RGPD en RH : Henkilötietojen käsittely ja työntekijöiden oikeudet

Yleinen tietosuoja-asetus (RGPD) ei koske ainoastaan yrityksen ja asiakkaiden välisiä kaupallisia suhteita: se sääntelee myös hyvin tarkalla tavalla työntekijöiden henkilötietojen käsittelyä. Rekrytointi, palkanhallinto, pääsynvalvonta, suoritusarviointi, videovalvonta... jokainen vaihe työsuhteen elinkaaren aikana tuottaa henkilötietoja, joita työnantaja on käsiteltävä tiukan eurooppalaisen oikeuden mukaisesti. Sakkojen voidessa nousta jopa 20 miljoonaan euroon tai 4 prosenttiin vuosittaisesta globaalista liikevaihdosta, kysymyksen merkitys on huomattava. Tässä artikkelissa käsitellään sovellettavia laillisia perusteita, henkilöstöhallinnon palveluiden käytännön velvoitteita ja parhaita käytäntöjä käsittelyjen turvaamisen osalta – myös HR-dokumenttien digitalisoinnin yhteydessä.

HR-tietojen käsittelyn oikeudelliset perusteet

Työsuhteisiin soveltuvat lailliset perusteet

RGPD luettelee kuusi laillista perustetta henkilötietojen käsittelyyn (artikla 6). HR-kontekstissa kolmea niistä käytetään lähes systemaattisesti:

• Työsuhteen täytäntöönpano (art. 6.1.b): muodostaa pääasiallisen perustan palkanhallinnon, työaikakirjanpidon, palkkalaskelmien antamisen tai lomien hallinnoinnin osalta.

• Lakisääteinen velvoite (art. 6.1.c): perustelee työlaissa tai sosiaallainsäädännössä määrätyt käsittelyt, kuten ennakkoilmoitus työnottamisesta (DPAE), nimellinen sosiaalilausunto (DSN) tai yhtenäisen henkilöstörekisterin pitäminen.

• Laillinen intressi (art. 6.1.f): voi perustaa tietyille tietoturvakäsittelyille tai sisäisen petoksentorjunnan osalta, jos tämä intressi ei ole kallistunut työntekijöiden perusoikeuksien hyväksi.

⚠️ Suostumukseen perustuva käsittely on otettava erittäin varovasti työsuhteiden yhteydessä. CNIL muistuttaa säännöllisesti, että työnantaja-työntekijä-suhteen luontainen epätasapaino tekee suostumuksesta harvoin "vapaata" RGPD:n 7. artiklan mukaisesti. Suostumukseen turvautuminen käsittelyissä, jotka voitaisiin perustaa toiselle lailliselle perusteelle, altistaa työnantajan uudelleenluokitusriskille.

Erityiset tietoryhmät: vahvistettu säännöstö

Jotkut HR:n keräämät tiedot kuuluvat RGPD:n 9. artiklan "arkaluontoisten tietojen" säännöstöön, joiden käsittely on periaatteessa kielletty paitsi poikkeuksissa:

• Terveystiedot: sairauspoissaolot, työterveyslääkärin määrittämät soveltuvuusvaatimukset, työn mukauttamiset vammaisiaan varten.

• Ammattiyhdistystiedot: ammattiyhdistyksen jäsenyys, edustusvaltuudet.

• Biometriset tiedot: pääsynvalvonta sormenjäljellä tai kasvojen tunnistuksella.

• Rikoksia koskevat tiedot: rikosrekisterin tarkastukset, jotka ovat sallittuja vain tietyillä säännellyillä aloilla (turvallisuus, lapset jne.).

Näissä ryhmissä työnantajan on tunnistettava nimenomainen poikkeus (art. 9.2), suoritettava tietosuojaa koskeva vaikutustenarviointi (AIPD) useimmissa tapauksissa ja usein kuultava CNIL:ä ennen käyttöönottoa.

