Henkilötietojen kerääminen internetistä hakukoneen avulla ns. Googlaamalla työnantajan toimesta ja tietojen poistaminen google-hakukoneesta

2006

626/452/2006

Asian kuvaus:
Tietosuojavaltuutetulta kysyttiin henkilötietojen keräämisestä Internetistä työnantajan toimesta. Kantelija kertoi, että hän työnantajan kanssa käymiensä työsuhteeseen liittyvien neuvotteluiden yhteydessä huomasi järkytyksekseen, että työnantaja oli käynyt kantelijan nimellä olevilla Google-sivuilla, joilta löytyi lähes viisi vuotta vanha paneelikeskustelureferaatti. Kantelijan mukaan työnantaja käytti työsuhdeneuvotteluissa törkeästi hyväkseen tätä vanhaa, kantelijan elämässä edesmennyttä ajanjaksoa hänen siitä mitään tietämättä. Kantelijan kertoman mukaan hänet leimattiin erittäin kyseenalaisin ja vanhentunein tiedoin mielenterveysongelmaiseksi. Tietosuojavaltuutetulta kysyttiin, kuinka tällainen on mahdollista ja mitä voi tehdä saadakseen ko. kohdan pois Google-hakemistosta. Kantelija totesi, ettei hän alun perin ollut tietoinen, että paneelikeskustelu päätyy Internetpalstoille eikä häneltä oltu kysytty lupaa sen julkaisemiseen.

Tietosuojavaltuutetun vastaus:
Laki yksityisyyden suojasta työelämässä (759/2004) (työelämän tietosuojalaki) 4 §:n pääsäännön mukaan työantajan tai tämän edustajan tulee kerätä työntekijöiden tai työnhakijoiden henkilötiedot ensisijaisesti työntekijältä tai työnhakijalta itseltään. Jos työnantaja kerää henkilötietoja muulta kuin työntekijältä itseltään, työntekijältä on hankittava suostumus tietojen keräämiseen. Lain 4 §:n perusteluissa (HE 75/2000) todetaan, että tällainen tietojen kerääminen muualta kuin työntekijältä tai työnhakijalta itseltään, ts. ulkopuolisilta hankittavat tiedot, koskee myös tietoverkoista eli esimerkiksi Internetistä hakukoneen avulla ns. googlaamalla, kerättyä tietoa.

Lain perusteluissa (HE 75/2000) todetaan lisäksi, että mikäli työntekijä tai työnhakija ei tietojen keräämisen suostumustaan anna tai sitä on asian laatu huomioon ottaen mahdotonta pyytää häneltä, on työnantajalla oikeus hankkia tietoja suostumuksettakin kahdella edellytyksellä. Ensinnäkin tietoja voidaan hankkia vain silloin, kuin ne ovat lain 3 §:n tarpeellisuusvaatimuksen mukaisesti välittömästi tarpeellisia työsuhteen kannalta. Toiseksi henkilötietojen hankintaan on oltava selv peruste, joka liittyy työntekijän tai työnhakijan luotettavuuden selvittämiseen.

Luotettavuuden selvittäminen ilman työntekijän tai työnhakijan suostumusta vaatii kuitenkin tiukemmat kriteerit kuin tavanomainen työ. Lain perusteluissa mainitaan mm. työntekijän henkilöluottotietojen tarkastaminen tai selvityksiä taloudellisesta riippuvuudesta, mikäli kyseessä on henkilö, joka on välittömästi taloudellisessa vastuussa työnantajan omaisuudesta tai kun työsuhde vaatii muutoin erityistä luottamusta. Poliisin antamien luotettavuuslausuntojen osalta todetaan, että niiden hankinnan tarve riippuu organisaation turvallisuustarpeesta. Tällaisia työpaikkoja, joihin voidaan vaatia turvallisuusselvitys, ovat mm. lentoasemat, ydinvoimalat, teleoperaattorikeskukset, viranomaiset, suuret atk-palveluyritykset ja erityiset tuotanto- ja tutkimuslaitokset.

Mikäli työnantaja kerää em. mainitun perusteella tietoa työntekijästä tai työnhakijasta Internetistä, tulee työnantajan huolehtia lain 4 §:n 2 momentin mukaisesti siitä, että työnantaja ilmoittaa työntekijälle tai työnhakijalle etukäteen tätä koskevien tietojen hankkimisesta luotettavuuden selvittämistä varten. Jos työntekijää/työnhakijaa koskevia tietoja on kerätty muualta kuin työntekijältä/työnhakijalta itseltään, työnantajan on ilmoitettava työntekijälle/työnhakijalle saamistaan tiedoista ennen kuin niitä käytetään työntekijää/työnhakijaa koskevassa päätöksenteossa. Lain 4 §:n 3 momentin mukaan henkilötietojen kerääminen työhön otettaessa ja työsuhteen aikana kuuluu yhteistoiminnasta yrityksissä annetussa laissa (725/1978) sekä yhteistoiminnasta valtion virastoissa ja laitoksissa annetussa laissa (651/1988) tarkoitetun yhteistoimintamenettelyn piiriin.

