Tietosuojavaltuutetun toimiston toimintakertomus 2024

Arvoisa puhemies! Käsittelyssä on hallintovaliokunnan mietintö tietosuojavaltuutetun toimiston toimintakertomuksesta vuodelta 2024. Hallintovaliokunta toteaa vuoden 24 toimintakertomuksesta, että tietosuojavaltuutetun toimiston työmäärä jatkaa edelleen kasvuaan. Vireille tulleiden asioiden määrä oli toimintakertomusvuonna noin 13 300 asiaa. Suurimman asiaryhmän muodostivat edellisten vuosien tapaan ilmoitukset henkilötietojen tietoturvaloukkauksista. Ne muodostivat 54 prosenttia kaikista vireille tulevista asioista. Vireille tulevien asioiden lisäksi uusiutuva lainsäädäntö niin EU:ssa kuin kotimaassakin lisääntyy, ja tämän myötä tehtävien määrän odotetaan tietosuojavaltuutetun toimistossa edelleen kasvavan.

Hallintovaliokunta pitää mietinnössään tärkeänä, että työmäärän kasvaessa henkilöstön jaksamiseen ja hyvinvointiin kiinnitetään huomiota. Vuonna 2024 tietosuojavaltuutetun toimiston henkilöstömäärä nousi edelliseen vuoteen nähden ollen vuoden lopussa 60 henkilöä. Valiokunnan saaman selvityksen mukaan vuosien 2025—2026 aikana tietosuojavaltuutetun toimiston resurssit vahvistuivat vielä noin 20 uudella työntekijällä.

Toimintakertomuksessa tuodaan esille toimiston kehittämistoimia, joita ovat muun muassa ratkaisutoiminnan ja seuraamuskollegion käsiteltäväksi tulevien asioiden valmistelun tehostaminen sekä seulontamenettelyn käyttäminen tietoturvaloukkausilmoituksiin ja rekisteröidyn oikeuksia koskeviin asioihin. Toimintakertomuksesta ilmenee, että seulontamenettelyä on tarkoitus laajentaa muillekin toimialoille.

Hallintovaliokunta pitää edellä todettua resursointia ja tehtyjä kehittämistoimia tärkeinä. Valiokunta haluaa kuitenkin korostaa, että työmäärän kasvaessa on samalla kiinnitettävä entistä enemmän huomiota toiminnan kehittämiseen. Hallintovaliokunta toistaa vuoden 2023 kertomuksesta antamansa mietinnön mukaisesti, että se katsoo, että tilanteessa, jossa resursointia ei voida määräämättömästi kasvattaa, toimintaa täytyy pyrkiä tehostamaan muilla mahdollisilla keinoilla. Tästä syystä hallintovaliokunta kannustaa edelleen tietosuojavaltuutetun toimistoa uusien teknologisten mahdollisuuksien hyödyntämiseen ja muihin vastaaviin toimenpiteisiin, joilla työn vaikuttavuutta voidaan lisätä.

Arvoisa puhemies! Hallintovaliokunnan päätösehdotus on, että eduskunta hyväksyy kannanoton kertomuksen K 11/2025 vp johdosta, ja valiokunnan kannanottoehdotus on, että eduskunnalla ei ole huomautettavaa kertomuksen johdosta. — Kiitos.

Puhemies Jussi Halla-aho

Kiitoksia, edustaja Peltokangas. — Edustaja Hänninen, olkaa hyvä.

Arvoisa puhemies! Tietoturva ei ole enää vain tekninen kysymys, se on osa meidän jokaisen arjen turvallisuutta. Se on läsnä arjessamme niin päiväkodista palvelutaloon ja saattohoitoon saakka kuin harrastuksista työelämään. Siksi toimivassa ja tehokkaassa tietoturvassa on samalla kyse yhteiskuntamme kokonaisturvallisuudesta. Vuoden 2024 tietosuojavaltuutetun toimintakertomus osoittaa selkeästi, että tietosuoja- ja tietoturva-asiat ovat kasvaneet yhteiskunnallisena kysymyksenä. Vireille tulleiden asioiden määrä kasvoi jälleen: kaikkiaan yli 13 000 tapausta. Tämä ei ole pieni luku vaan hälyttävä.

