Henkilötietojen tietoturvaloukkauksesta on ilmoitettava Tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun rekisterinpitäjä on tullut siitä tietoiseksi, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Näin määrää yleisen tietosuoja-asetuksen (GDPR) 33 artikla. Jos loukkaus todennäköisesti aiheuttaa korkean riskin, siitä on 34 artiklan mukaan ilmoitettava myös rekisteröidyille itselleen ilman aiheetonta viivytystä. Loukkaus ei tarkoita vain hakkerointia: myös vahingossa lähetetty sähköposti, kadonnut kannettava tai virheellinen käyttöoikeus voi vaatia arviointia. Tässä oppaassa käydään läpi luokittelu, ilmoituskynnykset ja toiminta Suomessa.
Mikä on henkilötietojen tietoturvaloukkaus?
GDPR 4 artiklan 12 kohta määrittelee tietoturvaloukkauksen tapahtumaksi, joka johtaa henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn tietoihin. Loukkaukset jaetaan kolmeen tyyppiin:
- Luottamuksellisuusloukkaus: tietoja paljastuu tai niihin pääsee luvatta (esimerkiksi hakkerointi tai väärälle vastaanottajalle lähetetty viesti);
- Eheysloukkaus: tietoja muutetaan luvatta;
- Saatavuusloukkaus: tietoja häviää tai niihin ei pääse käsiksi (esimerkiksi kiristyshaittaohjelma tai kadonnut varmuuskopio).
Kaikki loukkaukset eivät edellytä ilmoitusta viranomaiselle. GDPR 33 artiklan tarkka raja on, että ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Arvioi tietojen luonne, määrä, vastaanottaja, käytettävissä olevat suojaukset ja mahdolliset seuraukset. Erityisiin henkilötietoryhmiin kuuluvat tiedot voivat korottaa riskiä, mutta tietoluokka ei yksin ratkaise ilmoitusvelvollisuutta. Jos tiedot olivat asianmukaisesti salattuja eikä avain vaarantunut, riski voi olla pieni; perustelu on kirjattava.
72 tunnin määräaika käytännössä
Määräaika alkaa siitä hetkestä, kun rekisterinpitäjä tulee tietoiseksi loukkauksesta – eli kun on kohtuullisen varmaa, että tietoturvatapahtuma on johtanut henkilötietojen vaarantumiseen. 72 tuntia on kalenteriaikaa, ei työaikaa: siihen sisältyvät illat ja viikonloput. Tämä tarkoittaa, että sinulla on oltava valmis prosessi ennen loukkausta, ei vasta sen jälkeen.
33 artiklan 3 kohta luettelee ilmoituksen vähimmäissisällön:
- Loukkauksen kuvaus: mitä tapahtui, rekisteröityjen ryhmät ja mahdollisuuksien mukaan arvioitu lukumäärä sekä tietueiden ryhmät ja mahdollisuuksien mukaan arvioitu lukumäärä;
- Tietosuojavastaavan tai muun yhteyshenkilön yhteystiedot;
- Todennäköiset seuraukset;
- Toteutetut tai ehdotetut toimenpiteet, mukaan lukien haittavaikutusten lieventäminen.
Jos kaikkia tietoja ei ole heti saatavilla, ilmoituksen voi tehdä vaiheittain (33 artiklan 4 kohta): kerro tunnetut tiedot ja täydennä niitä ilman aiheetonta viivytystä. Jos 72 tuntia ylittyy, ilmoitukseen on liitettävä syy viivästymiseen. Tietosuojavaltuutetun toimiston ilmoitussivu ohjaa organisaation suojattuun lomakkeeseen; viranomainen kertoo uudistaneensa sen lokakuussa 2025.
Käsittelijän rooli on tässä ratkaiseva. 33 artiklan 2 kohta velvoittaa henkilötietojen käsittelijän ilmoittamaan loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä. Siksi käsittelysopimuksessa on syytä sopia lyhyt, täsmällinen määräaika (esimerkiksi 24 tuntia), jotta oma 72 tunnin määräaikasi ei karkaa.
