Suomen oma laki, joka ratkaisee, mitä työnantaja saa seurata, testata ja selvittää. Työntekijän suostumus ei laajenna rajoja.
Mikä se on Laki yksityisyyden suojasta työelämässä (759/2004) on Suomen oma laki, joka täydentää tietosuoja-asetusta työsuhteessa. Se tuli voimaan 1.10.2004 ja on voimassa sellaisenaan. Muutostarpeita on selvitetty, mutta vireillä olevaa lakiesitystä ei löytynyt 27.8.2026 mennessä. Ero tietosuoja-asetukseen on käytännöllinen. Asetus kertoo, millä ehdoilla henkilötietoja saa käsitellä. Tämä laki rajaa itse toimenpidettä: se kertoo, milloin kameravalvonta on ylipäätään sallittua, milloin huumausainetestitodistuksen tietoja saa käsitellä ja millä menettelyllä työntekijän sähköpostia saa hakea esille ja avata. Kun asetuksesta löytyy oikeusperuste, tämä laki voi silti kieltää. Se on siis se kohta, jossa työnantajan hanke käytännössä ratkeaa. Lain ydin on 3 §:n tarpeellisuusvaatimus. Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Saman pykälän 2 momentti sulkee kiertotien: vaatimuksesta ei voida poiketa työntekijän suostumuksella. Suostumuslomake ei tee tarpeettomasta tiedosta tarpeellista. Lakia sovelletaan työ- ja virkasuhteessa ja 2 §:n 3 momentin nojalla soveltuvin osin myös työnhakijaan. Noudattamista valvovat työsuojeluviranomaiset yhdessä tietosuojavaltuutetun kanssa. Sakkorangaistus koskee vain osaa pykälistä, eikä tarpeellisuusvaatimus ole niiden joukossa. Se ei tarkoita, että sen saisi sivuuttaa, vaan että sen rikkominen arvioidaan tietosuoja-asetuksen kautta. Asetuksen omat velvoitteet, kuten vaikutustenarviointi ja rekisteröidyn oikeudet, ovat GDPR-sivulla . Koskeeko sinua Kokorajaa ei ole. Laki sitoo yhden työntekijän yritystä samalla tavalla kuin tuhannen hengen konsernia, ja se ulottuu yhdistyksiin, kuntiin ja hyvinvointialueisiin. Sovellettavaksi riittää, että käsittelette työntekijän henkilötietoja, teetätte testejä tai valvotte työtä teknisin menetelmin. Koskee myös ennen työsuhdetta. Työnhakijaan sovelletaan soveltuvin osin samaa lakia, joten rekrytoinnin arviointityökalut ja taustaselvitykset ovat sen piirissä. Osa pykälistä on kirjoitettu tarkkarajaisesti juuri tätä varten: henkilöluottotietoja saa hankkia vain tehtävään valitusta työnhakijasta, ei hakijoista yleisesti. Laki ei myöskään erottele sitä, rakennatteko valvonta- tai arviointijärjestelmän itse vai ostatteko sen valmiina: vastuu tarpeellisuudesta ja menettelystä on työnantajalla myös silloin, kun väline tulee toimittajalta. Yrityksen koko vaikuttaa vain siihen, mitä reittiä 21 §:n vuoropuhelu käydään. Vähintään 50 työntekijän työnantajaan sovelletaan yhteistoimintalakia kokonaisuudessaan. Säännöllisesti 20–49 työntekijän työnantajan on luotava työpaikkakohtaiset käytännöt säännönmukaiselle vuoropuhelulle ja käsiteltävä yhteistoimintalain 12 §:n asiat osana sitä. Sitä pienempi työnantaja jää yhteistoimintalain ulkopuolelle, jolloin sovelletaan 21 §:n 1 momentin omaa velvoitetta kuulla työntekijöitä tai heidän edustajiaan ennen päätöksentekoa. Velvoite ei katoa missään kokoluokassa. Keskeiset