Arvoisa puhemies! Haluan kiittää tietosuojavaltuutetun toimiston henkilöstöä siitä, että kasvaneeseen työmäärään on vastattu ripeästi ja ammattitaidolla. Toimisto ratkaisi viime vuonna enemmän tapauksia kuin uusia tuli käsiteltäväksi. Juuri näin turvataan kansalaisten oikeudet nykypäivän arjessa. Hallintovaliokunnassa koimme tarpeelliseksi painottaa, että lisäresursointi ei pitkällä aikavälillä riitä, vaan toiminnan vaikuttavuutta on lisättävä muun muassa uusia teknologioita hyödyntämällä. Samalla on tärkeää korostaa, että henkilöstön jaksamisen ja työhyvinvoinnin merkitys yhä kasvavassa ja vaikeutuvassa työmäärässä on otettava vahvasti huomioon.

Arvoisa puhemies! Erityisesti haluan vielä nostaa esiin lasten tietoturvan ja tietosuojan. Päiväkodeissa, kouluissa ja harrastuksissa käsitellään lasten henkilötietoja. Siksi on tärkeää, että myös näissä ympäristöissä ymmärretään tietosuojan merkitys. Tämän eteen on tehty tarkasteluvuonna tärkeää työtä tuottamalla opasmateriaalia. Samalla kuitenkin yksi huolestuttava kehityssuunta on sosiaali- ja terveydenhuollosta tulevien ilmoitusten määrän kasvu. Kyseessä on sektori, jossa käsitellään kaikkein arkaluonteisimpia henkilötietoja. Jokaisella suomalaisella on oikeus luottaa siihen, että terveyttä hoidetaan turvallisesti ja omat tiedot pysyvät suojattuina. Tämä on erityisen tärkeää myös luottamuksen näkökulmasta. Jos kansalainen ei voi luottaa siihen, että hänen terveystietonsa ovat turvassa, ei voida puhua toimivasta hoitosuhteesta. Tähän meidän on kiinnitettävä erityistä huomiota jatkossa.

Arvoisa puhemies! Tietoturva on yhteiskuntarauhan tärkeä osa. Se on osa kokonaisturvallisuuttamme. On meidän yhteinen tehtävämme varmistaa, että oikeus henkilötietojen suojaan toteutuu ei vain paperilla vaan jokaisen arjessa. Haluan vielä kiittää tietosuojavaltuutetun toimistoa ja sen henkilöstöä tärkeästä, arvokkaasta ja merkittävästä työstä suomalaisen tietoturvan ja luottamuksen eteen. Tämän pohjalta olemme taas valmiimpia tekemään työtä turvallisemman Suomen puolesta. — Kiitos, arvoisa puhemies.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Pauli Kiuru, olkaa hyvä.

Arvoisa puhemies! Kiitos valiokunnan puheenjohtaja Peltokankaalle mietinnön esittelystä. — Tietojen pitää liikkua turvallisesti. Tietosuoja ja yksityiselämän suoja pitää sovittaa yhteen tärkeiden perusoikeuksien kanssa. Suurin asiaryhmä tietosuojavaltuutetulla on henkilötietojen tietoturvaloukkauksiin liittyvät asiat. Loukkausilmoituksia tehtiin kertomusvuonna 2024 noin 7 100 kappaletta. Lokitietoja koskevat kysymykset toistuvat, toinen teema on tietojen oikeellisuus ja mahdollisuus korjata vääriä tietoja. Huolta koetaan siis aiheellisesti tärkeästä asiasta, koska näitä ilmoituksia on näin paljon tehty.