Käytännössä 72 tunnin määräaika edellyttää selkeää sisäistä eskalointipolkua. Kun työntekijä havaitsee epäillyn loukkauksen, hänen on tiedettävä välittömästi, kenelle asiasta ilmoitetaan – ei etsittävä vastuuhenkilöä tapahtuman hetkellä. Monissa organisaatioissa kriittinen viive syntyy juuri havaitsemisen ja sisäisen ilmoituksen välillä: loukkaus tunnistetaan perjantai-iltana, mutta se tavoittaa vastuuhenkilön vasta maanantaina, jolloin määräajasta on kulunut jo suuri osa. Siksi sisäinen ilmoituskanava ja päivystysjärjestely on rakennettava etukäteen osaksi tietoturvaloukkausten käsittelyprosessia. Määräaikaa ei myöskään pysäytä se, että selvitys on kesken – vaiheittainen ilmoitus on nimenomaan tätä tilannetta varten.
Milloin ilmoitat rekisteröidyille? (34 artikla)
Kun loukkaus todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille, heille on ilmoitettava ilman aiheetonta viivytystä (34 artikla). Ilmoituksen on oltava selkeäkielinen ja sisällettävä yhteyshenkilön tiedot, todennäköiset seuraukset sekä toteutetut tai ehdotetut lieventävät toimet. Tarkoitus on antaa rekisteröidyille mahdollisuus suojautua – esimerkiksi vaihtaa salasanat tai seurata tilitapahtumiaan.
Rekisteröidyille ei tarvitse ilmoittaa, jos (34 artiklan 3 kohta):
- tiedot oli suojattu niin, että ne olivat luvattomille henkilöille käsittämättömiä, esimerkiksi tehokkaalla salauksella, eikä salausavain vaarantunut;
- korkea riski on jälkitoimenpitein estetty; tai
- ilmoittaminen jokaiselle erikseen vaatisi kohtuutonta vaivaa, jolloin on käytettävä julkista tiedotetta tai muuta yhtä tehokasta tapaa tiedottaa rekisteröidyille.
Viive ja muut velvoitteet
Määräajan ylittäminen ei automaattisesti tarkoita seuraamusmaksua, mutta rekisterinpitäjän on kerrottava viivästyksen syy. Viiveen hyväksyttävyyttä ei voi ratkaista yleisellä väitteellä, että tutkinta oli kesken: 33 artikla sallii vaiheittaisen ilmoituksen. Erota myös ilmoittamiseen liittyvät puutteet tietoturvan puutteista. GDPR 32 artiklan turvatoimet ja 33–34 artiklan ilmoittaminen ovat eri velvoitteita, joiden toteutumista arvioidaan tapahtuman tosiseikkojen perusteella. Suomen tietosuojaseuraamuksia käsittelevä sivu on eri aihe; tätä ohjetta käytetään ilmoituspäätöksen tekemiseen, ei seuraamuksen ennustamiseen.
Loukkausten kirjaaminen ja valmius
33 artiklan 5 kohta velvoittaa dokumentoimaan kaikki tietoturvaloukkaukset – myös ne, joista ei ilmoiteta viranomaiselle. Tähän tarvitaan loukkausrekisteri, josta käy ilmi tapahtuma, sen seuraukset ja korjaavat toimet. Valvontaviranomainen voi tarkastaa rekisterin varmistaakseen, että ilmoitusvelvollisuutta on noudatettu.
Esimerkkejä käytännöstä
Tietoturvaloukkaus ei ole vain hakkerointia. Tavallisimmat loukkaukset ovat inhimillisiä erehdyksiä, ja niiden tunnistaminen on ratkaisevaa, koska ilmoitusmääräaika alkaa kulua heti. Muutama esimerkki havainnollistaa arviointia.
Väärälle vastaanottajalle lähetetty sähköposti. Jos lähetät asiakaslistan tai palkkatiedot vahingossa väärään osoitteeseen, kyse on luottamuksellisuusloukkauksesta. Riski riippuu tietojen luonteesta: pelkkä nimi ja sähköposti on matalampi riski kuin henkilötunnukset tai terveystiedot. Arvioi, ovatko tiedot vielä saatavissa takaisin ja onko vastaanottaja luotettava.
