Yksityisyyden suoja työpisteessä - SecMeter

Yksityisyys säilyy myös työpaikalla

Työntekijä toimii työpaikalla työnantajan johdon ja valvonnan alaisena. Tämä ei kuitenkaan tarkoita, että työntekijä olisi työpäivän aikana kokonaan vailla yksityisyyden suojaa. Työntekijällä on oikeus siihen, ettei työnantaja perusteettomasti:

• selvitä hänen yksityiselämäänsä
• kerää häntä koskevia tarpeettomia tietoja
• seuraa hänen liikkumistaan
• kuuntele hänen keskustelujaan
• lue hänen yksityisiä viestejään
• tarkkaile häntä kameralla
• analysoi hänen käyttäytymistään
• julkaise hänen henkilötietojaan
• tee hänen persoonallisuuttaan koskevia päätelmiä.

Yksityisyyden suoja ei kuitenkaan tarkoita, ettei työnantaja saisi valvoa työntekoa. Työnantaja voi esimerkiksi seurata työajan noudattamista, työtehtävien suorittamista, toimitilojen turvallisuutta, järjestelmien käyttöä ja tietoturvallisuutta, kun valvonta perustuu hyväksyttävään tarkoitukseen ja toteutetaan tarpeellisessa, läpinäkyvässä ja oikeasuhtaisessa laajuudessa.

Työvälineen omistaminen ei anna työnantajalle rajoittamatonta oikeutta tutkia sen kaikkea sisältöä. Työnantajan omistama tietokone, puhelin, ajoneuvo tai sähköpostijärjestelmä voi sisältää työntekijää koskevia henkilötietoja ja luottamuksellista viestintää. Omistusoikeus työvälineeseen ja oikeus käsitellä sen sisältämää henkilötietoa ovat eri asioita.

Oikeudellinen perusta

Suomen perustuslain 10 § turvaa jokaiselle yksityiselämän, kunnian ja kotirauhan suojan. Lisäksi henkilötietojen suojasta säädetään tarkemmin lailla ja luottamuksellisen viestin salaisuus on turvattu. Nämä oikeudet koskevat ihmistä myös silloin, kun hän toimii työntekijänä, virkamiehenä tai työnhakijana.

Työelämän yksityisyyttä sääntelee erityisesti laki yksityisyyden suojasta työelämässä. Lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyttä turvaavia perusoikeuksia työelämässä. Laissa säädetään työntekijöiden henkilötietojen käsittelystä, testeistä, tarkastuksista, teknisestä valvonnasta sekä työntekijän sähköpostiviestien hakemisesta ja avaamisesta. Säännöksiä sovelletaan työntekijöiden lisäksi virkamiehiin ja soveltuvin osin työnhakijoihin.

Työntekijöiden henkilötietojen käsittelyyn sovelletaan myös EU yleistä tietosuoja-asetusta eli GDPR:ää, Suomen tietosuojalakia sekä muuta soveltuvaa erityislainsäädäntöä. GDPR sallii jäsenvaltioiden säätää työelämän henkilötietojen käsittelystä tarkempia sääntöjä, joiden tulee suojata työntekijän ihmisarvoa, oikeutettuja etuja ja perusoikeuksia erityisesti työpaikan valvontajärjestelmien yhteydessä.

Työelämän yksityisyyden suoja muodostuu siten useiden oikeussääntöjen kokonaisuudesta. Kaikkiin tilanteisiin ei ole yhtä yksittäistä säännöstä, vaan arvioinnissa voidaan joutua huomioimaan samanaikaisesti esimerkiksi tietosuojasääntely, työlainsäädäntö, viestinnän luottamuksellisuus, yhdenvertaisuus, työturvallisuus ja rikosoikeudellinen sääntely.

Työsuhteen valta-asetelma

Työnantajan ja työntekijän välinen suhde ei ole täysin tasavertainen. Työnantaja päättää työtehtävistä, työn organisoinnista, työvälineistä ja usein myös niistä tietojärjestelmistä, joiden kautta työntekijä tekee työnsä. Työntekijä voi puolestaan olla taloudellisesti riippuvainen työsuhteen jatkumisesta.

Tämä valtaepätasapaino vaikuttaa erityisesti suostumuksen arviointiin. Työntekijän antamaa suostumusta ei voida automaattisesti pitää vapaaehtoisena vain siksi, että se on annettu kirjallisesti. Työntekijä voi kokea, ettei hän voi tosiasiallisesti kieltäytyä työnantajan pyynnöstä ilman kielteisiä seurauksia.

Suostumusta ei tämän vuoksi pitäisi käyttää yleisenä ratkaisuna kaikkeen työntekijöiden henkilötietojen käsittelyyn. Työnantajan on ensisijaisesti tunnistettava käsittelylle asianmukainen oikeusperuste ja arvioitava tietojen välitön tarpeellisuus. Suostumus ei myöskään oikeuta työnantajaa käsittelemään tietoja, jotka eivät ole työsuhteen kannalta tarpeellisia.

Tarpeellisuusvaatimus työelämän tietosuojan perustana

Työelämän yksityisyyden suojan tärkeimpiä periaatteita on tarpeellisuusvaatimus. Työnantaja saa käsitellä vain sellaisia henkilötietoja, jotka ovat välittömästi työntekijän työsuhteen kannalta tarpeellisia. Tietojen tulee liittyä työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen, työnantajan tarjoamiin etuuksiin tai työtehtävien erityisluonteeseen. Tarpeellisuusvaatimuksesta ei voida poiketa edes työntekijän suostumuksella.

