valokuva - internet - työelämä

Säädösperusta:	Henkilötietolain mukainen päätös
Antopäivä:	13.1.2012
Diaarinumero:	48/41/2010

Tietosuojavaltuutetun kannanotto 13.1.2012

ASIA

Tietosuojavaltuutetulta pyydettiin kannanottoa työntekijän valokuvan käytöstä organisaation sisäisessä henkilöhakemistossa.

1.1.2010 aloitti toimintansa XX-virasto, johon on yhdistyneet osa Y, Z ja Q-laitos. Kaikkien viraston työntekijöiden tuli marraskuussa käydä valokuvassa uutta henkilökorttia varten. Henkilöstökuvausilmoituksessa mainittiin, että kuvia tullaan käyttämään esimerkiksi sähköisessä puhelinluettelossa ja henkilökorteissa. Ilmoituksen lopussa oli linkki Tietosuoja: Työntekijän valokuva henkilörekisterissä.

Vuodenvaihteen jälkeen viraston sisäiseen intraan ilmestyi henkilöhakemisto, josta jokaisen työntekijän kuva on nähtävissä. Viestintäjohtajan vastaus siihen, miksi myös sellaisen rivityöntekijän, joka aiemmin on jo kieltänyt kuvansa julkaisun, kuva kuitenkin löytyy puhelinluettelosta, oli yo. linkistä löytyvä tietosuojavaltuutetun kanta, jota oli tässä yhteydessä tulkittu niin, että "uuden viraston käynnistysvaiheessa tietosuojavaltuutetun tarkoittama perustelu eittämättä on olemassa".

Kuvia ei ole millään tavalla suojattu, vaan jokainen viraston arviolta noin seitsemästä sadasta työntekijästä voi halutessaan esimerkiksi kopioida, tallentaa ja lähettää edelleen kenen tahansa muun työntekijän kuvan. Viraston IT-suunnittelijan mukaan kuvien suojaaminen Internetissä on teknisesti mahdotonta.

Valokuvauksessa oli pakko käydä, koska uusi virasto tarvitsee uudet henkilökortit, jotka ovat kuvallisia. Tietosuojavaltuutetulta kysyttiin voiko todella olla niin, että työntekijä ei voi kieltää oman kuvansa julkaisemista sillä perusteella, että kyseessä on työnantajan sisäisessä käytössä oleva tietokanta ja uuden viraston käynnistysvaiheessa on perusteltua tietää miltä kukainenkin näyttää. Mikäli työnantaja voi näin toimia, eikö silloin tulisi varmistaa, että henkilöiden kuvia ei ole mitenkään mahdollista käyttää muuhun tarkoitukseen.

TIETOSUOJAVALTUUTETUN KANNANOTTO

Totean yleisenä ohjauksena ja kannanottonani, että jokainen Suomen lainkäyttövallan piirissä olevan työnantajan rekisterinpitäjänä tulee huolehtia henkilötietolain ja laki yksityisyyden suojasta työelämässä (759/2004, työelämän tietosuojalain) toteutumisesta työpaikalla. Jokainen työnantaja rekisterinpitäjänä vastaa omien työntekijöidensä/virkamiestensä henkilötietojen käsittelyn lainmukaisuudesta.

Lähtökohtaisesti työnantajalla on oikeus käsitellä työntekijää koskevaa tietoa henkilötietolain 8 §:n 5 kohdan asiallisen yhteyden perustella. Se, mitä tietoja työntekijöistä saa käsitellä ja mm. tallettaa henkilötietolain tarkoittamaan henkilörekisteriin, määräytyy henkilötietolain 6 §:n asiallisen käsittelyn perusteen ja työelämän tietosuojalain 3 §:n tarpeellisuusvaatimuksen mukaisesti. Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Tästä ei voida poiketa edes työntekijän suostumuksella. Lisäksi kiinnitän huomionne henkilötietolain 9 §:ssä säädettyyn tarpeellisuusvaatimukseen.

