Lyhyesti
- Henkilötietojen tietoturvaloukkaus on paljon laajempi käsite kuin tietomurto: siihen kuuluvat myös väärälle vastaanottajalle lähtenyt sähköposti, kadonnut kannettava ja kiristyshaittaohjelman lukitsema rekisteri.
- Ilmoitukset ratkeavat riskillä. Jos riskiä ei todennäköisesti ole, riittää oma kirjaus. Jos riski on, ilmoitat tietosuojavaltuutetulle 72 tunnissa. Jos riski on korkea, kerrot lisäksi niille, joita tiedot koskevat.
- Määräaika alkaa, kun loukkaus tulee ilmi, ja se kuluu myös viikonloppuna. Ilmoituksen saa antaa vaiheittain, joten keskeneräinen selvitys ei ole syy odottaa.
- Korkeimman hallinto-oikeuden mukaan riski oli korkea, kun kaapatulla sähköpostitilillä oli nimiä ja henkilötunnuksia (KHO 2022:131).
- Kuukausien selvittely ennen ilmoitusta toi huomautuksen (KHO 2024:115) – tutkinnan jatkuminen ei siirrä määräaikaa.
Henkilötietojen tietoturvaloukkaus tarkoittaa tapahtumaa, jossa henkilötietoja tuhoutuu, häviää, muuttuu tai päätyy sivullisen ulottuville ilman lupaa. Kun sellainen osuu omalle kohdalle, ensimmäinen tarvittava tieto ei ole tekninen vaan ajallinen: mistä hetkestä 72 tunnin ilmoitusaika alkoi juosta. Tässä artikkelissa käyn läpi, mikä ylipäätään lasketaan loukkaukseksi, miten ilmoituksista päätetään ja missä kohdissa korkein hallinto-oikeus on vetänyt rajat.
Tietoturvaloukkaus on useammin oma virhe kuin hyökkäys
Sana tuo mieleen hakkerin, mutta suurin osa loukkauksista syntyy arkisemmin. Palkkalaskelma lähtee sähköpostilla väärälle vastaanottajalle. Työntekijä syöttää tunnuksensa kalasteluviestin lomakkeeseen, ja tili on vieraissa käsissä. Salaamaton kannettava jää junaan. Entisen työntekijän tunnukset jäävät voimaan, ja hän kirjautuu asiakasrekisteriin kuukausia lähtönsä jälkeen. Myös saatavuuden menetys kuuluu määritelmään: jos kiristyshaittaohjelma salaa asiakastietokannan eikä varmuuskopiota ole, kyseessä on tietoturvaloukkaus, vaikka tietoja ei olisi viety minnekään.
Rajaus kulkee henkilötiedoissa. Verkkosivuston kaatuminen tai palvelunestohyökkäys ei ole tässä tarkoitettu loukkaus, jos kenenkään henkilötiedot eivät vaarannu. Se, mitä kaikkea henkilötiedot kattavat ja millä perusteilla niitä käsitellään, on käyty läpi henkilötietojen käsittelyä koskevassa artikkelissa.
Kolme kysymystä ratkaisevat, mitä teet
Loukkauksen jälkeiset velvollisuudet asettuvat kolmen kysymyksen varaan, ja ne kannattaa käydä läpi tässä järjestyksessä.
Ensimmäinen: vaarantuiko henkilötietoja? Jos ei, kyse on tavallisesta tietoturvapoikkeamasta, joka hoidetaan sisäisesti ilman tietosuojailmoituksia.
Toinen: aiheutuuko loukkauksesta todennäköisesti riskiä niille, joiden tietoja se koskee? Jos riskiä ei todennäköisesti ole – esimerkiksi kun kadonnut puhelin oli vahvasti salattu ja etätyhjennetty – ilmoitusta valvontaviranomaiselle ei tarvita. Vapautus ei silti tarkoita, että asian voi unohtaa: tietosuoja-asetuksen 33 artiklan 5 kohta vaatii dokumentoimaan kaikki loukkaukset, myös ne, joista ei ilmoiteta. Todistustaakka arviosta on rekisterinpitäjällä, joten perustelut kirjataan sillä tarkkuudella, että ne kestävät viranomaisen katseen vielä vuosienkin päästä.
