Jos johdat vuonna 2026 palkkahallintotoimistoa, olipa kyseessä ulkoinen palkkahallinnon palveluntarjoaja, työoikeudellinen konsulttitoimisto, gestoría laboral, cabinet de gestion de paie, Lohnbüro tai consulente del lavoro, käsittelet työntekijää kohden useamman henkilön henkilötietoja kuin missään muussa asiantuntijapalvelujen ryhmässä, mukaan lukien kirjanpitäjät ja juristit, joita käsittelimme aiemmissa aiheartikkeleissa. Käsittelet tietoja myös nimenomaan 28 artiklan mukaisena henkilötietojen käsittelijänä jatkuvassa kuukausittaisessa syklissä sadoille erillisille rekisterinpitäjäasiakkaille, joiden yritysneuvostot, ammattiliitot ja tietosuojaviranomaiset seuraavat toimintaa. Palkkatietojen peittäminen ei siksi ole vain vaatimustenmukaisuusharjoitus, vaan yksittäinen tekninen hallintakeino, jonka ansiosta palkkahallintotoimisto voi ylipäätään käyttää tekoälytyökaluja, erotella moniasiakasympäristön tiedot oikein ja selvitä väistämättömästä tarkastuksesta.
Tämä on peittämisopassarjamme viides artikkeli. Pääopas käsittelee taustalla olevaa teknologiaa ja GDPR:n yleistä kehystä. HR-aiheartikkeli käsittelee shadow AI -käyttöä työnantajan HR-tiimissä. Kirjanpitäjien aiheartikkeli käsittelee verotukseen keskittyviä tilitoimistoja. Juridiikan aiheartikkeli käsittelee asianajotoimistoja. Tässä artikkelissa keskitytään nimenomaan työoikeudellisiin konsultteihin ja palkkahallinnon palveluntarjoajiin. Niiden toiminta sijoittuu kaikkien neljän aiemman aihealueen risteykseen, mutta siihen kohdistuu lisäksi kansallisen työlainsäädännön rajoitteita, joita muut eivät jaa.
Artikkeli on myös suoraan hyödyllisin kaikille moniasiakaspalkkahallintoa hoitaville yrityksille: palvelu käsittelee kuukausittain viidenkymmenen asiakkaan palkat yhteensä seitsemälletuhannelle työntekijälle, käyttää tekoälyavustajaa CCNL-tulkintakysymyksiin ja toimittaa tuotetut palkkalaskelmat joka kuukausi takaisin viidellekymmenelle erilliselle rekisterinpitäjälle. Jokaisessa tämän työnkulun vaiheessa odottaa peittämistä koskeva päätös, joka joko tehdään tai jää tekemättä.
Terminologiahuomautus: tässä artikkelissa käytämme termejä ”palkkatietojen peittäminen” ja ”palkkatietojen anonymisointi” rinnakkain samasta toiminnallisesta kerroksesta. ”Palkkahallintotoimiston GDPR”, ”ulkoistetun palkkahallinnon GDPR” ja ”palkkahallinnon palveluntarjoajan GDPR” kuvaavat samaa käsittelijän puoleista vaatimustenmukaisuuskehystä. ”Usean työntekijän palkkatietojen peittäminen” tarkoittaa toimeksiantokohtaista osatyönkulkua. ”Palkkahallinnon tekoälyautomaatio”, ”ChatGPT palkkahallinnossa” ja ”palkkatietojen anonymisointi tekoälyä varten” kuvaavat tekoälyn käyttötapauksia. GDPR:n 88 artiklan työntekijöitä koskevat velvoitteet ja kansallinen työlainsäädäntö (Italian Statuto dei Lavoratori, Ranskan Code du travail, Saksan BetrVG, Espanjan ET) kytkeytyvät tässä artikkelissa toisiinsa eri tavoin kuin HR-aiheartikkelin kehyksessä. Käytämme ilmausta ”anonymize pay stub” yhdysvaltalaisena englanninkielisenä vastineena ilmaukselle ”redact pay slip”; molemmat tarkoittavat samaa palkkalaskelman peittämisen toiminnallista osatyönkulkua. Ilmaukset palkkahallinnon tietojen peittäminen ja palkkahallinnon alikäsittelijöiden ilmoittaminen kuvaavat toimiston puoleista vaatimustenmukaisuuden toimintatapaa, jota artikkelin loppuosa avaa.
1. Miksi palkkahallintotoimistot ovat EU:n suurimman riskin käsittelijäsuhde
Kuusi rakenteellista seikkaa selittää yhdessä, miksi palkkahallinnon palveluntarjoajan GDPR-vaatimustenmukaisuus on eri riskitasolla kuin mikään muu käsittelijäryhmä.
Ensinnäkin määrä työntekijää kohden. Yksi keskikokoinen palkkahallintotoimisto hoitaa viidestäkymmenestä kahteensataan asiakasyritystä, joista kullakin on viidestä useisiin satoihin työntekijöitä. Kerrottuna tämä tarkoittaa, että yksi toimisto voi käsitellä kolmesta tuhannesta kahteenkymmeneentuhanteen työntekijätietuetta joka kuukausi, kuukausi toisensa jälkeen, niin kauan kuin asiakassuhde jatkuu. Mikään tilitoimisto, asianajotoimisto tai HR-osasto ei käsittele näin suurta määrää henkilötietoja jatkuvassa syklissä.
Toiseksi tiedoissa korostuvat 9 artiklan riskit. Sairauspoissaolojen syyt, äitiysvapaat, isyysvapaat, työtapaturmat, vammaisuuteen liittyvät etuudet, työterveyden merkinnät, ammattiliittojen jäsenmaksut, eläkejärjestelmien uskontoon liittyvät etuusoikeudet, vanhemmuusasema ja huollettavat. Palkkahallinnon työnkulut koskettavat niitä kaikkia oletusarvoisesti. Siksi 9 artiklan velvoitteet eivät ole palkkahallintotoimistoille poikkeustapaus, vaan käsittelyn normaali tila.
