Mitä tietotilinpäätöksessä on? Sisältö ja aikataulu kunnalle
Päivitetty · Complian asiantuntijat
Tietotilinpäätös on kunnan vuosittainen raportti siitä, miten tietosuoja, tietoturva ja tiedonhallinta ovat toteutuneet edellisenä vuonna. Laki ei vaadi sitä, mutta se on vakiintunut tapa osoittaa tietosuoja-asetuksen vaatima osoitusvelvollisuus: kunnan pitää pystyä näyttämään, että se noudattaa sääntöjä.
Miksi tehdä?
- Johto saa kerran vuodessa kokonaiskuvan riskeistä ja kehitystarpeista.
- Kuntalaiset näkevät, miten heidän tietojaan suojataan.
- Tietosuojavastaavan työ muuttuu näkyväksi ja resursointi helpommaksi perustella.
Suositeltu sisältö
Kuntaliiton mallin ja kuntien julkaisemien tietotilinpäätösten pohjalta tietotilinpäätöksessä on tyypillisesti:
- Julkinen tiivistelmä: tärkeimmät havainnot ilman tietoturva-aukkojen yksityiskohtia
- Tiivistelmä johdolle: havainnot, mittarit ja toimenpide-ehdotukset
- Vastuut: kuka vastaa mistäkin, tietosuojavastaavan rooli
- Rekisterit ja selosteet: käsittelyt ja niiden ajantasaisuus
- Tiedonhallinta: keskeiset järjestelmät ja tietovirrat
- Rekisteröityjen oikeudet: tietopyynnöt ja niiden käsittely
- Tietoturva: toimenpiteet ja koulutus
- Tietosuojaloukkaukset: määrä, laatu ja opit
- Seuranta ja kehittäminen: edellisen vuoden tavoitteiden toteutuminen ja uudet tavoitteet
Aikataulu
Tietotilinpäätös laaditaan alkuvuodesta edellisestä kalenterivuodesta, tyypillisesti tilinpäätöksen rinnalla. Esimerkiksi Lempäälän ensimmäinen tietotilinpäätös vuodelta 2025 hyväksyttiin kunnanhallituksessa maaliskuun lopussa 2026.
| Kuukausi | Tehtävä |
|---|---|
| tammikuu | tietojen kokoaminen: tietopyynnöt, loukkaukset, koulutukset |
| helmikuu | luonnos ja johdon tiivistelmä |
| maaliskuu | käsittely johtoryhmässä ja kunnanhallituksessa |
| huhtikuu | julkinen tiivistelmä kunnan verkkosivuille |
Mittarit, joita kannattaa seurata
Luvut tekevät vuosista vertailukelpoisia. Hyviä mittareita ovat:
- tietopyyntöjen määrä ja keskimääräinen vastausaika
- tietosuojaloukkaukset ja niistä tehdyt ilmoitukset
- koulutuksen suorittaneiden osuus henkilöstöstä
- ajantasaisten selosteiden osuus
- tehdyt vaikutustenarvioinnit
Sudenkuopat
- Liian tekninen. Johto ja kuntalaiset eivät lue järjestelmälistoja; tiivistelmä ratkaisee.
- Pelkkä saavutusluettelo. Hyvä tietotilinpäätös näyttää myös puutteet ja suunnitelman niiden korjaamiseksi.
- Haavoittuvuuksien julkaiseminen. Julkiseen versioon ei kirjoiteta tietoturva-aukkojen yksityiskohtia.
- Ei mittareita. Ilman lukuja vuosien vertailu on mahdotonta.
Jos käsittely on maaliskuussa, tietojen kokoaminen kannattaa aloittaa viimeistään tammikuussa. Katso myös muut tietosuojapalvelut kunnille.
Usein kysytyt
Onko tietotilinpäätös pakollinen?
Ei. Laki ei vaadi sitä, mutta se on vakiintunut tapa näyttää, että kunta noudattaa tietosuoja-asetuksen osoitusvelvollisuutta.
Kuka tietotilinpäätöksen hyväksyy?
Käytännöt vaihtelevat. Usein sen käsittelee johtoryhmä ja hyväksyy kunnanhallitus, ja julkinen tiivistelmä julkaistaan kunnan verkkosivuilla.
Mitä eroa on tietotilinpäätöksellä ja tilinpäätöksellä?
Tilinpäätös kertoo taloudesta, tietotilinpäätös tietosuojan, tietoturvan ja tiedonhallinnan tilasta. Ne yhdistää aikataulu: molemmat laaditaan alkuvuodesta edelliseltä vuodelta.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.