Mitä päätettiin
Belgian tietosuojaviranomaisen riitajaosto antoi 12. toukokuuta 2026 päätöksen 101/2026 yritystä vastaan, joka oli pitänyt työntekijän työsähköpostilaatikon aktiivisena yli vuoden suhteen päättymisen jälkeen. Käytettävissä olevien selostusten mukaan kokonaisseuraamusmaksu on noin 176 000 euroa; moitteet koskevat käsittelyn lainmukaisuutta, tiedonantovelvollisuutta, poistamista koskevien teknisten ja organisatoristen toimien puuttumista sekä rekisteröidyn tarkastusoikeuden noudattamatta jättämistä. Tarkka määrä ja täydelliset perustelut on luettava viranomaisen julkaisemasta tekstistä.
Kannattaa vastustaa kiusausta kirjata tämä belgialaiseksi asiaksi. Kaikista organisaation suorittamista käsittelyistä lähteneen henkilön postilaatikko on todennäköisesti kaikkein yleisin ja melkein aina se, joka puuttuu selosteesta. Kukaan ei päätä sitä: se vain tapahtuu. Lähtöpäivänä tili jää avoimeksi, koska «sinne voi tulla jotain tärkeää», kuukautta myöhemmin kukaan ei muista sulkea sitä, ja vuotta myöhemmin on olemassa säiliö, jossa on sellaisen henkilön kirjeenvaihto, joka ei ole enää siellä, ja jota lukevat kollegat, joita hän ei ole koskaan siihen valtuuttanut.
Käytäntöä puolustava argumentti on aina sama: oikeutettu etu toiminnan jatkuvuuteen. Argumentti ei ole naurettava, se on vain paljon lyhyempi kuin siitä tehty käyttö. Heti lähdön jälkeisinä päivinä on todella olemassa etu siihen, ettei menetetä tilausta tai määräaikaa. Se etu ammentuu tyhjiin, kun kirjeenvaihtokumppaneilla on ollut aikaa vaihtaa osoitetta, ja tuo aika mitataan viikoissa. Sen jälkeen jäljelle ei jää jatkuvuus vaan mukavuus siitä, ettei mitään ole järjestelty uudelleen, ja mukavuus ei ole käsittelyn oikeusperuste.
- Postilaatikko on suljettava viimeistään sinä päivänä, jona suhde päättyy. Ei «mahdollisimman pian»: sinä päivänä.
- Sen sijalle automaattivastaus, joka ilmoittaa vaihtoehtoisen osoitteen, selittämättä minne henkilö on mennyt ja antamatta hänen yksityisiä yhteystietojaan.
- Kohtuullisen määräajan jälkeen — periaatteessa kuukausi, dokumentoiduista syistä enintään kolmeen pidennettävissä — poistetaan sekä postilaatikko että automaattivastaus.
- Sisältöä ei lueta. Jos asiakirjaa todella tarvitaan, se on löydettävä kohdennetulla, dokumentoidulla haulla, ja rekisteröidylle on ilmoitettava etukäteen.
- Henkilön on tiedettävä tämä kaikki ennen lähtöään eikä saatava tietää jälkikäteen: se on tiedonantovelvollisuus, ei kohteliaisuus.
Kallein virhe: postilaatikon sekoittaminen osoitteeseen
Postilaatikon sulkeminen ja osoitteen säilyttäminen eivät ole sama toimenpide, ja ero on juuri siellä, missä seuraamusmaksut syntyvät. Osoitteeseen mario.rossi@yritys.fi tulevan postin edelleenlähettäminen kollegalle tarkoittaa, että kolmas osapuoli lukee nimeltä mainitulle henkilölle osoitettua kirjeenvaihtoa — mukaan lukien ne henkilökohtaiset viestit, jotka työosoitteeseen joka tapauksessa saapuvat: lääkäriltä, ammattiliitolta, asianajajalta. Vaihtoehto on olemassa ja maksaa vähän: nimellinen osoite suljetaan ja julkaistaan toiminto-osoite, tyyliin myynti@yritys.fi, joka kuuluu organisaatiolle eikä yksilölle. Kirjoittaja tietää, kenelle kirjoittaa.
Tietosuojavastaavalle on neljä kirjattavaa asiaa, eikä yksikään vaadi projektia: merkintä käsittelytoimien selosteeseen, jossa on tarkoitus, peruste ja erilliset määräajat sulkemiselle ja poistamiselle; henkilöstön informointiin kappale, joka kuvaa mitä postilaatikolle tapahtuu lähdön jälkeen; lähtömenettely, joka antaa nimetylle henkilölle tehtäväksi sulkemisen, päivämäärän kanssa; ja pöytäkirja jokaisesta sisältöön tehdystä pääsystä, jos pääsyä on ollut. Ilman neljättä kohtaa organisaatio ei kykene osoittamaan, ettei kukaan ole lukenut mitään, ja todistustaakka on sen.
Yksi yksityiskohta automaattivastauksesta, sillä se on useimmin huonosti kirjoitettu osa. «Kollegamme ei työskentele enää meillä, tavoitat hänet tästä uudesta osoitteesta» kertoo jokaiselle kirjoittajalle tiedon sellaisen henkilön työurasta, joka ei ole pyytänyt sen paljastamista. Oikea teksti sanoo kaksi asiaa ja lopettaa: että tuo osoite ei ole enää käytössä, ja mihin osoitteeseen kirjoitetaan. Ei syytä, ei määränpäätä, ei onnentoivotuksia.
Mitä tehdä tänään, konkreettisesti. Organisaation vaatimustenmukaisuudesta vastaava voi puolessa tunnissa todeta, kuinka monta lähteneiden henkilöiden postilaatikkoa on vielä aktiivisena, mistä lähtien, ja onko jokin niistä edelleenlähetetty kollegalle. Jos luku ei ole nolla, vaikutustenarviointia ei tarvita: tarvitaan luettelo, jossa jokaisen rivin vieressä on päivämäärä. Belgian päätös ei asettanut uutta periaatetta — viranomaisen linja on ollut sama vähintään vuodesta 2020, jolloin eräälle yhtiölle määrättiin 15 000 euroa osoitteista, joita ei ollut suljettu työntekijöiden lähdön yhteydessä. Muuttunut on hinta.
Virallinen lähde:Autorité de protection des données (BE) — riitajaoston päätöksetVirallinen lähde:Claeys & Engels — Postilaatikon säilyttäminen ja siihen pääsy yhteistyön päätyttyäVirallinen lähde:HR Square — Belgian viranomainen tiukentaa ehtoja lähteneen työntekijän postilaatikon säilyttämiselle ja siihen pääsylleEtsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta