Franchising-yrittäjän hakijatiedot: kerää vain tarpeellinen

Kun muutat nykyistä yritystäsi franchising-yhteisöksi, ensimmäinen hakulomake käynnistää myös henkilötietojen käsittelyn. Hakijan yhteystiedot, haastattelumuistiinpanot ja henkilöön yhdistettävät taloustiedot tarvitsevat selkeät käsittelysäännöt. Hyvin suunniteltu menettely auttaa arvioimaan yhteistyön edellytyksiä ilman, että yrityksellesi kertyy tarpeetonta tai liian arkaluonteista tietoa. Tietosuoja kannattaa siksi rakentaa osaksi yrittäjähakua ennen sen avaamista.

1. Määritä vastuut ja sovellettavat säännöt

Suomessa ei ole erityistä franchising-lakia, lakisääteistä franchising-antajien rekisteriä eikä franchisingille omaa määrämuotoista ennakkotietomenettelyä. Tämä ei kuitenkaan tee yrittäjähausta vapaamuotoista henkilötietojen käsittelyn kannalta. Hakijatietoihin sovelletaan EU:n yleistä tietosuoja-asetusta eli GDPR:ää sekä sitä täydentävää tietosuojalakia.

Franchising-yhteistyöhön vaikuttavat lisäksi esimerkiksi oikeustoimilaki, laki sopimattomasta menettelystä elinkeinotoiminnassa ja kilpailulainsäädäntö. Suomen Franchising-Yhdistyksen eettiset säännöt ovat itsesääntelyä, eivät laki. Niiden noudattaminen ei korvaa tietosuojavelvoitteita.

Nimeä ensin rekisterinpitäjä: yleensä se on yrittäjähakua järjestävä yritys, joka päättää tietojen käyttötarkoituksista ja käsittelytavoista. Jos nykyinen liiketoiminta ja franchising-toiminta ovat eri yhtiöissä, ratkaise, kumpi todella vastaa hausta. Samaan omistukseen kuuluminen ei anna automaattisesti oikeutta jakaa hakijatietoja yhtiöiden välillä.

Kirjaa jokaiselle käyttötarkoitukselle käsittelyperuste. Hakijan pyynnöstä tehtävät sopimusta edeltävät toimenpiteet voivat soveltua joihinkin vaiheisiin. Perustetta ei kuitenkaan pidä käyttää automaattisesti, varsinkaan jos tuleva sopimusosapuoli on hakijan sijasta hänen yhtiönsä. Oikeutettu etu edellyttää puolestaan tarpeellisuuden ja hakijan oikeuksien arviointia. Yleinen suostumusruutu ei korjaa tarpeetonta tiedonkeruuta.

Laadi hakijalle ymmärrettävä tietosuojailmoitus. Kerro siinä muun muassa rekisterinpitäjä, käyttötarkoitukset, käsittelyperusteet, vastaanottajat, säilytysperiaatteet sekä hakijan oikeudet ja mahdollisuus tehdä valitus tietosuojavaltuutetulle. Anna tiedot jo tietojen keräämisen yhteydessä.

2. Jaa tiedonkeruu hakuprosessin vaiheisiin

Yrittäjähakuun kuuluu molemminpuolinen tutustuminen, mutta kaikkea ei tarvitse selvittää ensimmäisellä lomakkeella. Aloita tiedoista, joiden avulla voit arvioida, onko keskustelun jatkamiselle perusteita: yhteystiedot, kiinnostava paikkakunta, olennainen kokemus ja alustava aikataulu.

Seuraavassa vaiheessa voidaan selvittää esimerkiksi hakijan mahdollisuuksia osallistua päivittäiseen toimintaan ja rahoituksen yleisiä edellytyksiä. Tarkemmat selvitykset kuuluvat vaiheeseen, jossa niille on todellinen tarve. Älä pyydä henkilötunnusta, henkilöllisyystodistuksen kopiota tai yksityiskohtaisia varallisuusasiakirjoja vain siksi, että ne saattavat joskus olla hyödyllisiä.

Tee käytännön tiedonkeruutaulukko, jossa jokaisesta tiedosta vastataan neljään kysymykseen:

• Mitä päätöstä tieto auttaa tekemään?
• Missä hakuvaiheessa sitä tarvitaan?
• Kuka saa nähdä sen?
• Milloin tieto poistetaan tai sen tarpeellisuus tarkistetaan?

Pidä yritystiedot ja henkilötiedot erillään silloin, kun se on mahdollista. Yhtiön tilinpäätös ja hakijan henkilökohtainen taloustilanne eivät ole sama asia. Myös julkisesta lähteestä löytyvän henkilötiedon käyttäminen on henkilötietojen käsittelyä, jolle tarvitaan asianmukainen peruste.

