Mitä työpaikasta ja asiakkaista saa julkaista somessa?

Lyhyesti

Työpaikasta ja asiakkaista saa julkaista sosiaalisessa mediassa vain sellaista henkilötietoa, jolle organisaatiolla on yleisen tietosuoja-asetuksen 6 artiklan mukainen oikeusperuste. Julkaisulla pitää olla selkeä tarkoitus. Tietojen pitää myös olla tarpeellisia siihen tarkoitukseen yleisen tietosuoja-asetuksen 5 artiklan mukaan.

Julkaisu voi olla henkilötietojen tietoturvaloukkaus, jos se paljastaa henkilötietoja luvattomasti tai antaa niihin luvattoman pääsyn. Jos loukkaus todennäköisesti aiheuttaa riskin henkilöille, rekisterinpitäjän on ilmoitettava siitä toimivaltaiselle valvontaviranomaiselle. Ilmoitus tehdään yleisen tietosuoja-asetuksen 33 artiklan mukaan mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi.

Sosiaalisen median julkaisu on henkilötietojen käsittelyä, jos henkilö on tunnistettavissa

Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötieto on tietoa, joka liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Arkikielessä tämä tarkoittaa ihmistä, jonka voi tunnistaa suoraan tai epäsuorasti.

Suora tunnistaminen on helppo havaita. Julkaisussa on esimerkiksi henkilön nimi, kasvokuva, sähköpostiosoite tai työnimike yhdessä työpaikan kanssa. Epäsuora tunnistaminen voi syntyä useasta pienestä tiedosta. Esimerkiksi pieni kunta, harvinainen tehtävä ja tapahtuman kuvaus voivat riittää siihen, että henkilö tunnistetaan.

Sosiaalisen median julkaisu on käsittelyä, kun henkilötietoa kerätään, tallennetaan, käytetään, luovutetaan tai asetetaan saataville. Julkaiseminen on siis käsittelyä myös silloin, kun postaus on lyhyt, kuva katoaa myöhemmin tai kanava tuntuu epäviralliselta.

Työpaikkaa koskeva julkaisu voi sisältää henkilötietoja esimerkiksi näin:

• työntekijän kuva on työpaikan tilaisuudesta
• asiakkaan nimi näkyy ruutukaappauksessa
• asiakaspalaute yhdistyy tunnistettavaan henkilöön
• potilas, oppilas, kuntalainen tai palvelun käyttäjä näkyy kuvassa
• sijainti, käyttäjätunnus tai muu tunniste paljastaa henkilön

Yrityksen nimi ei yksin ole luonnollista henkilöä koskeva tieto. Tilanne muuttuu, jos tieto yhdistyy tunnistettavaan henkilöön. Esimerkiksi yksinyrittäjän nimi, yhteystieto ja palvelukokemus voivat olla henkilötietoja.

Lisää henkilötiedon tunnistamisesta: Mikä on henkilötieto ja milloin se lakkaa olemasta henkilötieto?

Julkaisulle tarvitaan oikeusperuste, tarkoitus ja rajaus

Yleisen tietosuoja-asetuksen 6 artikla sanoo, milloin henkilötietojen käsittely on lainmukaista. Sosiaalisen median julkaisu ei ole erillinen poikkeus. Se tarvitsee saman oikeusperusteen kuin muukin henkilötietojen käsittely.

Artiklassa mainitaan useita perusteita. Niitä ovat muun muassa suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite, elintärkeät edut, yleistä etua koskeva tehtävä, julkisen vallan käyttö ja oikeutettu etu. Viranomaisen tehtäviensä yhteydessä tekemään käsittelyyn ei sovelleta oikeutettua etua koskevaa perustetta.

Oikeusperuste ei yksin riitä. Yleisen tietosuoja-asetuksen 5 artikla vaatii, että henkilötietoja käsitellään lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Tiedot pitää kerätä tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietoja saa olla vain se määrä, joka on tarpeen tarkoitukseen nähden.

