GDPR-vaatimukset HR- ja palkanlaskentaprosesseissa

EU:n yleinen tietosuoja-asetus ("GDPR") on ollut voimassa vuodesta 2018 ja määrittelee periaatteet henkilötietojen käsittelylle. Tässä artikkelissa HR-asiantuntijamme Sofie Åkerberg-Woodburn käy läpi HR- ja palkanlaskentaprosessien henkilötietojen käsittelyn riskejä ja tarjoaa käytännön vinkkejä niiden hallintaan.

Henkilötiedot tarvitsevat erityistä suojaa

HR- ja palkanlaskentatiedot kuuluvat yrityksen arkaluonteisimpiin tietoihin. Kyse ei ole vain henkilötunnuksesta tai pankkitiedoista – se kattaa myös tiedot, joista voi paljastua työntekijän terveydentila, suoriutuminen tai perhesuhteet.

Tietojen puutteellinen tai epäasianmukainen käsittely voi johtaa hallinnolliseen seuraamusmaksuun, luottamuksen menetykseen ja epävarmuuteen työntekijöiden keskuudessa.

Siksi on olennaista, että päivittäisiä henkilötietojen käsittelyprosesseja koskien on selkeät ohjeet ja niiden noudattamista tukevat järjestelmärakenteet. On harkittava huolellisesti, milloin ja miten tiedot tallennetaan ja käsitellään.

1. Yleisiä virheitä henkilötietojen käsittelyssä

Lähes kaikki HR:n käsittelemä tieto, kuten palkkatiedot, työsopimukset ja rekrytointitiedot, kuuluvat yleisen tietosuoja-asetuksen piiriin. Osa tiedoista on erityisen arkaluonteisia (esim. terveystiedot, uskonto tai ammattiliittoon kuuluminen), jolloin sovelletaan vielä tiukempia suojasäännöksiä. Yleisenä sääntönä on, että niin kutsuttuihin erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on lähtökohtaisesti kiellettyä, ellei sitä voida perustella hyväksyttyjen poikkeusten tai usein lain edellyttämien perusteiden mukaan.

Yleisiä virheitä ovat esimerkiksi:

• Palkkalaskelmien jakaminen suojaamattomien kanavien kautta, kuten salaamattoman sähköpostin välityksellä
• Työntekijälistojen ylläpitäminen Excelissä tai henkilöstötiedostojen tallentaminen avoimiin verkkoalustoihin, kuten OneDriveen tai Google Driveen.
  • Tällaisia käytäntöjä voidaan pitää henkilötietojen loukkauksina, ellei kansioiden käyttöoikeuksia ole asianmukaisesti rajoitettu.

2. Tietojen minimointi – kerää vain tarpeellinen

Yleisen tietosuoja-asetuksen keskeinen periaate on tietojen minimointi. Henkilötietoja tulisi kerätä ja käsitellä vain siinä laajuudessa kuin on tarpeen tavoitellun tarkoituksen saavuttamiseksi.

Monissa HR-järjestelmissä on esimerkiksi kenttiä, joita ei koskaan käytetä, tai historiatietoja säilytetään “varmuuden vuoksi”. Tämä luo tarpeettomia riskejä.

Hyviä käytäntöjä ovat esimerkiksi:

• Suorita säännöllisiä tarkistuksia HR-järjestelmän tietoihin.
• Hyödynnä järjestelmää, joka automaattisesti merkitsee tiedot tarkastettaviksi tietyn ajan kuluttua.
• Arvioi, ovatko henkilötiedot edelleen perusteltua säilyttää.
• Tarkista tiedot erityisesti työsuhteen päättyessä ja poista tarpeettomat henkilötiedot. Toki osa säilytettävästä materiaalista on lain mukaan säilytettävä useita vuosia, mutta suuri osa voidaan poistaa.
• Laadi offboarding-prosessille tarkistuslista, joka varmistaa henkilötietojen asianmukaisen käsittelyn.

3. Työntekijän suostumus ei yksin riitä henkilötietojen käsittelyyn

Työpaikoilla suostumus ei yleensä ole pätevä laillinen peruste henkilötietojen käsittelyyn. Koska työnantajan ja työntekijän välinen suhde sisältää riippuvuutta, työntekijän “suostumusta” ei voida katsoa vapaasti annetuksi. Tämä koskee erityisesti erityisiä henkilötietojen ryhmiä, kuten etnistä alkuperää tai seksuaalista suuntautumista. Tämän vuoksi työnantajan ei tule perustaa henkilötietojen käsittelyä pelkästään suostumukseen.

Henkilötietojen käsittely voidaan sen sijaan perustaa tietyille laillisille perusteille, esimerkiksi:

• Sopimuksellinen välttämättömyys – esimerkiksi työsuhteeseen tarvittavien tietojen käsittely.

• Lakisääteinen velvollisuus – esimerkiksi palkanlaskenta, veroraportointi ja sääntelyvaatimukset.

4. Asianmukainen henkilötietojen käsittely vahvistaa luottamusta

Turvallinen ja lainmukainen henkilötietojen käsittely viestii ammattimaisuutta, kunnioitusta ja huolenpitoa työntekijöitä kohtaan.

Yritykset, jotka sopeuttavat yleisen tietosuoja-asetuksen vaatimukset HR-prosesseihinsa systemaattisesti, eivät ainoastaan vähennä virheiden riskiä – ne myös rakentavat luottamusta työntekijöiden keskuudessa.

Kestävä HR-työ menee lain vaatimusten noudattamisen yli. Kyse on rakenteiden luomisesta, jotka ovat tehokkaita, turvallisia ja pitkäikäisiä.