Jos hakija lähettää oma-aloitteisesti tarpeettomia asiakirjoja, älä tallenna niitä varmuuden vuoksi. Ohjeista hakijoita etukäteen olemaan lähettämättä esimerkiksi terveystietoja tai sivullisten henkilötietoja. Huolehdi myös siitä, etteivät tarpeettomat liitteet jää sähköpostin kautta useisiin rinnakkaisiin arkistoihin.

3. Rajaa haastattelut, testit ja taustaselvitykset

Haastattelumuistiinpanojen tulee kuvata yhteistyön kannalta olennaisia havaintoja. Kirjaus ”ei pysty osallistumaan sovittuun alkukoulutukseen” on käyttökelpoisempi kuin epämääräinen arvio hakijan luonteesta. Erota hakijan kertoma tieto, haastattelijan havainto ja vielä tarkistamaton oletus toisistaan.

Laadi haastattelijoille yhteinen kysymysrunko. Se parantaa hakijoiden vertailtavuutta ja vähentää tarpeettomien yksityiselämää koskevien kysymysten esittämistä. Hakijaa ei pidä käsitellä työnhakijana vain siksi, että hakuprosessi muistuttaa rekrytointia: tavoitteena on yritysten välinen yhteistyö, ja sovellettavat säännöt on arvioitava sen mukaisesti.

Jos käytät soveltuvuustestiä, selvitä etukäteen, mitä se mittaa ja miksi tuloksia tarvitaan. Määritä testipalvelun tarjoajan tietosuojarooli sekä se, toimitetaanko yrityksellesi koko aineisto vai ainoastaan tarkoituksenmukainen yhteenveto. Älä tee merkittäviä valintapäätöksiä pelkän automaattisen pisteytyksen perusteella arvioimatta tietosuoja-asetuksen automatisoitua päätöksentekoa koskevia vaatimuksia.

Terveystiedot kuuluvat erityisiin henkilötietoryhmiin. Niiden käsittely vaatii tavallisen käsittelyperusteen lisäksi erillisen, tietosuoja-asetuksen mukaisen poikkeusperusteen. Älä sisällytä terveyskyselyä tavanomaiseen yrittäjähakuun. Myös luottotietojen tarkistamiseen liittyy erityisiä lakisääteisiä edellytyksiä: yleinen kiinnostus hakijan luotettavuuteen ei yksin riitä.

Sovi suosittelijoiden käytöstä hakijan kanssa ja rajaa kysymykset yhteistyön kannalta olennaisiin asioihin. Kerro hakijalle myös muualta kerättävistä tiedoista sovellettavien tietosuojavaatimusten mukaisesti.

4. Päätä säilytys ja käyttöoikeudet ennen hakua

Hakijatietoja ei pitäisi säilyttää yhteisessä kansiossa, johon koko henkilöstöllä on pääsy. Anna käyttöoikeudet vain valintaan osallistuville ja määritä, kuka vastaa niiden poistamisesta tehtävien muuttuessa. Suojaa järjestelmät asianmukaisesti ja käytä esimerkiksi monivaiheista tunnistautumista.

Jos hakupalvelun toimittaja käsittelee tietoja puolestasi, tarvitaan tietosuoja-asetuksen mukainen henkilötietojen käsittelysopimus. Selvitä myös alihankkijat, tietojen sijainti ja mahdolliset siirrot Euroopan talousalueen ulkopuolelle. Palvelun helppokäyttöisyys ei yksin ratkaise sen soveltuvuutta.

Laadi erilliset säilytysperiaatteet keskeytyneille hauille, valitsematta jääneille hakijoille ja yhteistyön aloittaville yrittäjille. Kaikille tilanteille ei ole yhtä yleistä lakisääteistä säilytysaikaa. Perustele aika käyttötarkoituksella ja mahdollisella oikeusvaateisiin varautumisella; älä säilytä koko aineistoa rajattomasti.

Jos haluat pitää hakijan mukana myöhemmissä hauissa, määritä tämä erilliseksi käyttötarkoitukseksi ja varmista sopiva käsittelyperuste sekä informointi. Valitun yrittäjänkään kaikkia hakuvaiheen muistiinpanoja ei tarvitse siirtää pysyvään yhteistyöarkistoon.

Käytännön muistilista: avaa yrittäjähaku vasta, kun jokaiselle kerättävälle tiedolle on tarkoitus, käsittelyperuste, rajattu käyttäjäjoukko ja poistamisperiaate. Näin rakennat franchising-yhteisön luottamusta jo ennen ensimmäistä sopimusta.