HR-palveluiden käytännön velvoitteet

Käsittelyjen toimintojen rekisteri

Kaikilla yli 250 työntekijää työllistävillä organisaatioilla on velvollisuus ylläpitää käsittelyjen toimintojen rekisteriä (RGPD:n 30. artikla). Alle tällä rajalla velvollisuus säilyy, jos käsittelyt eivät ole satunnaisia tai koskevat arkaluontoisia tietoja – mikä on lähes aina HR:n tapauksessa. Tämä rekisteri on dokumentoitava:

• Kunkin käsittelyn tarkoitus (esim. "palkkalaskelmien hallinto")

• Kyseessä olevat tietoryhmät

• Vastaanottajat (kolmannet osapuolet, alihankkijat, viranomaiset)

• Säilytysajat

• Käyttöön otetut tietoturvatoimet

CNIL asettaa vapaasti ladattavan rekisterimallin saataville. Sen huolellinen ylläpito muodostaa ensimmäisen puolustuslinjan valvontaa varten.

Säilytysajat: usein laiminlyöty näkökulma

RGPD:n 5.1.e artikla vahvistaa säilytysajan rajoittamisen periaatteen: tietoja ei saa säilyttää pidempään kuin ne tarvitaan tarkoitukseen, jota varten ne on kerätty. HR:ssa viitearvoiset lailliset säilytysajat ovat seuraavat:

| Tietotyyppi | Suositeltu säilytysaika | |---|---| | Palkkalaskelma | 5 vuotta (siviilioikeudelliset vanhentumis- määräajat) | | Työsopimus | 5 vuotta sopimuksen päättymisen jälkeen | | Rekrytointitiedot (valitsematta jääneet hakijat) | Maksimissaan 2 vuotta viimeisen yhteydenoton jälkeen | | Kurinpitotiedosto | Vaihteleva keston mukaan (maksimissaan 3 vuotta varoituksesta) | | Videovalvontatiedot | Yleensä 1 kuukausi | | DSN ja henkilöstörekisteri | 5 vuotta työntekijän lähdön jälkeen |

Nämä ajat on merkittävä rekisteriin ja sovellettava puhdistus- tai arviointimenettelyn kautta.

Työntekijöiden informointi: usein aliarvostettu velvoite

RGPD:n 13. artikla edellyttää täydellisen informaation antamista asianomaisille henkilöille tietojen keräyshetkellä. HR:ssa tämä informaatio olisi ihanteellisesti annettava:

• Hakemuksen vaiheessa: hakuprosessin aikana kerättyjen tietojen osalta.

• Työsuhteen alkaessa: sopimukseen liitettynä tai allekirjoitusta edeltävän liitteen mukaisesti.

• Työsuhteen aikana: aina kun uusi käsittely otetaan käyttöön (esim. biometrisen kellon käyttöönotto).

Onboarding-prosessin digitalisointi, erityisesti HR:n sähköisen allekirjoituksen kautta, helpottaa tämän informaation toimittamisen seuraamista: informaation lukemisen ja allekirjoittamisen aika on merkitty aika-leimalla todistusvoimaisesti, mikä muodostaa arvokasta näyttöä riitatilanteissa.

HR-tietojen turvallisuus: tekniset ja organisatoriset toimenpiteet

Salaus, pääsynvalvonta ja eristäminen

RGPD:n 32. artikla edellyttää riskiin sopeutettuja tietoturvatoimia. HR-tietojen osalta, jotka ovat luonnostaan herkkiä ja kohdistettuja tunkeutumisten yhteydessä, vähimmäisparhaat käytännöt sisältävät:

• Tietojen salaus levossa ja liikkeessä: palkkalaskelmien tiedostot, sopimukset ja henkilökohtaiset dossiet on varastoitava salattuna (vähintään AES-256) ja siirrettävä turvallisten protokollien kautta (TLS 1.3).

• Rooliin perustuva pääsynvalvonta (RBAC): vain valtuutetut HR-henkilöt pääsevät palkkatietoihin; esimiehellä on pääsy vain hallinnon kannalta välttämättömiin tietoihin.