Kolmanneksi kansallisen työlainsäädännön mukainen työntekijöiden seurantaan liittyvä vastuu. Italian art. 4 Statuto dei Lavoratori, Ranskan Code du travail L1121-1, Saksan Betriebsverfassungsgesetz §87(1)(6) ja Espanjan ET art. 64 asettavat kaikki yritysneuvoston tai ammattiliiton kuulemisvelvoitteita järjestelmille, joita käytetään työntekijöiden seurantaan tai arviointiin. Palkkahallintojärjestelmät ovat tässä mielessä seurantajärjestelmiä myös silloin, kun rekisterinpitäjä ei miellä niitä sellaisiksi, ja toimiston rekisterinpitäjältä saamien sopimusperusteisten ohjeiden on noudatettava kuulemisvaatimusta. Vuosien 2023-2025 ratkaisukäytäntö (Italian Garanten päätökset usean toimiston seurantatyökaluista, Ranskan CNIL:n ohjeistus 2024) on ollut johdonmukaisen tiukka. Työntekijöiden seuranta palkkahallinnossa on analyysin osa, jonka toimistot useimmin aliarvioivat, jos ne ovat perinteisesti pitäneet itseään hallinnollisten palvelujen tarjoajina eivätkä seurantajärjestelmien toimittajina.
Neljänneksi moniasiakasympäristön vaikutusalue. Toimisto säilyttää samassa toimintaympäristössä satojen erillisten rekisterinpitäjien tietoja. Tietojen erottelu on toteutettava tallennuskerroksessa, käsittelykerroksessa ja tekoälykerroksessa. Yksikin virhe, jossa yhden rekisterinpitäjän tietoja vuotaa toisen istuntoon, on vaikutuksiltaan moninkertaistuva tietoturvaloukkaus: toimisto ilmoittaa kaikille asianomaisille rekisterinpitäjille, rekisterinpitäjät ilmoittavat rekisteröidyilleen ja tietosuojaviranomainen tarkastelee toimiston erottelukontrolleja juurisyynä.
Viidenneksi käsittelijän rooli on rakenteellinen. Toimisto on jokaisen käsittelemänsä työntekijätietueen osalta henkilötietojen käsittelijä; rekisterinpitäjiä ovat asiakasyritykset. Jokaisessa suhteessa sovelletaan 28 artiklan velvoitteita: kirjallinen käsittelysopimus, alikäsittelijöiden ilmoittaminen, dokumentoidut ohjeet sekä palauttamista tai poistamista koskeva ehto. Toimistoilla, jotka eivät ole päivittäneet toimeksiantokirjeitään GDPR:n vuoden 2018 käyttöönoton jälkeen, on tyypillisesti vanhentuneita tai puutteellisia 28 artiklan liitteitä, jotka eivät enää kata nykyisiä tekoälytyönkulkuja.
Kuudenneksi toiminta on jatkuvaa, ei jaksoittaista. Kirjanpitäjät käsittelevät jaksoittaisia tilinpäätös- ja neljännesvuosisyklejä, juristit yksittäisiä asioita; palkkahallintotoimistot pyörittävät kuukausisyklejä, viikoittaista poikkeusten käsittelyä ja jatkuvia työntekijäkyselyjä. Tiheys tekee shadow AI -käytöstä sekä houkuttelevampaa (enemmän tilaisuuksia kuukaudessa) että seurauksiltaan merkittävämpää (enemmän tietoja ylittää rajan jokaisessa luvattomassa käyttötapahtumassa).
2. Kuusi palkkahallinnon tietoryhmää ja niiden yhteys 9 artiklaan
Eri palkkahallintoasiakirjat tuottavat erilaisia peittämismalleja. Alla olevat kuusi ryhmää kattavat ~98% minkä tahansa palkkahallintotoimiston läpi kulkevasta aineistosta.
1. Kuukausittaiset palkka-ajot ja palkkalaskelmat. Usean työntekijän XLSX-tiedostot, joissa on nimi, kansallinen henkilötunniste (CF Italiassa, NIR Ranskassa, Steuer-ID Saksassa, DNI/NIE Espanjassa), IBAN, bruttopalkka, vähennykset ja poikkeusmerkinnät. Työntekijäkohtaiset PDF-palkkalaskelmat. Peittämisongelma on monimuotoinen: rakenteiset solutason henkilötiedot sekä vapaamuotoiset merkinnät, jotka sisältävät 9 artiklan tietoja. Kun tarkoituksena on peittää palkkalaskelma tekoälyavusteista tarkistusta varten, rakenteen säilyttämisen on pidettävä laskentalogiikka ennallaan. Palkkataulukon huomautussarake on yleisin yksittäinen 9 artiklan tietojen vuotokanava: ”sairaana kolme viikkoa Q3”, ”äitiysvapaa alkaa ensi kuussa”, ”ammattiyhdistystehtäviin liittyvä vapaa 5 päivää”, ”vammaisuuteen liittyvän etuuden oikaisu”. Nämä kaikki ovat yhteen sarakkeeseen keskittyviä 9 artiklan tietoja.
2. Lakisääteiset ilmoitukset. Italian kuukausittainen Uniemens-tietovirta, F24-maksu sosiaalivakuutusmaksuille, vuotuiset CUD/Modello Unico/Certificazione Unica -ilmoitukset; Ranskan kuukausittainen DSN (Déclaration Sociale Nominative); Saksan sosiaalivakuutusjärjestelmään toimitettavat SV-Meldungen-ilmoitukset ja ELStAM-veroilmoitukset; Espanjan TC1/TC2-ilmoitukset TGSS:lle ja Modelo 111/190 -ilmoitukset Agencia Tributaria -viranomaiselle. Jokainen ilmoitus sisältää usean työntekijän henkilötietoja viranomaisen määräämässä rakenteisessa muodossa. Peittämiskysymys tulee esiin, kun tekoälytyökaluilla etsitään ilmoituksista virheitä tai kun yhteenvetoja jaetaan rekisterinpitäjäasiakkaalle. Palkkahallinnon EDI-tietojen anonymisointi järjestelmien välisissä tietovirroissa on tekninen osaongelma.
3. Erokorvaukset, työsuhteen päättymiseen liittyvät maksut ja kertamaksut. TFR (Trattamento di Fine Rapporto) -laskelmat Italiassa, indemnité de fin de contrat Ranskassa, Abfindung Saksassa ja indemnización por despido Espanjassa. Ne sisältävät rahamäärien lisäksi usein työsuhteen päättymisen syyt (jotka voivat kuulua 9 artiklaan, jos ne liittyvät terveyteen) sekä mahdolliset sovintosummat. Näiden asiakirjojen säilytysaika on tyypillisesti toimiston toiminnan pisin.
