Whistleblower-direktiivin kansallinen täytäntöönpano

Mikä Whistleblower-direktiivi? Mikä ilmoittajansuojelulaki?

Euroopan unionin lainsäädännön rikkomisesta ilmoittavien henkilöiden suojelusta annetun direktiivin, ns. Whistleblower-direktiivin kansallinen täytäntöönpano tapahtui 1.1.2023. Hallituksen esitys HE 147/2022 laiksi Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta sekä siihen liittyviksi laeiksi annettiin eduskunnalle 19.9.2022. Esitykseen perustuva laki ilmoittajien suojelusta ("ilmoittajansuojelulaki") on yleislaki lain soveltamisalalla, mikä tarkoittaa käytännössä sitä, että sen säännöksiä sovelletaan siltä osin kuin asiasta ei säädettäisi toisin erityislainsäädännössä. Ilmoittajansuojelulakia tullaankin soveltamaan rinnakkain ja täydentävänä muun lainsäädännön kanssa.

Ilmoittajansuojelulain keskeisenä tavoitteena on rohkaista työnsä yhteydessä yleisen edun vastaisia rikkomuksia havainneita tai epäileviä henkilöitä ilmoittamaan omista havainnoistaan. Lain voimaantulon myötä perustetaan uusi viranomaisten keskitetty ilmoituskanava ja lisäksi velvoitetaan monia julkisen sekä yksityisen sektorin organisaatioita perustamaan luottamuksellinen sisäinen ilmoituskanava tietyistä yleisen edun kannalta merkityksellisistä väärinkäytöksistä ilmoittamista varten. Lisäksi ilmoittajansuojelulain tarkoituksena on suojata väärinkäytöksistä ilmoittajaa negatiivisilta vastatoimilta.

Ilmoittajansuojelulain soveltamisalaan kuuluu direktiivin edellyttämän EU-pohjaisen sääntelyn lisäksi kunkin soveltamisalaan kuuluvan lainsäädäntöalan kansallinen lainsäädäntö. Lain soveltamisalaan kuuluisi seuraava lainsäädäntö: 1) julkiset hankinnat, 2) rahoituspalvelut, -tuotteet ja -markkinat sekä rahanpesun ja terrorismin rahoituksen ehkäiseminen, 3) tuoteturvallisuus ja vaatimustenmukaisuus, 4) liikenneturvallisuus, 5) ympäristönsuojelu, 6) säteilyturva ja ydinturvallisuus, 7) elintarvikkeiden ja rehujen turvallisuus, eläinten terveys ja hyvinvointi, 8) kansanterveys, 9) kuluttajansuoja ja 10) yksityisyyden ja henkilötietojen suoja sekä verkko- ja tietojärjestelmien turvallisuus. Esimerkiksi työsuojelua ja työsuhdetta koskeva lainsäädäntö ei kuulu ilmoittajansuojelulain soveltamisalaan.

Ilmoittajan suojelun edellytykset

Ilmoittajansuojelulaissa säädettyä suojelua sovellettaisiin henkilöihin, jotka ovat työsuhteessa tai virkasuhteessa. Sopimusketjutilanteissa suojeltaisiin myös alihankkijan, pääurakoitsijan tai toimeksisaajan palveluksessa olevia henkilöitä. Lain soveltamisalaan kuuluisivat myös itsenäisinä ammatinharjoittajina toimivat ansiotyötä tekevät luonnolliset henkilöt, joiden työnteko ei täytä työsuhteen tunnusmerkkejä. Tällaista työtä voidaan tehdä esimerkiksi erilaisissa toimeksiantosopimuksiin perustuvissa toimeksiantosuhteissa. Laissa säädettyä suojelua sovelletaan myös sellaisiin ilmoituksen kohteena olevan osakeyhtiön osakkeenomistajiin, jotka osakeyhtiössä työssään, toimessaan tai tehtävässään taikka niiden yhteydessä saavat tietoa rikkomisista. Lakia ei sovelleta kaikkiin yhtiön osakkeenomistajiin, vaan osakkeenomistajalla tulisi olla jossain määrin aktiivinen rooli osakeyhtiössä ja mahdollisuus saada tietoja rikkomisesta työn yhteydessä. Soveltamisalaan kuuluvat esimerkiksi ne osakkeenomistajat, jotka työskentelevät aktiivisesti yhtiön hyväksi, mutta eivät olisi työsuhteessa yhtiöön. Koska osakkeenomistajan tulee olla laissa tarkoitettu ilmoittaja, sovellettaisiin lakia lähtökohtaisesti vain sellaisiin osakkeenomistajiin, jotka ovat luonnollisia henkilöitä. Lisäksi suojelua sovellettaisiin henkilöihin, jotka kuuluvat ilmoituksen kohteena olevan yksityisen sektorin oikeushenkilön hallitukseen tai hallintoneuvostoon. Suojelua sovelletaan myös vapaaehtoistyöntekijöihin ja harjoittelijoihin.

