Työntekijän sairauspoissaolon käsittely ei anna työnantajalle yleistä oikeutta kerätä tai jakaa terveystietoja. Suomessa tarkoitusta, tietolähdettä, käsittelijöitä ja säilyttämistä rajoittaa erityisesti työelämän tietosuojalain 5 §. Käytännön tehtävä on erottaa toisistaan poissaolon järjestely, sairausajan palkkaa koskeva päätös, lääkärintodistus ja työterveyshuollon potilastiedot.
Jos työntekijä haluaa tarkastaa tai korjata työterveyshuollon potilasmerkinnän, käytä potilastietojen tarkastus- ja korjauspyynnön menettelyä. Hoitomerkinnän korjaaminen ja työnantajan poissaolotiedon oikaisu ovat eri tehtäviä.
Tässä oppaassa kuvitteellinen Rantahuolto Oy rakentaa sairauspoissaolon vastaanotto- ja säilytysmenettelyn. Täytetty pääsymatriisi ja poistamispäätökset näyttävät, miten samaan poissaoloon liittyvät tiedot rajataan eri tehtäviin. Esimerkki ei ota kantaa minkään todellisen työntekijän sairauteen eikä määritä kaikille työnantajille yhteistä säilytysaikaa.
1. Tunnista terveystieto myös ilman diagnoosikoodia
Terveystieto voi ilmetä lääkärintodistuksesta, diagnoosista, työkykyä koskevasta arviosta tai tiedosta, joka muuten paljastaa henkilön terveydentilan. Diagnoosin poistaminen ei välttämättä muuta sairauspoissaoloksi merkittyä tietoa tavalliseksi läsnäolotiedoksi. Luokittelu tehdään sisällön ja asiayhteyden perusteella.
GDPR:n 9 artikla koskee erityisiä henkilötietoryhmiä. Työnantajan on tunnistettava sekä soveltuva 6 artiklan käsittelyperuste että 9 artiklan poikkeus. Työsuhteen velvoitteisiin liittyvässä käsittelyssä arvioidaan muun muassa 9 artiklan 2 kohdan b alakohtaa ja sitä täsmentävää kansallista lainsäädäntöä; pelkkä yleinen oikeutettu etu ei riitä ohittamaan terveystietojen käsittelykieltoa.
Tieto ”ei käytettävissä tiistaina” voi palvella työvuoron järjestämistä ilman poissaolon terveydellistä syytä. Toisaalta sama merkintä yhdessä näkyvän lääkärikäynnin selityksen kanssa voi paljastaa enemmän. Siksi suojausta ei ratkaista vain yhden sarakkeen nimellä, vaan tarkastamalla vastaanottajan koko näkymä.
2. Tarkista 5 §:n tarkoitus ja tietojen alkuperä
Lain yksityisyyden suojasta työelämässä 5 § sallii terveydentilatietojen käsittelyä, kun tiedot on saatu työntekijältä itseltään tai hänen kirjallisella suostumuksellaan muualta ja käsittely on tarpeen säännöksessä mainittuun tarkoitukseen. Tarkoituksia ovat sairausajan palkan tai siihen rinnastettavien terveydentilaan liittyvien etuuksien suorittaminen sekä sen selvittäminen, onko työstä poissaoloon perusteltu syy.
Säännös kattaa myös tilanteen, jossa työntekijä nimenomaisesti haluaa työkykyisyyttään selvitettävän terveydentilatietojen perusteella. Lisäksi tietoja voidaan käsitellä muualla laissa erikseen säädetyissä tilanteissa ja siinä laajuudessa. Tämä viimeinen kohta edellyttää oikean erityissäännöksen tunnistamista, eikä ole avoin lupa HR:n hyödylliseksi katsomalle analyysille.
