Virheet, vaihto, sopimusriskit ja viralliset lähteet
Henkilöstötietojen tietosuoja palkka- ja HR-ohjelmassa: GDPR ja työelämän tietosuojalaki 759/2004
Mitä GDPR ja työelämän tietosuojalaki 759/2004 vaativat palkka- ja HR-ohjelmalta: tarpeellisuus, terveystiedot erillään, käsittelysopimus ja käyttöoikeudet.
Palkka- ja HR-ohjelmassa käsitellään yrityksen arkaluonteisimpia henkilötietoja: henkilötunnuksia, tilinumeroita, palkkoja, sairauspoissaoloja ja joskus ulosottotietoja. Niihin sovelletaan EU:n tietosuoja-asetusta (GDPR), kansallista tietosuojalakia (1050/2018) ja erityisesti lakia yksityisyyden suojasta työelämässä (759/2004). Tärkeimmät säännöt ohjelman kannalta ovat: työnantaja saa käsitellä vain työsuhteen kannalta välittömästi tarpeellisia tietoja eikä tästä voi poiketa suostumuksella (759/2004, 3 §), terveydentilaa koskevat tiedot säilytetään erillään muista henkilötiedoista ja niitä käsittelevät vain nimetyt henkilöt (5 §), ja ohjelmiston toimittajan kanssa on tehtävä henkilötietojen käsittelysopimus (GDPR 28 art.). Tämä opas kertoo, mitä nämä tarkoittavat ohjelman valinnassa ja käytössä. Virheiden yleiskuva on oppaassa palkanlaskennan yleisimmät virheet.
Säännöt, jotka vaikuttavat ohjelmaan
| Sääntö | Peruste | Mitä ohjelmalta vaaditaan |
|---|---|---|
| Tarpeellisuusvaatimus | 759/2004, 3 § | Ei vapaita kenttiä tarpeettomalle tiedolle; kenttien käyttöohje |
| Tiedot ensisijaisesti työntekijältä | 759/2004, 4 § | Lähteen merkintä, suostumus muualta kerättäville |
| Terveystiedot erillään ja nimetyille | 759/2004, 5 § | Erillinen tietoryhmä, rajatut käyttöoikeudet, lokit |
| Käsittelyn oikeusperuste | GDPR 6 ja 9 art. | Laki ja työsopimus perusteena palkanlaskennalle |
| Informointi | GDPR 13 art. | Tietosuojaseloste työntekijöille |
| Käsittelysopimus | GDPR 28 art. | Sopimus toimittajan kanssa, alihankkijalista |
| Käsittelytoimien seloste | GDPR 30 art. | Ohjelman tiedot selosteeseen |
| Tietoturva | GDPR 32 art. | Vahva tunnistautuminen, salaus, varmuuskopiot |
| Loukkausilmoitus | GDPR 33 art. | Ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa |
Terveystiedot: yleisin ongelma
Sairauslomatodistukset, diagnoosit ja työkykyarviot ovat terveystietoja. Laki 759/2004 (5 §) sallii niiden käsittelyn, kun tiedot on saatu työntekijältä itseltään tai hänen kirjallisella suostumuksellaan muualta ja käsittely on tarpeen esimerkiksi sairausajan palkan maksamiseksi tai poissaolon perusteen selvittämiseksi. Tietoja saavat käsitellä vain ne, jotka valmistelevat tai tekevät niiden perusteella päätöksiä tai panevat niitä toimeen; työnantajan on nimettävä nämä henkilöt tai tehtävät. Tiedot on säilytettävä erillään muista henkilötiedoista.
Käytännössä palkkaohjelman pitää:
- tallentaa poissaolon laji ja ajanjakso palkanlaskentaa varten ilman diagnoosia
- säilyttää todistukset erillisessä, rajatussa tietoryhmässä
- näyttää todistukset vain nimetyille rooleille (esimerkiksi palkanlaskija ja HR, ei kaikki esihenkilöt)
- kirjata, kuka on avannut tiedon (lokit)
- poistaa todistukset, kun niitä ei enää tarvita
Käsittelysopimus ja toimittajan arviointi
Ohjelmistotoimittaja on henkilötietojen käsittelijä, ja työnantaja on rekisterinpitäjä. Käsittelysopimuksessa on oltava ainakin käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän oikeudet ja velvollisuudet (GDPR 28 art. 3 kohta). Kysy lisäksi:
- missä tiedot säilytetään (EU/ETA vai muualla) ja mihin siirrot perustuvat
- mitkä alihankkijat käsittelevät tietoja ja miten muutoksista ilmoitetaan
- miten toimittaja ilmoittaa tietoturvaloukkauksesta (ilman aiheetonta viivytystä)
- miten tiedot palautetaan tai poistetaan sopimuksen päättyessä
Ulkomaisen palvelun erityiskysymykset ovat oppaassa ulkomainen ohjelmisto ja alv.
