankkia tietoja ilman suostumustakin laissa määritellyillä edellytyksillä.

5 Ulkopuolisilta hankittavat tiedot tarkoittavat kaikkia henkilötietolaissa määriteltyjä henkilötietoja niiden keräämistavasta riippumatta. Hallituksen esityksessä todetaan seuraavasti: Jos entinen työnantaja, tämän edustaja tai joku muu ilmaisee ainoastaan muistikuviaan henkilöstä eikä luovuta siten henkilörekisteriin talletettuja henkilötietoja, eivät tällaiset muistikuvat ja niistä kertominen kuuluisi lain soveltamisen piiriin. Jos entinen työnantaja sen sijaan luovuttaa suullisestikin henkilörekisteriin tallennettuja tietoja, tulisi luovutusedellytysten täyttyä. Lisäksi on otettava huomioon, että tietojen luovuttajaa koskevat myös henkilötietolaissa ja muissa laeissa säädetyt salassapitovelvollisuudet ja vanhentumissäännökset sekä julkisuuslainsäädäntö. Tältä osin lainsäätäjä ei ole ollut ihan tarkka, koska tässä kohdin kyse on yksityisyyden suojasta työelämässä annetun lain säätämistä työntekijää suojaavista velvoitteista. Mikään tähän lakiin liittyvä yleinen tarkoitus ei puolla sitä tulkintaa, että henkilötietolakia täydentävässä erityislaissa käytettäisiin yksinomaan henkilötietolain mukaista rajoitettua rekisteriin sidottua henkilötiedon käsitettä. Henkilötietolain mukainen henkilötiedon käsite on ilman muuta myös erityislain mukainen, mutta erityislaissa puhutaan vain henkilöä koskevasta tiedosta. Myös menettelyllisesti erityislaki asettaa yleisiä työelämää silmällä pitäen säädettyjä rajoitteita. Esimerkiksi rekisterit ovat yleisesti liian korkea vaatimus ottaen huomioon sen, että rekisterit ovat monilla työnantajilla kehittymättömiä tai niitä ei ole järjestetyssä muodossa kuin vain harvoista asioista. Yksityisyyttä suojaava lainsäädäntö, perustuslaki huomioon ottaen, ei voi perustaa lähtökohtaansa näin pitkälle teknisesti kehittyneen työnantajan toimintatavan varaan. Yksityisyyden suojaa korostava lähestymistapa on hyvin ymmärrettävä, jos työnantaja kysyy suullisesti esimerkiksi aikaisemmalta työnantajalta työnhakijan terveydentilatietoja. Yksityisyyden suojasta työelämässä annettu laki lähtee tällaisessa tilanteessa ilman muuta siitä, että työnantaja kerää näin toimiessaan työnhakijansa henkilötietoja toiselta ilman tämän suostumusta ja rikkoo tiedustelujen kohteen yksityisyyden suojaa. Yksityisyyden suojaaminen on tarpeen myös esimerkiksi silloin, kun työnhakijan aikaisemmalta työnantajalta selvitetään työnhakijan hankaluutta. Lisäksi on huomattava, että hallituksen esityksessä mainittujen lain sisältöä esittelevien tilanteiden väliin jää monia ongelmallisia suullisten tietojen käsittelytapoja. Henkilötiedon käsitteen piiriin eivät kuulu muistikuvat, joten tältä osin hallituksen esityksen lähtökohta on oikea. Tässä yhteydessä ei puututa siihen, mitä muistikuva -ilmaus tarkoittaa. Sekin on selvää, että jos entinen työnantaja luovuttaa suullisesti henkilörekisteriin kuuluvia tietoja, luovuttaminen on yksityisyyden suojasta työelämässä annetun lain sääntelemää. Ongelmallinen tilanne on kuitenkin edelleen se, että työnantaja luovuttaa suullisesti muita kuin muistikuvia eli kiistatta henkilötietoja, jotka huolellisen työnantajan tulisi laittaa jollekin alustalle eli rekisteriin. Kansainvälisissä asiakirjoissa on tällaisessa