4. Sairauspoissaoloihin, äitiysvapaisiin, isyysvapaisiin ja vammaisuuteen liittyvä dokumentaatio. Lääkärintodistukset, INPS/CPAM/Krankenkasse-tietojenvaihto, työterveyden merkinnät ja vammaisuuteen liittyvien etuuksien asiakirjat. Tämä ryhmä kuuluu kokonaan 9 artiklaan. Peittämisessä on huomioitava, että vaikka nimi olisi peitetty, diagnoosi tai lääketieteen erikoisala voi mahdollistaa uudelleentunnistamisen työntekijän tehtävän tai osaston kautta. Sairauspoissaolotietojen anonymisointi on siksi vaikeampaa kuin pinnalta näyttää.
5. Ammattiliittoihin ja työehtosopimuksiin liittyvät tiedot. Ammattiliiton jäsenyystiedot, jäsenmaksujen vähennykset palkasta, työehtosopimuskohtaiset palkkataulukot ja lakkopäivien vähennykset. Jälleen 9 artikla (ammattiliiton jäsenyys mainitaan nimenomaisesti 9(1) artiklassa). Ammattiliittotietojen GDPR-käsittely edellyttää erityistä 9(2) artiklan perustetta, joka palkkahallinnossa on tyypillisesti 9(2)(b) artiklan ”työlainsäädännön mukaiset velvoitteet”, mutta vain siltä osin kuin kansallinen laki sen sallii.
6. Työntekijöiden kirjeenvaihto ja poikkeusten käsittely. Työntekijät lähettävät palkkahallintotoimistolle suoraan sähköpostikysymyksiä (”palkkani oli väärin tässä kuussa”, ”tarvitsen palkkalaskelman asuntolainahakemusta varten”, ”voitteko vahvistaa oikeuteni vanhempainvapaaseen?”). Toimiston vastaussähköposti käsittelee henkilötietoja ja joskus 9 artiklan tietoja. Tämän kirjeenvaihdon käsittelyyn käytetyt tekoälyavustajat ovat palkkahallintotoimistojen nopeimmin kasvava yksittäinen shadow AI -lähde.
Kaikkia kuutta ryhmää yhdistää sama malli: tiedot ovat keskittyneitä, yhteys 9 artiklaan on vahva ja peittämiskerroksen on ymmärrettävä samanaikaisesti sekä rakenteiset kentät että vapaamuotoiset merkinnät.
3. Käsittelijän velvoitekokonaisuus: 28 artikla, 32 artikla, 88 artikla ja yritysneuvostot
Jokaiseen palkkahallintotoimistoon sovelletaan samanaikaisesti neljää GDPR:n artiklaa ja yritysneuvostokehystä.
28 artikla: käsittelijän selkäranka. Jokainen rekisterinpitäjän ja toimiston välinen suhde tarvitsee kirjallisen 28(3) artiklan mukaisen tietojenkäsittelysopimuksen (DPA), joka kattaa kahdeksan pakollista ehtoa. Alikäsittelijät (palkkahallinto-ohjelmiston toimittaja, pilviympäristön tarjoaja, tekoälytyökalu ja OCR-toimittaja) on ilmoitettava, ja rekisterinpitäjällä on oltava oikeus vastustaa niitä. Palkkahallintotoimiston DPA on toiminnan selkäranka; toimistot, joilla on vuoden 2018 DPA ilman tekoälytyökaluja koskevaa päivitystä, altistuvat riskeille jokaisessa rekisterinpitäjän sopimusuudistuksessa.
32 artikla: käsittelyn turvallisuus. Euroopan tietosuojaneuvoston ohjeissa käsittelijöiden teknisistä ja organisatorisista toimenpiteistä pseudonymisointi on nimenomaisesti osa keinovalikoimaa. Palkkahallintotoimistoille tämä tarkoittaa: peitä tiedot ennen jokaista tekoälykutsua, erottele moniasiakasympäristön tiedot, salaa tallennetut tiedot, kirjaa pääsyt ja dokumentoi hallintakeinot. Palkkahallintojärjestelmän 32 artiklan näyttöä toimisto esittää tietosuojaviranomaiselle ja rekisterinpitäjän tarkastajille. Myös palkkahallinnon lokien säilytys GDPR:n mukaan kuuluu tähän: pääsylokeja ja peittämistodistuksia on säilytettävä yhtä kauan kuin taustalla olevaa palkkatietuetta, tyypillisesti toimiston soveltaman pisimmän säilytysajan verran.
88 artikla: työsuhdekonteksti. Jäsenvaltiot voivat antaa tarkempia sääntöjä käsittelystä työsuhteen yhteydessä. Vuorovaikutus palkkahallintotoimistojen kanssa on epäsymmetrinen: rekisterinpitäjä (asiakasyritys) määrittää säännöt ja toimisto toteuttaa ne. Toimiston on siksi pystyttävä tukemaan eri rekisterinpitäjille erilaisia kansallisia sääntöjä, vaikka toimisto itse toimisi vain yhdessä oikeusjärjestyksessä.
Yritysneuvoston ja ammattiliiton kuuleminen. Italian art. 4 Statuto dei Lavoratori edellyttää sopimusta ammattiliiton tai yritysneuvoston kanssa ennen työntekijöitä seuraavien tai arvioivien järjestelmien käyttöönottoa. Ranskan Code du travail L2312-38 velvoittaa kuulemaan yritysneuvostoa. Saksan Betriebsverfassungsgesetz §87(1)(6) antaa yritysneuvostolle yhteispäätösoikeuden seurantajärjestelmistä. Espanjan ET art. 64 säätää vastaavista oikeuksista. Toimisto on monissa tapauksissa seurantajärjestelmän toimittaja; rekisterinpitäjä vastaa kuulemisesta, mutta toimiston on käytännössä tuettava kaikkia kuulemisessa määritettyjä pääsynhallintakeinoja ja kirjausketjuja. Toimistolla, joka ei voi osoittaa kunkin rekisterinpitäjän kuulemisen tuloksia, on moniasiakasympäristön vaatimustenmukaisuusongelma.
Moniasiakasympäristön vaikutusalue. Yleisimmin sivuutettu yksittäinen ulottuvuus. Palkkahallintotoimisto, joka säilyttää kahdensadan rekisterinpitäjän tietoja jaetussa ympäristössä, ylläpitää samalla kahtasataa erillistä 28 artiklan mukaista suhdetta. Yksi erotteluvirhe tekoälykerroksessa (tekoälyavustaja näkee vahingossa rekisterinpitäjän B tietoja vastatessaan rekisterinpitäjän A kysymykseen) tarkoittaa kahtasataa mahdollista tietoturvaloukkausilmoitusta. Moniasiakaspalkkahallinnon GDPR-hallintakeinot on suunniteltava tätä vaikutusaluetta varten.