velvoitteet Kaikki alla oleva on voimassa nyt. Tulossa olevia velvoitteita tällä sivulla ei ole. Tarpeellisuusvaatimus (3 §, voimassa). Vain välittömästi työsuhteen kannalta tarpeelliset henkilötiedot. Vaatimuksesta ei voida poiketa työntekijän suostumuksella, ja koska lakia sovelletaan soveltuvin osin työnhakijaan, se ulottuu myös rekrytointiin. Tiedot ensi sijassa työntekijältä itseltään (4 §, voimassa). Muualta keräämiseen tarvitaan työntekijän suostumus, jollei viranomainen luovuta tietoja laissa säädetyn tehtävän suorittamiseksi tai keräämisestä ole laissa erikseen säädetty. Luotettavuuden selvittämistä varten tehtävästä tiedonhankinnasta on ilmoitettava etukäteen, ja muualta kerätyistä tiedoista on kerrottava ennen kuin niitä käytetään päätöksenteossa. Terveydentilatiedot ja henkilöluottotiedot (5 ja 5 a §, voimassa). Terveydentilatietoja saa käsitellä vain laissa luetelluissa tilanteissa, ne on säilytettävä erillään muista henkilötiedoista ja käsittelyn perustetta on arvioitava vähintään viiden vuoden välein. Henkilöluottotietoja saa hankkia vain tehtävään valitusta työnhakijasta, kun tehtävä edellyttää erityistä luotettavuutta ja täyttää yhden 5 a §:n seitsemästä luettelokohdasta. Sama koskee työntekijää, jonka tehtävät muuttuvat kesken työsuhteen. Testit ja soveltuvuusarvioinnit (13 §, voimassa). Testaus edellyttää suostumusta, ja työnantajan on varmistettava, että käytetään luotettavia testausmenetelmiä, suorittajat ovat asiantuntevia ja saatavat tiedot virheettömiä. Pykälä on kirjoitettu teknologianeutraalisti eikä mainitse tekoälyä. Sen sanamuotoa voidaan tulkita niin, että se kattaa myös tekoälyavusteisen soveltuvuusarvioinnin. Tämä on tulkinta säädöksen sanamuodosta, ei nimenomainen tekoälysäännös. Varmistamisen laiminlyönti on sakkorangaistava. Kameravalvonta (16 ja 17 §, voimassa). Sallittu vain henkilökohtaisen turvallisuuden varmistamiseksi, omaisuuden suojaamiseksi tai tuotantoprosessien valvomiseksi sekä näitä vaarantavien tilanteiden ehkäisemiseksi tai selvittämiseksi. Sitä ei saa käyttää tietyn työntekijän tarkkailuun eikä sijoittaa käymälään, pukeutumistilaan, muihin henkilöstötiloihin tai työntekijän omaan työhuoneeseen. Tallenteet hävitetään heti kun ne eivät enää ole tarpeen ja viimeistään vuoden kuluttua tallentamisen päättymisestä, mutta 17 §:n 3 momentissa on tästä nimetyt poikkeukset. Sähköposti (18–20 §, voimassa). Esille hakeminen tai avaaminen on mahdollista vasta, jos työnantaja on ennakolta järjestänyt viestien suojan: poissaolovastauksen, viestien ohjausmahdollisuuden tai suostumukseen perustuvan sijaisjärjestelyn. Hakeminen tehdään pääkäyttäjän valtuuksin ja avaaminen toisen henkilön läsnä ollessa, ja molemmista laaditaan allekirjoitettu selvitys työntekijälle. Teknisen valvonnan menettely (21 §, voimassa). Valvonnan tarkoitus, käyttöönotto ja menetelmät sekä sähköpostin ja tietoverkon käyttö ja työntekijän sähköistä viestintää koskevien tietojen käsittely kuuluvat yhteistoimintalainsäädännön mukaiseen vuoropuheluun. Sen ulkopuolella työntekijöitä