Työelämän tarpeellisuusvaatimus rajaa myös tässä käsiteltävää sisältöä. Kirjallinen suostumus toisesta lähteestä keräämiseen ei oikeuta pyytämään koko potilaskertomusta, jos päätöksen tekemiseen riittää rajattu todistus. Korjaa päätösmalliin aina konkreettinen tarkoitus, tarvittava tieto ja sallittu lähde.
3. Sovi vastaanottokanava ennen ensimmäistä todistusta
Rantahuollossa työntekijä ilmoittaa poissaolosta sovitulla tavalla esihenkilölle ja toimittaa tarvittavan todistuksen erilliseen suojattuun kanavaan. Työntekijälle kerrotaan, kuka käsittelee todistuksen ja mihin sitä käytetään. Yhteisen tiimikeskustelun tai kaikkien esihenkilöiden postilistan ei pidä toimia lääkärintodistusten vastaanottopaikkana.
Yritys määrittelee vastaanottavan henkilöstökoordinaattorin ja tämän sijaisen. Jos koordinaattori on poissa, sijainen saa rajatun oikeuden tehtävän hoitamiseksi. Pelkkä poissaolon aiheuttama kiire ei oikeuta avaamaan aineistoa koko henkilöstöosastolle. Toimiva sijaisuus vähentää tarvetta kopioida todistuksia hallitsemattomasti.
Todistuksen tarve ja sisältö voivat riippua soveltuvista työoikeudellisista säännöistä ja työehtosopimuksesta. Tästä oppaasta ei seuraa, että jokainen lyhyt poissaolo vaatisi lääkärintodistuksen tai että työnantajan olisi aina saatava diagnoosi. Selvitä ensin ratkaistavan palkka- tai poissaoloasian edellyttämät tiedot ja rajoita pyyntö niihin.
4. Nimeä käsittelijät tehtävän perusteella
Lain 5 §:n mukaan terveystietoja saavat käsitellä vain henkilöt, jotka niiden perusteella valmistelevat tai tekevät työsuhdetta koskevia päätöksiä taikka panevat niitä toimeen. Työnantajan on nimettävä henkilöt tai määriteltävä tällaiset tehtävät. Tietoja käsittelevät eivät saa ilmaista niitä sivullisille työsuhteen aikana tai sen päätyttyä.
Käyttöoikeus ei synny automaattisesti asemasta ”esihenkilö”, ”HR” tai ”palkanlaskija”. Toisaalta myöskään näiden ryhmien ehdoton sulkeminen pois kaikissa tilanteissa ei vastaa tehtäväperusteista sääntöä. Arvioi, kuka todella tarvitsee kyseisen tiedon päätöksen valmisteluun, tekemiseen tai toimeenpanoon ja kuinka laajana.
| Rantahuollon tehtävä | Tarvittava näkymä esimerkissä | Rajaus |
|---|---|---|
| Työvuorosuunnittelija | Poissaolon ajanjakso ja sovitut työjärjestelyt | Ei diagnoosia eikä todistusliitettä |
| Nimetty henkilöstökoordinaattori | Rajattu todistus poissaolon perusteen ja palkka-asian valmisteluun | Pääsy vain omaan tehtävään liittyviin tapauksiin |
| Päätöksen tekevä nimetty vastuuhenkilö | Päätökselle välttämätön selvitys | Ei koko työntekijän terveyshistoriaa |
| Palkanlaskenta | Päätetty palkallinen jakso ja toimeenpanon tarpeelliset tiedot | Todistus vain, jos sen käsittely kuuluu tosiasiallisesti määriteltyyn tehtävään |
| Tavallinen tiimin jäsen | Työn järjestämisen kannalta tarpeellinen tieto poissaolosta | Ei terveydellistä perustetta |
| Järjestelmän ylläpito | Tekninen ylläpitotehtävä rajatuilla oikeuksilla | Ei oikeutta käyttää sisältöä HR-arviointiin |
Matriisi on organisaation esimerkkiratkaisu. Se ei julista kaikkien esihenkilöiden tai palkanlaskijoiden oikeuksia samoiksi. Oikeuksien toimivuus tarkistetaan järjestelmässä myös raporttien, hakutoimintojen, varahenkilöiden ja vientitiedostojen osalta.