Yhteisvaikutus: jokainen palkkahallintotoimiston toiminnallinen päätös koskettaa samanaikaisesti useita 28 artiklan suhteita ja kansallisia työlainsäädäntökehyksiä. Peittämiskerros on yksittäinen tekninen hallintakeino, joka toimii yhdenmukaisesti kaikissa niissä poistamalla taustalla olevat henkilötiedot ennen jatkotoimia. Peittämiskontekstin asiakaskohtainen rajaaminen toteuttaa myös teknisellä tasolla tietojen erottelua koskevan odotuksen, jonka jokainen 28 artiklan sopimus asettaa sopimustasolla. Näin paperilla oleva sitoumus muuttuu järjestelmän rakenteelliseksi ominaisuudeksi.
Yksi lisäulottuvuus on syytä nostaa esiin: toimiston oma henkilöstö on itsekin rekisteröityjen ryhmä. Kokeneet palkkahallinnon asiantuntijat, toimiston osakkaat ja aloittelevat harjoittelijat: kaikkien työsuhdetiedot ovat toimiston palkkahallintojärjestelmässä. Itseen kohdistuva tapaus (”hoidamme oman toimistomme palkkahallinnon”) luo sisäisen, 28 artiklan kaltaisen suhteen, jossa toimisto on yhtä aikaa rekisterinpitäjä (omalle henkilöstölleen) ja käsittelijä (asiakkaiden henkilöstölle). Molempia yhtä aikaa tukeva arkkitehtuurimalli on sama edellä käsitelty asiakaskohtaisesti rajattu peittäminen, jossa toimiston omaa rekisterinpitäjätunnusta käsitellään samoin kuin kaikkien ulkoisten rekisterinpitäjien tunnuksia. Tämä on pieni mutta tärkeä asia toimiston tietosuojavastaavalle, kun hän kuvaa arkkitehtuuria tarkastajalle.
4. Kansalliset työlainsäädäntökehykset ja niiden vaatimat ilmoitukset
Neljä kansallista järjestelmää muovaa palkkahallintotoimistojen käytäntöjä EU:n suurimmilla markkinoilla.
Italia. Consulente del lavoro on säännelty ammatti lain Law 12/1979 nojalla. Kuukausittaiset UNIEMENS-ilmoitukset INPS:lle, vuotuinen CU (Certificazione Unica) veroilmoituksia varten ja F24-maksut sosiaalivakuutusmaksuille. Statuto dei Lavoratori art. 4 säätelee seuranta- ja arviointijärjestelmiä. Garante on antanut vuosina 2024-2025 erityisohjeita pilvi- ja tekoälytyökaluja käyttäville consulenti del lavoro -ammattilaisille; toistuva teema on, että consulente on 28 artiklan mukainen käsittelijä ja rekisterinpitäjän ohjeet on dokumentoitava.
Ranska. Cabinet de gestion de paie toimii laajemmassa työoikeudellisen konsultoinnin kehyksessä; DSN (Déclaration Sociale Nominative) on kuukausittainen tietovirta, joka yhdisti aiemmat DADS-U-ilmoitukset, URSSAF-ilmoitukset ja muut ilmoitukset. CNIL:n vuoden 2024 ohjeistus käsittelee nimenomaan palkkahallinnon palveluntarjoajien tekoälytyökalujen käyttöä ja edellyttää tietosuojaa koskevaa vaikutustenarviointia jokaiselle työntekijätietoja koskettavalle tekoälyvaiheelle. Cabinet gestion paie RGPD -vaatimustenmukaisuus ja anonymisoitu DSN-tietovirta sisäiseen tekoälytarkistukseen ovat kaksi eniten kysyttyä asiaa vuonna 2026.
Saksa. Lohnbüro toimii Steuerberater-kehyksessä (StBerG) tai erillisenä palveluntarjoajana. Kuukausittaiset SV-Meldungen-ilmoitukset (sosiaalivakuutusraportit) Krankenkasse-organisaatiolle, ELStAM-veroilmoitukset ja kuukausittainen Lohnsteueranmeldung. Yritysneuvostoilla on vahvat yhteispäätösoikeudet seurantajärjestelmistä BetrVG §87(1)(6) -säännöksen nojalla; Lohnbüro-toimiston on tuettava kaikkia yritysneuvostosopimuksen vaatimia pääsynhallintakeinoja. Bundessteuerberaterkammer on antanut vuonna 2024 tekoälyn käyttöä koskevaa ohjeistusta, joka on linjassa Euroopan tietosuojaneuvoston laajemman kehyksen kanssa.
Espanja. Gestoría laboral vastaa Italian consulente del lavoro -ammattilaista. Kuukausittaiset TC1/TC2-ilmoitukset TGSS:lle, neljännesvuosittaiset Modelo 111 -ennakonpidätysilmoitukset ja vuotuinen Modelo 190 -yhteenveto. ET art. 64 määrittää yritysneuvoston oikeudet, mukaan lukien seurantajärjestelmiä koskevan kuulemisen. AEPD on julkaissut vuonna 2024 työoikeudellisia konsulttitoimistoja ja tekoälytyökaluja koskevaa erityisohjeistusta, joka keskittyy käsittelijäsuhteeseen ja usean asiakkaan tietojen erotteluun.
Kaikissa neljässä oikeusjärjestyksessä toistuu sama malli: toimisto käsittelee rakenteiset tiedot viranomaisen määräämiin muotoihin, sen on tuettava rekisterinpitäjän määrittämiä yritysneuvoston tai ammattiliiton kuulemisoikeuksia ja sen on tehtävä kaikki tämä useille rekisterinpitäjille samanaikaisesti. GDPR:n 88 artiklan työntekijöitä koskevat velvoitteet ovat oikeusjärjestyskohtaisia, eikä niitä voi yhtenäistää; toimiston on tuettava kaikkia neljää (ja muita asiakkaidensa soveltamia järjestelmiä) sekoittamatta niitä toisiinsa.
