Kunta työnantajana

ilmoittamaan nimenomaisesti ne yhteystiedot, joiden antamiseen he haluavat suostumuksensa antaa. Tilanteissa, joissa yksittäinen huoltaja pyytää opetuksen järjestäjältä jonkin toisen huoltajan tietoja, voidaan tiedot lähtökohtaisesti antaa silloin, kun ne ovat julkisia.

Asianmukaisempi ja suositeltavampi toimintatapa olisi kuitenkin ohjeistaa tietoja pyytänyttä selvittämään ja hankkimaan kyseiset yhteistiedot julkisesta lähteestä. Salassa pidettävien tietojen osalta on muistettava, että yhteystietojen luovuttaminen on sallittua ainoastaan huoltajan suostumuksella. ²²³ Huomionarvoista on sekin, että mikäli huoltajat laativat yhteystietolistan täysin itsenäisesti ja kunnallisesta opetuksen järjestäjästä riippumatta, esimerkiksi vanhempainillan yhteydessä, kyseessä on yksityishenkilöiden laatima ja käsittelemä rekisteri, josta koulu ja samanaikaisesti opetustoimen järjestäjänä toimiva kunta eivät ole vastuussa.

Jatkossa opetuksen järjestäjien tulee vielä keskittyä hiomaan joitain seikkoja toiminnassaan, jotta henkilötietojen suojaan ja tietojen käsittely onnistuisivat asianmukaisella tavalla.

Ensinnäkin olennaista olisi keskittyä tietojen käsittelytarkoituksen informoinnin tarkkuuteen, sillä pelkän maininnan ”opetuksen järjestämiseksi” ei voida kaikissa tapauksissa katsoa turvaamaan läpinäkyvyyttä riittävällä tavalla. Keskeistä olisi kiinnittää huomiota myös siihen, olisiko tarpeellista, että kussakin oppilaitoksessa olisi oma tietosuojavastaava. Myös tulkintojen tekeminen siitä, millaista tietoa voidaan pitää tarpeellisena opetuksen järjestämisen näkökulmasta, olisi henkilötietojen suojaamisen kannalta keskeistä. ²²⁴ Digitaalisten palveluiden osalta palveluita tarjoavien tahojen huolelliseen valitsemiseen tulisi panostaa entistä enemmän, ja keskittyä siihen, että palveluita käytetään ainoastaan suunnitellusti ja harkiten.²²⁵

7.1.4 Kunta työnantajana

Työelämässä käsitellään lukuisia erilaisia henkilötietoja ja erilaisiin tarkoituksiin. Työelämän osalta ongelmallista ja haastavaa on se, että kaikkia henkilötietojen käsittelyä sisältäviä tilanteita ei välttämättä tunnisteta, eikä henkilötietojen suojaamiseen ja niiden asianmukaiseen käsittelyyn osata välttämättä kiinnittää riittävällä tavalla huomiota.²²⁶ Monilla työpaikoilla

223 Salassapito tulisi merkitä oppilasrekisteriin.

224 Öberg 2018, s. 9.

225 Opetuksen järjestäjän tulee päättää siitä, millaisten laitteiden, työvälineiden ja oppimateriaalien käyttöä voidaan pitää tarpeellisena ja asianmukaisena opetuksen järjestämiseksi.

226 Koskinen – Alapuranen – Heino – Salli 2005, s. 11. ²⁶³ Harjula – Prättälä 2015, s. 554.

81

henkilötietojen käsittelyyn ei ole vielä kiinnitetty kovinkaan laajasti huomiota. Tämä olisi kuitenkin tärkeää, sillä vaikka työskennellessään henkilöt toki ovat työantajan palveluksessa, mutta tästä huolimatta he ovat samanaikaisesti myös yksityisiä henkilöitä, joiden henkilötietojen suojaamisella on merkitystä. Henkilötietoja käsitellään jo työnhaun ja työhönoton vaiheissa, ja esimerkiksi erilaisia terveydentilatietoja päätyy työnantajan käsiteltäväksi huomattavan usein. Työelämässä käsiteltävien tietojen osalta merkityksellinen säädös on laki yksityisyyden suojasta työelämässä (759/2004). Kunnan palveluksessa oleva henkilöstö on joko virkasuhteessa tai työsopimussuhteessa kuntaan.²⁶³ Kunnat ovat huomattavia työllistäjiä ja vuosittain kuntien palveluksessa työskentelee erilaisissa työ- ja virkasuhteissa satoja tuhansia ihmisiä.²²⁷ Näin ollen on hyvinkin merkityksellistä se, miten kunnat huolehtivat työntekijöidensä henkilötietojen käsittelystä.²²⁸