5. Säilytä terveystiedot erillään
Työnantajan hallussa olevat terveydentilatiedot on lain mukaan säilytettävä erillään muista kerätyistä henkilötiedoista. Sähköisessä ympäristössä arvioidaan, toteuttaako järjestely todellisen erottelun ja rajatun pääsyn. Pelkkä kansio nimeltä ”salainen”, johon kaikilla henkilöstöhallinnon käyttäjillä on pääsy, ei ratkaise asiaa.
Rantahuolto tallentaa todistuksen erilliseen suojattuun aineistoon. Tavallinen henkilöstönäkymä sisältää vain siinä tarkoituksessa tarpeellisen käsittelytilan ja poissaolotiedon. Todistuksen diagnoosia ei kopioida kalenterin otsikkoon, työvuorolistan kommenttiin tai yleiseen asiakkuusjärjestelmään. Myös sähköpostin esikatselu ja ilmoitusviestit tarkistetaan.
Henkilötietojen salaus ja avainten hallinta voivat suojata aineistoa, mutta salaus ei itsessään korjaa liian laajoja käyttöoikeuksia. Tietoturvalokitus puolestaan auttaa havaitsemaan poikkeavia käyttöjä. Lokin ei tarvitse toistaa lääkärintodistuksen sisältöä osoittaakseen, kuka avasi asiakirjan ja milloin.
6. Viiden vuoden tarkistus ei ole säilytyslupa
Lain 5 § edellyttää terveydentilatietojen poistamista välittömästi, kun käsittelylle ei enää ole sen 1 momentissa tarkoitettua perustetta. Lisäksi perustetta ja tarvetta arvioidaan vähintään viiden vuoden välein. Tästä ei seuraa viiden vuoden vähimmäissäilytysaikaa eikä automaattista oikeutta pitää jokainen todistus viisi vuotta.
Säilytyspäätös tehdään tiedon tarkoituksen ja soveltuvien säännösten perusteella. Palkanmaksun kirjanpidollinen merkintä, poissaolon perusteen todentaminen ja lääkärintodistuksen koko sisältö eivät välttämättä tarvitse samaa aikaa. Työnantajan on erotettava, mitä tietoa mahdollinen muu velvoite todella edellyttää.
Rantahuollon päätösmalli kysyy jokaiselta aineistolta: mikä 5 §:ssä tarkoitettu peruste on edelleen olemassa, mitä tietoja se tarvitsee ja milloin päättyminen tarkistetaan? Jos konkreettinen riita edellyttää tietyn asiakirjan säilyttämistä, siihen sovellettava oikeusperusta ja tarpeellinen laajuus selvitetään erikseen. Pelkkä mahdollisuus, että joskus syntyy jokin erimielisyys, ei ole rajaton säilytyssääntö.
7. Täytetty säilytys- ja poistamispäätös
Esimerkin henkilöstökoordinaattori käy läpi kolme aineistoa. Päivämäärät havainnollistavat organisaation omaa työjärjestystä, eivät laissa määrättyjä yleisiä määräaikoja.