5. Jatkuvan tietovirran ongelma ja moniasiakasympäristön vaikutusalue
Kolme toiminnallista piirrettä erottaa palkkahallintotoimistot muista käsittelijäryhmistä, joita olemme käsitelleet, ja jokainen niistä korostaa peittämiskerroksen merkitystä.
Jatkuva kuukausisykli ja päivittäinen poikkeusten käsittely. Kirjanpitäjän kiirekausi on helmi–huhtikuu, juristin asian ruuhkahuippu on oikeudenkäynnissä; palkkahallintotoimiston sykli toistuu joka ikinen kuukausi, joka ikinen vuosi. Lisäksi se käsittelee jatkuvasti sairauspoissaoloja, kesken syklin aloittavia ja lähteviä työntekijöitä, virheitä ja työntekijöiden kysymyksiä. Shadow AI -käytön tilaisuuksien kokonaismäärä kuukaudessa on kertaluokkaa suurempi kuin jaksoittaisissa ammateissa.
Moniasiakastoimintaympäristö. Toimiston palkkahallintojärjestelmä säilyttää satojen rekisterinpitäjien tietoja samassa fyysisessä ympäristössä. Looginen erottelu toteutetaan sovelluskerroksessa (asiakastunnus, pääsynhallinta ja auditointilokitus), mutta yksi virheellinen määritys vaikuttaa useaan rekisterinpitäjään. Tekoälykerros lisää uuden virhetyypin: eri asiakkaiden tiedoilla hienosäädetty tekoälyavustaja tai vahingossa toisen asiakkaan tietoja hakeva kehote rikkoo erottelun, jota muu arkkitehtuuri on suunniteltu toteuttamaan. Tekoälyn edessä oleva peittämiskerros palauttaa erottelutakuun tekoälyn puolella.
Ulottuvuus rekisterinpitäjän suorien työntekijöiden ulkopuolelle. Yrityksen X palkkahallintoa käsittelevä toimisto koskettaa myös X:n toimittajien henkilötietoja (joissakin maksutyönkuluissa), X:n toimeksisaajien tietoja ja joskus X:n asiakkaiden tietoja (liikevaihtoon sidotuissa korvauksissa). Rekisteröityjen joukko on siksi suurempi kuin rekisterinpitäjän työntekijämäärä, ja peittämisanalyysin on huomioitava heidät kaikki.
Palkkahallintotoimistojen on syytä arvioida pääsyrajat, asiakkaiden erottelu ja toimintatiedot ennen jaetun palvelun käyttöönottoa. Peittäminen auttaa vähentämään tunnistettujen arkaluonteisten arvojen altistumista; se ei yksin osoita asiakasympäristöjen eristystä tai vaatimustenmukaisuutta. Varmista omassa työtilassasi ja työnkulussasi tarvittavat hallintakeinot ja näyttö.
6. Shadow AI -ongelma palkkahallintotoimistojen sisällä
Shadow AI eli hallitsematon tekoälyn käyttö saa palkkahallintotoimistoissa erityisiä muotoja, jotka poikkeavat HR:ssä, kirjanpidossa ja juridiikassa näkemistämme malleista.
Poikkeusten käsittelyn shadow AI -työnkulku. Palkkahallinnon asiantuntija selvittää laskentavirhettä perjantai-iltapäivänä. Hän liittää kuluttajille tarkoitettuun ChatGPT-tiliin 30 rivin XLSX-taulukon, jossa on työntekijöiden nimet, verotunnisteet, IBAN-tunnukset ja kiistanalainen brutto-nettolaskelma, jotta työkalu ”löytäisi kaavan ongelman”. Malli näkee koko työntekijäluettelon osan. Tiedot ovat nyt mallintarjoajan lokeissa; toimiston 30 artiklan mukainen seloste ei osoita tätä käsittelyä; rekisterinpitäjä ei koskaan antanut siihen lupaa.
Työntekijäkysymyksiä käsittelevän chatbotin shadow AI -työnkulku. Toimisto ottaa käyttöön sisäisen chatbotin, joka auttaa palkkahallinnon asiantuntijoita vastaamaan työntekijäkyselyihin nopeammin. Botti on määritetty kuluttajille tarkoitetulle kielimallipalvelutasolle ilman DPA:ta. Työntekijöiden kysymykset (”Olen sairauslomalla syöpähoidon vuoksi, mihin olen oikeutettu?”) kulkevat botin kautta. Toimisto on nyt luonut uuden käsittelytoimen, joka koskettaa 9 artiklan tietoja ilman rekisterinpitäjän ohjeissa nimenomaisesti katettua 9(2) artiklan perustetta. Tällaiset ChatGPT-käyttötavat palkkahallinnossa ovat yleisiä ja jäävät usein toimiston tietosuojavastaavalta näkymättömiin.
CCNL-tulkinnan shadow AI -työnkulku. Toimiston asiantuntija tulkitsee toimialakohtaisen työehtosopimuksen ehtoa (CCNL Italiassa, convention collective Ranskassa, Tarifvertrag Saksassa, convenio colectivo Espanjassa) ja käyttää kuluttajille tarkoitettua kielimallia sen tiivistämiseen. Työehtosopimuksen ehto ei itsessään ole henkilötieto, mutta asiantuntijan kielimallille antama esimerkki (”asiakkaallamme X työntekijä Y palkkaluokassa Z…”) on. Työehtosopimuksiin liittyvien tietojen peittäminen tekoälyavusteista tulkintaa varten on osatyönkulku, joka muuttaa tämän hallitsemattomasta hyväksytyksi käytöksi.
Koulutuksen ja perehdytyksen shadow AI -työnkulku. Uutta asiantuntijaa koulutetaan palkkahallinnon työnkulkuihin, ja hän käyttää todellisia asiakastietoja (”anonymisoituina”) tapausesimerkkeinä kuluttajakielimallin istunnossa saadakseen ”selityksen”. ”Anonymisoitu” tarkoittaa tässä yhteydessä yleensä sitä, että nimi on poistettu; palkka, tehtävä, sijainti, työnantaja ja usein myös 9 artiklan tiedot ovat kaikki ennallaan ja rekonstruoitavissa.
Tarkastukseen valmistautumisen shadow AI -työnkulku. Toimisto valmistautuu rekisterinpitäjän vuotuiseen tarkastukseen tiivistämällä tämän palkkahallintohistorian tekoälytyökalulla. Historia sisältää jo lähteneitä työntekijöitä, sairauspoissaolotietoja ja erokorvauslaskelmia. Tarkastusyhteenveto on hyödyllinen, mutta taustalla oleva käsittely on nyt kopioinut kaikkien näiden rekisteröityjen tietueet uuteen toimintatilaan (tekoälytyökalun istuntomuistiin) ilman 30 artiklan mukaista merkintää.