Kolmas: onko riski korkea? Silloin pelkkä viranomaisilmoitus jää vajaaksi: loukkauksesta on kerrottava myös rekisteröidyille itselleen. Jos punnitset kahden portaan välillä, valitse raskaampi. Ilmoitus, joka jälkikäteen osoittautuu tarpeettomaksi, on paljon halvempi kuin ilmoitus, joka jäi tekemättä.
KHO 2022:131 näyttää, missä korkean riskin raja kulkee
Asianajotoimiston työntekijä oli syöttänyt tunnuksensa kalasteluviestin sivulle, ja ulkopuolinen sai pääsyn sähköpostitiliin. Tilillä oli 2 000–2 500 henkilön nimet ja 100–200 henkilötunnusta sekä salassapidon piiriin kuuluvaa aineistoa. Kukaan ei tiennyt, oliko tietoja tosiasiassa katsottu tai kopioitu.
Korkein hallinto-oikeus katsoi, että riski oli todennäköisesti korkea, koska vaarantuneet tiedot mahdollistavat identiteettivarkauden – ja epävarmuus siitä, mitä tunkeutuja ehti tehdä, ei poistanut ilmoitusvelvollisuutta. Rekisteröidyille oli siis kerrottava. Ratkaisusta voi tiivistää nyrkkisäännön: henkilötunnukset, terveystiedot, taloustiedot, käyttäjätunnukset ja salassa pidettävä aineisto nostavat riskin korkeaksi lähes aina, pelkät nimet ja sähköpostiosoitteet harvemmin.
72 tunnin kello alkaa ilmitulosta
Ilmoitus tietosuojavaltuutetulle tehdään 72 tunnin kuluessa siitä, kun loukkaus tuli rekisterinpitäjän tietoon. Laskenta ei ala siitä, kun selvitys valmistuu, eikä kello pysähdy viikonlopuksi: perjantai-iltana havaitusta tunkeutumisesta on maanantaiaamuna jäljellä alle vuorokausi ilmoitusaikaa.
Asetus ottaa keskeneräisyyden huomioon toisella tavalla. Ilmoituksen saa 33 artiklan 4 kohdan nojalla antaa vaiheittain: ensin ilmoitetaan se, mitä tiedetään, ja täydennetään sitä mukaa kuin selvitys etenee. Umpeutunut määräaika ei myöskään vapauta mistään – myöhästynyt ilmoitus lähetetään joka tapauksessa, ja viivästykselle annetaan perusteltu selitys.
Ratkaisu KHO 2024:115 osoittaa, ettei selvittelyllä voi ostaa lisäaikaa. Loukkausta oli tutkittu kuukausia ennen kuin ilmoitus valvontaviranomaiselle lähti, ja ilmoitusvelvollisuuden laiminlyönnistä annettu huomautus pysyi korkeimmassa hallinto-oikeudessa voimassa. Viesti on suora: ilmoita vajailla tiedoilla ja täydennä myöhemmin, älä tutki ensin valmiiksi.
Ilmoituksen tekeminen käytännössä
- Kirjaa ylös, milloin ja miten loukkaus tuli ilmi – tästä hetkestä määräaika lasketaan, ja kirjaus on ensimmäinen todiste huolellisuudesta.
- Katkaise vuoto – sulje tili, vaihda salasanat, eristä laite verkosta.
- Kokoa kuva vahingosta – mitä tietoryhmiä loukkaus koskee, keitä ihmisiä ja kuinka montaa.
- Tee riskiarvio kolmen kysymyksen mallilla ja kirjaa perustelut – samaa arviota käytät sekä viranomaisilmoituksessa että rekisteröidyille tiedottamisessa.
- Ilmoita tietosuojavaltuutetun suojatulla verkkolomakkeella, vaikka selvitys olisi kesken – lomake kysyy asetuksen vaatimat ydintiedot: loukkauksen luonteen, kohderyhmät ja arvioidut henkilömäärät, todennäköiset seuraukset, tehdyt toimenpiteet ja lisätietoja antavan yhteyshenkilön.
- Täydennä ilmoitusta, kun uutta tietoa tulee – vaiheittaisuus on asetuksessa sallittu lähtökohta.