Hakukoneen avulla hankittuja eli ns. googlaamalla saatuja tietoja kritisoidaan niiden epäluotettavuuden johdosta. Siksikin työelämän tietosuojalaki edellyttää, että työnantaja kerää tiedot työntekijältä itseltään. On myös huomioitava yleislakina sovellettavaksi tuleva henkilötietolaki (523/1999), jonka mukaan rekisterinpitäjän on meneteltävä huolellisesti, käytettävä luotettavia tietolähteitä ja käsiteltävä vain tarpeellisia henkilötietoja. Tämän vuoksi ns. googlaamalla tapahtuvaa henkilötietojen keräämistä ja tallettamista voidaan pitää työelämän tietosuojalain 4 §:n ja henkilötietolain 5 §:n, 6 §:n ja 9 §:n vastaisena menettelynä. Mikäli työnantaja tai tämän edustaja ainoastaan etsii ja saattaa omaan tietoonsa tietoverkoissa olevaa tietoa, ilman että työnantaja kerää, tallettaa tai muutoin käyttää näitä tietoverkosta hankkimiaan tietoja työntekijää tai työnhakijaa koskevassa päätöksenteossa, jää tällainen käsittely henkilötietolain ja työelämän tietosuojalain soveltamisen ulkopuolelle.

Koska edellytykseksi terveydentilatietojen keräämiseen on säädetty työntekijän tai työnhakijan nimenomainen suostumus tai laissa säädetty erityinen peruste, ei henkilötietolain 11 § 4 kohdan ja laki yksityisyyden suojasta työelämässä 3 §:n, 4 §:n ja 5 §:n säädökset huomioon ottaen ole perusteltua työnantajan toimesta kerätä työntekijän tai työnhakijan terveydentilaan liittyviä henkilötietoja Internetistä hakukoneen avulla eikä käyttää näitä tietoja työntekijää tai työnhakijaa koskevassa päätöksenteossa, mm. työsopimussuhteeseen liittyviä asioita päätettäessä.

Terveydentilatietoja saadaan käsitellä vain laissa säädettyjä tarkoituksia varten, mm. sairausajan palkan maksamiseen tai sen tutkimiseen, onko työstä poissaoloon ollut perusteltu syy taikka jos työntekijä/työnhakija nimenomaisesti haluaa työkykyisyyttään selvitettävän. Lääkäri tai muu terveydenhuollon ammattilainen voi antaa lausunnon työntekijän/työnhakijan työkykyisyydestä työtehtäviinsä. Internetistä kerätty terveydentilatieto ei täytä työelämän tietosuojalain 5 §:n asettamia vaatimuksia. Henkilötietolain perusteluissa todetaan, että jokaisella on oikeus lähtökohtaisesti tulla arvioiduksi oikeiden ja oleellisten tietojen perusteella. Tarpeettomien tietojen kerääminen voi johtaa myös syrjintään, minkä vuoksi lainsäädännön syrjintäkielloilla on merkitystä henkilötietojen käsittelyssä alkaen niiden tarpeellisuuden arvioinnista. Hakukoneiden avulla hankittuun tietoon liittyy myös ongelma tiedon ajantasaisuudesta, luotettavuudesta, virheettömyydestä sekä henkilön tunnistamisesta luotettavasti. Internetissä saattaa olla tietoa useista samannimisistä henkilöistä, jolloin voidaan vahingossa käsitellä toiseen, täysin ulkopuoliseen henkilöön liittyvää tietoa.

Järjestön tai yhdistyksen jäsenen henkilötietojen vieminen järjestön kotisivuille voidaan useimmiten katsoa olevan henkilötietolain 2 §:n 2 momentissa tarkoitettua henkilötietojen automaattista käsittelyä, johon vaaditaan henkilön henkilötietolain 8.1 §:n 1 kohdan mukainen suostumus tai muu laissa säädetty peruste. Mikäli kyseessä on esimerkiksi järjestön pöytäkirja tai julkisen keskustelun yhteydessä laadittu referaatti tai kokousmuistio, saattaa tällainen yksittäinen asiakirja jäädä henkilötietolain soveltamisen ulkopuolelle eikä sen tiedottamisen osalta sovelleta henkilötietolakia. Julkisen keskustelun yhteydessä laadittu referaatti saattaa myös jäädä henkilötietolain soveltamisen ulkopuolelle mm. tiedotusvälineessä julkaistuna aineistona tai toimituksellisen tai kirjallisen ilmaisun tarkoitusta varten käsiteltynä henkilötietona. Annettujen tietojen puitteissa tietosuojavaltuutettu ei voinut ottaa kantaa siihen, onko tällainen paneelikeskustelureferaatin julkaiseminen henkilötietojen automaattista käsittelyä ja olisiko siihen tullut pyytää suostumus.

Tietosuojavaltuutetulla ei ole toimivaltaa pyytää Suomen alueen ulkopuolella toimivaa ulkomaista yhtiötä Google Technology Inc:iä poistamaan hakukone Googlesta henkilötietoja. Tietojen poistamiseksi tulee ensisijaisesti ottaa yhteyttä sen sivuston ylläpitäjään, ts. siihen järjestöön, joka on ko. paneelikeskustelureferaatin kotisivuilleen laittanut ja pyytää järjestöä poistamaan kyseinen asiakirja Internet-sivuiltaan. Vain sivuston ylläpitäjä voi tehdä pyynnön tietojen poistamiseksi Googlen hakukoneen välimuistista tai vaihtoehtoisesti sitä voi pyytää itse. Tietosuojavaltuutettu ohjasi kantelijan tutustumaan tietosuojavaltuutetun toimiston ohjaukseen "Tietojen poistaminen Internetin hakukoneista", jossa on tarkempaa ohjausta tietojen poistamiseen Googlesta.

Sovelletut säännökset:
Henkilötietolaki 1 §, 2 § 1, 2, 4, 5 mom., 5 §, 6 §, 7 §, 8.1 § 1, 5 k, 9 §, 11 § 4 k, 38 §, 40 § ja 48 §
Laki yksityisyyden suojasta työelämässä 1 §, 2 §, 3 §, 4 §, 5 §, 22 §,ja 24 §
Laki yhteistoiminnasta yrityksissä
Laki yhteistoiminnasta valtion virastoissa ja laitoksissa

 
Julkaistu 9.6.2017