Käytännössä ilmoittaja voi olla esimerkiksi työnhakija tai itsenäinen ammatinharjoittaja, joka on saanut rikkomista koskevia tietoja palvelukseenottomenettelyn tai toimeksiantosopimuksen tekemistä edeltäneiden neuvottelujen aikana. Lain soveltamisen edellytyksenä ei ole, että työ, toimi tai tehtävä sittemmin olisi alkanut. Laissa säädetyin edellytyksin suojeltaisiin myös ilmoittajia, joiden työ, toimi tai tehtävä on päättynyt, mikäli rikkomista koskevat tiedot olisi saatu tällaisen työn, toimen tai tehtävän aikana. Kyse voi olla esimerkiksi entisestä työntekijästä, joka on saanut rikkomista koskevia tietoja sittemmin päättyneen työsuhteensa aikana.

Ilmoittajan suojelun edellytyksenä on, että ilmoitettava rikkominen kuuluu lain soveltamisalaan, ilmoittaja kuuluu lain edellä todettuun henkilölliseen soveltamisalaan, ilmoittamisessa noudatetaan kolmiportaista ilmoitusmenettelyä ja ilmoittajalla on perusteltu syy uskoa tietojen paikkansapitävyyteen ilmoittamishetkellä. Ensisijainen tapa on tehdä ilmoitus oman organisaation sisäiseen ilmoituskanavaan. Sen jälkeen on mahdollista ilmoittaa ulkoiseen ilmoituskanavaan eli viranomaiselle. Joissakin erikseen mainituissa tilanteissa ilmoituksen voi tehdä suoraan ulkoiseen ilmoituskanavaan. Oikeuskanslerinvirasto toimii keskitettynä ulkoisena ilmoituskanavana ja siirtä' ilmoitukset selvitettäväksi kyseisen hallinnonalan toimivaltaiselle valvontaviranomaiselle. Kolmas tapa on tiedon julkistaminen.

Ilmoittajansuojelulain mukaiseen suojeluun eivät ole oikeutettuja sellaiset henkilöt, jotka ilmoittamishetkellä tahallaan ja tietoisesti ilmoittaisivat vääriä tai harhaanjohtavia tietoja. Ilmoittaja ei kuitenkaan menetä suojelua siinä tapauksessa, että hän on ollut vilpittömässä mielessä ja erehdyksen vuoksi ilmoittanut sittemmin paikkansapitämättömiksi osoittautuneita tietoja.

Ilmoituskanavan toteuttaminen ja ilmoitusten käsittely ilmoituskanavassa

Ilmoituskanavan tekninen toteuttaminen jää pitkälti yrityksen itsensä päätettäväksi. Ilmoittajansuojelulaki ei edellytä, että ilmoituskanava tulisi toteuttaa sähköisenä palveluna, vaan sen toteuttamistapana voi myös olla kirjallinen ilmoittaminen esimerkiksi palautelaatikon kautta.

Ilmoituskanavan kautta tulevat ilmoitukset tulee kirjata. Ilmoituksesta tulee myös antaa vastaanottokuittaus seitsemän päivän kuluessa sekä palaute ilmoittajalle kolmen kuukauden kuluessa ilmoituksen vastaanottamisesta.

Yhtenä vaihtoehtona ilmoituskanavavan tekniselle toteuttamiselle on yhteistyökumppanimme WhistleB:n asiakkaillemme tarjoama ilmoituskanava. WhistleB:n ilmoituskanavassa ilmoituksia on mahdollista tehdä anonyymisti ja tietoturvallisesti.

Miten henkilötiedot tulee suojata ja kuinka kauan niitä voi säilyttää?

