Työntekijän henkilötietoja tulee käsitellä EU:n tietosuoja-asetuksen ja kansallisen tietosuojalainsäädännön mukaisesti.
Tietosuojavaltuutetun mukaan tieto siitä, että henkilö on saanut koronarokotuksen, on henkilön terveystieto.
Työnantajalla on oikeus käsitellä sellaisia työntekijän tai työharjoittelussa olevan opiskelijan terveystietoja, jotka koskevat tämän soveltuvuutta tartuntatautilain 48 a §:ssä tarkoitettuihin tehtäviin.
Tietojen käsittelyssä noudatetaan yksityisyyden suojasta työelämässä annetun lain 5 §:n 2 momenttia:
- Terveydentilaa koskevia tietoja saavat käsitellä vain ne henkilöt, jotka näiden tietojen perusteella valmistelevat tai tekevät työsuhdetta koskevia päätöksiä taikka panevat niitä toimeen.
- Työnantajan on nimettävä nämä henkilöt tai määriteltävä tehtävät, joihin sisältyy terveydentilaa koskevien tietojen käsittelyä.
- Tietoja käsittelevät henkilöt eivät saa ilmaista näitä tietoja sivulliselle työsuhteen aikana eikä sen päättymisen jälkeen.
Työnantajan on säilytettävä työntekijän terveydentilaa koskevat tiedot erillään muista keräämistään henkilötiedoista.
Covid-19-suojaa koskevien tietojen käsittely on tarpeen rekisterinpitäjän (eli työnantajan) lakisääteisen velvoitteen noudattamiseksi, mistä syystä käsittelyyn ei liity rekisteröidyn (työntekijän) vastustamisoikeutta.