Ilmoituskanavat valmiiksi N-Y-T – nyt!

Ilmoittajansuojelulaki (laki Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta, 1171/2022), astui voimaan 1.1.2023. Lain voimaantulo tarkoitti sitä, että vähintään 250 työntekijää työllistävien organisaatioiden täytyi perustaa ilmoittajansuojelulain edellyttämä ilmoituskanava huhtikuun alkuun mennessä. Tätä pienemmät organisaatiot saattoivat vielä hengähtää – perustamisvelvollisuus tulisi täyttää vuoden loppuun mennessä. Nyt tuo hetki on kuitenkin koittanut ja kaikkien yli 50 työntekijää työllistävien organisaatioiden tulee olla perustanut sisäinen ilmoituskanava 17.12.2023 mennessä. 

Ilmoittajansuojelulain tarkoituksena on nimensä mukaisesti suojata ilmoittajaa, joka työnsä yhteydessä havaitsee tai epäilee yleisen edun vastaista toimintaa tietyillä erikseen määritellyillä oikeuden aloilla, ja ilmoittaa niistä joko työnantajaorganisaationsa sisäiseen tai toissijaisesti Valtioneuvoston oikeuskanslerin ylläpitämään ulkoiseen, keskitettyyn ilmoituskanavaan. Sääntelyssä keskeistä on, ettei ilmoittajaan voida kohdistaa minkäänlaisia kielteisiä seurauksia sen takia, että hän on tehnyt ilmoituksen havaitsemastaan tai epäilemästään väärinkäytöksestä. Organisaatioiden ja yhteiskunnan näkökulmasta sääntelyllä pyritään tunnistamaan väärinkäytökset mahdollisimman aikaisessa vaiheessa ja samalla ennaltaehkäisemään yleiseen etuun kohdistuvia uhkia ja vakavia haittoja.

Ilmoittajansuojelulain aineellinen soveltamisala rajautuu nimenomaisesti aloille, joissa väärinkäytöksistä voi herkemmin aiheutua yleiseen etuun kohdistuvia uhkia ja haittoja. Tällaisia ovat esimerkiksi julkiset hankinnat, finanssipalvelut, tuoteturvallisuus ja vaatimuksenmukaisuus, ympäristönsuojelu ja elintarvikeala. Sitä vastoin esimerkiksi työoikeudelliset tai tietosuoja-asiat eivät kuulu lain soveltamisalan piiriin. Näin ollen esimerkiksi epäiltyjä häirintätapauksia koskevat ilmoitukset eivät lähtökohtaisesti kuulu ilmoittajansuojelulaissa säädettyihin ilmoituskanaviin.

Ei myöskään ole täysin ongelmatonta, jos ilmoittajansuojelulain soveltamisalan piiriin kuulumattomista kriittisistä asioista viestitään ilmoituskanavien kautta. Esimerkiksi työsuhteisiin liittyville asioille on työlainsäädännössä säädetty omat prosessinsa, ja työnantajan on syytä noudattaa näitä prosesseja varmistuakseen siitä, että täyttää työlainsäädännöstä johtuvat velvoitteensa. Esimerkiksi häirintätapauksissa asian objektiivinen selvittäminen ja asianosaisten kuuleminen voi vaikeutua, jos asiaan liittyvä ilmoitus otetaan vastaan anonyyminä ilmoituskanavan kautta.  

Ennen ilmoittajansuojelulain voimaan tuloa Suomessa ei ole ollut yleisesti sovellettavaa lainsäädäntöä ilmoittajien suojelusta, eikä ilmoituskanavia ollut käytössäkään kovin monissa organisaatioissa, lähinnä isommissa yrityksissä ja kansainvälisissä konserneissa. Niissä organisaatioissa, joissa ilmoituskanava on ollut jo ennen lain voimaantuloa, on monesti mahdollistettu hyvin monenlaisten ilmoitusten tekeminen, sellaistenkin, jotka eivät tänä vuonna voimaantulleen ilmoittajansuojelulain piiriin kuulu. Edellä todetuista syistä ongelmia voi kuitenkin aiheutua, jos organisaatiot eivät päivitä ilmoituskanaviaan vastaamaan ilmoittajansuojelulain aineellista soveltamisalaa, vaan ottavat jatkossakin vastaan minkä tahansa tyyppisiä ilmoituksia.

Henkilötietojen käsittelyn huomioiminen ilmoituskanavassa 

Henkilötietojen käsittelyä ilmoituskanavassa koskevat samat tietosuojasäännökset kuin muutakin henkilötietojen käsittelyä. Ilmoituskanavaan liittyy usein hyvinkin arkaluontoisten henkilötietojen, mukaan lukien rikoksiin ja rikkomuksiin liittyvien tietojen käsittelyä. Kanava tulee jo lähtökohtaisesti suunnitella vastaamaan sisäänrakennetun ja oletusarvoisen tietosuojan vaatimuksia, ja esimerkiksi tietoturvatoimenpiteet on suositeltava suunnitella tapauskohtaisen riskianalyysin perusteella. 

Ainakin seuraavat seikat on huomioitava: 

1.  Käsiteltävät henkilötiedot on rajoitettava siihen, mikä on tarpeen kyseisen asian kannalta. Henkilötiedoille on määriteltävä säilytysajat ja tarpeettomat tiedot on tuhottava välittömästi.
2. Tietosuoja-asetus edellyttää, että tietosuojan vaikutustenarviointi tehdään silloin, kun käsittelystä todennäköisesti seuraa korkea riski rekisteröidyn oikeuksille ja vapauksille. Tietosuojavaltuutettu on erikseen linjannut, että tietosuojan vaikutustenarviointi tulee laatia, kun henkilötietoja käsitellään ilmiantojärjestelmän yhteydessä. 
3. Henkilötietojen käsittelystä tulee informoida, käytännössä laatimalla tietosuojaseloste: henkilötietojen käsittelystä on annettava tietosuoja-asetuksen vaatimusten mukaiset tiedot ilmoittajalle, epäilyn kohteelle sekä mahdolliselle kolmannelle osapuolelle (esimerkiksi todistajalle). Esimerkiksi ilmoituksen kohteena olevan henkilön tulisi saada tieto, että tämän henkilötietoja voidaan kerätä muualta kuin henkilöltä itseltään.
4. Olemassa olevat tietosuojapolitiikat, kuten sisäiset käytännesäännöt, ja esimerkiksi organisaation seloste käsittelytoimista tulee päivittää siten, että ilmiantokanavaan liittyvä henkilötietojen käsittely tulee huomioiduksi myös näissä.