Tieto ilmoittajan, ilmoituksen kohteen ja muiden ilmoituksessa mainittujen henkilöiden henkilöllisyydestä ja muut henkilötiedot on suojattava. Muiden kuin valtuutettujen henkilöiden pääsy ilmoituskanavaan on estettävä. Ilmoituskanavassa on oltava mahdollisuus joko suulliseen tai kirjalliseen ilmoittamiseen. Jos ilmoittaminen olisi mahdollista suullisesti, tulisi ilmoittamisen ilmoittajan pyynnön mukaan olla mahdollista kohtuullisen ajan kuluessa järjestettävässä henkilökohtaisessa tapaamisessa.

Ilmoituskanavien kautta tulevat tiedot tulee poistaa viiden vuoden kuluttua ilmoituksen saapumisesta, ellei niiden säilyttäminen olisi välttämätöntä ilmoittajansuojelulain tai muussa laissa säädettyjen oikeuksien tai velvoitteiden toteuttamista varten taikka oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Henkilötiedot, joilla ei selvästi ole merkitystä ilmoituksen käsittelyn kannalta, on kuitenkin poistettava ilman aiheetonta viivytystä.

Vastatoimien kielto ja käännetty todistustaakka

Ilmoittajia olisi ilmoittajansuojelulain mukaan suojeltava kaikenlaisilta suorilta ja epäsuorilta vastatoimilta, joiden kohteeksi he voivat joutua ilmoittaessaan väärinkäytöksistä. Esimerkiksi työsuhteessa olevaan työntekijään voidaan kohdistaa seuraavia vastatoimia: työsuhteen ehtojen heikentäminen, varoitus, lomauttaminen, työsopimuksen päättäminen, häirintä ja epäedullinen kohtelu. Jotta kyse olisi kielletystä vastatoimesta, ilmoittajaan tai muuhun henkilöön suoraan tai välillisesti kohdistetun epäsuotuisan menettelyn tulee olla tiiviissä syy-yhteydessä laissa tarkoitettuun sisäiseen tai ulkoiseen ilmoittamiseen taikka tiedon julkistamiseen eli vastatoimen tulee tapahtua tehdyn ilmoituksen vuoksi.

Ilmoittajansuojelulakiin sisältyy säännös käännetystä todistustaakasta, mikä edellyttää työnantajaa osoittamaan, ettei tietty toimi johdu työntekijän tekemästä ilmoituksesta. Käytännössä tämä voi olla työnantajan kannalta jatkossa tietyissä tilanteissa haastavaa ja edellyttää työnantajalta varautumista sekä tarkkaa dokumentointia. Työnantajien kannalta ilmoittajasuojelulain todistustaakkaa koskevaan säännökseen sisältyykin riski siitä, että perättömät tai epämääräiset ilmoitukset voivat johtaa siihen, että työnantajan normaali työn johto-oikeuden käyttö estyy sen vuoksi, että siihen liittyy liian suuri riski siitä, että se lopulta tulkitaan kielletyksi vastatoimeksi.

Vahingonkorvausvelvollisuus ja vastatoimien kiellon rikkomisesta seuraava hyvitys

Sen, joka rikkoo tahallisesti ilmoittajansuojelulaissa säädettyä vastatoimien ja ilmoittamisen estämisen kieltoa, on korvattava ilmoittajalle tai muulle henkilölle aiheuttamansa taloudellinen vahinko. Tahallisesti vääriä tietoja ilmoittaneen tai julkistaneen ilmoittajan on myös korvattava ilmoituksen kohteelle aiheuttamansa taloudellinen vahinko. Työsopimuksen perusteettomasta päättämisestä maksettavaan korvaukseen sovelletaan kuitenkin työsopimuslain säännöstä työsopimuksen perusteettomasta päättämisestä maksettavasta korvauksesta. Ilmoittajansuojelulain säännökset eivät myöskään rajoita vahinkoa kärsineen oikeutta vaatia korvausta vahingonkorvauslain tai muun lain nojalla taikka tehdyn sopimuksen perusteella.

Ilmoittajansuojelulakiin perustuva vahingonkorvausvelka vanhentuu kolmen vuoden kuluessa siitä, kun vahingonkärsijä on saanut tietää tai hänen olisi pitänyt saada tietää vastatoimien ja ilmoittamisen estämisen kiellon vastaisesta menettelystä. Työsopimuksen perusteettomasta päättämisestä maksettavan korvauksen vanhentumiseen ja kanneaikaan sovellettaisiin työsopimuslain vanhentumista ja kanneaikaa koskevaa säännöstä. Vahinko olisi lähtökohtaisesti korvattava täysimääräisenä. Tahallisen vastatoimien kiellon rikkomisen olisi oltava syy-yhteydessä aiheutuneeseen vahinkoon.

