Kun julkaiset työpaikkailmoituksen, saat hakemuksia. Niissä on nimiä, puhelinnumeroita, työhistoriaa ja joskus todistuksia. Kaikki tämä on henkilötietoja, ja niiden käsittelyä koskevat samat säännöt pienessä ja isossa yrityksessä.
Hyvä uutinen: perusasiat eivät ole vaikeita. Tässä kirjoituksessa käymme läpi, kuka tiedoista vastaa, mitä hakijalta saa kysyä, kuinka kauan hakemuksia kannattaa säilyttää ja mitä oikeuksia hakijalla on.
Tämä on yleistä tietoa, ei lakineuvontaa. Jos tilanteesi on erityinen, kysy juristilta.
Kuka tiedoista vastaa?
Tietosuoja-asetuksessa (GDPR) on kaksi roolia, jotka kannattaa tuntea.
- Rekisterinpitäjä päättää, miksi ja miten tietoja käsitellään. Rekrytoinnissa se olet sinä, eli työnantaja.
- Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän puolesta. Se on esimerkiksi rekrytointityökalu, sähköpostipalvelu tai pilvitallennus, jota käytät.
Käytännössä tämä tarkoittaa, että vastuu on työnantajalla, vaikka tiedot olisivat jonkin palvelun palvelimella. Sinä päätät, mitä kysyt, kuka vastaukset näkee ja kuinka kauan niitä säilytetään.
Kun käytät palvelua, joka käsittelee hakijoiden tietoja puolestasi, teidän välillänne pitää olla sopimus henkilötietojen käsittelystä (GDPR 28 artikla). Usein se on osa palvelun käyttöehtoja. Tarkista, että sellainen on olemassa.
Esimerkiksi Pikahaastis on käsittelijä. Yritys valitsee kysymykset ja säilytysajan, ja Pikahaastis säilyttää tiedot ja poistaa ne valitun ajan jälkeen.
Kysy vain sitä, mitä työssä oikeasti tarvitaan
Suomessa työnhakijan tietojen käsittelystä säädetään myös laissa yksityisyyden suojasta työelämässä (759/2004). Laki koskee soveltuvin osin myös työnhakijoita.
Lain tärkein sääntö on tarpeellisuusvaatimus. Työnantaja saa käsitellä vain tietoja, jotka ovat välittömästi tarpeellisia työsuhteen kannalta. Tästä ei voi poiketa hakijan suostumuksella. Vaikka hakija kertoisi jotain vapaaehtoisesti, sinun ei pidä kysyä sitä, jos työ ei sitä vaadi.
Tietosuojavaltuutetun toimiston mukaan työnhaussa tarpeellisia ovat lähinnä tiedot, jotka kertovat hakijan pätevyydestä ja sopivuudesta juuri tähän tehtävään.
Hyviä kysymyksiä ovat esimerkiksi:
- Onko sinulla hygieniapassi, ajokortti tai muu työssä vaadittava kortti?
- Millaista kokemusta sinulla on vastaavista töistä?
- Milloin voit aloittaa?
- Sopivatko ilta- ja viikonloppuvuorot?
Älä kysy asioita, joilla ei ole merkitystä työn kannalta. Yhdenvertaisuuslaki kieltää syrjinnän esimerkiksi iän, alkuperän, kielen, uskonnon, perhesuhteiden, terveydentilan tai ammattiyhdistystoiminnan perusteella. Kysymykset perhesuunnitelmista tai terveydestä ovat siis huono idea, vaikka ne kysyttäisiin ystävällisesti.
Lisää esimerkkejä hyvistä ja kielletyistä kysymyksistä löydät oppaastamme Haastattelukysymykset.
Kerää tiedot hakijalta itseltään
Saman lain mukaan työnantajan pitää kerätä tiedot ensisijaisesti hakijalta itseltään. Jos haluat tietoja muualta, tarvitset hakijan suostumuksen.
Tämä koskee esimerkiksi suosittelijoita. Jos haluat soittaa hakijan entiselle työnantajalle, kysy ensin hakijalta lupa. Helpointa on kysyä suosittelijat suoraan hakijalta. Silloin hakija tietää, kenelle soitat.
Kerro hakijalle, mitä tiedoilla tehdään
Hakijalla on oikeus tietää, miten hänen tietojaan käsitellään. GDPR:n 13 artiklan mukaan sinun pitää kertoa se jo silloin, kun keräät tiedot.
Kerro ainakin nämä:
- kuka on rekisterinpitäjä ja miten sinuun saa yhteyden
- mihin tietoja käytetään (tämän paikan rekrytointiin)
- kuka tiedot näkee
- kuinka kauan tietoja säilytetään
- mitä oikeuksia hakijalla on
Tavallisesti nämä kootaan tietosuojaselosteeseen, johon linkitetään työpaikkailmoituksesta tai hakulomakkeesta. Selosteen ei tarvitse olla pitkä. Selkeä sivu on parempi kuin pitkä lakiteksti.