| Aineisto ja tilanne | Todettu peruste | Päätös esimerkissä |
|---|---|---|
| Todistuksen ylimääräinen sähköpostikopio | Oikea asiakirja on jo vastaanotettu suojattuun aineistoon; kopiolle ei ole erillistä tarvetta | Poistetaan vastaanottajan postilaatikosta sovitulla hallitulla tavalla |
| Suljetun vanhan poissaoloasian todistus | Vastuuhenkilö toteaa, ettei 5 §:n 1 momentin mukaista perustetta enää ole | Poistetaan välittömästi; päätöksestä jää suppea toteutusmerkintä |
| Keskeneräiseen sairausajan palkkaratkaisuun tarvittava todistus | Rajattu palkka-asia on yhä ratkaisematta | Säilytetään suojattuna; asian päättyminen käynnistää uuden arvion |
Taulukko ei saa jäädä poistolupien odotuslistaksi. Kun peruste on päättynyt, toimeenpano on osa velvoitetta. Jos tekninen poistaminen epäonnistuu, virhe korjataan eikä tietoa palauteta tavalliseen käyttöön. Säilytyksen rajoittamisen käytännöt auttavat yhdistämään päätöksen järjestelmien toteutukseen.
Myös varmuuskopiot ja siirretyt arkistot kartoitetaan. Varmuuskopioita ei käytetä aktiivisena HR-tietolähteenä, ja palautustilanteessa huolehditaan siitä, etteivät jo poistetut tiedot palaudu perusteettomasti käyttöön. Mahdollinen viive ja sen suojatoimet tarvitsevat dokumentoidun teknisen ja oikeudellisen arvion.
8. Työterveyshuolto on eri tiedonkäsittely-ympäristö
Työnantajan oikeus käsitellä tiettyä lääkärintodistusta ei anna pääsyä työterveyshuollon potilasrekisteriin. Terveydenhuollon ammattilaiset ja palvelunantaja käsittelevät potilastietoja omien tehtäviensä ja sääntöjensä mukaisesti. Palvelun ostaminen tai laskun maksaminen ei tee kaikista potilastiedoista työnantajan käytettävissä olevia.
Lain 5 §:n 3 momentti sisältää rajatun säännön: työntekijän työnantajalle luovuttama työkykyä koskeva lääkärintodistus tai lausunto voidaan luovuttaa työterveyshuollon palvelujen tuottajalle työterveyshuoltolain mukaisten tehtävien toteuttamiseksi, jollei työntekijä ole kieltänyt luovutusta. Tämä ei ole yleinen kaksisuuntainen lupa vaihtaa kaikki terveystiedot.
Rantahuolto kertoo tästä menettelystä työntekijöille ja järjestää kiellon huomioon ottamisen ennen luovutusta. Vastaanottaja, tarkoitus ja luovutettava asiakirja varmistetaan. Jos työntekijä pyytää työterveyshuollon potilastietojensa tarkastamista, hänet ohjataan oikealle rekisterinpitäjälle; työnantaja ei hae potilasasiakirjoja omaksi kopiokseen pyynnön välittämistä varten.
9. Raportointi, virhetilanteet ja työntekijän oikeudet
Johto voi tarvita tietoa poissaolojen määrästä työn järjestämiseksi. Raportti ei siksi automaattisesti tarvitse nimettyjä diagnooseja tai yksityiskohtaista yksilöhistoriaa. Pienen tiimin kooste voi silti paljastaa henkilön, vaikka nimi on poistettu. Anonymisoinnin arviointi tehdään ennen kuin aineistoa pidetään vapaasti jaettavana tilastona.
Virheellinen poissaolomerkintä korjataan niissä järjestelmissä ja näkymissä, joissa sillä on merkitystä. Työntekijän tarkastusoikeutta koskeva pyyntö käsitellään asianmukaisesti, ja henkilöllisyys varmistetaan tarpeen mukaan. Todistuksia ei palauteta suojaamattomana liitteenä väärään tai vahvistamattomaan osoitteeseen.
Jos todistus on päätynyt väärälle vastaanottajalle, organisaatio rajoittaa vahinkoa ja arvioi tapahtuman henkilötietojen tietoturvaloukkauksena. Ilmoitusvelvollisuus viranomaiselle ja työntekijälle ratkaistaan GDPR:n riskikynnysten perusteella; jokainen terveystiedon käsittelyvirhe ei automaattisesti johda samaan ilmoitusratkaisuun. Menettely kuvataan tietoturvaloukkausten käsittelyprosessissa.