- Kerro rekisteröidyille ilman aiheetonta viivytystä – jos riski on korkea.
- Vie tapaus loukkausdokumentaatioon ja korjaa juurisyy – sama aukko ei saa vuotaa toista kertaa.
Ilmoitus rekisteröidyille: selkeä kieli ja konkreettiset neuvot
Kun riski on korkea, tietosuoja-asetuksen 34 artikla vaatii kertomaan loukkauksesta sen kohteille ilman aiheetonta viivytystä. Viestissä kuvataan selkeällä kielellä, mitä tapahtui, kuka antaa lisätietoja, mitä seurauksia loukkauksesta voi olla ja mitä olet jo tehnyt vahingon rajaamiseksi. Hyvä ilmoitus neuvoo myös vastaanottajaa: vaihda salasana, seuraa tiliotteita, varo tekaistuja yhteydenottoja.
Velvollisuudesta pääsee eroon vain harvoissa poikkeustilanteissa – esimerkiksi jos tiedot olivat vahvasti salattuja tai jälkitoimet ovat poistaneet korkean riskin. Näihin poikkeuksiin ei kannata tukeutua kevyin perustein. Ratkaisussa KHO 2024:115 viranomaisen huomautus kumottiin rekisteröidyille tiedottamisen osalta, mutta syy oli julkisuuslain salassapitosäännöksissä, jotka sitoivat juuri viranomaista. Yksityinen yritys ei voi vedota vastaavaan, joten korkean riskin tilanteissa yrityksen on käytännössä aina kerrottava rekisteröidyille.
Alihankkijan loukkaus on sinun ilmoituksesi
Moni yritys on ulkoistanut järjestelmänsä: verkkokauppa, palkkahallinto ja asiakasrekisteri pyörivät toimittajan alustalla. Tietosuoja-asetuksessa toimittaja on henkilötietojen käsittelijä, ja 33 artiklan 2 kohta velvoittaa sen ilmoittamaan loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä. Ilmoitusta valvontaviranomaiselle se ei kuitenkaan tee – se on rekisterinpitäjän eli sinun tehtäväsi, ja 72 tunnin määräaika on sinun määräaikasi.
Sopimuksia laatiessani törmään tässä aina samaan aukkoon: käsittelysopimuksessa lukee vain asetuksen sanamuoto, eikä toimittajalle ole asetettu tuntimääräistä ilmoitusaikaa. Silloin oma 72 tunnin ikkunasi voi kulua umpeen, kun odotat toimittajan ilmoitusta. Kirjaa sopimukseen täsmällinen aika – esimerkiksi 24 tuntia havainnosta – sekä se, mitä tietoja toimittajan on ilmoituksessaan annettava ja kuka maksaa selvityksen. Jos toimittaja laiminlyö sovitun, kyse on sopimusrikkomuksesta, johon voi liittää vahingonkorvausvastuun. Käsittelysopimukset kuuluvat sopimuspalveluideni ytimeen.
Mitä laiminlyönnistä seuraa
Tietosuojavaltuutettu on tietosuojalain 8 §:n mukainen valvontaviranomainen, ja sen keinovalikoima ulottuu ohjauksesta ja huomautuksesta määräyksiin ja seuraamusmaksuun. Maksun määrää tietosuojalain 24 §:n mukainen seuraamuskollegio.
Ilmoitusvelvollisuuden laiminlyönti kuuluu asetuksen 83 artiklan 4 kohdan luokkaan, jossa enimmäismäärä on 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta liikevaihdosta. Kotimainen mittakaava löytyy Itä-Suomen hallinto-oikeuden ratkaisusta 21/0231/2: 16 000 euron seuraamusmaksu katsottiin tehokkaaksi, oikeasuhteiseksi ja varoittavaksi. Kummassakin edellä käsitellyssä KHO-ratkaisussa seuraamus oli huomautus – siitä ei tullut laskua, mutta molemmat yltivät korkeimpaan hallinto-oikeuteen asti. Kynnys viranomaisen puuttumiselle on siis matala, ja prosessi itsessään maksaa aikaa, rahaa ja mainetta, vaikka lopputulos jäisi lievimpään päähän. Halvin vaihtoehto on hoitaa ilmoitus ajallaan – ja koko tietosuojakokonaisuuden voi laittaa kuntoon ennen kuin mitään sattuu.
