Tietosuojavaltuutettu on kannanottonaan ja yleisenä ohjauksena todennut, että työntekijöiden verkkoselailusta eli ns. verkkosurffailusta muodostuvia tunnistamistietoja ei saa käyttää työnantajan työn johto- ja valvontaoikeuden eli direktio-oikeuden nojalla siten, että työntekijöitä valvotaan, seurataan ja tarkkaillaan keräämällä ja/tai katsomalla näitä tunnistamistietoja. Tunnistamistiedoista muodostunee myös henkilörekisteri siltä osin kuin niistä tallentuu tunnistettavia luonnollisia henkilöitä koskevia henkilötietolain 3 § 1 kohdan tarkoittamia henkilötietoja.
Työnantaja voi kuitenkin direktio-oikeuden nojalla päättää tietoverkkojen käyttösäännöistä ja päättää siitä, saako työpaikalla verkkosurffailla ylipäätään tai vain tietyillä sivuilla. Työnantaja voinee myös estää joillekin sivuille pääsyn koko organisaatiossa tai tietyille tahoille organisaatiossa. Tältä osin työnantajan on kuitenkin huomioitava tasapuolinen kohtelu työpaikalla ja työsopimuslain (55/2001) 2 luvun 2 §:n tarkoittama syrjimättömyyden toteutuminen. Sääntöjen noudattamista voidaan valvoa myös perinteisin työnjohto-oikeudellisin keinoin siten, että työnantaja tai tätä edustava esimies huomatessaan työntekijän surffailevan kielletyillä sivuilla kieltää häntä näin tekemästä.
----------------
Lain perustelujen mukaan työnantajalla on oikeus työn johto ja valvontaoikeutensa perusteella päättää valvontatavoista, jos ne muutoin ovat sallittuja. Työnjohto ja valvontaoikeutta rajoittavat tietyt perusoikeudet, työlainsäädäntö ja työntekijöihin ja virkamiehiin ja heidän työnantajiinsa sovellettava muu lainsäädäntö. Keskeinen merkitys on rikoslainsäädännöllä, jonka perusteella työnantajat voidaan tuomita rangaistuksiin teoista, jotka kohdistuvat työntekijöihin. Lisäksi valvonnan avulla kerättävät tiedot rajoittuisivat vain sellaisiin, jotka ovat tarpeellisia.
Yhteistoimintamenettelyssäkään ei voida sopia lain vastaisesta teknisestä valvonnasta, tarpeettomien henkilötietojen käsittelystä tai viestinnän luottamuksellisuuden loukkaamisesta. Tietoverkkojen käyttösääntöjen yhteydessä työantaja voi kuitenkin määritellä säännöt verkkoselailun sallittavuudesta työpaikalla.