Tarpeellisuus on arvioitava aina suhteessa tiettyyn tehtävään ja käyttötarkoitukseen. Sama tieto voi olla yhdessä työtehtävässä tarpeellinen mutta toisessa täysin perusteeton.

Esimerkiksi ajokorttia koskevan tiedon käsittely voi olla perusteltua kuljettajan tehtävässä, mutta ei tavallisessa toimistotyössä. Luottotietojen tarkistaminen voi olla sallittua tietyissä erityistä luotettavuutta edellyttävissä tehtävissä, mutta sitä ei voida tehdä kaikkien työnhakijoiden yleisenä seulontamenettelynä.

Tarpeellisuusvaatimus rajoittaa sekä tietojen keräämistä että niiden myöhempää käyttöä. Vaikka tieto olisi alun perin kerätty perustellusti, sitä ei saa käyttää automaattisesti muihin tarkoituksiin. Myös tietojen säilyttämisen on päätyttävä, kun tiedoille ei enää ole perusteltua tarvetta tai lakisääteistä säilytysvelvollisuutta. Työnantajan on pystyttävä perustelemaan:

• mitä tietoa tarvitaan
• mihin tarkoitukseen sitä käytetään
• miksi tarkoitusta ei voida saavuttaa vähemmän yksityisyyteen puuttuvalla tavalla
• ketkä saavat käsitellä tietoa
• kuinka kauan tietoa säilytetään.

Jos näihin kysymyksiin ei pystytä vastaamaan, henkilötietojen käsittelyn lainmukaisuus on kyseenalainen.

Henkilötietojen kerääminen työntekijältä

Työntekijää ja työnhakijaa koskevat tiedot on lähtökohtaisesti kerättävä häneltä itseltään. Jos työnantaja hankkii tietoja muualta, työntekijän suostumus tarvitaan pääsääntöisesti ennen tietojen keräämistä. Poikkeuksia voi olla silloin, kun tietojen saamisesta säädetään laissa tai viranomainen luovuttaa tietoja työnantajalle lakisääteisen tehtävän toteuttamiseksi.

Tietojen kerääminen suoraan työntekijältä lisää läpinäkyvyyttä. Työntekijä tietää, mitä häneltä kysytään, ja voi arvioida kysymyksen asianmukaisuutta. Jos tietoja hankitaan esimerkiksi entiseltä työnantajalta, internetistä, sosiaalisesta mediasta tai kaupallisesta tietopalvelusta, työntekijän mahdollisuus valvoa tietojen oikeellisuutta ja asiayhteyttä heikkenee.

Työnantaja ei saa kiertää tarpeellisuusvaatimusta sillä perusteella, että tiedot ovat julkisesti saatavilla. Julkinen sosiaalisen median profiili, verkkokeskustelu, valokuva tai hakukonetulos voi olla henkilötieto. Tiedon julkisuus ei tee sen käyttämisestä automaattisesti hyväksyttävää.

Työntekijälle on myös kerrottava muualta hankituista tiedoista ennen kuin niitä käytetään häntä koskevassa päätöksenteossa. Tämä antaa työntekijälle mahdollisuuden korjata virheellisiä tietoja ja selittää niiden asiayhteyttä.

Yksityisyys rekrytoinnissa

Yksityisyyden suoja alkaa jo ennen työsuhteen syntymistä. Työnhakija on yleensä heikossa asemassa, koska hän haluaa tulla valituksi ja saattaa siksi vastata myös kysymyksiin, joihin työnantajalla ei ole oikeutta vaatia vastausta.

Rekrytoinnissa saa kerätä vain tehtävän kannalta välittömästi tarpeellisia tietoja. Työnantajan tulee arvioida etukäteen, mitä ominaisuuksia, pätevyyttä ja luotettavuutta tehtävä aidosti edellyttää. Tietoja ei pidä kerätä yleisestä kiinnostuksesta tai mahdollisia tulevia tarpeita varten. Ongelmallisia voivat olla esimerkiksi kysymykset, jotka koskevat:

• perhesuhteita
• lasten hankkimista
• raskautta
• uskontoa tai vakaumusta
• poliittista toimintaa
• ammattiliiton jäsenyyttä
• terveydentilaa
• taloudellisia vaikeuksia
• vapaa-ajan elämäntapoja.

Joissakin tehtävissä tietty terveydentilaa, turvallisuutta tai luotettavuutta koskeva tieto voi olla välttämätön. Tällöinkin kysymysten on liityttävä konkreettisesti työtehtävän vaatimuksiin.

Työnhakijan henkilöluottotietoja voidaan käyttää vain laissa määritellyissä, erityistä luotettavuutta edellyttävissä tehtävissä. Tällaisia voivat olla esimerkiksi tehtävät, joissa työntekijä käyttää merkittävää taloudellista päätösvaltaa, käsittelee suuria rahamääriä tai saa valvomattoman pääsyn merkittäviin liike- ja ammattisalaisuuksiin.

Turvallisuusselvityksiä ja rikosrekisteritietoja voidaan puolestaan käsitellä vain silloin, kun tähän on lainsäädäntöön perustuva oikeus. Työnantajalla ei ole yleistä oikeutta vaatia työnhakijaa esittämään rikosrekisteriotetta.