Vastatoimien kohteeksi joutuneella luonnollisella henkilöllä on lisäksi oikeus saada hyvitystä siltä, joka oni ilmoittajansuojelulain vastaisesti kohdistanut häneen vastatoimia. Hyvitykseen on myös oikeus luonnollisella henkilöllä, jonka ilmoittaminen on estetty tai yritetty estää. Oikeus saada hyvitystä ei riipu siitä, onko vastatoimista taikka ilmoittamisen estämisestä tai sen yrittämisestä aiheutunut vahinkoa niiden kohteeksi joutuneelle henkilölle. Hyvityksessä ei ole kysymys vahingonkorvauksesta, vaan sen tarkoituksena on hyvittää ilmoittajaan suoraan tai välillisesti kohdistettujen tekojen aiheuttama loukkaus. Hyvityksen tuomitseminen ei edellytä myöskään sen arvioimista, onko lainvastainen menettely ollut tahallista tai tuottamuksellista. Hyvitystä koskevat säännökset vastaavatkin pitkälti yhdenvertaisuuslain hyvitystä koskevia säännöksiä. Kanne hyvityksen suorittamisesta tulee nostaa kolmen vuoden kuluessa ilmoittamisen estämisestä tai vastatoimien kiellon vastaisesta menettelystä.

Koska ilmoittajansuojelulaki voisi tulla voimaan? Milloin ilmoituskanava olisi otettava käyttään?

Ilmoittajansuojelulaki tuli voimaan 1.1.2023 eli ilmoittajansuojelulain mukainen sisäinen ilmoituskanava on otettava käyttöön kolmen kuukauden kuluessa ilmoittajansuojelulain voimaantulosta yksityisellä sektorilla yrityksissä, joiden palveluksessa olisi säännöllisesti vähintään 250 työntekijää sekä yrityksen koosta riippumatta kaikissa rahoitusalan yrityksissä ja yrityksissä, jotka ovat alttiita rahanpesulle tai terrorismin rahoitukselle. Organisaatioissa, joiden palveluksessa on säännöllisesti enintään 50–249 työntekijää, sisäinen ilmoituskanava on otettava käyttöön kuitenkin vasta 17.12.2023. On myös hyvä tiedostaa, että ilmoituskanavat ja niihin liittyvät menettelyt tulee käsitellä yhteistoimintalain mukaisessa vuoropuhelussa, mikä osaltaan olisi omiaan edesauttamaan toimivien prosessien luomista ja lisäisi ilmoitusprosessien avoimuutta.

Tarkempia lisätietoja ilmoittajansuojelulain voimaantulosta, sisällöstä ja ilmoittajansuojelulain mukaisen ilmoituskanavan käyttöönotosta saat Tonilta (toni.haapasalo@iconics.fi) tai Annalta (anna.paimela@iconics.fi).

Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Iconicsin uutiskirje täältä.

Entisen työntekijän sähköpostin seuraaminen

Korkein oikeus antoi aiemmin tässä kuussa ratkaisun KKO 2022:32, jossa työnantajan edustajan katsottiin syyllistyneen viestintäsalaisuuden loukkaukseen, kun tämä oli työntekijän työsuhteen päättymisen jälkeen pitänyt auki työntekijän työsähköpostiosoitetta ja antanut muiden työntekijöiden tehtäväksi seurata työntekijän työsähköpostia.

Asian tausta

Työnantajan edustaja oli työntekijän työsuhteen päättymisen jälkeen 18.–26.7.2016 pitänyt auki työntekijän työsähköpostiosoitetta ja antanut muiden työntekijöiden tehtäväksi sähköpostiosoitteen viestien seuraamisen. Työnantajalla oli ollut työntekijän suostumus käyttää tämän sähköpostiosoitetta työsuhteen aikana työtehtävien hoitamista varten tämän poissa ollessa. Työntekijä ei ollut kuitenkaan antanut työsuhteensa päättymisen yhteydessä, tai sen jälkeen, erillistä suostumusta hänen työsähköpostiosoitteensa käyttöön.