Epäiletkö tietoturvaloukkausta?
Kerro lyhyesti tilanteesta, niin saat alustavan arvion ja kiinteän hinnan ennen aloitusta. Maksuton alkuarvio ei sido toimeksiantoon.
Usein kysyttyä tietoturvaloukkauksesta
Mistä hetkestä 72 tuntia lasketaan?
Aika lasketaan hetkestä, jona loukkaus tuli rekisterinpitäjän tietoon. Selvityksen valmistumista ei jäädä odottamaan, ja aika kuluu myös öisin, viikonloppuisin ja lomalla. Kirjaa ilmitulohetki heti muistiin, koska joudut ehkä osoittamaan sen jälkikäteen.
Mitä teen, jos 72 tuntia on jo kulunut umpeen?
Lähetät ilmoituksen myöhässäkin ja perustelet viiveen, kuten 33 artiklan 1 kohta edellyttää. Myöhäinen ilmoitus on aina parempi vaihtoehto kuin tekemätön, sillä ilmoittamatta jättäminen on itsenäinen rikkomus, joka painaa seuraamusharkinnassa enemmän.
Pitääkö pienen yrityksen ilmoittaa tietoturvaloukkauksesta?
Velvollisuus koskee pientäkin yritystä aina, kun loukkauksesta todennäköisesti aiheutuu riski rekisteröidyille. Henkilöstömäärällä tai liikevaihdolla ei ole merkitystä: yksinyrittäjä, jonka asiakasrekisterissä on henkilötunnuksia, on samalla viivalla suuryrityksen kanssa.
Milloin loukkauksesta on kerrottava asiakkaille tai työntekijöille?
Kerrottava on silloin, kun riski heidän oikeuksilleen on todennäköisesti korkea. Ratkaisussa KHO 2022:131 raja ylittyi, koska ulkopuolisen ulottuville päätyi identiteettivarkauden mahdollistavia tietoja – nimiä ja henkilötunnuksia – eikä epävarmuus tietojen tosiasiallisesta käytöstä poistanut velvollisuutta.
Riittääkö, että alihankkija tekee ilmoituksen puolestani?
Ei riitä, sillä viranomaisilmoitus on rekisterinpitäjän oma tehtävä – käsittelijän velvollisuus on kertoa loukkauksesta sinulle. Sovi käsittelysopimuksessa toimittajalle tuntimääräinen ilmoitusaika ja ilmoituksen vähimmäissisältö, jotta oma määräaikasi ei pala toimittajan hitauteen.
Lähteet
- KHO 2024:115 – 33 artiklan osalta huomautus pysyi voimassa, koska ilmoitus lähti vasta kuukausien selvittelyn jälkeen; 34 artiklan osalta KHO kumosi huomautuksen julkisuuslain salassapitosäännösten perusteella, eli helpotus kytkeytyi viranomaisasemaan.
- KHO 2022:131 – tunkeutuja pääsi kalastellulla tilillä nimiin ja henkilötunnuksiin, mikä merkitsi todennäköisesti korkeaa riskiä; se, ettei tietojen käytöstä ollut varmuutta, ei poistanut velvollisuutta kertoa rekisteröidyille.
- Tietosuojalaki (1050/2018) – 8 § tietosuojavaltuutettu kansallisena valvontaviranomaisena, 24 § seuraamusmaksun määrää seuraamuskollegio eikä maksua määrätä viranomaisille.
- Itä-Suomen HAO 20.5.2021 21/0231/2 – hallinto-oikeus piti 16 000 euron seuraamusmaksua tehokkaana, oikeasuhteisena ja varoittavana; rikkomus kuuluu samaan 83 artiklan 4 kohdan luokkaan kuin ilmoitusvelvollisuuden laiminlyönti.
- Tietosuojavaltuutetun toimisto: ilmoitus tietoturvaloukkauksesta – ilmoitus tehdään suojatulla sähköisellä lomakkeella.
Viimeksi päivitetty: elokuu 2026