Soveltuvuus- ja henkilöarvioinnit

Työnantaja voi käyttää rekrytoinnissa tai työtehtävien suunnittelussa soveltuvuus- ja henkilöarviointitestejä. Testien käyttäminen puuttuu kuitenkin työnhakijan tai työntekijän persoonalliseen yksityisyyteen, minkä vuoksi arvioinnin on oltava aidosti tarpeellinen.

Työelämän tietosuojalaki edellyttää työntekijän suostumusta henkilö- ja soveltuvuusarviointiin. Työnantajan on myös varmistettava, että käytettävät menetelmät ovat luotettavia, testaajat asiantuntevia ja saadut tiedot mahdollisimman virheettömiä. Arvioitavalla on oikeus saada maksutta kirjallinen lausunto arvioinnista tai suullisesta lausunnosta selvitys sen sisällöstä.

Arviointia ei saa pitää objektiivisena totuutena työntekijästä. Testituloksiin voi liittyä epävarmuutta, kulttuurisia oletuksia ja tulkitsijasta johtuvia eroja. Tuloksia ei pitäisi käyttää yksinään työpaikkaa, ylennystä tai työsuhteen jatkumista koskevan päätöksen perusteena.

Geneettinen tutkiminen muodostaa erityisen voimakkaan puuttumisen yksityisyyteen. Työnantaja ei saa edellyttää työntekijältä geneettiseen tutkimukseen osallistumista eikä käsitellä tietoa siitä, onko työntekijälle tehty geneettinen tutkimus.

Terveydentilatiedot

Terveydentilatiedot kuuluvat henkilötietojen erityisiin tietoryhmiin. Niiden käsittely voi paljastaa hyvin henkilökohtaisia tietoja työntekijän fyysisestä tai psyykkisestä terveydestä, sairauksista, hoidoista tai työkyvystä.

Työnantaja saa käsitellä työntekijän terveydentilatietoja vain laissa määritellyissä tilanteissa. Käsittely voi olla tarpeen esimerkiksi sairausajan palkan maksamista, poissaolon perustellun syyn selvittämistä tai työntekijän omasta pyynnöstä tehtävää työkyvyn arviointia varten. Työntekijän suostumus ei mahdollista sellaisten terveystietojen keräämistä, jotka eivät ole työsuhteen kannalta välittömästi tarpeellisia.

Työnantajan ei yleensä tarvitse tietää kaikkea työntekijän terveydentilasta. Esimerkiksi työjärjestelyjen toteuttamiseksi voi riittää tieto siitä, että työntekijällä on tietty työrajoite tai että hän tarvitsee määräaikaisen mukautuksen. Tarkka diagnoosi ei välttämättä ole tarpeellinen.

Työkykyä koskevissa kysymyksissä keskeistä on erottaa toisistaan työnantajan ja työterveyshuollon tehtävät. Työterveyshuollolla voi olla käytössään yksityiskohtaisia lääketieteellisiä tietoja, mutta työnantajalle voidaan usein välittää vain työn järjestämisen kannalta tarpeellinen johtopäätös, kuten tieto työntekijän sopivuudesta tehtävään tai tarvittavista työjärjestelyistä.

Terveydentilatietoja saavat käsitellä vain työnantajan nimeämät henkilöt tai sellaisissa tehtävissä toimivat henkilöt, joiden tehtäviin tietojen käsittely perustellusti kuuluu. Käsittelijöiden piirin tulee olla mahdollisimman rajattu, ja tiedot on säilytettävä erillään muista henkilötiedoista.

Terveydentilatietoja ei pidä levittää työyhteisössä. Esihenkilö voi kertoa poissaolosta tai työjärjestelyistä siinä laajuudessa kuin työn organisointi edellyttää, mutta työntekijän diagnoosia tai hoitoa koskevia tietoja ei saa ilmoittaa työtovereille ilman asianmukaista perustetta.

Huumausaine- ja alkoholitestaus

Huumausainetestit puuttuvat voimakkaasti työntekijän henkilökohtaiseen koskemattomuuteen ja yksityisyyteen. Työnantaja ei voi testata kaikkia työntekijöitä varmuuden vuoksi.

Työelämän tietosuojalaissa määritellään tilanteet ja työtehtävät, joissa työnantaja voi käsitellä huumausainetestiä koskevaan todistukseen merkittyjä tietoja. Työsuhteen aikana todistusta voidaan edellyttää vain tiukoin edellytyksin, kuten silloin, kun on perusteltu aihe epäillä työntekijän olevan työssä huumausaineiden vaikutuksen alaisena tai riippuvainen huumausaineista ja testaaminen on välttämätöntä työ- tai toimintakyvyn selvittämiseksi turvallisuuden kannalta vaativassa tehtävässä.

Työnantajalla tulee olla työterveyshuoltolain mukainen päihdeohjelma, jos työpaikalla on tarkoitus käyttää työelämän tietosuojalaissa tarkoitettuja huumausainetestejä. Testauksen piirissä olevat tehtävät on käsiteltävä henkilöstön kanssa soveltuvassa yhteistoiminta- tai vuoropuhelumenettelyssä.