Kadonnut tai varastettu laite. Henkilötietoja sisältävän kannettavan tai puhelimen katoaminen on arvioitava tietoturvaloukkauksena: selvitä sekä luvattoman pääsyn mahdollisuus että se, ovatko tiedot edelleen käytettävissä. Vahva salaus ei tee tapahtumasta olematonta, mutta jos avain ei vaarantunut ja tiedot voidaan palauttaa toimivasta varmuuskopiosta, riski voi olla niin vähäinen, ettei viranomaisilmoitusta tarvita. Jos varmuuskopiota ei ole tai tietoja tarvitaan kiireelliseen palveluun, saatavuuden menetys voi silti aiheuttaa riskin. Kirjaa tapahtuma ja päätös. Sisäänrakennettu tietosuoja ja salaus voivat pienentää seurauksia, mutta niiden vaikutus on osoitettava tässä tapauksessa.
Kiristyshaittaohjelma. Tietojen salautuminen voi aiheuttaa saatavuusloukkauksen. Jos tietoja on myös kopioitu, kyse voi olla lisäksi luottamuksellisuusloukkauksesta. Ilmoitusarvio riippuu siitä, kuinka pitkään tiedot ovat poissa käytöstä, onko toimivia varmuuskopioita, mitä tietoja järjestelmässä on ja onko luvattomasta pääsystä näyttöä. Pelkkä haittaohjelman nimi ei ratkaise riskitasoa.
Virheellinen käyttöoikeus. Jos työntekijä pääsee järjestelmässä tietoihin, joihin hänellä ei pitäisi olla oikeutta, kyseessä on loukkaus, vaikka tietoja ei olisi viety ulos. Pääsynhallinnan puutteet ovat yleinen loukkausten lähde.
Jokainen näistä on kirjattava loukkausrekisteriin riskiarvioineen, myös silloin kun ilmoitusta viranomaiselle ei tehdä.
Päätös kolmessa eri vaiheessa
Ensimmäinen kysymys on, tapahtuiko henkilötietojen tietoturvaloukkaus. Palvelun keskeytys ei aina koske henkilötietoja; toisaalta väärälle ihmiselle avautunut asiakastiedosto voi olla loukkaus, vaikka hyökkäystä ei ole tapahtunut. Kerää siksi tapahtuman aikajana, järjestelmät, tietoryhmät ja mahdolliset vastaanottajat. Älä odota täydellistä varmuutta jokaisesta yksityiskohdasta ennen kuin aloitat arvioinnin. Jos tapahtuma on pelkkä uhka ilman henkilötietojen vaarantumista, kirjaa myös se päätelmä sisäiseen turvallisuusselvitykseen.
Toinen kysymys on, onko riski rekisteröityjen oikeuksille ja vapauksille epätodennäköinen. Jos ei ole, 33 artiklan ilmoitusraja ylittyy. Esimerkiksi yhden henkilön arkaluonteinen asiakirja voi olla merkittävämpi kuin laaja lista julkisista työyhteystiedoista. Arvioi haitan laatu, vastaanottajan mahdollisuus käyttää tietoja, tunnistamisen helppous ja jo tehdyt rajoitustoimet. Myös saatavuus voi vaikuttaa ihmisiin: hoitotiedon tilapäinen katoaminen voi haitata palvelua, vaikka mitään ei paljastuisi ulkopuoliselle. Tämän vuoksi pelkkä tietueiden lukumäärä ei ole riittävä päätöskriteeri.
Kolmas kysymys koskee 34 artiklan korkeaa riskiä ja rekisteröidyille ilmoittamista. Viranomaisilmoitus ja henkilöille osoitettu viesti eivät ole sama asiakirja. Henkilö tarvitsee selkeän kuvauksen siitä, mitä hänen tiedoilleen tapahtui ja mitä hän voi tehdä haitan vähentämiseksi. Jos esimerkiksi tunnukset ovat saattaneet paljastua, ohjeen pitää kertoa konkreettisesti salasanan vaihdosta ja yhteydenottokanavasta. Jos rekisteröidyille ei ilmoiteta jonkin 34 artiklan 3 kohdan poikkeuksen perusteella, perustele poikkeus tapahtuman todellisilla suojauksilla ja toimenpiteillä.