Muutosneuvottelu tai työsuhteen päättyminen ei avaa aineistoa
Organisaation muutos voi synnyttää uuden henkilöstöpäätöksen, mutta aiemmin kerätty terveystieto ei siirry automaattisesti uuteen tarkoitukseen. Päätöksentekijän on arvioitava, saako juuri kyseistä tietoa käyttää suunnitellussa asiassa ja ketkä tarvitsevat sen. Yleinen tavoite vähentää kustannuksia ei oikeuta muodostamaan diagnooseihin perustuvaa työntekijöiden vertailulistaa.
Rantahuollon esimerkissä uusi esihenkilö tarvitsee tiedon sovituista käytännön työjärjestelyistä. Hän ei saa edeltäjänsä koko terveysasiakirjakansiota varmuuden vuoksi. Henkilöstökoordinaattori erottaa voimassa olevat tarpeelliset järjestelyt vanhoista todistuksista ja tarkistaa mahdollisen tietojen luovuttamisen edellytykset. Keskustelussa vältetään diagnoosin toistamista, jos tehtävä voidaan hoitaa tiedolla hyväksytystä työjärjestelystä.
Työsuhteen päättyessä käsittelytarve arvioidaan aineistoryhmittäin. Tietoihin liittyvä salassapitovelvollisuus ei lakkaa, eikä entisen työntekijän todistuksia saa käyttää uuden työnantajan yleiseen tiedusteluun. Toisaalta päättyminen ei yksin ratkaise jokaista keskeneräistä palkka-asiaa. Mahdollisesti jatkuva peruste kirjataan rajattuna, ja sen päättymistä seurataan.
Jos organisaatio vaihtaa henkilöstöjärjestelmää, vanhan aineiston siirto on oma tarkistuspisteensä. Tarpeettomaksi todettua todistusta ei tarvitse kopioida uuteen palveluun vain siksi, että tekninen migraatio mahdollistaa sen. Vastaanottavan järjestelmän oikeudet, aineiston erottelu ja poistamisen toiminta varmistetaan ennen todellisten asiakirjojen tuontia.
10. Tarkista menettely käytännössä
Ennen käyttöönottoa Rantahuolto lähettää täysin kuvitteellisen todistuksen harjoitusympäristössä. Se tarkistaa vastaanottajan, sijaisen, päätöksentekijän ja tavallisen työvuoronäkymän. Yhdenkään näkymän ei pidä näyttää enemmän kuin matriisissa on hyväksytty. Tarkistus kattaa myös mobiilin ilmoitukset ja automaattiset sähköpostit.
Vastuuhenkilö kirjaa havaitut puutteet ja niiden korjaukset ilman harjoitustodistuksen tarpeetonta levittämistä. Oikeudet tarkistetaan uudelleen tehtävien muuttuessa ja työntekijän poistuessa käsittelijän roolista. Menettelyn toimivuuden osoittaa se, että oikea henkilö voi tehdä tarpeellisen päätöksen ja muut saavat vain oman tehtävänsä tarvitsemat tiedot.
Kun työntekijä pyytää selvitystä terveystietojensa käsittelystä, Rantahuolto ohjaa pyynnön nimettyyn kanavaan. Vastausta varten selvitetään työnantajan omat vastaanottajat, käyttötarkoitukset ja säilytysratkaisut. Työterveyshuollon potilasasiakirjoja ei haeta tätä varten automaattisesti työnantajalle. Jos pyyntö koskee molempien rekisterinpitäjien tietoja, työntekijälle kerrotaan ymmärrettävästi, mistä kummankin käsittelystä saa vastauksen. Näin käyttöoikeuksien erottelu säilyy myös oikeuksien toteuttamisen aikana eikä tarkastuspyynnöstä tule peruste uuden terveystietokopion keräämiselle.