Alkoholitestauksesta ei ole vastaavaa yhtä yksityiskohtaista yleissääntelyä kuin huumausainetestauksesta. Työnantajan on tällöinkin huomioitava henkilötietojen käsittelyn oikeusperuste, tarpeellisuus, työntekijän henkilökohtainen koskemattomuus sekä työpaikan ennalta määritellyt menettelyt. Tietosuojavaltuutetun toimisto on täsmentänyt alkoholitestaukseen ja siitä saatavien henkilötietojen käsittelyyn liittyvää ohjeistusta vuonna 2025.

Kameravalvonta työpaikalla

Kameravalvonta voi olla perusteltua turvallisuuden, omaisuuden, tuotantoprosessin tai vakavien väärinkäytösten selvittämisen vuoksi. Samalla se muodostaa näkyvän tai näkymättömän valvontakeinon, joka voi vaikuttaa työntekijän käyttäytymiseen ja kokemukseen työpaikasta.

Kameravalvonta on henkilötietojen käsittelyä myös silloin, kun kuvaa ei tallenneta. Valvontaa harjoittava organisaatio toimii henkilötietojen rekisterinpitäjänä ja vastaa käsittelyn lainmukaisuudesta.

Työelämän tietosuojalain mukaan työnantaja voi toteuttaa kameravalvontaa käytössään olevissa tiloissa esimerkiksi työntekijöiden turvallisuuden varmistamiseksi, omaisuuden suojaamiseksi tai tuotantoprosessin asianmukaisen toiminnan valvomiseksi. Kameravalvontaa ei saa käyttää yleisesti tietyn työntekijän jatkuvaan tarkkailuun.

Kameravalvontaa ei lähtökohtaisesti saa olla käymälöissä, pukeutumistiloissa, henkilöstötiloissa tai työntekijän henkilökohtaiseen käyttöön osoitetussa työhuoneessa. Työntekijällä tulee säilyä myös työpaikalla yksityisyyden ydinalueita, joihin tekninen valvonta ei ulotu.

Kameravalvonnan tarkoitus on määriteltävä ennen käyttöönottoa. Tallenteita ei saa myöhemmin käyttää vapaasti mihin tahansa tarkoitukseen. Jos kamera on asennettu toimitilaturvallisuutta varten, tallenteita ei voida käyttää yleisenä työntekijöiden tehokkuuden tai taukojen valvontajärjestelmänä.

Valvonnasta on tiedotettava työntekijöille selkeästi. Salainen kameravalvonta ei ole työnantajan tavanomainen työnjohto- tai turvallisuustoimi.

Kulunvalvonta ja työajanseuranta

Kulunvalvonnalla voidaan suojata toimitiloja, rajata pääsyä turvallisuuskriittisille alueille ja selvittää, keitä rakennuksessa on hätätilanteessa. Samalla kulunvalvontatiedot voivat paljastaa työntekijän liikkumisen, työajat ja tauot.

Kulunvalvontatietojen käsittelyssä on erotettava toisistaan alkuperäinen turvallisuustarkoitus ja muut mahdolliset käyttötarkoitukset. Turvallisuutta varten kerättyjä tietoja ei pitäisi käyttää automaattisesti työntekijöiden työajan tai suorituksen arviointiin.

Työajanseurannan on oltava riittävän tarkkaa lakisääteisten velvollisuuksien toteuttamiseksi, mutta se ei oikeuta tarpeettoman yksityiskohtaiseen käyttäytymisen seurantaan. Työajan kirjaamiseksi ei esimerkiksi välttämättä tarvitse tietää työntekijän tarkkaa sijaintia.

Tietosuojavaltuutettu on katsonut lainvastaiseksi menettelyn, jossa työajan leimaamiseen käytetty mobiilisovellus käsitteli työntekijöiden sijaintitietoja tarpeettomasti. Työajan seuranta olisi voitu toteuttaa ilman sijaintitiedon keräämistä.

Paikannus ja työntekijän liikkumisen seuranta

Työntekijän paikantaminen voi perustua esimerkiksi ajoneuvoon, työpuhelimeen, kannettavaan tietokoneeseen, henkilötunnisteeseen tai erilliseen paikannuslaitteeseen.

Paikannus voi olla tarpeellista esimerkiksi kuljetusten ohjaamisessa, yksin työskentelevän henkilön turvallisuuden varmistamisessa tai arvokkaan omaisuuden suojaamisessa. Paikannuksen tulee kuitenkin kohdistua ensisijaisesti työtehtävään, ajoneuvoon tai omaisuuteen eikä työntekijän yksityiselämän seuraamiseen.

Työntekijän sijaintia ei pidä seurata työajan ulkopuolella. Jos paikannuslaite kulkee työntekijän mukana myös vapaa-ajalla, järjestelmässä tulisi olla toimiva tapa kytkeä paikannus pois päältä tai erottaa yksityiskäyttö työajasta.

Paikannuksen tarpeellisuus on arvioitava tehtäväkohtaisesti. Tietosuojavaltuutettu on katsonut, ettei työntekijöiden kannettavien tietokoneiden sijaintitoimintoa saanut pitää automaattisesti päällä ilman konkreettista perustetta.

Pelkkä varkauden mahdollisuus ei välttämättä oikeuta jatkuvaan työntekijän sijainnin seurantaan. Vähemmän yksityisyyteen puuttuvia keinoja voivat olla esimerkiksi laitteen etälukitus, salaus, omaisuusrekisteri ja paikannuksen aktivoiminen vasta laitteen katoamistilanteessa.

