Käytännön opas lailliseen tietojen käsittelyyn, arkaluonteisiin työntekijätietoihin, tietopyyntöihin, tietojen säilyttämiseen ja HR-palveluntarjoajien valintaan.
Henkilöstötietojen käsittelyyn tarvitaan selkeät säännöt: mitä tietoja kerätään, kuka niihin pääsee käsiksi ja milloin ne on poistettava. Aloita kunkin tietueen käyttötarkoituksesta sen sijaan, että luetteloisit tietoja, joista saattaa olla hyötyä jonain päivänä.
Tiedot tarkistettu 21. syyskuuta 2026. Myös kansalliset työlainsäädännön säännöt ja tietojen käsittelyn olosuhteet vaikuttavat asiaan.
Yhteystiedot, palkkatiedot, työajat ja suorituskykytiedot palvelevat eri tarkoituksia. Kirjaa kunkin luokan osalta käyttötarkoitus, henkilöt, joilla on oltava pääsy tietoihin, sekä sovellettavat säilytysajat. Henkilöstöhallintojärjestelmän tulisi auttaa sinua pitämään nämä erot selkeinä.
GDPR edellyttää tietojen minimointia. Työnantajuus ei anna yleistä lupaa kerätä työntekijän yksityisiä tietoja. Rikostuomioita ja rikkomuksia koskevia tietoja säännellään 10 artiklassa, erillään 9 artiklassa mainituista erityisluokista. GDPR, 5, 9 ja 10 artikla
Terveystiedot, ammattiliittojen jäsenyys ja yksilölliseen tunnistamiseen käytettävät biometriset tiedot vaativat erityistä huolellisuutta. Erityisluokan tietojen käsittelyssä on määritettävä sekä 6 artiklan mukainen oikeusperusta että sovellettava 9 artiklan mukainen ehto. 9 artiklan 2 kohdan b alakohdan mukainen työoikeudellinen välttämättömyys riippuu EU:n tai kansallisen lainsäädännön mukaisesta valtuutuksesta tai vaatimukset täyttävästä työehtosopimuksesta, johon sisältyy suojatoimenpiteitä. EDPB: laillinen käsittely ja arkaluonteiset tiedot
Sopimuksellinen välttämättömyys, lakisääteinen velvollisuus ja oikeutetut edut ovat yleisiä työsuhteissa, mutta asianmukainen oikeusperuste riippuu toiminnasta. Sopimuslauseke ei tee kaikesta siihen liittyvästä tietojen käytöstä välttämätöntä. Oikeutetut edut edellyttävät välttämättömyyden ja etujen tasapainon arviointia; seurantaan voi sovelleta lisävaatimuksia kansallisten sääntöjen nojalla.
Suostumus ei usein sovellu tilanteisiin, joissa työsuhde estää vapaan valinnan. Jos suostumusta käytetään, sen epäämisen ja peruuttamisen on oltava mahdollista ilman haitallisia seurauksia. Dokumentoi käsittelyn oikeusperusta ennen käsittelyn aloittamista. EDPB: oikeusperustat
Suoraan työntekijältä kerättyjen tietojen osalta 13 artikla edellyttää yleensä tietosuojailmoituksen antamista tietojen hankkimisen yhteydessä. Muualla hankitut tiedot kuuluvat 14 artiklan piiriin, jolla on omat aikataulunsa ja poikkeuksensa. Käsittele käyttötarkoitukset, oikeusperusteet, vastaanottajat, säilytysaika, siirrot tarvittaessa sekä sovellettavat oikeudet. Ilmoituksen vastaanottaminen ei tarkoita suostumusta kaikkiin siinä kuvattuihin toimiin. GDPR, 13 ja 14 artikla
Varmista, että ilmoitus on helppo löytää perehdytyksen jälkeen. Jos työntekijä kysyy tietojensa tietystä käyttötarkoituksesta, jonkun tulisi pystyä selittämään sanamuodon takana oleva todellinen prosessi.