• Pääsynlokin kirjaaminen: kaikkien tietojen katselusta ja muokkauksesta on oltava jäljellä käyttäjätunnus, päivä ja kellonaika.

• Pseudonymisaatio analyyttisille käsittelyille (HR-koontinäytöt, palkka-analyysit).

HR-alihankkijoiden hallinta

HR-palveluissa on kyse monista alihankkijoista: SIRH-ohjelmistotoimittajat, ulkoistetun palkanhallinnon palveluntarjoajat, koulutusalustat, verkon välityksellä tapahtuvat rekrytointivälineet. Jokaisesta näistä kolmansista osapuolista on oltava RGPD:n 28. artiklan mukainen alihankinnan sopimus, jossa erityisesti määritetään:

• Alihankittujen käsittelyjen luonne ja tarkoitus

• Alihankkijan velvoitteet tietoturvan ja salassapidon osalta

• Kielto alihankkia ilman ennakkolupaa

• Tietojen palautus- tai poistomenettelyt sopimuksen päätyttyä

Palveluntarjoajaa valittaessa on myös varmistettava, ovatko hänen palvelimet Euroopan talousalueella (ETA) vai onko riittävä siirtomekanismi (vakiosopimuslausekkeet, vastaavuuspäätös) olemassa ETA:n ulkopuolisille siirroille.

HR-dokumenttien digitalisointi ja RGPD-vaatimustenmukaisuus

HR-prosessien kasvava digitalisointi – sähköiset työsopimukset, demateriaalinen palkkalaskelma, etäällä allekirjoitetut lisäykset – herättää RGPD-spesifisiä kysymyksiä. Vaikka eIDAS-vaatimukseltenhmukainen sähköinen allekirjoitus tarjoaa kiistattavia eheyden ja todentamisen takuita, työnantajan on varmistettava, että käytetty alusta:

• Ei kerää tarpeettomia tietoja allekirjoitusprosessin aikana (minimoimisen periaate, art. 5.1.c)

• Säilyttää allekirjoitustodisteet (audiojälki) turvallisissa olosuhteissa ja asianmukaisesti ajaksi

• Mahdollistaa allekirjoittajien oikeuksien käyttämisen (pääsy, oikaisu, poistaminen laillisissa rajoissa)

Saadaksesi lisätietoa allekirjoitusvälineiden RGPD-vaatimustenmukaisuudesta, Certyneosta sähköisen allekirjoituksen täydellinen opas käsittelee yksityiskohtaisesti tekniset ja juridiset kriteerit, jotka on tarkistettava ennen kuin väline otetaan käyttöön.

Työntekijöiden oikeudet ja niiden tehokas käyttäminen

RGPD:n takaama oikeudet yleiskatsaus

Työntekijöillä on kaikki RGPD:n 15–22. artikloissa säädetyt oikeudet. HR-kontekstissa useimmin käytetyt oikeudet ovat:

• Pääsyoikeus (art. 15): työntekijä voi pyytää kopiota kaikista häntä koskevista tiedoista, joita työnantajalla on, mukaan lukien ammattisähköpostit tietyissä tilanteissa.

• Oikaisu-oikeus (art. 16): virheellisten tietojen korjaus (virhe tilinumerossa, väärin merkitty tutkinto jne.).

• Poisto-oikeus (art. 17): HR:ssa rajoitettu säilytysvelvoitteilla, mutta sovellettavissa valitsematta jääneiden hakijoiden rekrytointitietoihin.

• Vastustamisen oikeus (art. 21): voidaan käyttää lailliseen intressiin perustuvaa käsittelyä vastaan, kuten tiettyjä valvontakäsittelyjä.

• Tietojen siirrettävyyden oikeus (art. 20): sovellettavissa työntekijän itse toimittamiin tietoihin työsuhteen täytäntöönpanon yhteydessä.

