Biometrinen tunnistaminen työelämässä : Euroopan unionin yleisen tietosuoja-asetuksen rajoitukset ja edellytykset

Biometrinen tunnistaminen, ihmisen automatisoitu tunnistaminen fyysisen tai fysiologisen ominaispiirteen avulla, on viime vuosina yleistynyt myös työelämässä. Kyseessä on teknologia, joka voi aiheuttaa merkittäviä riskejä henkilötietojen suojan kannalta. Euroopan unionin yleinen tietosuoja-asetus (”tietosuoja-asetus”) vaikuttaa olennaisesti biometrisen tunnistamisen käytön edellytyksiin työelämässä luokittelemalla biometriset tiedot tunnistamistarkoituksessa erityisiin henkilötietoryhmiin kuuluviksi. Tutkielman tutkimuskysymys on seuraava: ”Mitkä ovat edellytykset biometrisen tunnistamisen käyttöön työelämässä, jotta se olisi tietosuojalainsäädännön näkökulmasta hyväksyttävää?”, ja tarkentavana lisäkysymyksenä on seuraava ”Mikä tietosuoja-artiklan 9 artiklan 2 kohdan poikkeusperusteista todennäköisimmin soveltuu biometrisen tunnistamisen käyttöön työelämän kontekstissa, ja millä edellytyksin?”. Koska biometriset tiedot tunnistamistarkoituksessa kuuluvat tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin, koskevat niitä tiukemmat vaatimukset kuin ”tavallisten” henkilötietojen käsittelyä. Jotta biometrisen tunnistamisen käyttö työelämässä on ylipäätään mahdollista, on jonkin 9 artiklan 2 kohdan poikkeusperusteista sovelluttava. Koska Suomessa ei työlainsäädännössä erikseen säädetä biometrisen tunnistamisen käytöstä työelämässä, jää ”tavanomaisen” työsuhteen kontekstissa ainoaksi mahdolliseksi poikkeusperusteeksi rekisteröidyn nimenomainen suostumus. Suostumuksen asema työsuhteen kontekstissa on lähtökohtaisesti heikko työntekijän työnantajalle alisteisen aseman vuoksi, minkä takia sen käyttöä tulisi välttää. Suostumusta voidaan kuitenkin käyttää, kun mikään muu käsittelyn oikeusperusta tai poikkeusperuste erityisten henkilötietoryhmien käsittelylle ei sovellu, edellyttäen, että suostumuksen pätevyyden edellytykset täyttyvät. Näistä ongelmallisimmaksi työsuhteen kontekstissa nousee suostumuksen vapaaehtoisuus. Jotta suostumus biometriseen tunnistamiseen voidaan nähdä vapaaehtoisena, tulee työnantajan tarjota käytettäväksi vaihtoehtoinen tunnistamismenetelmä, jotta työntekijällä on todellinen mahdollisuus valita, suostuuko tämä biometrisen tunnistamisen käyttöön vai ei. Toinen keskeinen vaatimus pätevälle suostumukselle on riittävien tietojen antaminen rekisteröidylle – vaatimus, jonka merkitys korostuu nimenomaisen suostumuksen tapauksessa. Riittävien tietojen antamista edellyttää suostumuksen ohella myös erityisesti tietosuoja-asetuksen 5 artiklassa säädetty henkilötietojen käsittelyn lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaate. Työnantajan onkin erityisen tärkeätä varmistaa, että työntekijä saa riittävät tiedot biometrisen tunnistamisen käytöstä, mukaan lukien siihen liittyvistä riskeistä, ennen suostumuksen antamista. Biometristä tunnistamista käyttöönotettaessa työnantajan tulee lähtökohtaisesti tehdä tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi, ja tämän osana suunnitella toimenpiteet käsittelyn riskien hallitsemiseksi. Vaikutustenarvioinnissa työnantajan on arvioitava, onko biometrinen tunnistaminen tarpeellista ja oikeasuhtaista, ottaen huomioon tietyn käyttötapauksen yksityiskohdat – ja tämän perusteella päättää, tarjotaanko mahdollisuutta biometriseen tunnistamiseen vai ei. Huomionarvoista on, että mikäli biometriseen tunnistamiseen päädytään, johtaa rekisteröidyn nimenomaisen suostumuksen vaatimus siihen, että työntekijällä itsellään on viimekädessä mahdollisuus arvioida, kokeeko hän biometrisen tunnistamisen tarpeelliseksi ja oikeasuhtaiseksi. Biometrisen tunnistamisen riskien hallitsemiseksi on tutkielmassa tunnistettu tiettyjä toimia, joista työnantajan tulee biometristä tunnistamista käyttöönotettaessa huolehtia. Biometrisen järjestelmän toimintaperiaatteen osalta tulisi pyrkiä todentamiseen identifioinnin sijaan, jolloin myös paikallisen tallennuspaikan käyttäminen mahdollistetaan. Tallennuspaikkojen osalta tulisikin suosia paikallisia tallennuspaikkoja keskitettyjen tietokantojen sijaan, ja tallentaa tulisi mallinne varsinaisen biometrisen tunnisteen sijaan. Järjestelmän vaatimustenmäärittely tulee tehdä huolella, ja hyödyntää tietoturva-asiantuntijoita riittävien tietoturvatoimenpiteiden suunnittelussa. Suuntaa-antavana ohjeistuksena voitaisiin hyödyntää Ranskan tietosuojavaltuutetun CNIL:n mallisääntöjä biometrisen tunnistamisen käytöstä työelämässä. Biometrisen tunnistamisen käyttöön työelämässä liittyy tällä hetkellä kuitenkin oikeusvarmuuden kannalta tiettyä epävarmuutta johtuen juuri suostumuksen käytön lähtökohtaisesta heikkoudesta työsuhteen kontekstissa. Tilanne biometristä tunnistamista työelämässä koskevan erityislainsäädännön puuttuessa ei ole ideaali, ja toivottavaa olisikin, että Suomessa tultaisiin säätämään biometrisestä tunnistamisesta työelämässä esimerkiksi Ranskan mallin mukaisesti. Biometristä tunnistamisen käyttö työelämässä tulee tuskin ainakaan vähenemään tulevaisuudessa alati kehittyvän, myös biometristä tunnistamista hyödyntävän teknologian myötä. Tämän vuoksi olisi tärkeätä, että aihetta säänneltäisiin tarkemmin, ja työnantajien olisi näin helpompaa varmistua vaatimustenmukaisuudestaan. Myös rekisteröidyn näkökulmasta olisi toivottavaa, että biometristä tunnistamista työelämässä koskisivat selkeät säännökset, joita työnantajat tulkitsisivat yhdenmukaisesti.