Ratkaisu on sama arkkitehtuurimalli, jota olemme kuvanneet koko sarjassa, kolmella palkkahallintokohtaisella mukautuksella. Ensinnäkin asiakastietoinen peittäminen: sanasto ja tunnistuskontekstit on rajattava rekisterinpitäjäkohtaisesti, jotta asiakkaiden välinen vuoto on rakenteellisesti mahdoton. Toiseksi 9 artiklan huomioiva tunnistus: toimiston peittämistyökalun on merkittävä nimenomaisesti sairauspoissaolo- ja ammattiliiton jäsenmaksusarakkeet 9 artiklan tiedoiksi ja käsiteltävä niitä tiukemmalla peittämisellä. Kolmanneksi työntekijätyönkulkujen integrointi: jokaisen työntekijäkyselyjä käsittelevän chatbotin on peitettävä henkilötiedot selaimessa ennen kuin kysymys saavuttaa mallin, palautettava ne vastauksessa ja reititettävä käsittely EU:ssa ylläpidetyn kielimallin kautta allekirjoitetun DPA:n nojalla. Palkkatietojen anonymisointi tekoälyä varten on kattava toimintatapa; kolme mukautusta määrittävät sen käytännön toteutuksen.
Henkilökohtaisia tilejä ja hallitsematonta tekoälyn käyttöä koskeva julkaistu näyttö, mukaan lukien se, mitä kukin tutkimus laski ja milloin, löytyy shadow AI -tilastojen auditoinnista.
7. Palkkahallintotoimistoille mukautettu peittämistyönkulku
Pääoppaan 5-vaiheinen työnkulku soveltuu palkkahallintoasiakirjoihin kolmella palkkahallintokohtaisella mukautuksella.
- Lataa (asiakaskontekstissa). Jokainen lataus rajataan tiettyyn rekisterinpitäjään. XLSX-tiedosto, PDF-palkkalaskelmat ja DSN/Uniemens/SV-Meldung-ilmoitukset kuljettavat rekisterinpitäjätunnuksen läpi kaikkien jatkotoimien. Tunnistusta varten ladattu sanasto on rekisterinpitäjän työntekijäluettelo, ei toimiston kaikkien luetteloiden yhdistelmä; tämä on asiakaskohtaisen rajauksen tae.
- Tunnista (palkkahallinnon tunnistusketjulla ja 9 artiklan merkinnällä). Sanastohaku rekisterinpitäjän työntekijäluettelosta, kansalliset säännölliset lausekkeet (CF, NIR, Steuer-ID, DNI/NIE, IBAN), monikielinen nimettyjen entiteettien tunnistus jäljelle jääville nimille ja organisaatioille sekä OCR-tunnistus skannatuille lääkärintodistuksille. Palkkahallintokohtainen lisäys: saraketason 9 artiklan merkintä, joka käsittelee sairauspoissaolojen syitä, ammattiliiton jäsenmaksusarakkeita ja vammaisuuteen liittyvien etuuksien sarakkeita oletusarvoisesti muita sarakkeita tiukemmin.
- Tarkista (tietoryhmittäin ja siirtämällä 9 artiklan tiedot vastuuhenkilölle). Näytä tunnistetut tiedot ryhmiteltyinä ja merkitse 9 artiklan ryhmät nimetyn tietosuojavastaavan yhteyshenkilön tarkistettaviksi tavallisen käsittelijän sijasta. Palkkahallintotoimiston ihmisen tekemä tarkistus on yksityiskohtaisempi kuin kirjanpitäjän, koska 9 artiklan sarakkeiden oikeudellinen arkaluonteisuus on suurempi.
- Toteuta (kohteen mukaisella tavalla). Sisäisiin tekoälytyönkulkuihin (virheiden tunnistus, poikkeusten käsittely): palautettava peittäminen paikallisella palautuksella. Rekisterinpitäjälle jakamiseen (kuukausisulun yhteenveto, tarkastusraportti): peruuttamaton mustaaminen henkilötiedoille, jotka eivät ole ehdottoman välttämättömiä rekisterinpitäjän tarkoitukseen. Lakisääteisiin ilmoituksiin: ilmoitusmuoto itsessään rajoittaa sitä, mitä voidaan peittää; peittämistyökalun on ymmärrettävä, mitä kenttiä voidaan muuttaa ja mitkä ovat ilmoituksessa pakollisia.
- Luo todistus ja reititä asiakaskohtaisesti. Luo SHA-256-todistus, jossa on asiakastunnus, tiiviste, peittämistapa ja ryhmäkohtaiset lukumäärät. Todistuksesta tulee toimiston 30 artiklan mukainen toimeksiantokohtainen merkintä ja rekisterinpitäjän näyttö tarkastuksessa. Moniasiakastoiminnassa todistusten asiakaskohtainen kooste on aineisto, jonka toimisto esittää rekisterinpitäjän vuotuisessa arvioinnissa. Kooste muodostaa myös rungon toimiston omalle sisäisen valvonnan raportoinnille tietosuojavastaavalle ja johdolle, koska se tuottaa deterministisen kuukausikuvan siitä, kuinka paljon tietoja käsiteltiin ryhmittäin, millä peittämistasolla ja kullekin rekisterinpitäjälle, muodossa, joka ei itsessään sisällä henkilötietoja.