Vastaamisaika ja sisäiset menettelyt

Työnantajalla on yksi kuukausi aikaa vastata mihin tahansa oikeuksien käyttämisen pyyntöön, jota voidaan pidentää kolmeen kuukauteen monimutkaisuuden tai korkean pyyntömäärän tapauksessa (art. 12.3). Tämän käsittelyn tehokkaaksi järjestämiseksi suositellaan:

• Nimeä nimenomainen yhteyshenkilö (DPO tai RGPD-vastaava) pyyntöjen vastaanottamista varten

• Laadi erityinen lomake, joka on saatavilla työntekijöille

• Dokumentoi jokainen pyyntö ja sen vastaus oikeuksien käyttämisen rekisteriin

• Kouluta HR-päälliköt tunnistamaan epäsuora pyyntö (työntekijä, joka vaatii "omaa henkilökohtaista dossiaan", käyttää todellisuudessa pääsyoikeuttaan)

DPO:n rooli yrityksessä

RGPD edellyttää Tietosuojavastaavan (DPO) nimeämistä kolmessa tapauksessa (art. 37): julkinen viranomainen, arkaluontoisten tietojen laajamittainen käsittely tai systemaattinen laajamittainen valvonta. Monet yritykset, joiden HR-käsittely on merkittävää, kuuluvat tähän velvoitteeseen. DPO voi olla sisäinen tai ulkoistettu; sillä on oltava toiminnallinen riippumattomuus ja se on kuuluttava mukaan kaikkiin tietosuojaa koskevien päätösten tekoon, myös uusien digitaalisten HR-välineiden käyttöönottoon. Hänen roolinsa on neuvova eikä päätösvaltainen: lopullinen vastuu kuuluu vastuulliselle käsittelijälle, eli työnantajalle.

HR-tietojen käsittelyyn soveltava oikeudelliset säännöstö

RGPD: perustavanlaatuinen asetus

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 27. huhtikuuta 2016 (RGPD) muodostaa tietosuojalainsäädännön perustan Euroopassa. Kaikissa jäsenvaltioissa suoraan sovellettavissa 25. toukokuuta 2018 alkaen se koskee kaikkia työnantajia, jotka käsittelevät EU:ssa asuvien työntekijöiden tietoja riippumatta yrityksen kansallisuudesta. Tärkeimmät HR-kontekstissa soveltuvat artikla ovat:

• Art. 5: perusperiaatteet (laillisuus, rehellisyys, läpinäkyvyys, vähimmäisperiaate, tarkkuus, säilytysajan rajoittaminen, eheys ja luottamuksellisuus, vastuullisuus)

• Art. 6: käsittelyn lailliset perusteet

• Art. 9: arkaluontoisten tietojen säännöstö

• Art. 12–22: henkilöiden oikeudet

• Art. 24–32: käsittelijän ja alihankkijan velvoitteet

• Art. 33–34: tietoturvaloukkauksista ilmoittaminen (72 tuntia CNIL:lle ja henkilöille, jos korkea riski)

• Art. 35: vaikutustenarviointi (AIPD) pakollinen korkean riskin käsittelyille

• Art. 83: hallinnolliset seuraamukset (jopa 20 M€ tai 4 % globaalista liikevaihdosta)

Muutettu Tietosuojalaki

Ranskalaisessa oikeudessa laki n°78-17 6. tammikuuta 1978 tietojenkäsittelystä, tieditiedostoista ja vapauksista, muutettu lailla n°2018-493 20. kesäkuuta 2018 ja asetuksella n°2018-1125 12. joulukuuta 2018, täydentää RGPD:tä avaamalla kansallisen liikkumavaran ("aukoista lausekkeet"). Tärkeimmät HR:ssa: mahdollisuus käsitellä ammattiyhdistysten tietoja henkilöstöä koskevien edustusinstituutioiden hallinnon yhteydessä (lain 9. artikla) tai työterveyden tietoja koskevan käsittelyn erityissäännöt.

Työlainsäädäntö ja sosiaalioikeuden oikeuskäytäntö

Työlainsäädäntö edellyttää tietojen ja konsultaation toimittamista sosiaali- ja talouskomitealle (CSE) ennen valvonta- tai työntekijöiden valvontajärjestelmän käyttöönottoa (art. L. 2312-38). Kuulemisen laiminlyönti altistaa työnantajan todisteiden vastustettavuudelle sekä rikosoikeudellisille seuraamuksille.

