Franchisen osto: suojaa henkilötietosi hakuvaiheessa

Franchiseyhteisöön liittyminen alkaa usein hakemuksella, haastatteluilla ja taloudellisten edellytysten arvioinnilla. Joskus mukana on soveltuvuustestejä tai terveydentilaa koskevia kysymyksiä. Ennen kuin lähetät henkilötietoja, selvitä, miksi niitä tarvitaan ja kuka niitä käyttää. Huolellinen ketju pystyy selittämään arviointinsa ilman, että sinun tarvitsee luovuttaa varmuuden vuoksi koko henkilökohtaista historiaasi.

1. Erota tarpeellinen arviointi tarpeettomasta tiedonkeruusta

Franchise-antajan on perusteltua selvittää, sopivatko kokemuksesi, tavoitteesi ja taloudelliset lähtökohtasi suunniteltuun yrittäjyyteen. Suomi.fi kuvaa hakuprosessia molemminpuolisena tutustumisena: kummankin osapuolen pitäisi saada riittävä varmuus pitkäaikaisen yhteistyön aloittamisesta. Tämä ei kuitenkaan tarkoita rajatonta oikeutta kerätä hakijan henkilötietoja.

Pyydä ennen hakulomakkeen täyttämistä tietosuojainformaatio. Siitä pitäisi selvitä muun muassa rekisterinpitäjä, käsittelyn tarkoitukset ja oikeusperusteet, tietojen vastaanottajat sekä säilytysaika tai sen määräytymisperusteet. Tarkista myös, mitkä tiedot ovat pakollisia ja mitä niiden antamatta jättämisestä seuraa.

Arvioi pyyntöjä suhteessa hakuvaiheeseen. Alustavassa keskustelussa voidaan tarvita kuvaus työkokemuksesta ja käytettävissä olevasta rahoituksesta. Yksityiskohtaiset asiakirjat voivat tulla ajankohtaisiksi vasta myöhemmin. Kysy, riittäisikö ensin yhteenveto ja voidaanko tarkentavat tositteet toimittaa vasta, jos neuvottelut etenevät.

Esimerkiksi täydellinen henkilökohtainen tiliote voi paljastaa paljon sellaista, jolla ei ole yhteyttä yrittäjävalintaan. Ehdota tarvittaessa rajatumpaa selvitystä. Älä kuitenkaan peitä olennaisia tietoja yksipuolisesti, vaan sovi etukäteen, millainen asiakirja osoittaa pyydetyn asian riittävästi.

2. Tunnista Suomen säännöt ja omat oikeutesi

Suomessa ei ole erityistä franchisinglakia, lakisääteistä franchisingin ennakkotietoasiakirjaa eikä erillistä franchisesopimusten rekisteröintimenettelyä. Yrittäjävalintaa ja sopimusneuvotteluja ohjaavat yleiset lait. Oikeustoimilaki koskee sopimusten syntymistä ja pätevyyttä, ja laki sopimattomasta menettelystä elinkeinotoiminnassa kieltää muun muassa harhaanjohtavan kaupallisen viestinnän. Myös yhdenvertaisuuslain syrjintäkiellot on huomioitava.

Hakijan henkilötietojen käsittelyyn sovelletaan EU:n yleistä tietosuoja-asetusta eli GDPR:ää sekä sitä täydentävää Suomen tietosuojalakia. Henkilötietoja ovat myös yrittäjäehdokasta koskevat haastattelumuistiinpanot, arvioinnit ja testitulokset. Yritystoiminnan suunnittelu ei poista niiden tietosuojaa.

Käsittelylle on oltava oikeusperuste. Se voi tilanteesta riippuen olla esimerkiksi hakijan pyynnöstä tehtävien sopimusta edeltävien toimenpiteiden tarpeellisuus, oikeutettu etu tai suostumus. Pelkkä hakemuksen lähettäminen ei anna ketjulle yleistä lupaa käyttää tietoja mihin tahansa tarkoitukseen. Tietojen pitää olla käyttötarkoitukseensa nähden tarpeellisia, eikä niitä saa säilyttää perusteetta.