Tämä näkyy sosiaalisessa mediassa käytännön kysymyksinä:

Kysymys ennen julkaisua	Miksi se ratkaisee asian
Onko henkilö tunnistettavissa?	Jos ei ole, yleisen tietosuoja-asetuksen henkilötietosäännöt eivät tule samalla tavalla arvioitaviksi.
Mikä on julkaisun tarkoitus?	5 artikla edellyttää tiettyä ja laillista tarkoitusta.
Mikä on oikeusperuste?	6 artiklan mukaan käsittely on lainmukaista vain, jos vähintään yksi edellytys täyttyy.
Onko tieto tarpeellinen?	5 artiklan tietojen minimointi rajaa pois ylimääräiset nimet, kuvat ja taustatiedot.
Onko henkilö saanut tarvittavat tiedot käsittelystä?	12, 13 ja 14 artikla koskevat läpinäkyvää informointia.

Jos julkaisu perustuu suostumukseen, suostumuksen pitää olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen yleisen tietosuoja-asetuksen 4 artiklan mukaan. Pelkkä oletus ei riitä. Myös käyttötarkoitus on kerrottava, koska suostumus annetaan tiettyä tarkoitusta varten.

Lisää oikeusperusteista: Millä perusteella henkilötietoja saa käsitellä?

Asiakkaista julkaiseminen vaatii erityistä tarkkuutta

Asiakas voi olla kuluttaja, kuntalainen, potilas, oppilas, palvelun käyttäjä tai yhteyshenkilö. Jos henkilö on tunnistettavissa, julkaisu koskee henkilötietoja. Organisaatio toimii silloin rekisterinpitäjänä, jos se määrittelee käsittelyn tarkoitukset ja keinot yleisen tietosuoja-asetuksen 4 artiklan mukaisesti.

Asiakastarinoissa ongelma syntyy usein siitä, että markkinointiin tai viestintään valitaan tietoja, jotka on alun perin saatu muuhun tarkoitukseen. Yleisen tietosuoja-asetuksen 5 artiklan käyttötarkoitussidonnaisuus tarkoittaa, että tietoja ei käsitellä myöhemmin alkuperäisen tarkoituksen kanssa yhteensopimattomalla tavalla. Jos tarkoitus muuttuu, 13 ja 14 artikla edellyttävät tietoa uudesta tarkoituksesta ennen jatkokäsittelyä. Tieto on annettava rekisteröidylle silloin, kun artiklojen ehdot täyttyvät.

Erityiset henkilötietoryhmät nostavat riskin nopeasti. Yleisen tietosuoja-asetuksen 9 artikla koskee esimerkiksi terveystietoja, uskonnollista vakaumusta, poliittisia mielipiteitä, ammattiliiton jäsenyyttä sekä geneettisiä ja biometrisiä tietoja henkilön yksiselitteistä tunnistamista varten. Näiden tietojen käsittely on lähtökohtaisesti kiellettyä, ellei jokin 9 artiklan poikkeus sovellu.

Tämä tarkoittaa, että esimerkiksi palvelutilanteen kuva voi olla ongelmallinen, vaikka nimi puuttuisi. Jos kuva kertoo henkilön terveydestä, palvelun käytöstä tai muusta arkaluonteisesta seikasta, henkilön tunnistettavuus ja oikeusperuste pitää arvioida erityisen huolellisesti.

Asiakastietojen käsittelystä laajemmin: Mitä asiakkaista saa tallentaa ja kuinka kauan?

Työpaikasta voi kertoa, kun henkilöt eivät paljastu tarpeettomasti

Työpaikan arjesta voi kertoa ilman, että julkaisu sisältää henkilötietoja. Tällainen julkaisu voi olla kuva tyhjästä kokoustilasta, yleinen tieto palvelun aukiolosta tai kuva esineestä, jossa henkilöt eivät näy eikä heitä voi päätellä.