Olen aiemmissa kannanotoissani todennut, että:

"Työnantajalla on oikeus käsitellä työntekijöiden henkilötietoja henkilötietolain 2.5(4) §:ssä säädettyjä toimituksellisia, taiteellisen ja kirjallisen tarkoituksia varten, vaikkei työnantaja olisikaan tiedotusväline. Minulla ei ole toimivaltaa päättää siitä, mitä työntekijöiden henkilötietoja työnantajatkaan toimituksellisia, taiteellisia tai kirjallisen ilmaisun tarkoituksia varten esimerkiksi intranetsivulla tai www-sivulla ilmaisevat. Katson, että työnantajan toimintaan liittyvä sisäinen (vrt. julkaisu ja intranet) ja ulkoinen (vrt. julkaisu ja internet) tiedottaminen täyttää henkilötietolain 6 §:ssä säädetyn asiallisuuden perusteen ja jos työnantajan palveluksessa olevan henkilön velvollisuuksiin kuuluu olla esimerkiksi tunnistettavissa tai saavutettavissa tiedottamisen yhteydessä ilmenevien ammattinimike- ja työyhteystietojen sekä kuvan perusteella, ei minulla ole huomauttamista näiden henkilötietojen käyttöön tiedottamisessa myöskään em. erityislain 3 §:n kannalta."

Katson, että työntekijöiden nimet ja heidän työsähköposti- ja muut työosoitteet voivat olla organisaatiossa sisäisesti saatavissa esimerkiksi intranetistä. Sekä organisaation sisäinen että ulkoinen viestintä ja työntekijöiden tavoitettavuus työtehtäviin liittyvissä asioissa ovat työnantajan kannalta jo henkilötietolain 6 §:n mukaisesti asiallisesti perusteltuja toimintatarpeita. Katson myös, että jos työntekijän valokuvan käyttäminen on asiallisesti perusteltua ja tarpeellista työnantajan toiminnan kannalta, esim. työntekijän tavoitettavuuden ja tunnistettavuuden vuoksi, työntekijän kuva voidaan tallentaa organisaation käytössä olevaan sisäiseen tietokantaan taikka intranettiin. Tallentamiseen ei tarvita työntekijän erillistä suostumusta. Tarpeellisuuden arvioinnissa on otettava huomioon erityisesti työelämän tietosuojalain 3 §:ssä säädetty välitön tarpeellisuusvaatimus. Työnantajan on pystyttävä perustelemaan asiallinen käsittelyn peruste sekä välitön tarpeellisuusvaatimus.

Henkilötiedolla tarkoitetaan henkilötietolain 3 §:n 1 kohdan mukaisesti kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Näin ollen työntekijän valokuva on työntekijää koskeva henkilötieto, jota käsitellään henkilöstöhallinnon tarkoituksia varten. Työntekijöitä koskevat valokuvat, yhteystiedot ja mahdolliset muut merkinnät tietokannassa taikka intranetissa muodostavat kokonaisuudessaan henkilötietolain tarkoittaman henkilörekisterin taikka osan henkilörekisteriä, jonka käyttötarkoituksena on esim. henkilöstöhallinnon hoitaminen ja/taikka sisäinen ja ulkoinen tiedottaminen.

Koska olette viranomaisen palveluksessa, huomautan lisäksi, että henkilötietolain 8 §:n 4 mom. mukaan oikeudesta saada tieto ja muusta henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä on voimassa, mitä viranomaisten asiakirjojen julkisuudesta säädetään. Säännös viittaa lakiin viranomaisten toiminnan julkisuudesta (621/1999), ks. erityisesti lain 16 §:n 3 mom.

Ennen kuvien tallettamiseen ryhtymistä on otettava huomioon erityisesti henkilötietolain 5 §:ssä, 6 §:ssä ja 7 §:ssä säädetty huolellisuusvelvoite, etukäteinen suunnitteluvelvollisuus, asiallisesti perusteltu henkilötietojen käsittelyn vaatimus rekisterinpitäjän toiminnan kannalta sekä käyttötarkoitussidonnaisuus. Työnantaja rekisterinpitäjänä on velvollinen laatimaan henkilöstöhallinnon käyttötarkoitusta varten perustetuista henkilörekistereistä henkilötietolain 10 §:n mukaisen rekisteriselosteen ja pitämään sen kaikkien saatavilla. Rekisteriselosteeseen tulee merkitä mm. rekisteriin tallennettavat tiedot ja tietotyypit.

Henkilötietojen asialliseen käsittelyn perusteeseen (6 §) ja henkilötietojen suojaamisvelvoitteeseen (32 §) kuuluu, että työnantaja rekisterinpitäjänä määrittelee ja päättää etukäteen, kenen työtehtäviin tai asemaan organisaatiossa asiallisesti perustellen kuuluu työntekijöiden henkilötietojen käsittely, esim. henkilöstöhallinnon tehtävien hoitamista varten. Tämä määrittelee samalla sen, keillä ei ole oikeutta henkilötietojen käsittelyyn. Suositeltavaa on rajata käyttöoikeudet mahdollisimman suppeasti tarpeellisuusvaatimuksen mukaisesti.