Sinulla on lähtökohtaisesti oikeus saada tietoa käsittelystä, tarkastaa omat henkilötietosi ja pyytää virheellisten tietojen oikaisua. Poistamista, käsittelyn rajoittamista ja vastustamista koskevat oikeudet riippuvat tilanteesta ja käsittelyperusteesta. Poistamisoikeus ei siis tarkoita, että kaikki aineisto olisi aina hävitettävä heti pyynnöstä. Tarvittaessa voit saattaa asian tietosuojavaltuutetun käsiteltäväksi.

3. Selvitä testien ja terveystietojen käsittely erikseen

Soveltuvuustesti voi auttaa arvioimaan yhteistyön edellytyksiä, mutta pyydä ennen osallistumista kuvaus siitä, mitä testataan ja miten tulosta käytetään. On eri asia keskustella yrittäjyysvalmiuksista kuin tehdä pitkälle meneviä päätelmiä persoonallisuudesta ilman mahdollisuutta kommentoida niitä.

Kysy testistä ainakin seuraavat asiat:

• Kuka toteuttaa testin ja vastaa siihen liittyvästä henkilötietojen käsittelystä?
• Saako ketju koko vastausaineiston vai rajatun yhteenvedon?
• Ketkä ketjussa näkevät tulokset ja miten kauan niitä säilytetään?
• Voitko keskustella tuloksesta ja korjata virheelliset lähtötiedot?
• Tehdäänkö valintapäätös ihmisen arvioinnin perusteella vai automaattisesti?

Pelkästään automaattiseen käsittelyyn perustuvia, oikeusvaikutuksia tai vastaavan merkittäviä vaikutuksia tuottavia päätöksiä koskevat GDPR:n erityiset rajoitukset. Jokainen pisteytys ei kuulu tähän ryhmään, mutta arviointitavan selvittäminen on silti hyödyllistä.

Terveystiedot kuuluvat erityisiin henkilötietoryhmiin, joiden käsittely on lähtökohtaisesti kiellettyä ilman soveltuvaa poikkeusperustetta. Jos ketju pyytää lääkärintarkastusta tai terveystietoja, pyydä täsmällinen selvitys tarpeesta ja oikeudellisesta perusteesta. Kysy myös, riittääkö rajattu soveltuvuutta koskeva lausunto diagnoosien tai potilasasiakirjojen sijasta. Älä lähetä terveystietoja tavallisen hakemuksen liitteeksi vain varmuuden vuoksi.

4. Sovi tiedonkulusta myös hakuprosessin päättyessä

Hakuprosessiin voi osallistua franchise-antajan lisäksi rekrytointikumppani, testipalvelu tai rahoittaja. Selvitä, siirtyvätkö tiedot näille toimijoille, mitä kukin saa ja toimiiko vastaanottaja itsenäisenä rekisterinpitäjänä vai ketjun lukuun. Franchiseyhteisön jäsenyys ei itsessään oikeuta jakamaan hakijatietoja kaikille sen yrittäjille.

Pyydä arkaluonteisille tai taloudellisesti luottamuksellisille asiakirjoille turvallinen toimitustapa. Varmista vastaanottaja ennen lähettämistä ja säilytä itselläsi tieto siitä, mitä olet toimittanut. Jos asiakirjassa on myös puolison tai muun ulkopuolisen henkilötietoja, selvitä niiden tarpeellisuus erikseen.

Kysy jo alussa, mitä tiedoille tapahtuu, jos vetäydyt hausta tai sinua ei valita. Keskeneräisen hakemuksen säilyttäminen tulevia hakuja varten on eri käyttötarkoitus kuin nykyisen hakemuksen käsittely, ja sillekin on oltava asianmukainen peruste. Pyydä tarvittaessa kirjallinen vahvistus säilytysajasta ja poistamiskäytännöstä.

Käytännön muistilista: ennen henkilötietojen lähettämistä varmista tarkoitus, oikeusperuste, vastaanottajat ja säilytysaika. Toimita vain tarpeellinen aineisto turvallista kanavaa pitkin. Avoin tietosuojakäytäntö on myös hyvä mittari sille, miten ketju hoitaa tulevaa yhteistyötä.