yhteydessä korostettu sekä säännösten kiertämisen estämistä että työntekijöiden yksityisyyttä suojaavaa hyvää tietojen käsittelytapaa. Tästä lähtökohdasta arvioiden osa suullisesti ilmaistuista tiedoista vähäpätöisinä ei koskettane työntekijöiden yksityisyyden suojaa. Mutta jos kyse on esimerkiksi sen selvittämisestä suullisesti, onko työntekijällä ollut perusteettomia poissaoloja, runsaasti sairauspoissaoloja tai onko hän esimerkiksi hankala, ollaan selkeästi työntekijöiden (mukaan lukien työnhakijat) yksityisyyden suojan ydinalueella. Tällöin työelämässä tapahtuvien henkilötietojen käsittelyn tarkoitus huomioon ottaen ei voida puolustaa sellaista käsitystä, että työnantajat voisivat vaihtaa suullisesti tällaisia tietoja ilman yksityisyyttä suojaavan lainsäädännön tuomia rajoituksia. Yksityisyyden suojan piiriin ei kuulu vain huolellisen työnantajan hyvin järjestetty ja suunniteltu henkilötietojen käsittely. Yksityisyyden suoja tulee nimenomaisesti arvioida sitä loukkaavia ja

6 kiertäviä toimenpiteitä silmällä pitäen. Tällöin sellaiset toimenpiteet, jotka eivät kestä päivänvaloa, ovat juuri sellaisia, joita torjumaan yksityisyyden suoja varsinkin työelämässä on tarkoitettu. Suullisten henkilötietojen yhteydessä kyse ei ole suojasta henkilötietoja huolellisesti käsittelevää työnantajaa kohtaan, vaikka lainsäädäntö asettaa hänellekin monia velvoitteita. Yksityisyyden suojan tulee toimia myös työntekijän selän takana toimivia, lakia kiertämään pyrkiviä työnantajia vastaan. Tämä on sekä lyhyellä että varsinkin pitkällä tähtäimellä kaikkien, myös sekä työnantajien että työntekijöiden, yhteinen etu. Henkilötietolaki asettaa työnantajallekin monia velvoitteita koskien keräämiään henkilötietoja. Huolellisuusvelvoitteen (5 ) mukaan rekisterinpitäjän tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta. Saman lain mukaan (6 ) henkilötietojen käsittelyn tulee olla asiallisesti perusteltua rekisterinpitäjän toiminnan kannalta. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Henkilötietojen käsittelyn tarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilötietoja käsitellään. Lain käyttötarkoitussidonnaisuutta koskevan säännöksen (7 ) mukaan henkilötietoja saa käyttää tai muutoin käsitellä vain tavalla, joka ei ole yhteensopimaton käsittelyn tarkoitusten kanssa. Nämä yleiset velvoitteetkin puoltavat säännönmukaisen pelkästään suullisten tietojen käsittelykieltoa, mikäli kyseisiä yleisiä velvoitteita ei noudateta. Työnantaja ei täytä myöskään avoimuus- ja informointivelvoitteitaan (24 ), jos henkilötietoja kerätään, muiden ohella myös arkaluonteisia, asianomaisen tietämättä, hänelle kertomatta ja hänen pystymättä lausumaan käsitystään tietojen virheettömyydestä. Työnhakija tai työntekijä ei voi tällaisten tietojen osalta käyttää myöskään tarkastusoikeuttaan (26 ). Henkilötietojen kerääminen kuuluu myös yhteistoimintalainsäädännön (laki yhteistoiminnasta yrityksissä, (334/2007, 15 ) mukaan neuvoteltaviin asioihin. Yhteistoimintaneuvotteluissa on käsiteltävä muun muassa yrityksessä noudatettavat periaatteet ja käytännöt siitä, mitä tietoja työntekijästä kerätään työhönoton yhteydessä ja työsuhteen aikana ottaen huomioon, mitä yksityisyyden suojasta työelämässä annetussa laissa (759/2004) säädetään. Vaikka