Tämän lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista käsiteltäessä henkilötietoja työelämässä.

Työsuhteessa sekä virkasuhteessa ja siihen verrattavassa julkisoikeudellisessa palvelussuhteessa noudatetaan, mitä tässä laissa säädetään.

Mitä tässä laissa säädetään työntekijästä, sovelletaan myös virkamieheen ja virkasuhteessa olevaan sekä niihin verrattavassa julkisoikeudellisessa palvelussuhteessa olevaan. Työntekijällä tarkoitetaan tässä laissa myös työnhakijaa ja työsuhteella myös muuta palvelussuhdetta.

Henkilötietojen käsittelyyn sovelletaan lisäksi henkilötietolakia (523/1999), jollei tässä laissa toisin säädetä.

Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Tästä ei voida poiketa työntekijän suostumuksella.

Työnantajan on kerättävä työntekijää koskevat henkilötiedot ensi sijassa työntekijältä itseltään. Jos työnantaja kerää henkilötietoja muualta kuin työntekijältä itseltään, työntekijältä on hankittava suostumus tietojen keräämiseen. Suostumus ei kuitenkaan ole tarpeen silloin, kun viranomainen luovuttaa tietoja työnantajalle tämän laissa säädetyn tehtävän suorittamiseksi tai kun työnantaja hankkii henkilöluottotietoja tai rikosrekisteritietoja työntekijän luotettavuuden selvittämiseksi.

Työnantajan on ilmoitettava työntekijälle etukäteen tätä koskevien tietojen hankkimisesta luotettavuuden selvittämistä varten. Jos työntekijää koskevia tietoja on kerätty muualta kuin työntekijältä itseltään, työnantajan on ilmoitettava työntekijälle saamistaan tiedoista ennen kuin niitä käytetään työntekijää koskevassa päätöksenteossa. Työnantajan tiedonantovelvollisuudesta ja työntekijän oikeudesta tarkastaa itseään koskevia henkilötietoja on lisäksi voimassa, mitä siitä muualla laissa säädetään.

Henkilötietojen kerääminen työhön otettaessa ja työsuhteen aikana kuuluu yhteistoiminnasta yrityksissä annetussa laissa (725/1978) sekä yhteistoiminnasta valtion virastoissa ja laitoksissa annetussa laissa (651/1988) tarkoitetun yhteistoimintamenettelyn piiriin.

Työntekijää voidaan hänen suostumuksellaan testata henkilö- ja soveltuvuusarvioinnein työtehtävien hoidon edellytysten tai koulutus- ja muun ammatillisen kehittämisen tarpeen selvittämiseksi. Työnantajan on varmistettava, että testejä tehtäessä käytetään luotettavia testausmenetelmiä, niiden suorittajat ovat asiantuntevia ja testauksella saatavat tiedot ovat virheettömiä. Tietojen virheettömyyttä varmistettaessa on otettava huomioon testausmenetelmä ja sen luonne.

Työnantajan tai tämän osoittaman testaajan on työntekijän pyynnöstä annettava työntekijälle maksutta henkilö- tai soveltuvuusarvioinnissa annettu kirjallinen lausunto. Jos lausunto on annettu työnantajalle suullisena, työntekijän tulee saada selvitys lausunnon sisällöstä.

Työntekijöiden terveydentilaa koskevien tarkastusten ja testien suorittamiseen sekä näytteiden ottamiseen tulee käyttää terveydenhuollon ammattihenkilöitä, asianomaisen laboratoriokoulutuksen saaneita henkilöitä ja terveydenhuollon palveluja siten kuin terveydenhuollon lainsäädännössä säädetään. Työntekijän velvollisuudesta osallistua terveydentilaa koskeviin tarkastuksiin ja testeihin säädetään erikseen.

Mitä 1 momentissa säädetään, koskee myös alkoholi- ja huumetestejä.