Syyttäjä ja työntekijä vaativat työnantajan edustajan tuomitsemista rangaistukseen viestintäsalaisuuden loukkauksesta, koska tämä oli oikeudettomasti käyttänyt työntekijän sähköpostiosoitetta pitämällä sitä auki ja luetuttamalla sitä työntekijällään sen jälkeen, kun työntekijän työsuhde oli päättynyt.

Viestintäsalaisuuden loukkaus ja tietomurto

Korkeimman oikeuden ratkaistavana oli se, oliko työnantajan edustaja syyllistynyt rikoslaissa säädettyyn viestintäsalaisuuden loukkaukseen. Mikäli hänen menettelynsä täytti loukkauksen tunnusmerkistön, arvioitavaksi tuli myös se, oliko hänen menettelyssään kyse toimimisesta välillisenä tekijänä vai tekijänä.

Rikoslain mukaan viestintäsalaisuuden loukkauksesta tuomitaan se, joka oikeudettomasti avaa toiselle osoitetun kirjeen tai muun suljetun viestin taikka suojauksen murtaen hankkii tiedon sähköisesti tai muulla vastaavalla teknisellä keinolla tallennetusta, ulkopuoliselta suojatusta viestistä. Lain esitöiden mukaan viestintäsalaisuuden loukkauksen tunnusmerkistö käsittää perinteisen kirjesalaisuuden loukkaamisen täydennettynä sähköisesti tallennettua viestiä koskevalla lisäyksellä eli sähköisesti tai muulla vastaavalla teknisellä keinolla tallennettua viestiä, tietokoneesta toisen tietokoneen muistiin välitettyjä viestejä, jotka ovat tietyn käyttäjän tai tiettyjen käyttäjien luettavaksi tarkoitettuja. Rangaistavuuden edellytyksenä on, että viesti on teknisin keinoin suojattu ulkopuolisilta ja tiedon hankkiminen viestistä tapahtuu tämä suojaus murtaen. Suojauksen murtaminen voisi tapahtua vastaavalla tavalla kuin tietomurrosta säädetään.

Myös tietomurrosta säädetään rikoslaissa. Tietomurrosta tuomitaan se, joka käyttämällä hänelle kuulumatonta käyttäjätunnusta taikka turvajärjestelyn muuten murtamalla oikeudettomasti tunkeutuu tietojärjestelmään, jossa sähköisesti tai muulla vastaavalla teknisellä keinolla käsitellään, varastoidaan tai siirretään tietoja tai dataa, taikka sellaisen järjestelmän erikseen suojattuun osaan. Lain esitöiden mukaan rangaistavuuden edellytyksenä olisi, että tietomurrossa tunkeutuminen tapahtuu järjestelmän turvajärjestely murtamalla. Esimerkkinä turvajärjestelystä mainitaan käyttäjätunnus, joka tietojärjestelmään pyrkivän on osattava päästäkseen käsiksi järjestelmän tietoihin. Turvajärjestely olisi läpäistävä jollakin nimenomaisella toimella, mutta rikos täyttyisi heti, kun tunnistuskontrolli on läpäisty. Oikean käyttäjätunnuksen tiedoksisaantitapa olisi rikoksen täyttymisen kannalta merkityksetön. Oikeudettomasta tunkeutumisesta ei kuitenkaan ole kyse silloin, kun pääsyn hankkimiselle suojattuihin tietoihin tunnuksen avulla on tunnuksen haltijan suostumus. Turvajärjestelyn läpäisemistapaa kuvataan säännöksessä sanalla murtaa, jota on käytetty korostamaan juuri sitä, että läpäisyn on oltava luvatonta.

Korkein oikeus totesi, että viestintäsalaisuuden loukkauksen tunnusmerkistössä kuvattu suojauksen murtamista koskeva tekotapa saa sisältönsä arvioinnista, jossa edellä mainittujen esitöiden mukaisesti otetaan huomioon kahden rangaistussäännöksen muodostama kokonaisuus. Tunnusmerkistössä tarkoitettu suojauksen murtaminen täyttyy silloin, kun toiselle kuuluvaa käyttäjätunnusta käytetään luvatta.