Aikajana, jonka voi näyttää jälkikäteen
Kirjaa havaintohetki, ilmoitus sisäiselle vastuuhenkilölle, hetki jolloin rekisterinpitäjällä oli kohtuullinen varmuus henkilötietojen vaarantumisesta, sekä riskipäätöksen ja viranomaisilmoituksen ajat. Nämä eivät välttämättä ole sama hetki. Jos käsittelijä ilmoittaa perjantaina epäillystä poikkeamasta, rekisterinpitäjän kannattaa aloittaa arviointi heti; keskustelu siitä, onko yksityiskohta vielä varmistamatta, ei saa johtaa passiivisuuteen. Käsittelysopimuksessa sovittu nopea yhteydenotto on käytännön apu, mutta GDPR ei aseta kaikille käsittelijöille samaa 24 tunnin lakisääteistä määräaikaa.
Oletetaan, että asiakaspalvelu lähettää maanantaina kello 15 liitteen väärälle vastaanottajalle. Vastaanottaja huomaa virheen ja vastaa samana iltana; asiakaspalvelu ilmoittaa tietosuojatiimille tiistaina aamulla. Selvitä, milloin organisaatiolla oli kohtuullinen varmuus tapahtuneesta ja mitä liite sisälsi. Pyydä vastaanottajaa poistamaan tiedosto ja vahvistamaan toimensa, mutta älä oleta tämän yksin poistavan riskiä. Jos liite sisältää henkilötunnuksia tai terveystietoja, arvio voi erota tilanteesta, jossa mukana on vain yleisiä yhteystietoja. Esimerkki on kuvitteellinen eikä määrää tiettyä lopputulosta jokaiseen vastaavaan virheeseen.
Jos täydellistä tietoa rekisteröityjen määrästä ei saada nopeasti, ensimmäisessä ilmoituksessa voi kuvata arvioidun määrän ja tunnetut epävarmuudet. GDPR 33 artiklan 4 kohta sallii tietojen toimittamisen vaiheittain ilman aiheetonta viivytystä. Merkitse, mitä tarkistetaan seuraavaksi, kuka vastaa tarkistuksesta ja milloin täydennys lähetetään. Viranomaiselle lähetetty alustava ilmoitus ei päätä tutkintaa. Myöhempi tieto, kuten todettu tietojen kopiointi, voi muuttaa myös rekisteröityjen ilmoittamista koskevaa arviota.
Mitä henkilöille kerrotaan?
Kun korkea riski edellyttää ilmoitusta, kirjoita viesti ihmiselle eikä vain viranomaisen lomaketta varten. Kerro loukkauksen luonne ymmärrettävästi, tietosuojavastaavan tai muun yhteyspisteen tiedot, todennäköiset seuraukset sekä tehdyt ja suunnitellut toimet. Erota varmistettu tieto epävarmasta. Jos vaikutus koskee vain tiettyä käyttäjäryhmää, perustele, miten tämä joukko on määritetty. Viestin tulee antaa vastaanottajalle todellinen mahdollisuus suojautua, ei pelkkä ilmoitus siitä, että organisaatio tutkii asiaa.
34 artiklan poikkeuksia on tulkittava tapahtumakohtaisesti. Vahva salaus voi tehdä luvattomasti saadut tiedot käyttökelvottomiksi, jos avain ei ole vaarantunut. Tarkista myös salausavainten hallinta, sillä pelkkä tieto salauksen käytöstä ei osoita, että avaimet olivat turvassa. Myöhemmät toimet voivat poistaa korkean riskin, mutta niiden vaikutuksesta tarvitaan näyttöä. Jos henkilökohtainen yhteydenotto vaatisi kohtuutonta vaivaa, asetuksessa edellytetään yhtä tehokasta julkista viestintää. Poikkeus henkilöviestistä ei automaattisesti poista 33 artiklan viranomaisilmoitusta eikä tapahtuman dokumentointia.