Viime aikoina työpaikoilla on lisääntynyt uuden, nopean ja tehokkaan tietotekniikan käyttöönotto esimerkiksi erilaisten sovellusten, älylaitteiden ja infrastruktuurillisten ratkaisujen osalta. Tämä on edelleen mahdollistanut uudentyyppisen ja järjestelmällisen tietojenkäsittelyn, jolla on voitu puuttua yksityisyyden ja sitä kautta myös henkilötietojen suojaan työpaikalla.²²⁹ Uudenlaiset tietojenkäsittelytavat ovat myös usein työntekijöiden näkökulmasta tarkasteltuna haastavammin havaittavissa ja tiedostettavissa, eikä ylipäätään työntekijöiden tietoisuudesta tällaisista toimintatavoista voida aina olla täysin varmoja. Mahdollista on jopa se, että työnantajat toteuttavat tällaisia tietojen käsittelytoimia lainvastaisesti ja ilman, että he ilmoittavat tällaisista etukäteen työntekijöille.

Muutosta on tapahtunut myös siinä, että esimerkiksi etätyömahdollisuuksien lisääntyessä kodin ja työpaikan rajat ovat ikään kuin hämärtyneet joiltain osin. Tämä on johtanut siihen, että muun muassa työntekijän toimien valvominen hänen fyysisen työympäristönsä ulkopuolella on mahdollistunut uudenlaisella tavalla, jolloin kyseeseen on saattanut osaltaan tulla myös hänen

227 Kuntatyönantajien tilastotietojen mukaan esimerkiksi lokakuussa 2017 yksinomaan kuntien palveluksessa työskenteli noin 419 000 henkilöä, joista yli 360 000 henkilöä työskenteli kokoaikaisessa työ- tai virkasuhteessa.

Lisäksi noin 28 000 työntekijää oli samaan aikaan työlomalla tai virkavapaalla. Kuntatyönantajien tilastoihin voi tutustua osoitteessa https://www.kt.fi/tilastot-ja-julkaisut/henkilostotilastot.

228 Olennaista on muistaa myös se, että kuntien työntekijät ovat työnteon ulkopuolella jonkin kunnan jäseniä. Näin ollen eteen tuleekin hyvin usein tilanne, jossa sama yksittäinen ihminen toimii sekä kunnan edustajana että kuntalaisena, esimerkiksi valvojana ja valvottavana), jopa saman asian yhteydessä. Tällaisissa tilanteissa on esteellisyysasioiden lisäksi punnittava henkilötietojen käsittelyyn liittyviä kysymyksiä.

229 Tietojenkäsittelyssä hyödynnettävien teknisten ratkaisujen lisääntyminen on seurausta muun muassa tekniikoiden huomattavasta halventumisesta.

82

yksityiselämänsä seuraaminen.²³⁰ Työnantajalle tarjoutuvat keinot työntekijänsä valvomiseen eivät kuitenkaan saa johtaa siihen, että työntekijän tai tämän perheen vapaudet ja oikeudet tarpeettomalla tavalla vaarantuvat. Olennaista on huomioida etätyön aiheuttamien riskien arvioinnissa oikeasuhteisuus ja kohtuullisuus. Kyse on siten työnantajan toiminnan turvaamisen ja rekisteröityjen eli työntekijöiden yksityisyyden suojaamisen välisestä arvioinnista.