on kuultava ennen päätöksentekoa. Menettelyn jälkeen käyttötarkoitus ja menetelmät on määriteltävä ja niistä on tiedotettava. Tämä 2 momentin velvoite on sakkorangaistava, 1 momentin vuoropuhelu- ja kuulemisvelvoite ei. Rangaistavuus on rajattu (24 §, voimassa). Sakkorangaistavia ovat vain pykälän neljätoista luettelokohtaa, esimerkiksi 5 a §:n luottotiedot, 13 §:n testaukset, 16 ja 17 §:n kameravalvonta, 21 §:n 2 momentti ja 23 §:n nähtävänäpito. Kyse on rikosoikeudellisesta seuraamuksesta, ei hallinnollisesta seuraamusmaksusta. Luettelon ulkopuolelle jäävät 3 §, 4 §, 18 § ja 21 §:n 1 momentti arvioidaan tietosuoja-asetuksen kautta. Näin sovellat käytännössä Pk-yritys, joka harkitsee tekoälypohjaista tuottavuusanalytiikkaa Aloittakaa tarpeellisuudesta, älkää työkalusta. Kirjatkaa jokaisesta mittarista erikseen, miksi juuri se tieto on välittömästi työsuhteen kannalta tarpeellinen. Jos perustelu nojaa työntekijöiden suostumukseen, se ei kanna. Kun tarpeellisuus on ratkaistu, seuraava askel on 21 §:n menettely, koska tuottavuusanalytiikka on teknistä valvontaa: asia käsitellään vuoropuhelussa tai työntekijöitä kuullaan ennen päätöstä, ja määrittely ja tiedottaminen tulevat vasta sen jälkeen. Tarkistakaa lopuksi, mitä työkalu tosiasiassa tekee. Tietosuojavaltuutetun toimiston mukaan työnantaja ei saa kerätä eikä katsoa työntekijän internet-selailun tunnistamistietoja, eikä paikannustietoja pidä lähtökohtaisesti käyttää työajan seurantaan. Jos työkalussa on tunteiden tai mielialan päättelyä, tekoälyasetus kieltää sen työpaikalla. Rekrytoiva organisaatio, joka ottaa käyttöön tekoälyavusteisen arviointityökalun Työnhakijaan sovelletaan tätä lakia soveltuvin osin, joten arviointi on lain piirissä ensimmäisestä hakijasta alkaen. Ensimmäinen askel on pyytää toimittajalta se aineisto, jolla täytätte 13 §:n varmistamisvelvoitteen: mihin menetelmän luotettavuus perustuu, kuka arvioinnin tosiasiassa suorittaa ja miten tietojen virheettömyys varmistetaan. Vaatikaa aineisto ennen sopimusta, koska varmistaminen on työnantajan velvoite ja sen laiminlyönti sakkorangaistava. Muistakaa samalla, että henkilöluottotietoja saa hankkia vain tehtävään valitusta hakijasta ja vain 5 a §:n luettelemissa tilanteissa. 20–49 hengen työnantaja, joka asentaa kamera- tai kulunvalvonnan Teillä ei ole yhteistoimintaneuvotteluja vanhassa mielessä, mutta velvoite on silti olemassa. Yhteistoimintalain muutos 252/2025 velvoitti luomaan työpaikkakohtaiset käytännöt säännönmukaiselle vuoropuhelulle 1.7.2025 alkaen, ja teknisen valvonnan asiat käsitellään osana sitä. Järjestys on tämä: tarkistakaa ensin, mahtuuko suunniteltu kameravalvonta 16 §:n sallittuihin tarkoituksiin, käsitelkää asia vuoropuhelussa ennen päätöstä, määritelkää sitten käyttötarkoitus ja menetelmät kirjallisesti ja tiedottakaa niistä. Sopikaa samalla tallenteiden säilytysajasta ja siitä, kuka niitä saa katsoa. Työsuojeluhallinnon mukaan kameravalvontaa ei saa käyttää työoikeudellisten velvoitteiden valvontaan, kuten työajan noudattamisen seurantaan. Suomessa Kyse