Sähköposti ja viestinnän luottamuksellisuus

Työsähköposti on työnantajan työväline, mutta sen kautta välitetyt viestit kuuluvat luottamuksellisen viestinnän suojan piiriin. Työnantajalla ei ole yleistä oikeutta lukea työntekijän sähköposteja.

Työnantajan tulee ensisijaisesti järjestää toimintansa niin, ettei työntekijän sähköpostiin tarvitse päästä hänen poissa ollessaan. Käytännön keinoja ovat esimerkiksi:

• automaattinen poissaoloviesti
• viestien edelleenohjaus työntekijän suostumuksella
• yhteiset palveluosoitteet
• sijaisjärjestelyt
• asiakirjojen tallentaminen yhteisiin järjestelmiin
• selkeät tiedonhallintaohjeet.

Työnantajalla voi olla oikeus hakea ja tietyissä tilanteissa avata työntekijän vastaanottama tai lähettämä viesti, jos laissa säädetyt tiukat edellytykset täyttyvät. Viestin tulee olla ilmeisen selvästi työnantajalle kuuluva ja sisällön saamisen välttämätöntä esimerkiksi asiakkaiden palvelemiseksi, neuvottelujen loppuun saattamiseksi tai toimintojen turvaamiseksi. Ennen avaamista on pyrittävä ottamaan yhteyttä viestin lähettäjään tai vastaanottajaan. Avaaminen tehdään pääkäyttäjän avulla toisen henkilön läsnä ollessa ja menettelystä laaditaan selvitys.

Työnantajan oikeus päästä työtehtäviin liittyvään tietoon ei merkitse oikeutta lukea työntekijän yksityistä viestintää. Työntekijän kannattaa puolestaan välttää yksityisen viestinnän hoitamista työsähköpostissa, mutta yksityinen viesti ei menetä suojaansa pelkästään siksi, että se on tullut työosoitteeseen.

Työsuhteen päättyessä työntekijän sähköpostitiliä ei pidä pitää avoinna ilman perustetta. Tietosuojavaltuutetun toimiston mukaan lähteneen työntekijän sähköpostiosoite tulee sulkea viestinnän minimoinnin toteuttamiseksi.

Verkkoliikenteen, lokien ja työvälineiden valvonta

Tietojärjestelmien lokitietoja tarvitaan tietoturvan, käyttöoikeuksien valvonnan ja poikkeamien selvittämisen vuoksi. Lokit voivat kuitenkin sisältää yksityiskohtaista tietoa työntekijän toiminnasta. Lokeihin voi tallentua esimerkiksi:

• kirjautumisaika
• käytetty laite
• avatut järjestelmät
• käsitellyt tiedostot
• tehdyt haut
• tulostukset
• tietojen siirrot
• verkkoyhteydet
• käyttäjän sijaintiin liittyviä teknisiä tietoja.

Lokitietojen olemassaolo ei oikeuta niiden vapaaseen käyttöön. Lokien käyttötarkoitus, käyttöoikeudet, säilytysajat ja tarkastusmenettelyt on määriteltävä. Lokien tarkastelun tulisi perustua työtehtävään, tietoturvatarpeeseen tai ennalta määriteltyyn valvontamenettelyyn.

Työntekijöiden toimintaa ei pidä seurata jatkuvasti vain siksi, että teknologia mahdollistaa sen. Jatkuva näppäilyjen, hiiren liikkeiden, sovellusten käytön, verkkosivujen tai ruutukaappausten seuranta voi muodostaa erittäin voimakkaan puuttumisen yksityisyyteen.

Valvontaa ei tee hyväksyttäväksi se, että järjestelmä kutsuu tietoja tuottavuus-, analytiikka- tai laatutiedoiksi. Ratkaisevaa on, voidaanko tiedot yhdistää yksittäiseen työntekijään ja käyttää hänen käyttäytymisensä, tehokkuutensa tai luotettavuutensa arviointiin.

Etä- ja hybridityö

Etätyö on hämärtänyt työpaikan ja yksityisen kodin välistä rajaa. Työnantajan oikeus valvoa työtä ei laajene työntekijän kotiin samalla tavalla kuin työnantajan omiin toimitiloihin.

Työntekijän koti kuuluu kotirauhan ydinalueeseen. Työnantaja ei voi edellyttää jatkuvaa videoyhteyttä työntekijän asuntoon, vaatia kameraa pidettäväksi perusteettomasti päällä tai käyttää kodin sisätiloja työntekijän käyttäytymisen tarkkailuun.

Videokokouksessa työntekijä voi joutua paljastamaan tahtomattaan tietoja kodistaan, perheestään, terveydestään tai taloudellisesta asemastaan. Organisaation tulisi mahdollistaa taustakuvan, taustan sumennuksen tai kamerattoman osallistumisen käyttäminen silloin, kun kuva ei ole tehtävän kannalta tarpeellinen.

Etätyön tekninen valvonta ei saa olla laajempaa kuin työpaikalla tapahtuva valvonta. Työntekijän aktiivisuutta ei tulisi mitata pelkästään kirjautumisten, näppäilyjen tai sovelluksen tilamerkintöjen perusteella. Tuloksellista asiantuntijatyötä ei aina voida päätellä siitä, kuinka kauan työntekijän hiiri on liikkunut.

Työnantajan on samalla huolehdittava etätyön tietoturvasta. Työntekijällä on velvollisuus noudattaa tietoturvaohjeita, suojata työvälineitä ja estää sivullisia pääsemästä luottamuksellisiin tietoihin. Tietoturvatoimet on kuitenkin toteutettava niin, etteivät ne tarpeettomasti seuraa työntekijän tai hänen perheensä yksityistä toimintaa.