Konkreettinen esimerkki. Palkkahallintotoimisto käsittelee kuukausittaisen palkka-ajon italialaiselle insinööriyritykselle, jolla on kuusikymmentä työntekijää. XLSX-tiedoston sarakkeet ovat nimi, verotunniste, IBAN, bruttopalkka, pidätykset, poissaolojen syyt ja ammattiliitto. Sanasto sisältää insinööriyrityksen työntekijäluettelon. Tunnistusketju löytää CF-tunnisteet (60/60), IBAN-tunnukset (60/60), 8 ammattiliiton jäsenmaksumerkintää ja 12 sairauspoissaolon syytä huomautussarakkeesta. Tarkistuksessa 12 sairauspoissaolomerkintää siirretään tietosuojavastaavan yhteyshenkilölle sen vahvistamiseksi, että toimiston tavanomainen peittämiskäsittely on asianmukainen. Yhteyshenkilö hyväksyy käsittelyn. Vientituloksena on XLSX-tiedosto, jossa henkilötiedot on korvattu paikkamerkeillä, kaavat ovat ennallaan ja 9 artiklan sarakkeet on joko peitetty kokonaan (tekoälytarkistusta varten) tai korvattu pelkillä ryhmätunnisteilla (”lääketieteellisesti vahvistettu poissaolo”) rekisterinpitäjän kuukausiyhteenvetoa varten. Todistus kirjaa asiakastunnuksen, syötteen ja tuloksen SHA-256-tiivisteet, ryhmäkohtaiset määrät (60 CF-tunnistetta, 60 IBAN-tunnusta, 8 ammattiliiton jäsenmaksua, 12 osumaa 9 artiklan tiedoissa), peittämistavan ja aikaleiman. Kokonaisaika tietosuojavastaavalle siirtäminen mukaan lukien: alle 20 minuuttia.
8. Usein kysytyt kysymykset
Onko palkkahallintotoimisto työntekijätietojen käsittelijä vai rekisterinpitäjä?
Lähes aina käsittelijä. Rekisterinpitäjä on työnantaja (toimiston asiakas). Toimisto käsittelee työntekijätietoja dokumentoitujen ohjeiden mukaisesti. Poikkeustapauksia on (esimerkiksi toimiston sisäiset työntekijätiedot ja markkinointi entisille asiakkaille), mutta palkkahallinnon ydintyönkulussa toimisto on käsittelijä.
Voiko yritysneuvosto estää tekoälytyökalumme käyttöönoton?
Useimmissa EU:n oikeusjärjestyksissä kyllä. Yritysneuvostolla on yhteispäätösoikeudet seuranta- ja arviointijärjestelmistä (BetrVG §87 Saksassa, Statuto dei Lavoratori art. 4 Italiassa, Code du travail L2312-38 Ranskassa, ET art. 64 Espanjassa). Toimisto on monissa tapauksissa järjestelmän toimittaja; rekisterinpitäjä vastaa kuulemisesta, mutta toimiston on tuettava kaikkia kuulemisessa määritettyjä pääsynhallintakeinoja.
Kuuluvatko sairauspoissaolojen syyt 9 artiklaan, vaikka ne olisivat vain yhden sanan merkintöjä?
Kyllä. Yhden sanan merkintä, kuten ”flunssa”, ”selkäkipu”, ”ahdistus” tai ”leikkaus”, paljastaa terveystietoja ja johtaa 9 artiklan soveltamiseen. Työlainsäädännön velvoitteisiin liittyvä käsittely 9(2)(b) artiklan nojalla voi olla mahdollista, mutta tietojen käsittelyä 9 artiklan tietoina koskeva analyysi pätee silti, ja toimiston on osoitettava käsittelyperuste sekä asianmukaiset suojatoimet. Äitiysvapaatietojen anonymisointiin sovelletaan samaa sääntöä (vanhemmuusasema kuuluu joidenkin tulkintojen mukaan 9 artiklaan, toisten mukaan työsuhdetietoihin; turvallisempi käsittelytapa on 9 artiklan mukainen).
Mikä on oikea 32 artiklan mukainen näyttö palkkahallintotoimiston peittämiskerrokselle?
Palkkahallinnon tarkastus voi edellyttää käsittelyselosteita, tietosuojaa koskevaa vaikutustenarviointia, palveluntarjoajasopimuksia, pääsytietoja ja näyttöä yksittäisistä toimenpiteistä. Peittämistodistus voi täydentää tätä näyttöä, mutta se ei korvaa muita asiakirjoja. Varmista paketissasi tosiasiallisesti saatavilla olevat kentät ja viennit.
Kuinka kauan palkkahallinnon toimeksiannon peittämistodistusta on säilytettävä?
Vähintään yhtä kauan kuin taustalla olevaa palkkatietuetta (Italian palkkahallinnossa tyypillisesti kymmenen vuotta siviililain säilytyssääntöjen nojalla; vastaava aika muissa oikeusjärjestyksissä). Todistukset eivät sisällä henkilötietoja, joten niiden säilyttäminen ei itsessään aiheuta yksityisyysongelmia. Säilytä ne näyttönä; tallennuksen lisäkustannus on mitätön.
Voinko käyttää tekoälyä toimistolle tulevien työntekijäkyselyjen käsittelyyn?
Redacticin asiakirjojen tunnistus ja peittäminen toimivat Redacticin hallitsemassa infrastruktuurissa Euroopassa ilman kolmannen osapuolen tekoäly- tai koneoppimispäättelyä peittämättömällä sisällöllä. Valinnaiset tekoälytyönkulut ovat erillisiä: tunnistetut arkaluonteiset arvot poistetaan tai korvataan ennen valmistellun sisällön lähettämistä valitulle palveluntarjoajalle. Tarkista asiakirjan teksti, lisäohjeet ja keskusteluviestit; tunnistamatta jääneet arvot ja asiayhteyden yksityiskohdat voivat edelleen mahdollistaa henkilöiden tunnistamisen. Palveluntarjoaja, alue sekä säilytys- ja koulutusehdot riippuvat valitusta työnkulusta ja sovellettavasta sopimuksesta.
Mitä tapahtuu, jos tekoälytyökalumme näkee rekisterinpitäjän B tietoja vastatessaan rekisterinpitäjän A kysymykseen?
Tämä on asiakkaiden välinen vuoto, joka käynnistää 33-34 artiklan velvoitteet molempia rekisterinpitäjiä kohtaan sekä heidän työntekijöitään kohtaan, jos riski sitä edellyttää. Ilmoitusten vaikutusalue moninkertaistuu. Arkkitehtuuriratkaisu on asiakaskohtaisesti rajattu peittäminen: istuntoon ladattu sanasto ja tunnistuskonteksti on rajattava siihen rekisterinpitäjään, jolle istunto kuuluu, eikä tekoälytyökalulla saa olla asiakkaiden välistä muistia. Moniasiakaspalkkahallinnon GDPR-vaatimustenmukaisuus on rakenteellisesti yksinkertaisempaa asiakaskohtaisesti rajatulla peittämisellä kuin ilman sitä.
Sovelletaanko EU:n tekoälysäädöstä palkkahallinnossa käyttämiimme tekoälytyökaluihin?