On aina muistettava, että potilastietoja samoin kuin muita tietoja, esimerkiksi taloudellisia tietoja, saavat käyttää vain asian käsittelyyn liittyvät henkilöt ja viranomaiset, eivät ulkopuoliset motiiveilla, jotka perustuvat muuhun kuin asian asialliseen hoitoon.

Sitten varsinainen asia ja huoleni: Kun näitä tietoja tallennetaan, niin nyt näyttää trendi olevan siinä, että tiedot siirretään pilvipalveluihin. Tällaisia tietoja voi olla Kelalla, voi olla sotetietoja, potilastietoja, jopa vaalitietojärjestelmätietoja voi olla pilvipalveluissa, ja Verohallinnon tietoja — kaikki hyvin sensitiivisiä tietoja, jotka liittyvät Suomen turvallisuuteen ja huoltovarmuuteen ja demokratian toimivuuteen myös kriittisissä tilanteissa. Viestini on, että tämäntyyppisten sensitiivisten tietojen pitää olla turvassa mieluiten tietysti omassa maassa Suomessa tai sitten vähintäänkin EU-maissa — ei yhdessä maassa, mikä se sitten milloinkin on, sen takia, että jos ne tiedot ovat yhdessä maassa, toisen maan lainsäädännön alla, niin silloin meidän mahdollisuudet toimia poikkeuksellisissa tilanteissa ovat hyvin rajalliset. Esimerkiksi meppi Aura Salla on kiinnittänyt tähän asiaan huomiota. Pahimmillaan nämä palvelut voidaan yksipuolisella päätöksellä sulkea jopa muutamassa tunnissa. Sellaista riskiä Suomi ei voi ottaa. — Kiitos.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Juvonen, olkaa hyvä.

Arvoisa herra puhemies! Hyvät kansanedustajat! Käsittelyssä on hallintovaliokunnan mietintö tietosuojavaltuutetun toimiston toimintakertomuksesta vuodelta 24. Tietoturvaloukkausilmoituksia tehtiin vuoden 24 aikana 7 152, mikä on yli 250 ilmoitusta edellistä vuotta enemmän, ja ne muodostivat 54 prosenttia kaikista vireille tulevista asioista. On siis ymmärrettävää, että toimiston työmäärä on suuri. Valiokunta toteaakin mietinnössään ja kannustaa, että tietosuojavaltuutetun toimisto ottaisi käyttöön uusia teknologisia mahdollisuuksia ja hyödyntäisi niitä sekä tekisi myös muita toimenpiteitä.

Arvoisa puhemies! Tietosuojavaltuutetun toimisto on itsenäinen ja riippumaton viranomainen. Se valvoo tietosuojalainsäädännön ja muiden henkilötietojen käsittelyä koskevien säädösten noudattamista. Yksi yhteiskunnallinen tavoite on se, että turvataan oikeus henkilötietojen suojaan ja kansalaisten luottamus henkilötietojen käsittelyn avoimuuteen. Vuonna 24 tietosuojavaltuutetun toimisto antoi 42 määräystä ilmoittaa henkilötietojen tietoturvaloukkauksesta rekisteröidylle. Tämä on erittäin tärkeää, että henkilö, jonka henkilötietojen loukkaus on tapahtunut, saa sen tietoonsa.

Arvoisa puhemies! Sosiaali- ja terveydenhuollon tietoturvaloukkausilmoituksia tehtiin 2 776 eli 36 prosenttia. Määrä on valtaisa. Sosiaali- ja terveydenhuolto on tietosuojavaltuutetun toimiston suurin toimiala vireille tulleiden asioiden määrässä mitattuna, ja tämä on kyllä merkille pantavaa. Se on myös huolestuttavaa. Valtaosa tapauksista oli henkilötietojen tietoturvaloukkauksia koskevia ilmoituksia, joiden käsittelyä tehostettiin vuoden aikana. Näiden lisäksi korostuivat asiakas- ja potilastietojen tarkastamista, oikaisemista ja poistamista koskevat asiat, joiden käsittelyä puolestaan sujuvoitettiin seulontamenettelyn osalta.