Käyttöoikeudet ja tietoturva
| Rooli | Näkee | Ei näe |
|---|---|---|
| Työntekijä | Omat palkkalaskelmat, lomasaldot, omat tiedot | Muiden tiedot |
| Esihenkilö | Tiiminsä työajat, lomat, poissaolojen kestot | Palkkojen yksityiskohdat (ellei tarpeen), terveystiedot |
| Palkanlaskija | Palkkatiedot, tarvittavat poissaolotiedot | Tarpeettomat HR-arviot |
| HR | Henkilöstötiedot, terveystiedot nimettynä | Pankkiyhteyden hyväksynnät |
| Pääkäyttäjä | Asetukset | Palkkatiedot, jos ei tarpeen |
Vaadi vahva tunnistautuminen kaikille, joilla on pääsy palkkatietoihin, sekä ilmoitus työntekijälle, kun hänen tilinumeronsa muuttuu. Tilinumeron vaihtaminen huijausviestin perusteella on tunnettu petostapa.
Tietoturvaloukkaus: toimintamalli
- Rajaa loukkaus ja dokumentoi, mitä tapahtui.
- Arvioi riski työntekijöille.
- Ilmoita tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa, ellei loukkauksesta todennäköisesti aiheudu riskiä (GDPR 33 art.).
- Ilmoita työntekijöille, jos riski on korkea (GDPR 34 art.).
- Korjaa syy ja päivitä käyttöoikeudet.
Toimittajan velvollisuus ilmoittaa sinulle loukkauksesta kuuluu käsittelysopimukseen. Sopimusehdot muilta osin ovat oppaassa sopimusehdot ja hinnankorotus.
Työntekijän oikeudet ja ohjelman tuki niille
Tietosuoja-asetus antaa työntekijälle oikeuksia, joihin palkka- ja HR-ohjelman pitää pystyä vastaamaan ilman suurta käsityötä:
- Oikeus saada pääsy tietoihin (15 art.): työntekijä voi pyytää kopion kaikista häntä koskevista tiedoista. Ohjelmasta pitää saada raportti, joka kattaa henkilö-, palkka-, poissaolo- ja HR-tiedot.
- Oikeus oikaista tiedot (16 art.): virheellinen tieto korjataan, ja korjauksesta jää jälki.
- Oikeus poistaa tiedot (17 art.): ei koske tietoja, joita on säilytettävä lain perusteella, kuten kirjanpitoaineistoa. Ohjelman pitää erottaa nämä toisistaan.
Pyyntöön on vastattava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa. Lisäksi laki 759/2004 antaa työntekijälle oikeuksia esimerkiksi työpaikan kameravalvonnassa ja sähköpostin käsittelyssä; ne eivät yleensä koske palkkaohjelmaa, mutta HR-järjestelmään tallennettuihin tietoihin ne voivat liittyä.
Tietosuojan arviointi demossa
- Kirjaudu esihenkilönä ja tarkista, näkyykö poissaolon syy tai lääkärintodistus.
- Pyydä toimittajaa näyttämään käyttöoikeuslokit: kuka avasi kenen tiedot ja milloin.
- Muuta tilinumero itsepalvelussa ja katso, vaatiiko muutos vahvan tunnistautumisen ja lähteekö ilmoitus.
- Pyydä näytteeksi työntekijän tiedot kattava raportti 15 artiklan pyyntöä varten.
- Kysy, miten terveystiedot poistetaan, kun niitä ei enää tarvita.
Jos jokin kohta ei toimi, kirjaa se valintalistaan ja arvioi, voiko sen hoitaa prosessilla.
Säilytys ja poistaminen
Tietoja saa säilyttää vain niin kauan kuin se on tarpeen. Palkkatiedoilla on kuitenkin lakisääteisiä säilytysaikoja (kirjanpito, työaika- ja vuosilomakirjanpito, työtodistukset), joten poistamisen on oltava hallittua: mitä poistetaan, milloin ja kuka päättää. Säilytysajat on koottu oppaaseen palkka-aineiston säilytysajat.
Usein kysyttyä
Tarvitaanko työntekijän suostumus palkanlaskentaan?
Ei. Palkanlaskenta perustuu työsopimukseen ja lakisääteisiin velvoitteisiin. Suostumus ei myöskään voi laajentaa käsittelyä yli tarpeellisuusvaatimuksen (759/2004, 3 §).
Saako esihenkilö nähdä sairauden syyn?
Pääsääntöisesti ei. Terveystietoja saavat käsitellä vain nimetyt henkilöt, joiden tehtävä sitä edellyttää.
Kuka valvoo tietosuojaa Suomessa?
Tietosuojavaltuutettu, joka on tietosuojalain (1050/2018) mukainen kansallinen valvontaviranomainen. Työelämän tietosuojalain noudattamista valvovat myös työsuojeluviranomaiset.
Pitääkö HR-ohjelma kirjata käsittelytoimien selosteeseen?
Kyllä, kun yritys on rekisterinpitäjä ja käsittely on säännöllistä. Kirjaa tietoryhmät, tarkoitukset, vastaanottajat ja säilytysajat.
Lähteet
- Tietosuojavaltuutetun toimisto – henkilötiedot työelämässä, loukkausilmoitukset
- Finlex – laki yksityisyyden suojasta työelämässä 759/2004, tietosuojalaki 1050/2018
- Työsuojelu.fi – työelämän tietosuojan valvonta
- Kyberturvallisuuskeskus – tietoturvaohjeet ja huijausvaroitukset