Tekoäly ja algoritminen johtaminen

Tekoälyä voidaan käyttää rekrytoinnissa, työvuorosuunnittelussa, työtehtävien jakamisessa, suorituksen arvioinnissa, poissaolojen ennustamisessa ja työntekijöiden käyttäytymisen analysoinnissa.

Tekoälyjärjestelmä voi näyttää objektiiviselta, vaikka se perustuu ihmisten valitsemiin tietoihin, tavoitteisiin ja luokitteluperusteisiin. Jos aikaisemmassa henkilöstöaineistossa on vinoumia, järjestelmä voi toistaa tai vahvistaa niitä.

Työelämässä erityisen ongelmallista on henkilön arvioiminen epäsuorien käyttäytymistietojen perusteella. Järjestelmä voi esimerkiksi päätellä sitoutumista, työkykyä tai irtisanoutumisriskiä viestintätavasta, sairauspoissaoloista, työajoista tai verkkokäyttäytymisestä. Päätelmä voi olla virheellinen mutta vaikuttaa silti työntekijän uraan.

GDPR määrittelee profiloinnin automaattiseksi henkilötietojen käsittelyksi, jolla arvioidaan henkilön ominaisuuksia, kuten hänen työsuoritustaan, luotettavuuttaan, käyttäytymistään tai liikkeitään. Korkean riskin profilointi tai automaattinen päätöksenteko voi edellyttää tietosuojaa koskevaa vaikutustenarviointia.

EU tekoälysäädös kieltää biometrisiin tietoihin perustuvien tunteiden tai aikomusten päättelemiseen tarkoitettujen tekoälyjärjestelmien käytön työpaikalla, lukuun ottamatta lääketieteellisiä tai turvallisuuteen liittyviä käyttötarkoituksia. Kiellon taustalla ovat järjestelmien rajallinen luotettavuus, syrjintäriskit ja työelämän valtaepätasapaino.

Monet rekrytointiin, työntekijöiden valintaan, työtehtävien jakamiseen ja suorituksen arviointiin tarkoitetut tekoälyjärjestelmät kuuluvat tekoälysäädöksen korkean riskin järjestelmien ryhmään. Sääntelyn vaiheittaisen soveltamisen lisäksi työnantajan tulee aina noudattaa jo voimassa olevaa tietosuoja-, työelämä- ja yhdenvertaisuussääntelyä.

Tekoälyn käyttäminen ei siirrä vastuuta järjestelmälle tai palveluntarjoajalle. Työnantaja vastaa siitä, millä tiedoilla järjestelmää käytetään, mitä päätelmiä siitä tehdään ja miten tulokset vaikuttavat työntekijöihin.

Teknisestä valvonnasta tiedottaminen ja yhteistoiminta

Työntekijän ei pitäisi joutua arvailemaan, millä tavoin häntä seurataan. Teknisen valvonnan läpinäkyvyys on keskeinen osa yksityisyyden suojaa.

Työntekijöihin kohdistuvan teknisen valvonnan tarkoitus, käyttöönotto ja menetelmät sekä sähköpostin ja tietoverkon käytön periaatteet kuuluvat soveltuvan yhteistoiminta- tai kuulemismenettelyn piiriin. Menettelyn jälkeen työnantajan on määriteltävä valvonnan käyttötarkoitus ja menetelmät sekä tiedotettava niistä työntekijöille.

Tiedottamisen tulisi olla riittävän konkreettista. Pelkkä yleinen ilmoitus siitä, että työpaikalla voidaan käyttää teknistä valvontaa, ei kerro työntekijälle:

• mitä tietoja kerätään
• millä laitteilla tai ohjelmistoilla
• kuinka jatkuvaa valvonta on
• mihin tietoja käytetään
• ketkä niitä tarkastelevat
• kauanko niitä säilytetään
• käytetäänkö tietoja työntekijän arviointiin
• yhdistetäänkö tietoja muihin järjestelmiin.

Yhteistoiminta ei merkitse sitä, että työntekijät päättäisivät kaikista valvontaratkaisuista. Sen tarkoituksena on varmistaa, että henkilöstö saa tietoa, voi tuoda esiin riskejä ja että valvonnan vaikutukset arvioidaan ennen järjestelmän käyttöönottoa.

Työntekijän oikeudet

Työntekijällä on tietosuojasääntelyn perusteella oikeus saada tietoa henkilötietojensa käsittelystä. Hänellä voi olla oikeus tarkastaa itseään koskevat tiedot, vaatia virheiden oikaisemista, vastustaa käsittelyä tai pyytää käsittelyn rajoittamista.

Oikeuksien soveltuminen riippuu käsittelyn tarkoituksesta ja oikeusperusteesta. Työntekijällä ei esimerkiksi ole oikeutta vaatia sellaisten tietojen poistamista, joita työnantajan on lain mukaan säilytettävä. Työntekijällä tulee kuitenkin olla käytännöllinen tapa selvittää:

• mitä tietoja hänestä käsitellään
• mistä tiedot on saatu
• mihin niitä käytetään
• kenelle niitä on luovutettu
• kuinka pitkään niitä säilytetään
• käytetäänkö tietoja profilointiin tai automaattiseen päätöksentekoon.

