Mikä on henkilötietojen tietoturvaloukkaus?

Tilanne, jossa henkilötietoja on tuhoutunut, hävinnyt, muuttunut tai päätynyt luvatta jonkun käsiin. Se ei vaadi hyökkääjää: sähköposti väärälle vastaanottajalle, kadonnut muistitikku, paperit roskiin ilman silppuria tai liian laaja käyttöoikeus ovat kaikki loukkauksia. Ratkaisevaa on, että tieto on voinut päätyä väärään paikkaan, ei se, onko kukaan vielä käyttänyt sitä.

Kenelle ja missä ajassa loukkauksesta ilmoitetaan?

Rekisterinpitäjä ilmoittaa tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus tuli sen tietoon, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille. Jos määräaika ylittyy, viivästys on perusteltava. Jos riski on korkea, myös rekisteröidyille ilmoitetaan ilman aiheetonta viivytystä. Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä.

Mitä työntekijän pitää tehdä, kun hän huomaa loukkauksen?

Ilmoittaa heti organisaation omaa reittiä, yleensä tietosuojavastaavalle tai tietoturvasta vastaavalle, eikä yrittää korjata tilannetta hiljaa itse. Viestiä ei poisteta eikä laitetta tyhjennetä, koska ne ovat todisteita ja kertovat, mitä tietoa loukkaus koski. Työntekijä ei arvioi riskiä eikä päätä ilmoituksesta viranomaiselle; se on rekisterinpitäjän tehtävä, ja sitä varten rekisterinpitäjä tarvitsee tiedon mahdollisimman nopeasti.

Pitääkö jokainen loukkaus ilmoittaa viranomaiselle?

Ei, mutta jokainen loukkaus dokumentoidaan. Tietosuoja-asetuksen 33 artiklan 5 kohta velvoittaa rekisterinpitäjän kirjaamaan kaikki loukkaukset, niiden seikat, vaikutukset ja korjaavat toimet, jotta valvontaviranomainen voi tarkistaa, että artiklaa on noudatettu. Ilmoitus viranomaiselle jätetään tekemättä vain, jos loukkauksesta ei todennäköisesti aiheudu riskiä, ja sekin arvio kirjataan.

Henkilötietojen tietoturvaloukkaus: 72 tunnin ilmoitus alkaa työntekijän havainnosta

Tietosuoja-asetus antaa 72 tuntia ilmoitukseen tietosuojavaltuutetulle, ja kello käy loukkauksen ilmitulosta. Mitä työntekijän pitää tehdä heti ja mitä rekisterinpitäjä päättää.

Lyhyesti

Henkilötietojen tietoturvaloukkaus on tapahtuma, jossa henkilötietoja tuhoutuu, häviää, muuttuu tai päätyy luvatta jonkun käsiin. Yleinen tietosuoja-asetus velvoittaa rekisterinpitäjän ilmoittamaan siitä valvontaviranomaiselle, Suomessa tietosuojavaltuutetulle, ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa loukkauksen ilmitulosta. Kello alkaa käydä siitä, kun organisaatio saa loukkauksen tietoonsa, ja käytännössä se tarkoittaa hetkeä, jona työntekijä huomaa sen ja kertoo eteenpäin. Siksi 72 tunnin määräaika on koko henkilöstön asia, vaikka ilmoituksen tekee rekisterinpitäjä.

Mikä on loukkaus ja mikä ei

Sana loukkaus johtaa ajattelemaan hyökkäystä. Suurin osa loukkauksista ei ole sellaisia. Sähköposti, jossa on asiakkaan tiedot, lähtee väärälle vastaanottajalle. Palkkalista jaetaan kansioon, jonka koko organisaatio näkee. Kannettava jää junaan. Paperinen potilaslista päätyy sekajätteeseen. Jokainen näistä on henkilötietojen tietoturvaloukkaus, koska tieto on voinut päätyä sellaisen käsiin, jolla ei ole siihen oikeutta.

Loukkaus ei edellytä, että kukaan on käyttänyt tietoa väärin. Riittää, että se on ollut mahdollista. Toisaalta tietoturvapoikkeama, jossa henkilötietoja ei ole ollut mukana, esimerkiksi palvelunestohyökkäys verkkosivulle, ei ole henkilötietojen tietoturvaloukkaus tietosuoja-asetuksen mielessä, vaikka se voi olla ilmoitettava poikkeama kyberturvallisuuslain mielessä. Rajanveto näiden välillä on tietosuojavastaavan ja tietoturvavastaavan työtä, josta lisää jäljempänä.

72 tuntia, ja mistä se alkaa

Tietosuoja-asetuksen 33 artiklan 1 kohta sanoo, että rekisterinpitäjän on ilmoitettava loukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta, paitsi jos loukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta 72 tunnin kuluessa, viivästykselle on toimitettava perusteltu selitys.

Kaksi asiaa tässä jää usein huomaamatta. Ensimmäinen: määräaika lasketaan ilmitulosta, ei loukkauksen tapahtumisesta. Organisaatio, joka huomaa kuukausia vanhan vuodon tänään, on tänään aikataulussa. Toinen: ilmitulo tarkoittaa organisaation tietoisuutta, ja organisaatio tietää sen, mitä sen työntekijät kertovat sille. Työntekijä, joka huomaa virheensä perjantaina ja kertoo siitä maanantaina, on kuluttanut määräajasta valtaosan ennen kuin kukaan on ehtinyt arvioida mitään.

