Työsuhteen tietosuoja – mitä tietoja työnantaja saa työntekijästä kerätä?

Tietosuoja nousee ajankohtaiseksi jo ennen kuin työsuhde on edes alkanut. Rekrytointitilanteessa työnhakijalta voidaan pyytää vain niitä tietoja, mitkä työsuhteen kannalta ovat tarpeellisia. Lähtökohtaisesti tiedot kerätään henkilöltä itseltään, ja muualta tietoja saa kerätä pääsääntöisesti vain työnhakijan suostumuksella.

– Tietojen tarpeellisuuden arviointi riippuu haettavan tehtävän luonteesta, Johanna Havula kertoo.

Tarpeellisuusvaatimuksen lisäksi tietyistä, työnhakijalta kerättävistä tiedoista on aivan omat säännöksensä. Näitä ovat esimerkiksi huumetestit ja luottotietojen tarkistaminen. Näiden käyttämiseen laki asettaa tiettyjä lisäkriteereitä. Luottotietojen tarkistaminen voi tulla kyseeseen esimerkiksi silloin, kun työtehtävässä käsitellään asiakkaan tai työnantajan varoja.

Työnhakijaa ei voi lähteä googlettamaan

Monella on käytössään someprofiili tai muu merkintä internetissä. Havulan mukaan työnantajalla ei tästä huolimatta ole lähtökohtaisesti oikeutta tutustua työnhakijaan sosiaalisen median tai hakukoneiden kautta. Hakija voi kuitenkin linkittää hakemukseensa omat kotisivunsa tai LinkedIn-tilinsä työnantajan katsottavaksi. Havula kuitenkin pohtii, että aika on kenties ajanut tässä asiassa ohi, sillä elämme nyt entistä vahvemmin verkkomaailmassa.

– Verkkomaailma on muuttanut tapaa, jolla tietoja jaetaan ja tietosuojaviranomaisten ohjeistusta tässä asiassa tulisi mahdollisesti päivittää, Havula ehdottaa.

Etätyö tuo tietosuojaan uusia haasteita

Etä- ja hybridityön yleistyminen on tuonut mukanaan uusia tietosuojaan liittyviä haasteita. Etätyön tekeminen ei saa vaarantaa asiakkaiden tai kollegoiden tietosuojaa. Kun etätyöpaikoissa käsitellään muiden henkilötietoja, voi tietoturvan varmistaminen olla vaikeaa.

– Kotona voi olla muita ihmisiä, jotka kuulevat tai näkevät yksityisiä tietoja. Työn tekeminen julkisessa tilassa, kuten junassa voi myös vaarantaa tietoturvan. Tästä syystä voikin olla työtehtäviä, joissa etätyötä ei voida lainkaan sallia, Havula sanoo.

Myös ulkomailta tehtävä etätyö tuo lisähaasteita: työnantajan voi olla perusteltua rajoittaa työntekijän pääsyä tiettyihin tietokantoihin tai järjestelmiin sijainnin perusteella.

Toinen tietosuojahaaste etätyössä liittyy työntekijän omaan tietosuojaan. Häntä voi askarruttaa, valvooko työnantaja jollakin tapaa työn konkreettista tekemistä tai työajan käyttöä, tai paljastuuko hänen omasta yksityiselämästään etätyössä joitakin sellaisia tietoja, mitä hän ei haluaisi muutoin jakaa. Tekniseen valvontaan liittyy useita erityisvelvoitteita työnantajalle, ja esimerkiksi paikantamiseen täytyy pääsääntöisesti olla työntekijän suostumus.

GDPR:n velvoitteet tunnistetaan vielä heikosti

EU:n yleisen tietosuoja-asetuksen (GDPR) soveltaminen alkoi vuonna 2018 tuoden mukanaan tiukempia säännöksiä henkilötietojen käsittelyyn. Sen keskeisiin periaatteisiin kuuluu läpinäkyvyys: rekisteröidyllä, tässä tapauksessa työntekijällä on oikeus tietää, mitä tietoja hänestä kerätään ja mihin tarkoitukseen. Havulan mukaan GDPR:n noudattamisen taso vaihtelee kuitenkin organisaatioittain.

– Monille työelämän tietosuojalaki on tutumpi, mutta GDPR:stä tulevat periaatteet, kuten edellä mainittu läpinäkyvyysperiaate ovat vielä osin vieraita. Esimerkiksi kaikki eivät tunnista sitä, että työntekijällä on oikeus tarkastaa omat tietonsa ja saada selitys niiden käytöstä tietyssä määräajassa, Havula huomauttaa.

Yleisesti ottaen tietosuojatietoisuus on kuitenkin lisääntynyt.

– Tietosuoja on noussut vahvemmin yhteiskunnalliseen keskusteluun, ja sekä esihenkilöiden että työntekijöiden valveutuneisuus tietosuoja-asioissa on kasvanut, Johanna Havula arvioi.

Teksti: Juulia Lahnaoja

Kuva: Getty Images/AleksandarNakic