Jos työntekijä havaitsee puutteita, asia voidaan ottaa esille esihenkilön, henkilöstöhallinnon, tietosuojavastaavan, työsuojeluvaltuutetun tai henkilöstön edustajan kanssa. Tietosuojalainsäädännön noudattamista valvoo tietosuojavaltuutetun toimisto, ja työelämän tietosuojalain valvontaan osallistuvat myös työsuojeluviranomaiset.

Työntekijän vastuu muiden yksityisyydestä

Työelämän yksityisyys ei suojaa vain työntekijää suhteessa työnantajaan. Työntekijällä on myös vastuu asiakkaiden, työtovereiden, yhteistyökumppaneiden ja muiden henkilöiden yksityisyyden suojaamisesta. Työntekijä voi työssään päästä käsiksi esimerkiksi:

• asiakastietoihin
• terveystietoihin
• henkilöstötietoihin
• palkkatietoihin
• turvallisuusselvityksiin
• lokitietoihin
• luottamuksellisiin viesteihin
• ilmoituskanavan tietoihin.

Käyttöoikeus tietoihin ei tarkoita oikeutta tarkastella niitä uteliaisuudesta. Henkilötietoja saa käyttää vain työtehtävän edellyttämässä laajuudessa.

Organisaation tulee rajoittaa käyttöoikeudet tehtäväperusteisesti ja valvoa niiden asianmukaista käyttöä. Samalla henkilöstölle on annettava riittävä koulutus, jotta työntekijät ymmärtävät henkilötietojen luottamuksellisuuden ja väärinkäytösten seuraukset.

Työtoverin sairaus, palkka, kurinpitomenettely tai henkilökohtainen kriisi ei kuulu työyhteisön yleiseen keskusteluun. Yksityisyyttä kunnioittava työpaikka ei rakenna tiedonkulkua huhujen tai tarpeettoman uteliaisuuden varaan.

Sisäiset tutkinnat ja väärinkäytösepäilyt

Työnantajalla voi olla velvollisuus selvittää väärinkäytöksiä, häirintää, tietoturvaloukkauksia, työturvallisuuspoikkeamia tai muita vakavia tapahtumia. Selvityksissä voidaan joutua käsittelemään työntekijöiden henkilötietoja, viestejä, kulkutietoja tai lokitietoja.

Epäily ei kuitenkaan oikeuta rajattomaan tiedonkeruuseen. Selvityksen tulee perustua konkreettiseen tarkoitukseen, ja kerättävän aineiston tulee olla asian selvittämisen kannalta tarpeellista. Sisäisessä tutkinnassa tulisi määritellä:

• tutkinnan peruste
• tutkinnan kohde ja rajaus
• käsiteltävät tietolähteet
• tutkintaan osallistuvat henkilöt
• tietojen suojaaminen
• kuulemismenettely
• säilytysajat
• raportin vastaanottajat.

Epäilyn kohteena olevan työntekijän yksityisyyttä ja oikeusturvaa tulee kunnioittaa. Vahvistamattomia epäilyjä ei saa levittää työyhteisössä, eikä tutkinta-aineistoa pidä käyttää asiaan liittymättömiin henkilöstöpäätöksiin.

Ilmoituskanavien ja väärinkäytösilmoitusten käsittelyssä on suojattava ilmoittajan, ilmoituksen kohteen ja muiden asianosaisten henkilötiedot. Pääsy tietoihin tulee rajata henkilöihin, joiden tehtävänä on ilmoitusten vastaanottaminen ja selvittäminen.

Yksityisyys, työhyvinvointi ja luottamus

Yksityisyyden suojalla on suora yhteys työhyvinvointiin. Jatkuvan valvonnan kokemus voi lisätä stressiä, varovaisuutta ja tunnetta siitä, ettei työntekijään luoteta.

Valvonta voi myös muuttaa työn tekemistä. Työntekijä saattaa alkaa optimoida toimintaansa järjestelmän mittareita varten sen sijaan, että hän keskittyisi työn todellisiin tavoitteisiin. Jos järjestelmä mittaa esimerkiksi hiiren liikettä, viestien määrää tai puheluiden kestoa, työntekijä voi näyttää aktiiviselta ilman, että työn laatu paranee.

Yksityisyyttä kunnioittava johtaminen perustuu tavoitteisiin, vuorovaikutukseen ja luottamukseen. Teknisiä mittareita voidaan käyttää johtamisen tukena, mutta ne eivät saa korvata työn sisällön ymmärtämistä tai oikeudenmukaista esihenkilötyötä.

Työntekijöiden yksityisyyden suoja ei ole tehokkuuden vastakohta. Luottamukseen perustuva työympäristö voi tukea avoimuutta, aloitteellisuutta ja halua ilmoittaa virheistä. Pelkoon ja jatkuvaan tarkkailuun perustuva ympäristö voi puolestaan johtaa ongelmien peittelyyn ja henkilöstön vaihtuvuuteen.

Organisaation vastuu

Työnantaja toimii henkilöstötietojen rekisterinpitäjänä ja vastaa käsittelyn lainmukaisuudesta. Vastuu ei siirry kokonaan ulkoiselle palkkahallinnolle, pilvipalvelulle, rekrytointiyritykselle tai tekoälyjärjestelmän toimittajalle.