Mikäli henkilöstöhallinnon järjestelmän tai esim. intranetin tarkoitus on olla organisaation sisäistä tai ulkoista tiedottamista ja/tai yhteydenottoja palveleva, tulee tämä olla asianmukaisesti määritelty etukäteen. Työantaja rekisterinpitäjänä päättää, kenellä on pääsy ja käyttöoikeus em. henkilörekisteriin ja/tai tietojärjestelmään, asiallinen käsittelyn peruste ja tarpeellisuusvaatimus huomioiden. Työelämän tietosuojalain mukaisesti työnantajan on valittava mahdollisimman hyvin yksityisyyden suojaa toteuttavia käytäntöjä työpaikoilla. Huomioitavaksi tulee erityisesti henkilötietolain 5 §:ssä säädetty huolellisuusvelvoite.

Olen myös todennut kannanottonani, että työsuhteen päättyessä tulee huolehtia siitä, että palveluksesta eronneiden henkilöiden yhteystiedot ja valokuvat poistetaan esim. intranetistä ja internetistä. Henkilöstöhallinnon rekistereiden henkilötietojen säilytysajat tulee määritellä etukäteen henkilötietolain 9 §:n tarpeellisuusvaatimusta ja työelämän tietosuojalain 3 §:n välitöntä tarpeellisuusvaatimusta noudattaen.

Työntekijöiden valokuvien tallentamisesta sisäiseen tai ulkoiseen tietoverkkoon tiedottamisen ja yhteydenottojen tarkoituksissa on käsitykseni mukaan suositeltavaa ottaa huomioon myös työturvallisuusnäkökohdat työntekijöiden valokuvien käsittelyssä. Työturvallisuuslain (738/2002) 27 §:n ja 28 §:ssä on säännökset työnantajan velvoitteista tilanteissa, joissa työntekijöihin kohdistuu väkivallan uhkaa taikka häirintää työpaikalla. Työturvallisuuslain tulkinta ei kuitenkaan kuulu toimivaltaani.

Työnantajan tulee rekisterinpitäjänä huolehtia myös siitä, että työntekijät rekisteröityinä saavat riittävän, henkilötietolain 24 §:ssä ja työelämän tietosuojalain 4 §:n 2 mom. säädetyn informoinnin henkilötietojensa, esim. valokuviensa, käsittelystä työpaikalla. Työnantajan on pidettävä rekisteriselosteet jokaisen saatavilla.

Kiinnitän myös erityisesti huomiota siihen, että ennen kuvien tallettamiseen ryhtymistä ja henkilörekisterin perustamista tulee asia käsitellä työpaikan yhteistoiminatamenettelyssä. Työsuhteen aikana kerättävät työntekijöiden henkilötiedot (esim. valokuvat) samoin kuin uudet henkilöstöhallinnonjärjestelmät taikka näiden muutokset tulee käydä läpi työpaikan yhteistoimintamenettelyssä, siten kuin työelämän tietosuojalain 4 §:n 3 mom. ja 21 §:ssä tietoverkkojen käytön osalta säädetään. Yhteistoiminta- tai kuulemismenettelyn jälkeen työnantajan on määriteltävä kirjalliset käyttösäännöt ja tiedotettava työntekijöitä tietoverkon käytöstä.

Suojaamisvelvoitteesta

Henkilötietolain 32 §:n suojaamisvelvoitteen mukaisesti säädetään työnantajalle rekisterinpitäjänä velvollisuus suojata tarpeellisin teknisen ja organisatorisin toimin henkilötiedot asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Toimenpiteiden toteuttamisessa on otettava huomioon käytettävissä olevat tekniset mahdollisuudet, toimenpiteiden aiheuttamat kustannukset, käsiteltävien tietojen laatu, määrä ja ikä sekä käsittelyn merkitys yksityisyyden suojan kannalta.

Henkilötietolain 33 §:n mukaisesti henkilötietoja käsittelevillä on vaitiolovelvollisuus käsittelyn yhteydessä saamistaan tiedoista, jotka koskevat toisen henkilön ominaisuuksia, henkilökohtaisia oloja tai taloudellista asemaa.