on kokonaan kansallisesta laista, ja lainvalmistelusta vastaa työ- ja elinkeinoministeriö. Laki annettiin 13.8.2004 ja kumosi vuonna 2001 annetun lain (477/2001). Sitä on sen jälkeen muutettu yhdeksän kertaa. Muutos 347/2019 kosketti muun muassa kameravalvontaa ja rangaistussäännöstä. Valvonta jakautuu kahtia. Työsuojeluvalvonnasta vastaa Lupa- ja valvontaviraston työsuojeluosasto, joka toimii valtakunnallisena työsuojeluviranomaisena koko maassa. Henkilötietojen käsittelyn puolella toimivaltainen on tietosuojavaltuutetun toimisto, ja 22 §:n mukaan viranomaiset valvovat lakia toimivaltansa mukaisesti yhdessä. Seuraamusten ero kannattaa pitää mielessä. Sakkorangaistus koskee vain 24 §:n luettelokohtia, ja muut velvoitteet kulkevat tietosuoja-asetuksen kautta. Kesäkuun 2026 ratkaisu näyttää, mitä se käytännössä tarkoittaa: tietosuojavaltuutetun toimisto antoi Oikeuspalveluvirastolle huomautuksen (TSV/13090/2025), koska virasto oli tarkastanut virkamiestensä henkilöluottotietoja kahtena massa-ajona ilman oikeusperustetta, vaikka työtehtävät eivät olleet muuttuneet. Käsittely oli tietosuoja-asetuksen 24 ja 25 artiklan sekä tämän lain 5 a §:n 2 momentin vastaista. Päätös on lainvoimainen. Lakia on viime vuosina arvioitu, mutta muutettu vain teknisesti. TEM:n työryhmä kävi puoliväliriihen linjauksen perusteella läpi lain muutostarpeet ja hallinnollista taakkaa aiheuttavaa Suomi-lisää ja julkaisi selvityksensä 15.10.2025. Esitetyt muutostarpeet ovat selvityksen mukaan työryhmän jäsenten vapaasti esille nostamia, ja jatkotoimista päättää ministeriö. Liitteinä ovat EK:n, Suomen Yrittäjien ja KT:n yhteinen näkemys, jossa esitetään kansallisen lisäsääntelyn keventämistä, sekä SAK:n, Akavan ja STTK:n yhteinen näkemys, jossa lakia puolustetaan perustuslaillisena tehtävänä. Nämä ovat työryhmässä esitettyjä näkemyksiä, eivät päätöksiä, eikä vireillä olevaa lakiesitystä löytynyt 27.8.2026 mennessä. Aiempikin yritys jäi kesken. Hanke, jolla 4 §:n suostumusvaatimusta olisi kevennetty, raukesi vaalikauden päättyessä 29.3.2023. Vaatimus on siis edelleen voimassa sellaisenaan. Tekoälypuolella tietosuojavaltuutettu valvoo lain eräiden tekoälyjärjestelmien valvonnasta (1377/2025) nojalla 1.1.2026 alkaen markkinavalvontaviranomaisena tekoälyasetuksen kiellettyjä käytäntöjä, joihin kuuluu tunteiden tunnistus työpaikalla. Kielletystä käytännöstä voidaan määrätä hallinnollinen seuraamusmaksu, jonka päättää erillinen seuraamusmaksulautakunta valvojan esityksestä. Maksua ei voida määrätä valtion tai kunnan viranomaiselle. Kun otatte käyttöön tekoälypohjaisen seuranta- tai arviointityökalun, tarvitsette siis kaksi tarkistusta: tämän lain tarpeellisuusarvioinnin ja menettelyn sekä tekoälyasetuksen rajat. Alustatyön algoritminen johtaminen on oma kaarensa, joka käsitellään alustatyösivulla . Ajantasaisin suomenkielinen ohjeistus on tietosuojavaltuutetun toimiston sivuilla Työelämän tietosuojalaki ja Usein kysyttyä työelämän tietosuojasta sekä työsuojeluhallinnon yksityisyyden suoja -osiossa. Säädösteksti on Finlexissä.