Tilanne muuttuu, kun työntekijä, asiakas tai yhteistyökumppanin työntekijä on tunnistettavissa. Silloin julkaisuun sovelletaan samoja periaatteita kuin muuhun henkilötietojen käsittelyyn. Tarpeellisuus on keskeinen rajaus. Jos tapahtumasta voi kertoa ilman kasvoja, nimiä tai tunnistettavia asiakastietoja, henkilötietoja ei pidä lisätä vain siksi, että julkaisu näyttää kiinnostavammalta.

Työntekijän tiedot ovat henkilötietoja samalla tavalla kuin asiakkaan tiedot. Esimerkiksi kuva, nimi, työrooli ja sijainti voivat yhdessä tunnistaa henkilön. Esihenkilön ja henkilöstöhallinnon näkökulmasta aihe jatkuu artikkelissa Esihenkilön tietosuojavastuu: mitä työntekijän tiedoista saa kerätä, katsoa ja kysyä.

Luvaton julkaisu voi olla henkilötietojen tietoturvaloukkaus

Yleisen tietosuoja-asetuksen 4 artiklan mukaan henkilötietojen tietoturvaloukkaus on tilanne, jossa henkilötietoja tuhoutuu, häviää, muuttuu, luovutetaan luvattomasti tai niihin päästään luvattomasti. Sosiaalisen median virheellinen julkaisu voi täyttää tämän määritelmän, jos se paljastaa henkilötietoja ilman lupaa tai ilman laillista perustetta.

Tällaisia tilanteita voivat olla esimerkiksi:

• ruutukaappaus, jossa näkyy asiakkaan nimi ja asia
• kuva, jossa asiakas tai potilas on tunnistettavissa
• julkaisu, jossa kerrotaan työntekijän terveyttä koskeva tieto
• kommentti, joka yhdistää henkilön palvelun käyttöön
• vahingossa julkaistu asiakirja, jossa on henkilötietoja

Kaikki virheelliset julkaisut eivät silti johda samaan ilmoitusvelvollisuuteen. Yleisen tietosuoja-asetuksen 33 artiklassa ilmoitus valvontaviranomaiselle riippuu riskistä. Rekisterinpitäjän pitää ilmoittaa toimivaltaiselle valvontaviranomaiselle ilman aiheetonta viivytystä. Ilmoitus pitää tehdä mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus on tullut ilmi. Ilmoitusta ei kuitenkaan tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille.

Jos ilmoitusta ei anneta 72 tunnin kuluessa, rekisterinpitäjän pitää antaa perusteltu selitys. Rekisterinpitäjän pitää myös dokumentoida kaikki henkilötietojen tietoturvaloukkaukset. Dokumentoinnin pitää kattaa loukkaukseen liittyvät seikat, vaikutukset ja korjaavat toimet. Valvontaviranomaisen pitää voida tarkistaa sen avulla, että 33 artiklaa on noudatettu.

Henkilölle itselleen ilmoittamisesta säädetään yleisen tietosuoja-asetuksen 34 artiklassa. Rekisteröidylle ilmoitetaan ilman aiheetonta viivytystä, kun loukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Ilmoitusta ei vaadita kaikissa tilanteissa. Artikla mainitsee muun muassa tilanteen, jossa tiedot on suojattu niin, etteivät ne ole luvattomien henkilöiden ymmärrettävissä, kuten salauksella.

Tarkempi käsittely ilmoitusajasta: Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta

Julkaisu voi käynnistää rekisteröidyn oikeudet

Kun henkilötietoja julkaistaan, rekisteröidyllä on yleisen tietosuoja-asetuksen 12–20 artiklojen mukaisia oikeuksia. Hän voi esimerkiksi pyytää pääsyä tietoihinsa 15 artiklan perusteella. Hän voi vaatia virheellisten tietojen oikaisua 16 artiklan perusteella. Hän voi pyytää tietojen poistamista 17 artiklan perusteella, jos jokin artiklan perusteista täyttyy.