Korkein oikeus muistuttaa säännöllisesti, että valvontavälineet (paikallistaminen, kortinlukija, aktiivisuuden seurantaohjelmistot) on oltava oikeassa suhteessa tavoitteeseen eikä niitä voida käyttää muuhun tarkoitukseen kuin mitä ilmoitettiin työntekijöille ja CNIL:lle.

HR-dokumenttien sähköinen allekirjoitus: eIDAS ja siviililaki

Työsopimuksien digitalisointia, lisäyksiä tai kurinalaisuus asiakirjoja varten työnantajan on noudatettava asetusta (EU) n°910/2014 eIDAS, joka määrittelee kolme sähköisen allekirjoituksen tasoa. Niin rakenteellisille dokumenteille kuin pysyvä työsopimus tai sopimuksellinen irtisanominen, edistynyt sähköinen allekirjoitus (tai jopa pätevä) on suositeltava allekirjoittajan henkilöllisyyden varmistamiseksi ja dokumentin eheyden takaamiseksi. Siviililaki artikloissa 1366 ja 1367 vahvistaa sähköisen dokumentin ja sähköisen allekirjoituksen todistusvoimaa, edellyttäen allekirjoittajan luotettavaa tunnistamista ja eheyden varmistamista.

CNIL:n määräämiä seuraamuksia HR-tietojen käsittelyssä

CNIL on määrännyt useita merkittäviä sakkoja HR-tietojen käsittelyyn liittyen: vuonna 2022 yritys tuomittiin 400 000 euron sakkoihin liiallisesta etätyöläisten valvonnasta näytönkaappaus-ohjelmistoilla. Vuonna 2023 turvallisuusyhtiö joutui 200 000 euron sakkoon liiallisesta biometristen tietojen keräämisestä ilman pätevää laillista perustaa. Nämä päätökset havainnollistavat sääntelimen lisääntyvää varovaisuutta tällä alalla.

Käyttötapausesimerkiksi: RGPD HR käytännössä

Tapaus 1 – 450 työntekijän teollisuus-ETI standardoi rekrytointiprosesshinsa

Noin 450 henkilöä työllistävä teollisuusyritys kolmella tuotantolaitoksella sai vuosittain yli 3 000 spontaania hakemusta ja vastasi noin 60 avoimesta paikasta. CV:t ja saatekirjeet varastoitiin ilman rajoitusta kuuden palvelupäällikön jakamaan sähköposteihin. Hakijoille ei annettu informaatiota heidän tietojensa käytöstä.

RGPD-tarkastuksen jälkeen seuraavat toimenpiteet otettiin käyttöön kuudessa kuukaudessa:

• Migraatio RGPD-vaatimukseltenhmukaaseen ATS-järjestelmään (Applicant Tracking System) ja automaattinen dossiepuhdistus 24 kuukauden passiivisuuden jälkeen

• RGPD-informaation lisääminen jokaisen verkkohakemuksen lomakkeeseen

• Kirjeiden allekirjoittaminen ja työsopimusten sähköinen allekirjoitus eIDAS-noudattavalla alustalla, mikä lyhensi sopimuksien palautusaikaa 8 päivästä alle 48 tuntiin

• Käsittelyjen toimintojen rekisterin päivittäminen 12 uudella HR-käsittelytiedolla

Tulokset: ei yhtään CNIL-pyyntöä seuraavien 18 kuukauden aikana; arvioidut säästöt 1,2 HR:n työvuodesta rekrytoinnin hallintotyössä digitalisoinnin ansiosta.

Tapaus 2 – 1 200 työntekijän jakelujäärjestelmä sääntelee videosurveillantsaa

Elintarvikejakelun alaan erikoistunut yritys oli ottanut käyttöön videosurveillan 34 liikkeessä. Kuvat säilytettiin 45 päivää joissakin kaupoissakin ilman informaatiota työntekijöille. Useat kamerat peittivät kassapisteitä jatkuvasti, mikä aiheutti liiallisen valvonnan riskin.