Useimpia palkkahallinnon tekoälytyökaluja ei luokitella suuririskisiksi liitteen III nojalla. Lähimmät mahdollisesti sovellettavat ryhmät ovat liite III(4) (HR-käyttö, erityisesti suorituksen arviointi), jos palkkahallintotyökalua käytetään arviointiin, ja liite III(5)(d) (rahoituspalvelujen riskinarviointi), jos työkalu käynnistää luotto- tai petospäätöksiä. Useimpaan palkkahallintotoimistojen tekoälyn käyttöön sovelletaan tekoälysäädöksen 13 artiklan avoimuutta, 26 artiklan käyttöönottajan velvoitteita ja 4 artiklan tekoälylukutaitoa (voimassa helmikuusta 2025 alkaen).
Miten osoitamme asiakkaiden tietojen erottelun tietosuojaviranomaiselle?
Pyydä näyttöä työtilan pääsynhallinnasta, asiakkaiden erottelusta ja käyttöönottosi kannalta olennaisista saatavilla olevista auditointivienneistä. Tarkista nämä vaatimukset Redacticin tiimin kanssa sen sijaan, että olettaisit jokaisen todistuksen sisältävän rekisterinpitäjätunnuksen tai tietyn viennin kuuluvan jokaiseen pakettiin.
Missä Redactic säilyttää palkkahallintotietomme?
Asiakirjat ja tulokset käyttävät tilapäistä käsittelytallennusta Redacticin hallitsemassa infrastruktuurissa Euroopassa. Palautustietoihin voi liittyä tilapäistä palvelinpuolen käsittelyä. Tili-, laskutus-, suostumus- ja toimintatiedot käsitellään erikseen. Katso säilytys- ja poistoehdot Redacticin DPA:sta ja tietosuojaselosteesta ja pyydä meitä vahvistamaan työnkulkusi profiili. Lisätietoja: luottamussivut
Lopuksi toiminnallinen huomio arkkitehtuurimuutosta harkitseville palkkahallintotoimistoille. Oman toteutuksen ja ostamisen taloudellinen vertailu kallistuu voimakkaammin ostamisen puolelle kuin muissa käsittelemissämme asiantuntijaryhmissä kahdesta syystä. Ensinnäkin asiakaskohtaisen rajauksen vaatimus lisää toiminnallista monimutkaisuutta, jota harvat sisäiset tiimit ovat aiemmin rakentaneet. Toiseksi 9 artiklan sarakkeiden käsittely edellyttää jatkuvaa mukauttamista kansallisen työlainsäädännön kehittyessä; usean oikeusjärjestyksen asiakaskuntaa palvelevat toimittajat näkevät tämän kehityksen nopeammin kuin yksittäinen toimisto. Arkkitehtuuripäätöksen lykkäämisen vaihtoehtoiskustannus on palkkahallinnossa suurempi kuin muualla, koska jatkuva kuukausisykli tuottaa jatkuvaa houkutusta shadow AI -käyttöön; jokainen lykätty kuukausi kerryttää lisää hallitsemattomia käyttötapahtumia toimiston riskipinnalle.
Jos toimistosi käsittelee kuukausittain viidenkymmenen tai useamman rekisterinpitäjän palkkahallintoa, ja niin se tekee, jokainen näistä kuukausiajoista kulkee tällä hetkellä sähköpostin, sisäisten tallennusasemien ja kuluttajatekoälytyökalujen kautta ilman niiden edessä olevaa asiakastietoista peittämiskerrosta. Tekemättä jättämisen kustannus ei ole abstrakti: se on seuraava usean rekisterinpitäjän tietoturvaloukkaus, jossa yksi ilmoitus muuttuu viideksikymmeneksi, seuraava Garanten tai CNIL:n tarkastus, jossa tekoälytyökaluja koskeva näyttö on ensimmäinen pyydetty asia, seuraava yritysneuvoston valitus ilman kuulemista käyttöönotetusta seurantajärjestelmästä ja yhä useammin seuraava ammatillisen vastuuvakuutuksen tarjoaja, joka hylkää korvausvaatimuksen, koska tekoälyn käyttöä ei ollut dokumentoitu. Arkkitehtuuri on olemassa, sääntelyn kello käy ja peittämiskerros maksaa itsensä takaisin ensimmäisellä kerralla, kun rekisterinpitäjä pyytää 30 artiklan mukaista näyttöä. Aloita tässä kuussa kolmesta suurimman tietomäärän rekisterinpitäjästä. Käytännöllinen etenemissääntö: priorisoi rekisterinpitäjät, joilla on monimutkaisimmat työehtosopimukset (enemmän 9 artiklan sarakkeita ja ammattiliiton jäsenmaksujen monimutkaisuutta), suurimmat yritysneuvostot (enemmän yhteispäätöksiin kohdistuvaa tarkastelua) ja aktiivisinta työntekijöiden lähettämistä rajojen yli (enemmän usean oikeusjärjestyksen päällekkäisyyttä). Toimistot, jotka toteuttavat peittämiskerroksen näille kolmelle rekisterinpitäjälle ensimmäisen kuukauden aikana, havaitsevat tyypillisesti, että toimintatapa siirtyy muuhun asiakaskantaan hyvin vähäisellä lisätyöllä ja todistuksiin perustuvasta näyttövirrasta tulee uusi perustaso yhden vuosineljänneksen kuluessa. Vaikein osa on harvoin teknologia; se on toiminnallinen siirtymä tapauskohtaisesta käsittelystä todistuksin tuettuun näyttöön jokaisessa vaiheessa. Kun tämä muutos on toteutettu kolmelle rekisterinpitäjälle, muu asiakaskanta seuraa toimintaperiaatteen eikä koulutuksen perusteella.
Perusarkkitehtuuri esitellään pääoppaassa; HR:ään liittyvät työnkulut HR-aiheartikkelissa; verotukseen keskittyvä kirjanpito kirjanpitäjien aiheartikkelissa; ja asianajotoimistojen rinnakkaistapaukset juridiikan aiheartikkelissa. Jos haluat nähdä Redacticin toiminnassa usean työntekijän esimerkkipalkkataulukolla, redactic.eu-etusivulla on reaaliaikainen demo. Solo- tai Firm-paketteja käyttäville toimistoille sama arkkitehtuuri on saatavilla julkaistuilla käyttäjäkohtaisilla hinnoilla, ja sitä voi laajentaa toimiston kasvaessa.