14.9.2009

ASIA

Tietosuojavaltuutetulta tiedusteltiin, missä vaiheessa suunnitteilla olevaa yrityskauppaa tai yritysten fuusiota voidaan työntekijöiden henkilötietoja luovuttaa uudelle tulevalle työnantajayritykselle, mm. työntekijöiden nimiluettelo palkka- ja työsuoritusarviointitietoineen.

TIETOSUOJAVALTUUTETUN VASTAUS

Liikkeen luovutuksen, sulautumisen, liiketoiminnan siirron tai muun yritysjärjestelyn suunnittelun yhteydessä on tarkoin harkittava, millä hetkellä ja millä perusteilla työntekijöiden henkilötietoja voidaan luovuttaa uudelle omistajalle/työnantajalle.

Työntekijöiden henkilötiedot muodostavat henkilöstöhallinnon käyttöön tarkoitetun henkilörekisterin tai useampia henkilö- ja osarekistereitä, jotka kokonaisuutena (esim. kaikki palkkatiedot, henkilötunnukset, sairaslomatodistukset jne. henkilöittäin) ovat luovutettavissa vasta kun yrityskauppa tai muu yritysjärjestely toteutuu tosiasiallisesti esim. sopimuksella. Tältä osin tulevat sovellettavaksi työsopimuslain 1 luvun 10 §:n 1 ja 2 mom. säännökset liikkeen luovutuksesta. Liikkeen luovutuksessa työnantajan luovutushetkellä voimassa olevat työsuhteista johtuvat oikeudet ja velvollisuudet sekä niihin liittyvät työsuhde-etuudet siirtyvät liikkeen uudelle omistajalle tai haltijalle.

Ennen yritysjärjestelyn toteuttamista voidaan myös harkita työelämän tietosuojalain 3 §:n mukaisesti työsuhteen oikeuksien, velvollisuuksien, etujen tai työtehtävien erityisluonteen kannalta välittömästi tarpeellisten tietojen luovuttamista esim. henkilötietolain 8 § 2 mom. mukaisena tavanomaisena luovutuksena. Tällöin edellytyksenä on, että työntekijöiden ei-arkaluontoisia henkilötietoja voidaan luovuttaa tarkoitukseen, joka on yhteensopiva rekisterille määritellyn käyttötarkoituksen, kuten palvelussuhteen hoidon kannalta, jos työntekijöiden voidaan olettaa tietävän henkilötietojen tällaisesta luovuttamisesta. Henkilötietojen luovuttaminen on myös mahdollista tarpeellisuusvaatimuksen täyttyessä työntekijän suostumuksella.

Asiassa on otettava huomioon erityisesti henkilötietolain 32 §:n suojaamisvelvoite laittomalta luovuttamiselta työnantajan henkilörekisteristä sekä henkilötietolain 33 §:n mukainen vaitiolovelvollisuus henkilötietoja käsiteltäessä.

Tietosuojavaltuutetun käsityksen mukaan on tarkoituksenmukaista, ettei kaikkien työntekijöiden nimiluetteloa yksityiskohtaisine palkkatietoineen sekä työsuoritusarviointitietoineen luovuteta uudelle mahdolliselle työnantajayritykselle ennen yritysjärjestelyn toteutumista. Vaikka työsuoritusarvioinnit eivät sisältäisikään arkaluontoisia henkilötietoja, on niiden luonne pääsääntöisesti luottamuksellinen (työntekijän ja esimiehen välillä käydyt luottamukselliset keskustelut ja työntekijästä laaditut arviointiraportit). Yrityksen ns. avainhenkilöistä voitaneen luovuttaa välittömästi tarpeellisia tietoja (työelämän tietosuojalaki 3 §) jo ennen yritysjärjestelyn toteutumista, esim. esisopimuksen perusteella, henkilötietolain 8 §:n 2 mom. tarkoittamana tavanomaisena luovutuksena tai suostumuksella.

Suositeltavaa on antaa esim. palkkatiedot siten, että palkkatiedoista toimitetaan tilastotietoa tai kustannusyhteenveto osastoittain. Tällöin tiedoista ei kävisi ilmi yksittäisten henkilöiden tietoja. Ns. yhtiön avainhenkilöiden kohdalla voinee tulla kyseeseen myös tarkempien tietojen, mm. palkkatietojen, luovuttaminen erityistä tarpeellisuusvaatimusta noudattaen.

Tietosuojavaltuutettu kiinnittää erityisesti huomiota siihen, että työnantajalle rekisterinpitäjänä säädetyt velvoitteet henkilötietojen käsittelyn informoinnista, mm. luovutustilanteissa, toteutuvat työpaikalla henkilötietolain 24 §:n mukaisesti. Lisäksi yhteistoimintamenettelyvelvoitteet työsuhteen aikana kerättävistä henkilötiedoista (työelämän tietosuojalaki 4 §:n 3 mom.) sekä liikkeen luovutuksesta tai yritysjärjestelyistä aiheutuvat henkilöstövaikutukset tulee käydä läpi henkilöstön kanssa siten kuin yhteistoimintalaissa säädetään.

Ennen henkilötietojen ja rekistereiden mahdollista luovuttamista uudelle yritykselle, tulee yrityksessä muutoinkin käydä läpi henkilörekistereissä olevien tietojen ajantasaisuus henkilötietolain 9 §:n tarpeellisuusvaatimuksen mukaisesti. Rekisterinpitäjän tulee huolehtia siitä, ettei tarpeettomia, virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja käsitellä. Lisäksi henkilörekisteri, joka ei ole enää rekisterinpitäjän toiminnan kannalta tarpeellinen, on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei rekisteriä siirretä arkistolaissa tarkoitetulla tavalla arkistoon.

SOVELLETUT SÄÄNNÖKSET

Henkilötietolaki (523/1999) 3 §, 5 §, 6 §, 7 §, 8 § 1 mom. 1 kohta, 5 kohta, 6 kohta, 8 kohta, 8 § 2 mom., 9 §, 10 §, 24 §, 32 § ja 33 §, 34 §.
Laki yksityisyyden suojasta työelämässä (työelämän tietosuojalaki, 759/2004) 2 §, 3 §, 4 §, 4 §:n 3 mom., 5 §.
Työsopimuslaki (55/2001) 1 luku 10 §
Laki yhteistoiminnasta yrityksissä (334/2007) 4 luku 15 §, 6 luku 32 §