Monikansallinen yritys

Monikansallisen yrityksen työntekijöiden yhteystiedot intranetissä

Ratkaistava asia
Monikansallinen, 150 maassa toimiva yritys suunnittelee konsernin kaikkien työntekijöiden yhteystiedot sisältävän yhteystietorekisterin laittamista intranetiin ja tiedustelee, edellyttääkö tämä henkilötietojen siirtoa kolmansiin maihin koskevien siirtoedellytysten täyttymistä. Rekisteri sisältäisi seuraavat tiedot: työntekijän nimi, sukupuoli, henkilönumero yrityksessä, tehtävänimike, sijainti (yritys, yksikkö ja osasto), sähköpostiosoite, faxnro, puh.nro sekä ajankohta, jolloin henkilö on lähtenyt yrityksestä (siinä tapauksessa, että henkilö ei enää työskentele yrityksessä). Rekisteriin olisi pääsy kaikilla konsernin työntekijöillä.

Kannanotto
1.10.2001 voimaan tulleen yksityisyyden suojaa työelämässä koskevan lain (477/2001) 3 §:n mukaan työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Näin ollen tietosuojavaltuutettu katsoi, että kyseessä olevat tiedot ovat em. säännöksessä tarkoitetulla tavalla tarpeellisia henkilötietoja, joita työnantajalla on oikeus käsitellä.

Henkilötietolain 1 §:n mukaan lain tarkoituksena on toteuttaa mm. yksityiselämän suojaa. Henkilötietolakia koskevassa hallituksen esityksessä (HE 96/1998 s. 31) todetaan, että yksityisyyden suojan sisältöön ja ulottuvuuteen vaikuttaa mm. se, mikä on rekisterinpitäjän ja rekisteröidyn välinen suhde, missä roolissa henkilö kulloinkin esiintyy ja onko hän itse antanut tietojaan julkisuuteen tai sallinut niiden julkistamisen. Toisen palveluksessa olevan henkilön työtehtäviin kuuluu tavallisesti olla myös muiden organisaation palveluksessa olevien tavoitettavissa.

EU:n tai ETA:n ulkopuolelle henkilötietoja voidaan lain 23 § 2 kohdan perusteella siirtää mm. siinä tapauksessa, että siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi. Työnantajan oikeus käsitellä työntekijöiden henkilötietoja perustuu osapuolten väliseen työsopimukseen.

Tietosuojavaltuutetun käsityksen mukaan, ottaen huomioon henkilötietolain 1 §:ssä säädetyn tarkoituksen, 23 § 2 kohdan ja huomioiden 1.10.2001 voimaantulleen lain yksityisyyden suojasta työelämässä, mainittujen tietojen, lukuunottamatta yrityksestä poislähteneiden työntekijöiden henkilötietoja, siirtämiselle konsernin sisäiseen yhteystietorekisteriin ei ole sinänsä estettä. Henkilötietolain 9 § velvoittaa rekisterinpitäjää huolehtimaan siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä. Lain 29 §:n mukaan rekisterinpitäjän on ilman aiheetonta viivytystä oikaistava, poistettava tai täydennettävä rekisterissä oleva, käsittelyn tarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto. Koska henkilötietojen käsittelyn tarkoituksena saadun selvityksen mukaan on yrityksen työntekijöiden tavoittaminen työtehtäviin liittyen, tietosuojavaltuutettu katsoi, että työntekijöiden henkilötiedot tulee poistaa kyseisestä rekisteristä välittömästi työntekijän lähdettyä yrityksestä.

Ennen järjestelmän käyttöönottoa tulee myös arvioida se, onko kaikille työntekijöille tarpeen myöntää käyttöoikeus järjestelmään. Työnantajan tulee lisäksi ennen tietojen siirtämistä kunkin luovutettavan tiedon osalta arvioida vastaanottajan oikeus käsitellä tietoa.

Työpaikalla tulee vielä ennen siirtoon ryhtymistä huolehtia myös siitä, että yhteistoiminnasta yrityksissä annetun lain 6 § 8 kohdan edellyttämät neuvottelut henkilöstön edustajien kanssa on käyty.

Sovelletut säädökset
Henkilötietolaki: 1§, 8§ 1 mom. 5 kohta, 9 §, 23 § 2 kohta, 29 §
Erityislaki: laki yksityisyyden suojasta työelämässä, laki yhteistoiminnasta yrityksissä 6 § 8 kohta