Kuinka kauan hakemuksia saa säilyttää?
Laissa ei ole yhtä tarkkaa säilytysaikaa hakemuksille. GDPR:n mukaan tietoja saa säilyttää vain niin kauan kuin niitä tarvitaan siihen tarkoitukseen, johon ne kerättiin.
Rekrytoinnissa säilytysaikaan vaikuttaa ennen kaikkea syrjintä. Hakija, joka kokee tulleensa syrjityksi, voi vaatia hyvitystä:
- Yhdenvertaisuuslain mukaan vaatimus on esitettävä vuoden kuluessa siitä, kun hakija sai tiedon valintapäätöksestä.
- Tasa-arvolain mukaan kanne on nostettava kahden vuoden kuluessa syrjinnästä. Tämä koskee 1.10.2026 alkaen myös työhönottoa. Aiemmin työhönotossa aika oli yksi vuosi.
Jos joudut selvittämään, miksi valitsit jonkun toisen, tarvitset hakemukset ja muistiinpanot. Siksi moni työnantaja säilyttää hakemukset noin kaksi vuotta rekrytoinnin päättymisestä. Tärkeintä on, että päätät säilytysajan etukäteen, kerrot sen hakijoille ja poistat tiedot, kun aika on kulunut.
Jos haluat säilyttää hyvän hakijan tiedot tulevia paikkoja varten, kysy siihen hakijalta lupa. Kerro samalla, kuinka kauan tietoja säilytetään.
Pikahaastiksessa valitset säilytysajan itse: 3, 6, 12 tai 24 kuukautta. Aika lasketaan rekryn päättymisestä, tai jatkuvassa haussa hakemuksen lähettämisestä. Sen jälkeen hakemukset poistuvat automaattisesti. Hakija näkee säilytysajan jo ennen kuin vastaa.
Hakijan oikeudet
Hakijalla on samat oikeudet kuin muillakin, joiden tietoja käsitellään. Tavallisimmat ovat nämä:
- Oikeus saada pääsy tietoihin. Hakija voi pyytää kopion tiedoista, joita hänestä on tallennettu (GDPR 15 artikla).
- Oikeus tietojen poistamiseen. Hakija voi pyytää poistamaan tietonsa (GDPR 17 artikla). Oikeus ei ole ehdoton. Voit esimerkiksi säilyttää tiedot, jos tarvitset niitä mahdollisen oikeusvaateen vuoksi.
- Oikeus oikaista virheelliset tiedot.
Pyyntöön on vastattava ilman aiheetonta viivytystä, yleensä viimeistään kuukauden kuluessa (GDPR 12 artikla). Vastaaminen on helppoa, kun tiedot ovat yhdessä paikassa.
Pikahaastiksessa hakija voi poistaa hakemuksensa itse. Myös työnantaja voi poistaa yksittäisen hakijan tiedot milloin tahansa.
Sähköposti ja WhatsApp ovat riski
Pienessä yrityksessä hakemukset kulkevat usein näin: hakemus tulee sähköpostiin, se lähetetään esihenkilölle, joku tallentaa CV:n omalle koneelleen ja joku toinen lähettää siitä kuvan WhatsApp-ryhmään.
Pian samasta hakemuksesta on kopioita monessa paikassa. Silloin on vaikea tietää, kuka tiedot näkee. Niitä on myös vaikea poistaa ajallaan tai antaa hakijalle, jos hän pyytää omia tietojaan.
Muutama yksinkertainen sääntö auttaa:
- Pidä hakemukset yhdessä paikassa.
- Jaa tiimille pääsy, älä tiedostoja.
- Älä tallenna hakemuksia omalle puhelimelle tai koneelle.
- Poista vanhat hakemukset myös sähköpostista.
Jos tiedot päätyvät vääriin käsiin, kyse voi olla tietoturvaloukkauksesta. Silloin rekisterinpitäjän pitää arvioida riski ja tarvittaessa ilmoittaa siitä tietosuojavaltuutetulle 72 tunnin kuluessa (GDPR 33 artikla).
Muistilista
- Kysy vain sitä, mitä työssä tarvitaan.
- Kerää tiedot hakijalta itseltään. Kysy lupa ennen kuin soitat suosittelijalle.
- Kerro hakijalle, kuka tiedot näkee ja kuinka kauan niitä säilytetään.
- Varmista, että käyttämäsi palvelun kanssa on sopimus henkilötietojen käsittelystä.
- Päätä säilytysaika ja poista hakemukset sen jälkeen.
- Pidä hakemukset yhdessä paikassa, ei sähköposteissa ja viestiketjuissa.
- Vastaa hakijan pyyntöihin kuukauden kuluessa.
Lue myös, miksi Pikahaastis ei pisteytä hakijoita tekoälyllä, ja katso, miten Pikahaastis käsittelee tietoja tietosuojaselosteessa.