Yksityisyyden suoja työelämässä

Yksityisyyden suojasta työelämässä annetussa laissa säädetään niistä edellytyksistä, joiden perusteella työnantajalla on oikeus hakea esille tai avata työnantajan työntekijän käyttöön osoittamaan sähköpostiosoitteeseen lähetettyjä, tai työntekijän tällaisesta sähköpostiosoitteesta lähettämiä, sähköpostiviestejä. Työnantajalla on edellä mainittu oikeus silloin, jos työnantaja on suunnitellut ja järjestänyt työntekijälle tämän nimellä lähetettyjen ja tämän lähettämien sähköpostiviestien suojan toteuttamiseksi tarpeelliset toimenpiteet ja tässä tarkoituksessa erityisesti huolehtinut siitä, että työntekijä voi antaa suostumuksensa siihen, että työntekijän poissa ollessa tämän valitsema työnantajan tehtävään hyväksymä toinen henkilö voi ottaa vastaan työntekijälle lähetetyt viestit sen selvittämiseksi, onko työntekijälle lähetetty sellainen viesti, joka on selvästi tarkoitettu työnantajalle työtehtävien hoitamiseksi ja josta työnantajan on toimintansa tai työtehtävien asianmukaisen järjestämisen vuoksi välttämätöntä saada tieto.

Lain esitöiden mukaan työnantajan olisi tarjottava vaihtoehtoja myös työsuhteen päättämistilanteissa ennen viestien esille hakemisen aloittamista. Näin työntekijä, jonka työsuhde on purettu tai irtisanottu, voi itse omilla toimenpiteillään vaikuttaa siihen, että hänen luottamuksellisen sähköpostiviestinsä suoja toteutuu esimerkiksi poistamalla tällaiset viestit.

Työsuhteen aikana työnantajan edustajalla oli ollut työntekijän suostumus käyttää tämän työsähköpostiosoitetta työtehtävien hoitamista varten tämän poissa ollessa. Työsuhteen päättymisen yhteydessä, tai sen jälkeen, työntekijä ei kuitenkaan ollut antanut erillistä suostumusta hänen työsähköpostiosoitteensa käyttöön. Korkein oikeus katsoikin, että työntekijän työsähköpostiosoitetta oli hänen työsuhteensa päättymisen jälkeen käytetty luvatta pitämällä sitä auki ilman työntekijän antamaa suostumusta. Korkein oikeus totesi, että viestintäsalaisuuden loukkauksen tunnusmerkistön täyttymiseen riittää tiedon hankkiminen ulkopuoliselta suojatusta viestistä silloin, kun suojaus murretaan. Sähköisen viestin avaaminen ei ole tunnusmerkistön täyttymisen edellytys, vaan riittävää on lähettäjää tai vastaanottajaa taikka viestin otsikkoa koskevan tiedon hankkiminen. Syytteessä kuvattu menettely täytti siten viestintäsalaisuuden rikkomisen tunnusmerkistön.

Työnantajan edustajan vastuu

Jo hovioikeus katsoi, että välittömänä tekijänä toiminut yhtiön toinen työntekijä oli voinut pitää ko. työntekijän sähköpostin seurantaa työvelvollisuuksiinsa kuuluvana ja siten omasta näkökulmastaan oikeutettuna, kun otetaan huomioon työnantajan edustajan esihenkilönä antamat ohjeet sähköpostin seurannasta ja tältä osin työpaikalla yleisesti käytössä ollut menettelytapa. Työpaikalla noudatettu menettely voi poistaa mahdollisen välittömän tekijän rikosvastuun siinä tapauksessa, että kysymyksessä olevalla työntekijällä onperusteltu syy uskoa työntekijän antaneen luvan sähköpostinsa seuraamiseen myös hänen työsuhteensa päättymisen jälkeen. Kun asiassa ei ollut kuultu työntekijän sähköpostia seuranneita muita työntekijöitä, heidän mahdollisen rikosvastuunsa toteutumisen arviointiin ei ollut edellytyksiä, eikä työnantajan edustajan voitu täten katsoa toimineen välillisenä tekijänä.

Korkein oikeus totesi, että syytteen teonkuvauksen perusteella työnantajan edustajan menettelyä oli luontevinta arvioida varsinaisena tekemisenä. Hän oli työnantajan edustajana antanut työntekijöille kehotuksen työntekijän sähköpostin auki pitämisestä tarkoituksena seurata siellä tapahtuvaa sähköpostiliikennettä. Työntekijät olivatkin sen jälkeen hankkineet tiedon sähköpostiosoitteen viesteistä. Korkein oikeus katsoi, että työnantajan edustajan tekijävastuun täyttymiseksi riitti se, että hänen menettelynsä seurauksena työntekijän työsähköpostiosoitetta oli pidetty auki ja sitä kautta saatu tieto sähköpostiosoitteen viesteistä. Työnantajan edustaja oli siten käyttänyt työntekijän työsähköpostiosoitetta luvatta ja hankkinut tiedon sähköpostissa olleista viesteistä.

