Tietomurto sattui – mitä teet seuraavan 72 tunnin aikana
Päivitetty · Complian asiantuntijat
Väärään osoitteeseen lähtenyt sähköposti, kadonnut läppäri tai tietomurto: kaikki ovat tietosuojaloukkauksia, jos henkilötietoja päätyy vääriin käsiin tai katoaa. Kello alkaa käydä siitä hetkestä, kun saatte tietää loukkauksesta.
Heti (0–4 tuntia)
- Pysäytä vahinko: sulje tunnukset, katkaise yhteys, pyydä väärä vastaanottaja poistamaan viesti.
- Kirjaa ylös, mitä tapahtui ja milloin huomasitte sen.
- Ilmoita tietosuojavastaavalle tai tietosuojasta vastaavalle henkilölle.
Selvitä (4–24 tuntia)
- Mitä tietoja loukkaus koskee ja keiden?
- Kuinka monta ihmistä?
- Mitä haittaa siitä voi seurata: huijauksia, identiteettivarkauksia, terveystietojen paljastumista?
- Jos loukkaus tapahtui toimittajalla, sen on ilmoitettava teille viipymättä.
Ilmoita (viimeistään 72 tunnin kuluessa)
- Tietosuojavaltuutetulle, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisille. Ilmoitus tehdään verkkolomakkeella. Jos kaikkea ei vielä tiedetä, ilmoita se mitä tiedät ja täydennä myöhemmin.
- Ihmisille itselleen viipymättä, jos riski on korkea. Kerro selkokielellä, mitä tapahtui ja mitä heidän kannattaa tehdä.
- Poliisille, jos kyse on rikoksesta, kuten murrosta tietojärjestelmään.
- Muille viranomaisille: jos organisaatiotanne koskee kyberturvallisuuslaki, sillä on omat, nopeammat ilmoitusvelvollisuutensa.
Tilanne marraskuussa 2026: EU:ssa on käsittelyssä ehdotus, joka pidentäisi määräajan 96 tuntiin ja nostaisi ilmoituskynnystä. Se ei ole voimassa, joten noudata 72 tunnin määräaikaa.
Tarvitaanko ilmoitus? Näin arvioit riskiä
| Tilanne | Valvojalle | Ihmisille |
|---|---|---|
| Salattu läppäri katosi, avain tallessa | ei yleensä | ei |
| Laskulla väärälle asiakkaalle nimi ja osoite | arvioitava | ei yleensä |
| Palkkatiedot koko henkilöstölle sähköpostilla | kyllä | yleensä kyllä |
| Tietomurto, terveystiedot tai henkilötunnukset vuotaneet | kyllä | kyllä |
Taulukko on suuntaa antava. Ratkaisu riippuu aina tietojen laadusta, ihmisten määrästä ja siitä, keille tiedot päätyivät. Perustelu kirjataan kaikissa tapauksissa.
Jälkeenpäin
- Kirjaa jokainen loukkaus, myös ne, joista ei tarvinnut ilmoittaa. Valvoja voi pyytää kirjanpidon nähtäväksi.
- Korjaa syy ja päivitä ohjeet.
Valmistaudu etukäteen
Kriisissä ei ehdi miettiä, kuka tekee mitä. Kirjallinen tietomurto-ohje, yhteyshenkilöt ja ilmoituspohja säästävät ratkaisevat tunnit. Hyvässä ohjeessa on ainakin:
- kuka päättää ja kuka on hänen varahenkilönsä
- järjestelmä- ja tietoturvakumppanien päivystysnumerot
- ilmoituslomakkeen linkki ja valmis pohja ihmisille lähetettävään viestiin
- paikka, johon loukkaukset kirjataan
Helsingin kaupungin tietomurrossa uhreja oli tutkinnan mukaan noin 300 000, ja murron valmistelu olisi voitu havaita viikkoja aiemmin. Myös pienessä organisaatiossa valmistautuminen kannattaa.
Usein kysytyt
Lasketaanko viikonloppu 72 tuntiin?
Kyllä. Määräaika lasketaan tunteina, ja myös viikonloput ja pyhäpäivät kuuluvat siihen.
Onko väärään osoitteeseen lähtenyt sähköposti tietosuojaloukkaus?
Kyllä, jos siinä oli henkilötietoja. Se pitää aina kirjata. Ilmoitus valvojalle tarvitaan, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisille.
Mitä jos en tiedä vielä kaikkea?
Tee ilmoitus siitä, mitä tiedät, ja täydennä sitä myöhemmin. Puutteellinen ilmoitus ajoissa on parempi kuin täydellinen myöhässä.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.