Tietosuojavaltuutetun vastauksia tartuntatautilain mukaisesta rokotussuojasta ja tietosuojasta

Tietosuojavaltuutetun toimiston vastaus

Ohessa tietosuojavaltuutetun toimiston vastaus 9.2.2018 esittämiinne tartuntatautilain (1227/2016) 48 §:ää koskeviin kysymyksiin.

1) Mahdollistaako nykyinen henkilötietosuojaa koskeva lainsäädäntö sen, että työnantaja kokoaisi itselleen rekisteriä siitä, kenellä työntekijällä on tartuntatautilain 48 §:n mukainen rokotussuoja kunnossa?

Tartuntatautilain (1227/2016) 48 §:n 4 momentin mukaan työnantajalla on oikeus käsitellä työntekijän tai työharjoittelussa olevan opiskelijan tartuntatautilain 48 §:n 1 momentissa tarkoitettuihin tehtäviin soveltuvuutta koskevia tietoja riittävän rokotussuojan osalta työntekijän tai opiskelijan suostumuksella yksityisyyden suojasta työelämässä annetun lain (759/2004), työterveyshuoltolain ja henkilötietolain mukaisesti.

Henkilötietolaki on kumottu 1.1.2019 voimaan tulleella tietosuojalailla (1050/2018), jolla täsmennetään ja täydennetään 25.5.2018 sovellettavaksi tullutta Euroopan unionin yleistä tietosuoja-asetusta (2016/679). Tietosuoja-asetuksen 2 artiklan 1 kohdan mukaan tietosuoja-asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa säädetään henkilötietojen käsittelyn lainmukaisuuden periaatteesta.

Henkilötietojen käsittelyn lainmukaisuus edellyttää, että käsittely perustuu johonkin tietosuoja-asetuksen 6 artiklan 1 kohdan mukaiseen edellytykseen. Tietosuoja-asetuksen 4 artiklan 15 kohdan mukaisten terveyttä koskevien tietojen käsittely edellyttää lisäksi tietosuoja-asetuksen 9 artiklan 2 kohdan mukaisen poikkeusperusteen täyttymistä.

2) Onko mahdollista erikseen kirjata, ja missä muodossa, tarkempi tieto henkilön rokotussuojasta, esimerkiksi ”soveltuva työskentelemään imeväisikäisten osastolla”, tai jopa tieto siitä, miltä osin rokotussuoja on kunnossa?

Työnantajalla on tartuntatautilain 48 §:n 4 momentin mukaan oikeus käsitellä työntekijän tartuntatautilain 48 §:n 1 momentissa tarkoitettuihin tehtäviin soveltuvuutta koskevia tietoja riittävän rokotussuojan osalta. Rokotussuojasta säädetään tartuntatautilain 48 §:n 2 momentissa, jonka mukaan 1 momentin mukaisissa työtehtävissä työskentelevällä työntekijällä on oltava joko rokotuksen tai sairastetun taudin antama suoja tuhkarokkoa ja vesirokkoa vastaan. Lisäksi edellytetään rokotuksen antama suoja influenssaa vastaan ja imeväisikäisiä hoitavilla hinkuyskää vastaan.

Työnantaja voi toisin sanoen käsitellä työntekijän tartuntatautilain 48 §:n 1 momentissa tarkoitettuihin työtehtäviin soveltuvuutta kuvaavia tietoja siltä osin, kuin tiedot koskevat työntekijän tartuntatautilain 48 §:n 2 momentissa tarkoitetun rokotussuojan riittävyyttä.

3) Saako esimies säilyttää lomakkeet, joissa työntekijä ilmoittaa sairastetut tartuntatautinsa ja niihin kuuluvan rokotussuojansa?

Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaisen säilytyksen rajoittamista koskevan periaatteen mukaan henkilötiedot tulee säilyttää muodossa, josta rekisteröity on tunnistettavissa, ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan
mukaisen tietojen minimointia koskevan periaatteen mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

Myös yksityisyyden suojasta työelämässä annetun lain (759/2004) 3 §:n 1 momentissa edellytetään, että työnantaja käsittelee vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja. Tarpeellisuusvaatimuksesta ei 2 momentin mukaan voida poiketa edes työntekijän suostumuksella.

Lomakkeiden säilyttämisessä on otettava huomioon, sisältävätkö lomakkeet myös muita kuin tarpeellisia tietoja työntekijän soveltuvuudesta hänen riittävän rokotussuojansa osalta. Lomakkeiden hävittäminen voi olla tarpeen erityisesti, jos lomakkeet sisältävät esimerkiksi tietoja, jotka ovat tarpeettoman täsmällisiä kuvaamaan työntekijän soveltuvuutta hänen rokotussuojansa riittävyyden kannalta, ja tarpeelliset tiedot on jo kirjattu toisaalle, eikä lomakkeiden säilyttämiselle ole muuta erityistä perustetta.

4) Onko esimerkiksi seuraavanlainen menettely mahdollinen?:
”Työntekijä toimittaa soveltuvuustiedon halutessaan esimiehelleen, joka kirjaa tiedon HR-järjestelmään. Syntyneestä rekisteristä laaditaan rekisteriseloste. Esimiehet seuraavat yksikkönsä työntekijöiden soveltuvuustietoja ja tarvittaessa kehottavat työntekijää toimittamaan puuttuvan tiedon.”

Yksityisyyden suojasta työelämässä annetun lain 5 §:n 4 momentin mukaan työnantajan on säilytettävä hallussaan olevat työntekijän terveydentilaa koskevat tiedot erillään muista työnantajan keräämistä henkilötiedoista. Mainitun lain 5 §:n 2 momentin mukaan terveydentilaa koskevia tietoja saavat käsitellä vain ne henkilöt, jotka näiden tietojen perusteella valmistelevat tai tekevät työsuhdetta koskevia päätöksiä taikka panevat niitä toimeen.

Työnantajan on nimettävä nämä henkilöt tai määriteltävä tehtävät, joihin sisältyy terveydentilaa koskevien tietojen käsittelyä. Tietoja käsittelevät henkilöt eivät saa ilmaista näitä tietoja sivulliselle työsuhteen aikana eikä sen päättymisen jälkeen. Tartuntatautilain 48 §:n 4 momentin mukaan työnantajalla on oikeus käsitellä työntekijän tietoja ainoastaan työntekijän suostumuksella.

Tietosuoja-asetuksessa ei edellytetä henkilötietolain mukaisen rekisteriselosteen laatimista. Rekisterinpitäjän on kuitenkin informoitava rekisteröityjä siten kuin tietosuoja-asetuksen 12, 13 ja 14 artikloissa edellytetään.

5) Tuoko tietosuojaa koskevien lakien muutos toukokuussa muutoksen edellä mainittujen kysymysten osalta?

Vastaukset on laadittu nykyisin voimassa olevan lainsäädännön mukaisesti.

Tietosuojavaltuutettu Reijo Aarnio

Tarkastaja Tiina Pasanen

Tietosuojavaltuutetun toimivalta

Tietosuojalain (1050/2018) 14 §:n 1 momentin mukaan tietosuojavaltuutetun tehtävistä ja toimivaltuuksista säädetään Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 eli yleisen tietosuojaasetuksen 55–59 artiklassa. Tietosuojavaltuutetulla on myös muita tietosuojalaissa tai muussa laissa säädettyjä tehtäviä ja toimivaltuuksia.