Työntekijät voivat pyytää pääsyä tietoihinsa ja niiden oikaisua, ja heillä voi olosuhteista riippuen olla oikeus tietojen poistamiseen, käsittelyn rajoittamiseen, tietojen siirrettävyyteen tai vastustamiseen. Tietojen poistaminen ei ole ehdoton: lailliset säilytysvelvollisuudet ja oikeudelliset vaateet voivat oikeuttaa joidenkin tietojen säilyttämisen. Käsittelyn rajoittaminen ei myöskään tarkoita ehdotonta kieltoa säilytettyjen tietojen kaikelle käytölle.
Siirrettävyys koskee henkilön toimittamia tietoja, joita käsitellään automaattisesti suostumuksen tai sopimuksen perusteella. Se ei kata kaikkia henkilöstötietoja. Pyyntöihin on yleensä vastattava yhden kuukauden kuluessa; sallitusta määräajan pidentämisestä on ilmoitettava kyseisen ensimmäisen kuukauden aikana. Korjauksista, poistamisesta ja rajoituksista saattaa olla tarpeen ilmoittaa vastaanottajille, jollei 19 artiklan poikkeuksista muuta johdu. EDPB: yksilöiden oikeudet
Hyödyllinen sisäinen työnkulku on seuraava:
EU:ssa ei ole yhtä ainoaa säilytysaikataulua kaikille työntekijätiedoille. Palkkatiedoille, hakijatiedostoille ja työterveysrekistereille voi olla erilaisia vaatimuksia. Kirjaa kunkin säilytysjakson syy, milloin säilytysaika alkaa, mahdolliset rajoitetut arkistointivaiheet sekä mitä tapahtuu, kun säilytysaika päättyy.
Ranskan CNIL julkaisee ohjeita henkilöstötietojen säilyttämisestä, mutta sen maakohtaisia säilytysaikoja ei tule esittää EU:n laajuisina sääntöinä. Oikeudelliset säilytysvelvoitteet ja lakisääteiset säilytysajat voivat muuttua, kun tietojen poistaminen on aiheellista. CNIL: säilytysajat
Ohjelmiston oletusasetus on arvioitava, eikä se ole todiste siitä, että valittu ajanjakso on lainmukainen. Sisällytä prosessiisi vienti, liitetyt palvelut ja varmuuskopioiden käsittely.
Käsittelytoimintojen rekisteri kuvaa esimerkiksi palkanlaskentaa tai rekrytointia. Se ei tarkoita erillistä riviä jokaiselle uudelle työntekijälle. Älä oleta, että alle 250 työntekijän määrä poistaa velvoitteen: poikkeus on rajallinen, eikä jatkuva henkilöstöhallinnon käsittely ole satunnaista. EDPB: rekisterit ja vastuuvelvollisuus
Jos palveluntarjoaja käsittelee tietoja puolestasi, tarvitaan 28 artiklan mukainen tietojenkäsittelijäsopimus. Muut vastaanottajat voivat toimia itsenäisinä tai yhteisinä rekisterinpitäjinä, jolloin tarvitaan erillinen arviointi; kaikki tietojen luovutukset eivät merkitse tietojenkäsittelijäsuhdetta. GDPR, 26 ja 28 artikla
EEA:n ulkopuolelle suuntautuvien siirtojen osalta tarkista sovellettava riittävyyspäätös tai suojatoimenpiteet sekä palvelusopimus. Yrityksen rekisteröinti EU:ssa ja palvelimen sijainti eivät määritä tietovirtaa kokonaisuudessaan. EDPB: kansainväliset siirrot
PersoHR tarjoaa tietojen vientiä, poistoprosesseja ja tarkastuslokeja näiden prosessien tueksi. Organisaatiosi on kuitenkin vielä päätettävä, mitä sääntöjä sovelletaan, määritettävä palvelu niiden mukaisesti ja tarkistettava pyynnöt ennen niiden käsittelyä.
Kokeile PersoHR:ää ilmaiseksi 30 päivää. Ei luottokorttia tarvita.
Aloita 30 päivän ilmainen kokeilujakso