Työntekijöiden valitusta johtuen CNIL:lle, yritys sitoutui vaatimukseltenhmukaassävyyn:

• Säilytysajan pienentäminen 30 päivään maksimissaan kaikissa liikkeissä

• Kameroiden uudelleensijoittaminen yksilöllisten työpisteiden jatkuvan valvonnan poistamiseksi

• Keskitetyn CSE:n kuuleminen ja suostumus ennen mitä tahansa uutta käyttöönottoa

• Systemaattinen työntekijöiden informointi työsopimuksien kautta ja julkaistu sääntökirja

Tulokset: valituksen sulkeminen CNIL:ltä ilman sakkoa; sosiaalisen ilmapiirin parantuminen vuosittaisessa tyytyväisyyskyselyssä (+11 pistettä "luottamus työnantajaan" -kohdassa).

Tapaus 3 – Ulkoistettu HR-konsulttipalvelu turvaa tietojensiirtoja asiakkaiden kanssa

Palkanhallinnon ja henkilöstöhallinnon ulkoistamisiin erikoistunut neuvontayhtiö hallinnoi noin 1 800 kuukausittaisen palkkalaskelman edustavaa noin 20 pienyritysten asiakkaiden dossieria. Palkkalaskelmien tiedostot siirtyivät salaamattomalla sähköpostilla ilman RGPD:n 28. artiklan mukaista alihankinnan sopimusta.

Neuvontayritys uudisti täysin käytäntöjään:

• Data Processing Agreements (DPA) -sopimusten allekirjoittaminen RGPD:n 28. artiklan mukaisesti kunkin asiakkaan kanssa sähköisesti allekirjoitetun edistyneen allekirjoituksen kautta, jonka avulla voidaan jäljittää

• Turvallisen asiakasportaalin käyttöönotto (TLS-salaus + kaksivaiheinen todentaminen) palkkalaskelmien lataus- ja hakua varten

• Tietojen varastointi Ranskassa sijaitsevilla palvelimilla, jotka ovat HDS-sertifioituja työterveyden tietoille

• Alihankinnan politiikan laatiminen kolmansien osapuolten käytön osalta (palkkaohjelmatoimittaja, arkistoija)

Tulokset: 100 % vähennys turvattomien sähköpostin kautta siirrettyjen HR-tietojen osalta; kahden uuden asiakassopimuksen saavuttaminen, jotka tekivät RGPD-vaatimukseltenhmukaasestaan pakollisen valintakriteerin tarjouskilpailuissaan.

Johtopäätös

RGPD HR:ssa ei ole vain lisäadministratiivinen rasite: se on väline luottamuksen rakentamiseen työnantajan ja työntekijöiden välille ja kilpailukeino työmarkkinoilla, joilla läpinäkyvyys saa yhä enemmän arvostusta. Päivitetty käsittelyjen toimintojen rekisteri, hallitut säilytysajat, muodollisesti informoidut työntekijät, arkaluontoisten tietojen parantunut turvallisuus ja sopimukseltenhmukaattavat alihankkijat: jokainen näistä pilareista auttaa rakentamaan sekä laillista että vastuullista HR-politiikkaa.

HR-dokumenttien digitalisointi – sopimukset, muutokset, palkkalaskelmat, informaation tiedotteet – tarjoaa ainutlaatuisen mahdollisuuden yhdistää RGPD-vaatimukseltenhmukaasus ja toiminnallinen tehokkuus, kunhan käytetään sertifioituja välineitä. Certyneo tukee tätä prosessia eIDAS-noudattavalla sähköisen allekirjoituksen ratkaisulla, joka on suunniteltu HR-tiimeille. Tutustu Certyneomme hintoihin ja aloita ilmainen kokeilujakso suojaamaan HR-dokumenttejasi jo tänään.