Yhteenveto

Mikäli työntekijän työsähköpostia ei suljeta hänen työsuhteensa päättymisen yhteydessä, työnantajan on syytä joko i) varmistaa, että työntekijä on asettanut työsähköpostiinsa automaattisen vastauksen, joka ilmoittaa viestin lähettäjälle, ettei työntekijä ole enää yhtiön palveluksessa, sekä sisältää tiedon henkilöstä, johon viestin lähettäjä voi olla yhteydessä, tai ii) hankkia työntekijän suostumus siihen, että työntekijän valitsema, työnantajan tehtävään hyväksymä, toinen henkilö voi työntekijän työsuhteen päättymisen jälkeen ottaa vastaan työntekijälle lähetettyjä viestejä sen selvittämiseksi, onko työntekijälle lähetetty sellainen viesti, joka on selvästi tarkoitettu työnantajalle työtehtävien hoitamiseksi ja josta työnantajan on toimintansa tai työtehtävien asianmukaisen järjestämisen vuoksi välttämätöntä saada tieto.

Lisätietoja ratkaisusta antaa:

Toni Haapasalo

Counsel

toni.haapasalo@iconics.fi

+358 44 033 0331

Google Analyticsin käyttö laitonta

Useat eurooppalaiset tietosuojaviranomaiset, viimeisimpänä Ranskan tietosuojaviranomainen CNIL, ovat katsoneet Google Analyticsin käytön rikkovan Euroopan unionin yleistä tietosuoja-asetusta (GDPR). Google käsittelee Yhdysvalloissa IP-osoitteita ja muita tunnisteita, jotka voidaan katsoa henkilötiedoiksi. Koska Yhdysvallat on maa, jossa ei ole eurooppalaisittain ajateltuna riittävää tietosuojan tasoa, eikä Google ole ottanut käyttöön riittäviä lisäsuojatoimia, ovat tietojensiirrot ja siten myös Google Analyticsin käyttö katsottu laittomaksi. Myös Suomen tietosuojavaltuutettu on uutisoinut asiasta.

Google Analytics lienee maailman käytetyin verkkoanalytiikkatyökalu, joten ratkaisut aiheuttavat päänvaivaa monelle. Ratkaisuksi on esitetty muun muassa IP-osoitteen anonymisointia. Valitettavasti se ei kuitenkaan tee Google Analyticsin käyttöä riskittömäksi, sillä anonymisointi tapahtuu vasta sen jälkeen, kun IP-osoite on ensin siirtynyt kokonaisena Googlelle. IP-osoitteen anonymisointi ei myöskään tee datasta anonyymia, jos mukana on muita tunnisteita, joilla voidaan yksilöidä luonnollinen henkilö.

Vaikka toimenpide ei riskejä poistaisikaan, niin kaikki yksityisyydensuojaa parantavat asetukset on syytä ottaa käyttöön, jos Google Analyticsin käyttöä aikoo jatkaa. Näitä ovat IP-anonymisoinnin lisäksi muun muassa:

• varmistus siitä, ettei Googlelle sen ehtojen vastaisesti lähetetä tietoja, joilla käyttäjä voidaan henkilökohtaisesti tunnistaa (personally identifiable information, "PII");

• asianmukaisen evästesuostumustyökalun käyttöönotto ja evästeiden asettaminen vasta sen jälkeen, kun käyttäjän suostumus on saatu;

• uusimman tietojenkäsittelysopimuksen hyväksyminen vakiosopimuslausekkeineen (sopijakumppanina Google Ireland Limited yhdysvaltalaisen Google LLC:n sijaan); ja

• asetetut rajoitukset tiedon jakamiseen (esim. data sharing -asetus pois päältä).

On myös hyvä harkita teknisesti mutkikkaampia toimenpiteitä, kuten ns. server side taggingiä, jossa lähetetään ensin data sivuston palvelimelle ja vasta sen jälkeen Google Analyticsille, mahdollistaen se, että voidaan kontrolloida Googlelle lähetettävää tietoa, esimerkiksi poistaa IP-osoitteet.