Siksi henkilöstön koulutuksen ydin ei ole 72 tuntia vaan heti. Taitokatalogimme kuvaa tason 2 näin: ilmoittaa viipymättä oikeaa reittiä, ei yritä korjata tilannetta itse hiljaa eikä poista todisteita. Tilanteen tunnistaminen ja nopea ilmoitus ovat jokaisen työntekijän osuus. Riskin arviointi, ilmoituksen laatiminen ja päätös rekisteröidyille tiedottamisesta ovat rekisterinpitäjän osuus.

Mitä ilmoitukseen kirjoitetaan

Artiklan 3 kohta luettelee vähimmäissisällön. Ilmoituksessa on kuvattava loukkaus ja mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja lukumäärät, ilmoitettava tietosuojavastaavan tai muun yhteyspisteen tiedot, kuvattava loukkauksen todennäköiset seuraukset ja kuvattava toimenpiteet, joita on ehdotettu tai toteutettu, haittavaikutusten lieventäminen mukaan lukien.

Jos kaikkea ei tiedetä 72 tunnin sisällä, tiedot voidaan 4 kohdan mukaan toimittaa vaiheittain ilman aiheetonta viivytystä. Ilmoitusta ei siis pidä viivyttää siksi, että selvitys on kesken. Ensimmäinen ilmoitus kertoo, mitä tiedetään, ja sitä täydennetään.

Vaihe	Kuka	Mitä
Havainto	Työntekijä	Ilmoittaa heti organisaation reittiä, ei poista todisteita
Ensiarvio	Tietosuojavastaava tai nimetty vastuuhenkilö	Rajaa, mitä tietoa ja keitä loukkaus koskee, aloittaa dokumentoinnin
Riskin arviointi	Rekisterinpitäjä	Aiheutuuko riski; jos ei, perustelu kirjataan
Ilmoitus viranomaiselle	Rekisterinpitäjä	Tietosuojavaltuutetulle 72 tunnin kuluessa ilmitulosta, tarvittaessa vaiheittain
Ilmoitus rekisteröidyille	Rekisterinpitäjä	Jos riski on korkea, ilman aiheetonta viivytystä, selkeällä kielellä
Dokumentointi	Rekisterinpitäjä	Jokainen loukkaus, myös ne, joista ei ilmoitettu

Milloin myös ihmisille kerrotaan

Artikla 34 koskee ilmoitusta rekisteröidyille, siis niille ihmisille, joiden tiedot loukkaus koski. Ilmoitus on tehtävä ilman aiheetonta viivytystä, kun loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen. Ilmoituksessa kuvataan selkeällä ja yksinkertaisella kielellä loukkauksen luonne ja annetaan ainakin yhteyspiste, todennäköiset seuraukset ja toteutetut toimenpiteet.

Ilmoitusta rekisteröidyille ei vaadita, jos tiedot oli suojattu niin, etteivät ne ole ulkopuolisen ymmärrettävissä, esimerkiksi salattu; jos rekisterinpitäjä on jatkotoimilla varmistanut, että korkea riski ei enää todennäköisesti toteudu; tai jos henkilökohtainen ilmoitus vaatisi kohtuutonta vaivaa, jolloin käytetään julkista tiedonantoa. Valvontaviranomainen voi myös vaatia ilmoituksen tekemistä, jos rekisterinpitäjä ei sitä ole tehnyt.

Tässä kohdassa näkyy, miksi riskin arviointi kuuluu rekisterinpitäjälle eikä työntekijälle. Sama tapahtuma, kadonnut kannettava, on eri asia salatulla ja salaamattomalla kiintolevyllä, ja sen ratkaisee se, joka tuntee suojatoimet.

Kun sama tapahtuma on myös kyberturvallisuuslain poikkeama

Kyberturvallisuuslain (124/2025) piiriin kuuluvalla toimijalla sama kiristysohjelmahyökkäys voi olla sekä henkilötietojen tietoturvaloukkaus että merkittävä poikkeama, josta ilmoitetaan toimialan valvovalle viranomaiselle omilla määräajoillaan: ensi-ilmoitus 24 tunnissa, tarkennus 72 tunnissa ja loppuraportti kuukaudessa. Kaksi ilmoitusta, kaksi viranomaista, kaksi eri kelloa. Kyberturvallisuuslain ilmoitusketju käydään läpi artikkelissa Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Rajanveto on taitokatalogimme tason 4 osaamista: johtaa selvityksen, laatii viranomaisilmoitukset ja tunnistaa, milloin sama tapahtuma vaatii ilmoituksen sekä tietosuojavaltuutetulle että kyberturvallisuuslain mukaiselle toimialan valvovalle viranomaiselle. Se kuuluu tietosuojavastaavalle ja tietoturvavastaavalle, joiden osaamisesta kerrotaan artikkeleissa Milloin tietosuojavastaava on nimettävä ja Mitä tietoturvavastaavan pitää osata.

Mitä laki ei vaadi

Laki ei vaadi, että jokaisesta loukkauksesta ilmoitetaan viranomaiselle. Se vaatii, että jokainen loukkaus dokumentoidaan ja arvioidaan, ja ilmoitus jätetään tekemättä vain perustellusti. Laki ei myöskään vaadi, että ilmoitus on täydellinen 72 tunnin kohdalla; se saa täydentyä. Ja laki ei vaadi työntekijältä riskiarviota: työntekijältä se vaatii, että hän tunnistaa tilanteen ja kertoo siitä heti.

Tämä on se osa, joka koulutetaan koko henkilöstölle, ja se mahtuu kuuteen minuuttiin. Tietosuojan perusteiden kokonaisuus, josta loukkausten tunnistaminen on yksi neljästä taidosta, kuvataan artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.