Lähtökohtaisesti yksityishenkilön edut ja oikeudet ovat tarkemmin suojattuja kuin rekisterinpitäjän. Henkilötietojen käsittely on kiellettyä silloin, kun työntekijän oikeudet syrjäyttävät rekisterinpitäjän edun. Työntekijän henkilötietojen käsittelemiselle tulee olla tietosuoja-asetuksessa määritelty oikeudellinen peruste. Työpaikalla tapahtuvan henkilötietojen käsittelyn oikeudellinen peruste ei useinkaan saa olla ainoastaan työntekijöiden antama suostumus. Tapauksissa, joissa työnantajan on käsiteltävä työntekijän henkilötietoja sopimusvelvoitteen noudattamiseksi, henkilötietojen käsittely voi olla tarpeen nimenomaan sopimusvelvoitteen noudattamiseksi. Usein myös työlainsäädännössä on asetettu lakisääteisiä velvoitteita, jotka edellyttävät henkilötietojen käsittelyä. Oikeutettuun etuun vedotessaan työnantajan tulee kyetä osoittamaan käsittelyn tarkoituksen laillisuus, sekä valittujen menetelmien ja tekniikoiden välttämättömyys ja oikeasuhteisuus. Usein työnantajana tulee myös pohtia työelämän tietosuojalain (laki yksityisyyden suojasta työelämässä 759/2004) 3 §:n mukaisen tarpeellisuusvaatimuksen toteutumisesta, jonka mukaan työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja. Kyseisten tietojen tulee liittyä työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka niiden tulee johtua työtehtävien erityisluonteesta.²³¹ Työnantajan on noudatettava asianmukaisia toimenpiteitä työntekijöidensä perusoikeuksien ja -vapauksien toteuttamiseksi. Myös tietoturvaratkaisuihin, sekä avoimutta ja tiedonsaantia koskeviin vaatimuksiin tulee kiinnittää riittävällä tavalla huomiota.²⁶⁹

230 Työnantaja antaa usein työntekijän käyttöön esimerkiksi erilaisia viestintä- ja tietoteknisiä laitteita, joiden kautta työntekijällä on samanlainen pääsy työnantajan järjestelmiin, resursseihin ja verkostoihin kuin työpaikallaan.

231 Tietosuojavaltuutetun toimisto 2018, s. 12. Huomioon tulee ottaa esimerkiksi se, millaisia tietoja työnhakijalta kysytään työhaastattelussa tai verkkolomakkeilla. Tällaisten kysyttävien tietojen tarpeellisuutta työhönottotilanteessa tulee arvioida tapauskohtaisesti ja siitä työtehtävästä lähtien, jota henkilö on hakenut tai josta on kyse. Tarpeen saattaa olla esimerkiksi arvioida sitä, onko työnhakijalta aiheellista kysyä esimerkiksi hänen perhesuhteistaan, asepalveluksen suorittamisesta tai hänen uskonnollisesta vakaumuksestaan.

Tietosuojavaltuutetun toimisto on antanut vuonna 2006 ratkaisun ja linjanvedon, jossa todetaan, että terveydentilaa tai esimerkiksi asevelvollisuutta koskevien tietojen kysyminen rutiininomaisesti tai vakiolomakkeiden muodossa kaikilta työntekijöiltä ei täytä työelämän tietosuojalain 3 §:n ja 5 §:n vaatimuksia. ²⁶⁹ Korpisaari – Pitkänen – Warma-Lehtinen 2018, s. 605.

83

Huomionarvoista on myös se, että jäsenvaltioilla on mahdollisuus määrätä lakisääteisesti tai työehtosopimuksien kautta työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä heidän oikeuksiensa varmistamiseksi. Kansallisen liikkumavaraan lukeutuu myös niistä edellytyksistä määrääminen, joiden perusteella henkilötietojen käsitteleminen työsuhteen yhteydessä on mahdollista työntekijän suostumuksen perusteella. Kansallisen liikkumavaran mukaisen sääntelyn tulee kuitenkin sisältää asianmukaiset toimenpiteet, joilla turvataan rekisteröidyn eli työntekijän ihmisarvoa, oikeutettuja etuja, sekä perusoikeuksia. Suomessa kansallisen tietosuojalain 30 §:ssä on säädetty henkilötietojen käsittelemisestä työsuhteen yhteydessä.²³² Tietosuojalain 30 § viittaa edelleen työelämän tietosuojalakiin, joka sisältää säännöksiä esimerkiksi työntekijälle tehtävistä tarkastuksista, teknisestä valvonnasta, sekä työntekijän sähköpostiviestien avaamisesta. Työelämän tietosuojalain tarkoituksena on säännellä sitä, mitä työntekijöille ja heidän tiedoillensa on lupa tehdä niin työteon, kuin työnhaunkin yhteydessä.²³³

7.2 Verkkotiedottaminen ja henkilötietojen käsittely päätöksenteossa