Kyse muustakin kuin Google Analyticsista

Google Analyticsiin liittyvät päätökset ovat jatkoa ns. Schrems II -ratkaisulle, jossa Euroopan unionin tuomioistuin kumosi EU:n ja USA:n välisen henkilötietojen tiedonsiirtomekanismin, ns. Privacy Shieldin, ja kyseenalaisti henkilötietojen siirrot Yhdysvaltoihin sen johdosta, että maan tiedusteluviranomaisilla on paikallisen lainsäädännön nojalla hyvin laajat tiedonsaantioikeudet. Olemme kertoneet ratkaisusta aiemmissa kirjoituksissamme, seuranneet viranomaisten suosituksia tiedonsiirtoihin liittyen sekä avustaneet asiakkaitamme uusien vakiosopimuslausekkeiden käyttöönotossa.

Käytännön havaintomme kuitenkin on se, että tiedonsiirrot ja niiden arviointi koetaan yrityksissä hyvin hankaliksi ja toimenpiteet ovat jääneet ainakin osin toteuttamatta. Tätä havaintoa vahvistaa se, että esimerkiksi juuri Google Analytics on edelleen laajalti käytössä, vaikka jo syksyn 2020 viranomaissuositukset puhuivat sitä vastaan, että dataa käsiteltäisiin selkokielisenä Yhdysvalloissa. Syitä toimenpiteiden puuttumisille on varmasti lukuisia – ei vähäisimpänä se, että yritykset kokevat, että transatlanttisiin tietovirtoihin tulisi löytää ratkaisu valtioiden, ei yritysten välillä. Tätä hakee myös Google.

Kansainvälisten tiedonsiirtojen arvioinnilta ei voi välttyä

Koettiinpa kansainväliset tiedonsiirrot kuinka hankaliksi tahansa, vain hyvin harva yritys voi välttyä niiden analysoinnilta. Google Analyticsin lisäksi lähes kaikki käyttävät jonkinlaista pilvipalvelua esimerkiksi sähköpostia tai asiakirjojen tallentamista varten. Näiden käyttö tyypillisesti johtaa siihen, että tietoihin voi olla pääsy EU/ETA-alueen ulkopuolelta, vaikka asiakas olisikin valinnut palvelinkeskuksen Euroopasta. Näin ollen lähes kaikkien yritysten tulee kartoittaa ja dokumentoida kansainväliset tietovirrat, ottaa käyttöön uudet vakiosopimuslausekkeet ja tarvittaessa täydentää niitä lisäsuojakeinoilla sekä dokumentoida tiedonsiirtoihin liittyvät riskiarviot. Jos arviossa päädytään siihen, ettei vakiosopimuslausekkeet ja mahdolliset täydentävät suojakeinot ole riittäviä, tiedonsiirrot tulisi lopettaa.

Esimerkiksi Google Analyticsia koskevassa riskiarviossa kannattaa muun muassa:

• dokumentoida tehdyt toimenpiteet (ks. ensimmäinen kohta);

• verrata omaa toimintaa ratkaisuiden kohteena olevien verkkosivustojen toimintaan (ratkaisuiden kohteena olleet sivustot eivät kaikilta osin olleet toteuttaneet ensimmäisen kohdan toimenpiteitä); ja

• arvioida, mikä painoarvo on esimerkiksi sillä, että Googlen ilmoituksen mukaan Yhdysvaltain tiedusteluviranomaiset eivät koskaan ole esittäneet Google Analyticsia koskevia tietopyyntöjä.

Realismia on, että kaikki eivät lopeta tiedonsiirtoja Yhdysvaltoihin, vaikka riskiarvio antaisi siihen aihetta. Vaikka yritys lopulta päättäisi jättää esimerkiksi Google Analyticsin käyttöön, niin edellä mainittuja toimenpiteitä, eli teknisiä ja sopimuksellisia muutoksia sekä riskiarvion dokumentointia, tekemällä voi täyttää tietosuoja-asetuksen osoitusvelvollisuutta ja jäädä hieman rauhallisemmin katsomaan, miten ratkaisu- ja markkinakäytäntö sekä Googlen lisäkontrollit kehittyvät.

Nyt, tuumasta toimeen. Apua ja lisätietoja saat:

Anna Paimela

Osakas

anna.paimela@iconics.fi

+358401648626

LinkedIn

Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Iconicsin uutiskirje täältä.