Organisatoriseen suojaamisvelvoitteeseen kuuluu myös, että ne henkilöstöstä, jotka käsittelevät henkilötietoja työnantajan lukuun/puolesta, samoin kuin ne, joilla on pääsy-/käyttöoikeus henkilörekistereihin ja työntekijöiden henkilötietoihin tietoverkossa, ovat tietoisia henkilötietolain ja työelämän tietosuojalain velvoitteista henkilötietoja käsiteltäessä. Asiassa on syytä huomioida henkilöstön asianmukainen kouluttaminen ja tiedottaminen.

Mikäli joku henkilötietolain asiallisen käsittelyn perusteen vastaisesti ja suojaamisvelvoitetta rikkoen kopioi tai tallentaa toisen henkilön kuvan organisaation sisäisestä henkilörekisteristä tai tietojärjestelmästä, voi henkilö syyllistyä tällöin henkilötietolaissa 48 §:ssä säädettyyn henkilörekisteririkkomukseen. Yksittäistä tekoa arvioidaan tällöin henkilörekisteririkkomuksena taikka rikoslain 38 luvun 9 §:n mukaisena henkilörekisteririkoksena taikka rikoslain 38 luvun 8 §:n mukaisena tietomurtona.

Työelämän tietosuojalain 24 §:ssä säädetään rangaistuksista. Työelämän tietosuojalain vastaisesta henkilötietojen käsittelyä koskevasta rikkomuksesta tuomitaan työnantaja tai tämän edustaja samalla rangaistusasteikolla ja samasta teosta kuin mitä tuomitaan henkilötietolain vastaavista rikkomuksista eli henkilörekisteririkoksesta (rikoslain 38 luvun 9 § (1999/525)) joko sakkoon tai vankeuteen enintään yhdeksi vuodeksi. Teolla tulee loukata työntekijän yksityisyyden suojaa tai sen tulee aiheuttaa työntekijälle muuta vahinkoa tai olennaista haittaa. Teko edellyttää tahallisuutta tai törkeää huolimattomuutta käsiteltäessä työntekijän henkilötietoja niiden käyttötarkoituksen vastaisesti tai rikottaessa tietojen tarpeellisuusvaatimusta.

Mahdollista lain vastaista toimintaa arvioidaan tarvittaessa jälkikäteen tietosuojavaltuutetun, poliisin, syyttäjän ja tuomioistuimen toimesta. Jos joku katsoisi rekisterinpitäjän (henkilötietolain 3 § 4 kohta), tai sen palveluksessa olevan taikka työnantajan edustajan syyllistyneen rikoslaissa, henkilötietolaissa, viranomaisten toiminnan julkisuudesta annetussa laissa tai yksityisyyden suojasta työelämässä annetussa laissa määriteltyyn rikokseen, hän voi saattaa asian poliisin tutkittavaksi. Tietosuojavaltuutetulla ei ole esitutkintatoimivaltuuksia eikä ennakollista päätösvaltaa ottaa kantaa siihen, onko joku syyllistynyt rangaistavaan tekoon.

Jos poliisille vireille saatettu asia päätyy sittemmin syyttäjälle tai tuomioistuimeen, on näiden otettava huomioon, mitä henkilötietolain 41 §:n 2 mom. on säädetty. Syyttäjän ja tuomioistuimen on lisäksi otettava huomioon, mitä rikoslain 38 luvun 10.3 §:ssä säädetään tietosuojavaltuutetun kuulemisesta: Virallisen syyttäjän on ennen henkilörekisteriin kohdistuvaa salassapitorikosta, salassapitorikkomusta, viestintäsalaisuuden loukkausta, törkeää viestintäsalaisuuden loukkausta tai tietomurtoa taikka henkilörekisteririkosta koskevan syytteen nostamista kuultava tietosuojavaltuutettua. Tuomioistuimen on tällaista rikosta koskevaa asiaa käsitellessään varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi.

SOVELLETTAVAT SÄÄDÖKSET

Henkilötietolaki (523/1999) 2 §, 3 §, 5 §, 6 §, 7 §, 8 § 5 kohta, 8 §:n 4 mom., 9 §, 10 §, 24 §, 32 §, 33 §, 41 §, 48 §
Laki yksityisyyden suojasta työelämässä (759/2004) 2 §, 3 §, 4 § 2-3 mom., 21 §, 22 §, 24 §
Rikoslaki (39/1889) 38 luku: 8 §, 9 §, 10 §:n 3 mom.
Laki viranomaisten toiminnan julkisuudesta (621/1999) 16 §:n 3 mom.
Työturvallisuuslaki (738/2002) 27 §, 28 §