Työnantaja ei saa edellyttää työntekijältä osallistumista geneettiseen tutkimukseen työhön otettaessa tai työsuhteen aikana, eikä työnantajalla ole oikeutta saada tietää, onko työntekijälle tehty geneettinen tutkimus.

Työnantajalla on oikeus käsitellä työntekijän terveydentilaa koskevia tietoja, jos tiedot on kerätty työntekijältä itseltään tai hänen kirjallisella suostumuksellaan muualta ja tietojen käsittely on tarpeen sairausajan palkan tai siihen rinnastettavien terveydentilaan liittyvien etuuksien suorittamiseksi taikka sen selvittämiseksi, onko työstä poissaoloon perusteltu syy, taikka jos työntekijä nimenomaisesti haluaa selvitettävän työkykyisyyttään terveydentilaa koskevien tietojen perusteella. Lisäksi työnantajalla on oikeus käsitellä näitä tietoja niissä tilanteissa ja siinä laajuudessa kuin muualla laissa erikseen säädetään.

Terveydentilaa koskevia tietoja saavat käsitellä vain ne henkilöt, jotka näiden tietojen perusteella valmistelevat tai tekevät työsuhdetta koskevia päätöksiä taikka panevat niitä toimeen. Työnantajan on nimettävä nämä henkilöt tai määriteltävä tehtävät, joihin sisältyy terveydentilaa koskevien tietojen käsittelyä. Tietoja käsittelevät henkilöt eivät saa ilmaista näitä tietoja sivulliselle työsuhteen aikana eikä sen päättymisen jälkeen.

Työnantajan on säilytettävä työntekijän terveydentilaa koskevat tiedot erillään muista työnantajan keräämistä henkilötiedoista.

Työntekijöihin kohdistuvan, työnantajan työnjohto- ja valvontaoikeuteen perustuvan teknisen valvonnan tarkoitus, käyttöönotto ja siinä käytettävät menetelmät sekä sähköpostin ja tietoverkon käyttö kuuluvat yhteistoiminnasta yrityksissä annetussa laissa sekä yhteistoiminnasta valtion virastoissa ja laitoksissa annetussa laissa tarkoitetun yhteistoimintamenettelyn piiriin. Muissa kuin yhteistoimintalainsäädännön piiriin kuuluvissa yrityksissä ja julkisoikeudellisissa yhteisöissä työnantajan on ennen päätöksentekoa varattava työntekijöille tai heidän edustajilleen tilaisuus tulla kuulluksi edellä mainituista asioista.

Yhteistoiminta- tai kuulemismenettelyn jälkeen työnantajan on määriteltävä työntekijöihin kohdistuvan teknisen valvonnan käyttötarkoitus ja siinä käytettävät menetelmät sekä tiedotettava työntekijöille teknisen valvonnan tarkoituksesta, käyttöönotosta ja siinä käytettävistä menetelmistä sekä sähköpostin ja tietoverkon käytöstä.

Työnantajan oikeudesta käyttää teknistä valvontaa ja valvoa sähköpostin ja tietoverkon käyttöä säädetään erikseen.

Työnantaja ei saa toimenpiteillään vaarantaa työntekijän yksityisluonteisten luottamuksellisten viestien salaisuutta sähköpostin ja tietoverkon käytössä.

Tämän lain noudattamista valvovat työsuojeluviranomaiset yhdessä tietosuojavaltuutetun kanssa.

Työnantajan on pidettävä tämä laki työntekijöiden nähtävillä työpaikoilla.

Rangaistus henkilörekisteririkoksesta, tietomurrosta, salakatselusta, salakuuntelusta, viestintäsalaisuuden loukkaamisesta ja salassapitosäännösten rikkomisesta säädetään rikoslaissa (39/1889).

Tämä laki tulee voimaan 1 päivänä lokakuuta 2001. Lain 4 §:n 3 momentissa ja 9 §:ssä säädetyt työnantajan velvollisuudet on täytettävä viimeistään kuuden kuukauden kuluessa lain voimaantulosta.