Kirjaa myös ilmoittamatta jätetty tapaus
33 artiklan 5 kohta vaatii dokumentaation loukkauksen tosiseikoista, vaikutuksista ja korjaavista toimista. Sisäiseen loukkausrekisteriin kannattaa kirjata lisäksi päätös ilmoitusrajasta ja sen perustelut. Kirjaus on erityisen tärkeä, kun ilmoitusta ei tehty: myöhempi valvonta tai uusi tieto voi muuten jättää epäselväksi, mitä tuolloin tiedettiin. Rajaa rekisterin käyttöoikeudet, koska itse merkintä voi sisältää tietoja tapahtuman kohteista ja teknisistä heikkouksista.
Tapahtuman jälkeen korjaa syy, älä vain lähetysprosessia. Väärälle vastaanottajalle lähtenyt viesti voi paljastaa puutteen osoitteiden automaattisessa täydentämisessä; liian laaja käyttöoikeus voi vaatia sisäänrakennetun tietosuojan tarkastelua. Seuraa, onko korjaus tehty ja toimiiko se. Tämä jälkityö ei muuta mennyttä ilmoitusmääräaikaa, mutta vähentää toistumisen riskiä ja osoittaa, että organisaatio on käsitellyt tapahtuman kokonaisuutena.
Ilmoituskanava ja vastaanoton varmistaminen Suomessa
Tietosuojavaltuutetun toimiston ilmoitussivu on tarkoitettu organisaatioille. Sen kautta siirrytään suojattuun lomakkeeseen, jolla ilmoitus lähetetään viranomaiselle. Toimisto kertoo lähettävänsä viestin, kun ilmoitus on vastaanotettu kirjaamossa. Säilytä vastaanottovahvistus tapahtuman asiakirjoissa yhdessä lähetetyn sisällön ja täydennysten kanssa. Yksityishenkilön kantelulomake on eri kanava, eikä sillä korvata rekisterinpitäjän 33 artiklan mukaista ilmoitusta.
Ennen lähettämistä varmista, että ilmoituksesta käy ilmi loukkauksen luonne, rekisteröityjen ja tietueiden ryhmät sekä mahdollisuuksien mukaan arvioidut määrät, yhteyshenkilö, todennäköiset seuraukset ja toteutetut tai suunnitellut lieventävät toimet. Jos määrä on alustava, merkitse se arvioksi. Jos kyseessä on usean organisaation käyttämä palvelu, erittele oman organisaatiosi rooli: kuka on rekisterinpitäjä, kuka käsittelijä ja minkä henkilötietojen osalta ilmoitus tehdään. Käsittelijän lähettämä tieto asiakkaalle ei yksin ole asiakkaan viranomaisilmoitus.
Viranomaisilmoituksen tekeminen ei tarkoita, että tekninen selvitys pysähtyy. Seuraa, onko vaarantunut tili suljettu, onko virheellinen käyttöoikeus korjattu ja onko levityksen laajuus muuttunut. Jos uusi tieto muuttaa riskin korkeaksi, arvioi uudelleen ilmoitus rekisteröidyille. Merkitse myös, milloin heille annettiin toimintaohje ja mihin se perustui. Näin tapahtuman asiakirjoista näkyy päätösten ketju, eikä myöhempi täydentävä tieto peitä sitä, mitä organisaatio tiesi ensimmäisten 72 tunnin aikana.
Monessa organisaatiossa hyödyllinen harjoitus on käydä läpi kuvitteellinen perjantai-illan tapaus: kuka saa ilmoituksen, kuka selvittää henkilötietojen osuuden, kuka päättää viranomaisilmoituksesta ja kuka lähettää viestin ihmisille tarvittaessa? Kirjoita vastaukset yhteystietoineen ennen tapahtumaa ja tarkista ne henkilöstön vaihtuessa. Harjoitus on suositus, ei 33 artiklan määräämä erillinen lomake. Sen arvo näkyy siinä, että käsittelyprosessi toimii myös silloin, kun tavalliset vastuuhenkilöt eivät ole paikalla. Kirjaa harjoituksessa havaitut puutteet ja varmista myöhemmin, että korjaukset tehtiin.