Pyyntöihin liittyy määräaika. Yleisen tietosuoja-asetuksen 12 artiklan mukaan rekisterinpitäjän on toimitettava tiedot toimenpiteistä ilman aiheetonta viivytystä. Tiedot on joka tapauksessa toimitettava kuukauden kuluessa pyynnön vastaanottamisesta. Määräaikaa voidaan tarvittaessa jatkaa enintään kahdella kuukaudella, jos pyyntöjen monimutkaisuus ja määrä sitä edellyttävät. Rekisterinpitäjän on ilmoitettava jatkamisesta kuukauden kuluessa pyynnön vastaanottamisesta.

Sosiaalisessa mediassa tämä tarkoittaa, että julkaisu ei pääty siihen hetkeen, kun se lähtee kanavaan. Jos henkilö pyytää tietojaan, oikaisua, poistamista tai käsittelyn rajoittamista, organisaation on pystyttävä käsittelemään pyyntö yleisen tietosuoja-asetuksen mukaisesti.

Rekisteröidyn oikeuksista lisää: Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi

Mitä velvoite ei tarkoita ja mikä jää auki

Yleinen tietosuoja-asetus ei tee kaikista työpaikkaa koskevista julkaisuista henkilötietojen käsittelyä. Jos ihminen ei ole tunnistettavissa, asetuksen henkilötietoja koskevat velvoitteet eivät koske julkaisua samalla tavalla.

Asetus ei myöskään tarkoita, että jokainen henkilötietoja sisältävä julkaisu olisi kielletty. Julkaisu voi olla sallittu, jos sille on oikeusperuste, tarkoitus on selkeä, tieto on tarpeellinen ja rekisteröity saa vaaditut tiedot käsittelystä.

Jokainen virhe ei tarkoita, että rekisteröidylle eli henkilölle, jota tiedot koskevat, pitää ilmoittaa. Yleisen tietosuoja-asetuksen 34 artikla sitoo rekisteröidylle ilmoittamisen korkeaan riskiin. Henkilötietojen tietoturvaloukkauksesta ei myöskään aina ilmoiteta valvontaviranomaiselle. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä henkilöiden oikeuksille ja vapauksille. Silti 33 artikla edellyttää, että kaikki henkilötietojen tietoturvaloukkaukset dokumentoidaan.

Asetus ei yksin ratkaise kaikkia työpaikan viestinnän kysymyksiä. Organisaatiolla voi olla omia ohjeita siitä, kuka saa julkaista työpaikan nimissä ja missä kanavassa. Tässä artikkelissa arvio rajautuu yleisen tietosuoja-asetuksen mukaiseen henkilötietojen käsittelyyn, rekisteröidyn oikeuksiin ja henkilötietojen tietoturvaloukkauksiin.

Päätöksentekijän kannalta tärkein hallintakeino on yhteinen arviointitapa

Sosiaalisen median riski ei synny vain viestintätiimissä. Se syntyy myös arjen tilanteissa, joissa työntekijä ottaa kuvan, jakaa onnistumisen tai vastaa kommenttiin. Siksi organisaatiolla pitää olla yhteinen tapa arvioida julkaisuja.

Arvioinnissa pitää näkyä neljä asiaa. Ensin tunnistetaan, onko julkaisussa henkilötietoja. Toiseksi määritetään julkaisun tarkoitus. Kolmanneksi tarkistetaan oikeusperuste yleisen tietosuoja-asetuksen 6 artiklan mukaan. Neljänneksi julkaisu rajataan niin, että henkilötietoja on vain tarpeellinen määrä yleisen tietosuoja-asetuksen 5 artiklan mukaisesti.

Jos virhe tapahtuu, arviointi muuttuu loukkauksen käsittelyksi. Silloin organisaation pitää selvittää, mitä tietoja paljastui ja keitä henkilöitä asia koskee. Lisäksi pitää selvittää, mitä seurauksia loukkauksella todennäköisesti on ja mitä korjaavia toimia on tehty tai ehdotettu. Nämä ovat samoja tietoja, joita 33 artikla edellyttää valvontaviranomaiselle tehtävässä ilmoituksessa.

Tietosuojan periaatteet työssä: Mitä tietosuoja-asetuksen kuusi periaatetta tarkoittavat työssä?