Tietosuojatoimisto ja tietosuojavaltuutettu antavat erilaisia ohjeistuksia tekijöille ja toimijoille, esimerkiksi yleistä ohjausta verkkosivuilla. Lisäksi tietosuojavaltuutetun toimisto osallistuu sosiaali- ja terveydenhuollon tietosuojan parissa työskenteleville suunnatun vuosittaisen SohviTellu-tietosuojaseminaarin järjestämiseen. Mutta riittääkö tämä kaikki? ”Vuoden aikana käsiteltäväksi tuli aiempaa enemmän asiakkaiden ja potilaiden yhteydenottoja. Ne koskivat asiakas- ja potilastietojen katselua ilman perustetta.” No, näissä tilanteissa ”henkilöitä ohjataan pyytämään terveydenhuollon toimijalta lokitietoja tai selvitystä tietojen käytön tai luovuttamisen perusteista”. ”Lisäksi henkilöitä ohjataan tekemään tarvittaessa rikosilmoitus poliisille, joka voi tarvittaessa pyytää tietosuojavaltuutetun toimistolta lausunnon.” Tämä on suoraan tekstiä tästä toimintakertomuksesta. On tärkeää, että ihmiset ovat kiinnostuneita siitä, miten heidän asiakas- ja potilastietojaan käsitellään, ja tarvittaessa pyytävät tiedon siitä, kuka on käyttänyt tai kenelle on luovutettu hänen tietojaan.

Arvoisa puhemies! Lääkärilehti uutisoi 8.1.2025 otsikolla ”Terveystietojen urkkija kärähtää yhä useammin”. Urkintatapauksia, joissa henkilöstön edustaja on tutkinut perusteetta asiakkaan tietoja, on Suomessa liikaa. Artikkelissa mainitaan muutama tapaus: Helsingissä kotihoidon työntekijä tutki 140 potilaan tietoja aiheetta, TYKSissä hammashoitaja 430:n, HUSissa lähihoitaja yli tuhannen. Tietoon on tullut myös tapauksia, joissa lääkäri on urkkinut perusteetta potilaan tietoja. Apulaistietosuojavaltuutettu Annina Hautala totesi tuossa artikkelissa, että terveydenhuollon on kehitettävä valvontaa. Viestini ja kannustimeni terveydenhuollon sektorille onkin, että kehittäisivät valvontaa ja jokaiseen luvatta ja aiheetta paljastuneeseen urkintatapaukseen puututtaisiin kovasti. Ne ovat laittomia, ja niitä ei tule sallia.

Kiitos hallintovaliokunnan puheenjohtajalle mietinnöstä, puheenvuorosta ja erityisesti tästä tärkeästä kertomuksesta, joka muistuttaa meitä kaikkia siitä, miten tärkeää on, että meillä on omat henkilötiedot ja ne pysyvät tarvittaessa myös salassa. — Kiitos.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Autto, olkaa hyvä.

Arvoisa herra puhemies! Tiedon määrä maailmassa lisääntyy eksponentiaalista vauhtia, ja tietojenkäsittelytekniikat mahdollistavat myös sen, että tietosuojan piiriin kuuluvien tietojen vääriin käsiin joutumiseen liittyy sellaisia riskejä, joita vielä hetki sitten emme osanneet ajatellakaan. Tässä mielessä on erittäin tärkeää, että tietosuojan eteen tehdään paljon töitä, jotta ne tiedot, jotka eivät kuulu vääriin käsiin, eivät sinne päädy. Haluankin kiittää hallintovaliokuntaa hyvästä mietinnöstä. Hallintovaliokunnan puheenjohtaja Peltokangas esitteli asian hyvin, ja hänethän tunnemme taitavana edustajana ja voimme luottaa siihen, että valiokunta on perusteellisesti ja hyvin asiaa käsitellyt.