yhteistoimintalaissa viitataan suoraan erityislakiin, yhteistoimintalain tarkoituksen mukaista ei ole se, että käytännössä merkittävä osa henkilötietojen keräämisestä työpaikalla, suullisesti mutta säännönmukaisesti kerättävät tiedot, ei kuuluisi yhteistoimintavelvoitteen piiriin. Se, mitä tietoja kerätään kirjallisesti ja mitä suullisesti, on yhteistoimintalain säännöksen tarkoittama periaate tai käytäntö. Tällaisen asian kertomatta jättäminen ei ole omiaan lisäämään luottamusta työnantajan ja henkilöstön edustajien väliseen yhteistoimintaan. Yksityisyyden suojaa työelämässä tarkoittavan erityslain tavoitteena on hyvä tietojenkäsittelytapa. Hyvä tietojenkäsittelytapa nojaa avoimuuteen ja tietojen keräämisen kohteen eli asianomaisen yksilön kunnioittamiseen. Se ei nojaa siihen, että jollakin lakiteknisellä argumentaatiolla oikeutetaan työnantaja keräämään kenestä tahansa työntekijästä tai työnhakijasta mistä tahansa lähteestä suullisia henkilötietoja. Tällainen lopputulos on työelämässä toista kuin mitä tässä asiassa on kansallisesti ja kansainvälisesti tavoiteltu. 4. Lopuksi Suullisten henkilötietojen asemaa ei ole laissa yksityisyyden suojasta työelämässä suoraan ja nimenomaisesti ratkaistu. Ratkaisu riippuu tässä tilanteessa ainakin mielestäni vaikeasti tulkittavasta yleislain ja erityislain välisestä suhteesta. Työelämän erityisolosuhteiden huomioon ottaminen voisi puoltaa sitä lähestymistapaa, että suulliset henkilötiedot ymmärretään asiana, joka huolellisen työnantajan tulisi rekisteröidä ( on tarkoitus muodostaa rekisteri ). Tällöin niiden rekisteröimättä jättäminen johtuu ennen muuta tarkoituksesta välttää arkaluonteisten tai muuten arveluttavien tietojen taikka menettelytapojen esille tuloa.

7 Tässä asiassa monet varsinkin työnantajapuolella ovat toista mieltä. Heidän mielestään keskeistä on se, onko tieto laitettu jollekin alustalle. Esimerkiksi aikaisemmalta työnantajalta kysyttyjen tietojen suhteen he edellyttävät, että työnantaja laittaa suullisesti kyselemänsä asiat muistiin jollekin alustalle, jotta yksityisyyden suoja voisi tulla arvioitavaksi. Taustalla saattaa vaikuttaa sekin, että henkilötietolakia edeltävän lain nimi oli henkilörekisterilaki. Huonomuistinen tai huolellinen keskustelija voisi tällöin loukata kysyttävän yksityisyyden suojaa, mutta pelkästään tietoja kyselevä ja niitä mihinkään merkkaamaton työnantaja ei. Yksityisyyden suoja on siinä määrin keskeinen oikeushyvä, ettei sen loukkaaminen kiertämällä saa olla edellä kerrotulla tavalla helppoa. Suurella todennäköisyydellä suullisten henkilötietojen asema työntekijän yksityisyyttä suojeltaessa ei ratkea kirjoitusten perusteella. Asialla on siinä määrin suuri merkitys käytännön työelämässä, ettei työnantajan näkökulmasta hyväksi havaittuja käytäntöjä muuteta kirjallisuuden käsitysten johdosta. On myös hyvin epätodennäköistä, että oikeuskäytäntö tai lakia valvovat viranomaiset ratkaisisivat tällaisen asian. Oikeuskäytäntöä ei tästä kysymyksestä synny eikä tietosuojavaltuutettu siihen puutu. Näistä syistä lainsäätäjän olisi syytä tarkentaa tältä osin lainsäädäntöä. Tämäkään linja ei vaikuta kovin todennäköiseltä. Voihan kuitenkin vihreiden työministeri jostakin syystä innostua juuri tämän kysymyksen selvittämisestä.