Organisaation johdon tulee varmistaa, että henkilöstötietojen käsittely on osa johtamisjärjestelmää, riskienhallintaa ja sisäistä valvontaa. Hyvä henkilöstötietojen hallinta edellyttää vähintään:

• henkilöstötietojen ja järjestelmien kartoittamista
• käsittelyn tarkoitusten ja oikeusperusteiden määrittelyä
• tarpeellisuuden arviointia
• säilytysaikojen määrittelyä
• käyttöoikeuksien rajaamista
• lokitusta ja valvontaa
• palveluntarjoajien sopimusohjausta
• henkilöstön koulutusta
• tietoturvaloukkausten hallintaa
• rekisteröityjen oikeuksien toteuttamista
• uusien valvonta- ja analytiikkajärjestelmien ennakkoarviointia.

Korkean riskin käsittely, kuten työntekijöiden järjestelmällinen seuranta, laajamittainen profilointi tai erityisiin henkilötietoryhmiin kohdistuva käsittely, voi edellyttää tietosuojaa koskevaa vaikutustenarviointia ennen käsittelyn aloittamista. GDPR edellyttää vaikutustenarvioinnissa käsittelyn tarpeellisuuden, oikeasuhtaisuuden, riskien ja suunniteltujen suojatoimien arvioimista.

Tietosuojan ja tietoturvan ero työelämässä

Tietosuoja ja tietoturva eivät tarkoita samaa asiaa.

Tietoturva suojaa henkilöstötietoja luvattomalta pääsyltä, muuttamiselta, häviämiseltä ja tuhoutumiselta. Tietosuoja määrittelee laajemmin, miksi henkilötietoja saa käsitellä, mitä tietoja tarvitaan, kuka niitä saa käyttää ja millaisia oikeuksia työntekijällä on.

Henkilöstöjärjestelmä voi olla teknisesti hyvin suojattu mutta silti tietosuojan vastainen, jos siihen kerätään tarpeettomia tietoja tai tietoja käytetään työntekijöiden huomaamattomaan profilointiin.

Vastaavasti henkilötietojen käsittelylle voi olla hyväksyttävä tarkoitus, mutta tietosuoja ei toteudu, jos käyttöoikeudet ovat liian laajat, tiedot lähetetään suojaamattomina tai vanhentuneita henkilöstötietoja säilytetään rajoittamattomasti.

Työelämän tietosuojassa tarvitaan sekä juridista että teknistä osaamista. Pelkkä tietosuojaseloste ei suojaa tietoja, eikä tekninen salaus tee tarpeettomasta käsittelystä hyväksyttävää.

Valvonnan oikeasuhtaisuus

Työnantajalla voi olla hyväksyttävä tavoite, mutta valittu valvontakeino voi silti olla liian voimakas. Oikeasuhtaisuus edellyttää, että valvonnan aiheuttama puuttuminen työntekijän oikeuksiin on järkevässä suhteessa tavoiteltuun hyötyyn. Arvioinnissa tulisi kysyä:

• Onko valvonnalle todellinen ja konkreettinen tarve?
• Voidaanko tavoite saavuttaa ilman henkilötietoja?
• Voidaanko käyttää vähemmän yksityisyyteen puuttuvaa menetelmää?
• Onko seuranta jatkuvaa vai rajattu tiettyihin tilanteisiin?
• Kohdistuuko seuranta kaikkiin vai vain perusteltuun kohderyhmään?
• Voidaanko tiedot anonymisoida tai käsitellä ryhmätasolla?
• Kuinka vakavia seurauksia tiedoilla voi olla työntekijälle?
• Onko työntekijälle kerrottu valvonnasta ymmärrettävästi?

Esimerkiksi työympäristön yleistä kuormitusta voidaan arvioida anonyymillä henkilöstökyselyllä sen sijaan, että työntekijöiden viestintää analysoitaisiin yksilötasolla. Toimitilojen käyttöastetta voidaan mitata tilakohtaisilla tunnistamattomilla antureilla sen sijaan, että jokaisen työntekijän liikkuminen rekisteröidään.

Yksityisyyden suojan kannalta paras henkilötieto on usein sellainen tieto, jota ei ole tarpeen kerätä lainkaan.

Yksityisyys osana yritysturvallisuutta

Työelämän yksityisyyden suoja kuuluu yritysturvallisuuden kokonaisuuteen. Sillä on yhteys henkilöstöturvallisuuteen, tietoturvallisuuteen, toimitilaturvallisuuteen, rikosturvallisuuteen, vaatimustenmukaisuuteen ja maineenhallintaan. Työntekijöiden tietojen heikko suojaaminen voi johtaa:

• identiteettivarkauksiin
• kiristämiseen
• häirintään
• syrjintään
• sisäpiiritiedon väärinkäyttöön
• luottamuksen menettämiseen
• hallinnollisiin seuraamuksiin
• vahingonkorvausvastuuseen
• liiketoiminnan häiriöihin.

Toisaalta ylimitoitettu turvallisuusvalvonta voi itse muodostaa yksityisyysriskin. Turvallisuuden nimissä rakennettu järjestelmä voi kerätä enemmän tietoa kuin turvallisuustavoite edellyttää.

Turvallisuuden ja yksityisyyden välillä ei pitäisi nähdä automaattista vastakkainasettelua. Hyvin suunniteltu turvallisuusratkaisu suojaa sekä organisaatiota että työntekijää. Se kerää vain tarpeelliset tiedot, rajaa käyttöoikeudet ja tekee valvonnasta läpinäkyvää.