Usein kysytyt kysymykset
Onko jokaisesta tietoturvaloukkauksesta ilmoitettava viranomaiselle?
Ei. Ilmoitusta ei tarvita, jos on epätodennäköistä, että loukkaus aiheuttaa riskin ihmisten oikeuksille ja vapauksille. Kaikki henkilötietojen tietoturvaloukkaukset on kuitenkin dokumentoitava 33 artiklan 5 kohdan mukaisesti, myös silloin kun ilmoitusraja ei ylity. Kirjaa päätöksen perusteet.
Mistä hetkestä 72 tuntia lasketaan?
Määräaika alkaa siitä, kun rekisterinpitäjä tulee tietoiseksi loukkauksesta – eli kun on kohtuullisen varmaa, että henkilötiedot ovat vaarantuneet. Aika on kalenteriaikaa, johon sisältyvät illat ja viikonloput. Jos käsittelijä havaitsee loukkauksen, hänen on ilmoitettava rekisterinpitäjälle heti, ja rekisterinpitäjän määräaika alkaa hänen tiedokseen tulostaan.
Voiko ilmoituksen tehdä vaiheittain?
Kyllä. 33 artiklan 4 kohta sallii vaiheittaisen ilmoittamisen, jos kaikkia tietoja ei ole heti saatavilla. Tee alustava ilmoitus 72 tunnin kuluessa ja täydennä sitä myöhemmin. Yli 72 tunnin viiveestä on esitettävä perustelu.
Milloin rekisteröidyille on ilmoitettava?
Rekisteröidyille ilmoitetaan, kun loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen (34 artikla). Henkilökohtaista ilmoitusta ei edellytetä, jos tiedot olivat luvattomille käsittämättömiä esimerkiksi tehokkaan salauksen ja turvassa pysyneen avaimen vuoksi tai myöhemmät toimet ovat poistaneet korkean riskin. Jos henkilökohtainen ilmoittaminen vaatisi kohtuutonta vaivaa, on käytettävä julkista tiedotetta tai muuta yhtä tehokasta tapaa tiedottaa.
Mitä tietoja viranomaisilmoituksessa on annettava?
33 artiklan 3 kohta edellyttää kuvauksen loukkauksesta, rekisteröityjen ryhmät ja mahdollisuuksien mukaan arvioidun määrän sekä tietueiden ryhmät ja mahdollisuuksien mukaan arvioidun määrän. Lisäksi tarvitaan tietosuojavastaavan tai muun yhteyshenkilön tiedot, todennäköiset seuraukset sekä toteutetut tai ehdotetut toimenpiteet haittojen lieventämiseksi. Jos kaikkia tietoja ei ole heti, ilmoituksen voi tehdä vaiheittain ja täydentää myöhemmin.
Mitä tapahtuu, jos ilmoitus tehdään myöhässä?
Yli 72 tunnin viiveestä on esitettävä perustelu. Tutkinnan keskeneräisyys ei yksin estä alustavaa, vaiheittain täydennettävää ilmoitusta. Mahdollinen seuraamus arvioidaan tapahtuman tosiseikkojen ja GDPR:n kriteerien perusteella; tälle ohjeelle ei voi antaa yleistä euromääräistä arviota.
Yhteenveto
Ilmoita henkilötietojen tietoturvaloukkauksesta Tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa tietoisuudesta, paitsi jos on epätodennäköistä, että siitä aiheutuu riski ihmisten oikeuksille ja vapauksille. Kun loukkaus todennäköisesti aiheuttaa korkean riskin, arvioi erikseen ilmoittaminen rekisteröidyille. Kirjaa myös ne loukkaukset, joista ei tehdä viranomaisilmoitusta, ja käytä tarvittaessa vaiheittaista ilmoitusta. Selkeä sisäinen yhteysketju auttaa pitämään päätöksen ja toimenpiteet ajoissa.