Kun teemasta tässä koko eduskunnan koolla ollessa keskustellaan, niin haluan nostaa esiin myös sen näkökulman, että samalla kun vahvistamme tietosuojaa ja panostamme sen valvontaan, on valtavan tärkeää, että lainsäätäjinä myös huolehdimme siitä, että se oikea tieto, jota viranomaisilla tulee olla käytettävissään, liikkuu myös eri viranomaisten välillä. Ei saa olla tilanteita, joissa vaikkapa nuori, lapsi oireilee vakavasti ja lapset siellä välitunnilla ja koulun käytävällä tietävät kyllä kaiken, mistä oireilu johtuu, mutta opettajanhuoneessa koetaan, että koska tietosuoja estää meitä puhumasta, niin emme voi tähän asiaan tehdä niitä toimenpiteitä, jotka sen lapsen ja perheen tilanteen auttamiseksi olisivat välttämättömiä. Siinä mielessä tämä tietosuojakysymys on äärimmäisen tärkeä, että ne tiedot, jotka eivät kuulu vääriin käsiin, eivät sinne päädy, ja samaan aikaan meidän tulee kaiken aikaa tehdä töitä, että emme ajaudu tilanteisiin, joissa oikean tiedon liikkuvuus rajoittuisi sen vuoksi, että tietosuojaa vaalimme. Tässä mielessä mietintö on hyvä, ja on tärkeää näihin kiinnittää jatkuvasti huomiota.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Lehtinen, olkaa hyvä.

Arvoisa herra puhemies! Epäiltyjen tietosuojaloukkausten määrä on kasvanut niin merkittävästi, että juuri kuten hallintovaliokunnan puheenjohtaja esitteli, on keksittävä muita keinoja kuin rajatun henkilömäärän kasvattaminen näiden tietojen käsittelyyn. Siksi uskonkin, että suht lyhyelläkin aikavälillä jonkinlainen esikäsittely tässä tietomäärässä tullaan ottamaan käyttöön, koska se, että jokainen asia käytäisiin henkilökohtaisesti läpi, ei ole enää kestävää johtuen tästä kasvusta, jota myöskin edustaja Autto tässä toi esiin.

Sitten haluaisin ottaa kantaa myöskin tähän edustaja Kiurun esiin nostamaan asiaan: Olen pitkään ja hallintovaliokunnan käsittelyn aikanakin ihmetellyt sitä, että me viemme pilvipalveluita kaupallisille toimijoille, ei pelkästään edes johonkin maahan, josta meillä ei ole varmuutta, vaan myöskin kaupallisille toimijoille. Mitä laajemmin niitä viedään kaupallisille toimijoille, sitä enemmän heille annetaan ikään kuin poliittista valtaa kiristää jopa päättäjiä tietyllä tasolla, jos me emme ota näitä asioita omaan käsittelyyn. Minä toivoisinkin, että nyt kun Suomeenkin tulee ja on ainakin suunniteltuina uusia datakeskuksia niin kuin sieniä sateella, niin joku niistä tai joku eurooppalaisista keskuksista olisi myöskin se kansallinen tai eurooppalainen pilvipalvelu, joka olisi omissa käsissä ja luotettavasti tehtävissä.

Vielä siihen haluaisin myöskin ottaa kantaa, että tietosuojan kanssa pitää tietyllä tapaa olla tarkka juuri viranomaistoiminnassa, niin että se ei rajoita. Lyhyenä esimerkkinä omasta elämästäni ennen kansanedustajuutta: poliisina sain katsoa oman piirin alueen rikostietoja ja rosvoja mutta en naapuripiiristä. Ikään kuin he kunnioittaisivat yöllä tullessaan tekemään rikoksia sitä, että tälle piirille emme nyt mene, kun siellä meidät tunnetaan, ja tuonne toiselle puolelle mennään. Eli lähinnä se, että kun tietosuojaa pohditaan, sille pitää antaa myöskin mahdollisuuksia, että se ei rajoita liikaa viranomaisten toimivaltuuksia ja mahdollisuuksia hoitaa työtään.