Onko yrityksesi tietosuoja ajan tasalla?

5.8.2026

SoteTrainingin Heidi Ilmonen

Moni sotealan yrittäjä on tehnyt suuren työn varmistaakseen, että yrityksen tietosuoja ja tietoturva ovat kunnossa. On laadittu tietosuojaselosteet, käsittelytoimien kuvaukset, tietoturvasuunnitelma, omavalvontasuunnitelma ja henkilöstö on perehdytetty toimintatapoihin. Tämä on erinomainen lähtökohta, mutta samalla on tärkeää ymmärtää yksi keskeinen asia:

Tietosuoja ja tietoturva eivät ole kertaluonteinen projekti, vaan jatkuva johtamisen ja riskienhallinnan prosessi.

Erityisesti sosiaali- ja terveydenhuollossa käsitellään arkaluonteisia henkilötietoja, joiden suojaamiseen kohdistuu poikkeuksellisen korkeat vaatimukset. Lainsäädäntö, viranomaisohjeet, teknologia sekä kyberuhat muuttuvat jatkuvasti, minkä vuoksi myös yrityksen toimintatapojen, dokumentaation ja henkilöstön osaamisen on kehityttävä niiden mukana. Tätä alalla toimivilta odotetaan, mutta miten asia on käytännössä?

Viranomaiset odottavat jatkuvaa kehittämistä, eivät pelkästään valmiita asiakirjoja

Sote-alan toimintaa valvovat useat viranomaiset, joiden näkökulmasta tietosuojan ja tietoturvan tulee näkyä osana yrityksen jokapäiväistä toimintaa eikä pelkästään kansioon tallennettuina asiakirjoina. Vaatimuksien ja esimerkiksi tietosuojaa koskevan lainsäädännön voimaantulon jälkeen asiakirjojen olemassaolo, oli hyvä ja riittävä taso, mutta nyt aikaa on kulunut sen verran, että yriyksiltä toivotaan kehityksen ja käytännön toimenpiteiden näkymistä.

Tietosuojan toteutumista valvoo Tietosuojavaltuutetun toimisto, sosiaali- ja terveydenhuollon palvelujen valvonnasta vastaa Lupa- ja valvontavirasto, ja Terveyden ja hyvinvoinnin laitos (THL) antaa määräyksiä ja ohjeita esimerkiksi tietoturvasuunnitelmien laatimisesta sekä tietojärjestelmien turvallisesta käytöstä.

Yhteinen viesti on selkeä: yrityksen tulee pystyä osoittamaan, että tietosuojaa ja tietoturvaa johdetaan suunnitelmallisesti, niitä seurataan säännöllisesti ja toimintaa kehitetään jatkuvasti. Tästä syystä pelkkä dokumentin olemassaolo ei enää riitä. Yrityksen on pystyttävä osoittamaan, että käytännöt ovat aidosti käytössä, henkilöstö tuntee ne ja niiden toimivuutta arvioidaan säännöllisesti ja päivitetään tarvittaessa.

GDPR:n vaatimukset ovat täsmentyneet, onko yrityksesi pysynyt mukana?

Käytännön asiantuntijatyössä havaitaan edelleen, että monen sotealan yrityksen tietosuojadokumentaatio on laadittu vuosina 2018–2020, jolloin EU yleinen tietosuoja-asetus oli tullut voimaan ja organisaatioissa pyrittiin nopeasti täyttämään sen keskeiset vaatimukset. Tuolloin käytettävissä oli huomattavasti vähemmän viranomaisohjeita, oikeuskäytäntöä ja käytännön tulkintoja kuin nykyisin.

Tästä syystä monet tuolloin laaditut asiakirjat ovat jääneet melko yleiselle tasolle. Niissä saatetaan esimerkiksi kuvata henkilötietojen käsittelyn tarkoitukset, tekniset ja organisatoriset suojaustoimet tai rekisteröityjen oikeuksien toteuttaminen varsin suppeasti. Vaikka dokumentaatio on aikanaan voinut täyttää sen hetkiset vaatimukset, nykyiset viranomaisodotukset ovat monilta osin täsmentyneet.

Nykyisin viranomaiset odottavat, että yritys pystyy kuvaamaan henkilötietojen käsittelyn käytännöt huomattavasti yksityiskohtaisemmin sekä osoittamaan konkreettisesti, miten tietosuoja ja tietoturva toteutuvat jokapäiväisessä toiminnassa. Erityisesti sotealalla tämä korostuu, koska käsiteltävät henkilötiedot ovat suurelta osin erityisiin henkilötietoryhmiin kuuluvia tietoja ja niiden suojaamiseen kohdistuu korostunut huolellisuusvelvoite.

Tämän vuoksi yrityksen kannattaa tarkastella kriittisesti, vastaavatko sen nykyiset tietosuojaselosteet, käsittelytoimien kuvaukset, henkilötietojen käsittelyyn liittyvät ohjeistukset, teknisten ja organisatoristen suojaustoimien kuvaukset sekä muut tietosuojadokumentit edelleen tämän päivän lainsäädäntöä, viranomaisohjeita ja yrityksen todellista toimintaa. Hyvin usein kyse ei ole siitä, että dokumentaatio olisi virheellistä, vaan siitä, ettei se enää kuvaa riittävän tarkasti sitä, miten henkilötietoja yrityksessä tosiasiassa käsitellään ja suojataan.

Käytännössä tämä näkyy esimerkiksi siinä, että:

Yhä useampi sotealan yritys toimii myös henkilötietojen käsittelijänä

Yksi yleisimmistä kehittämiskohteista liittyy yrityksen rooliin henkilötietojen käsittelijänä.

Monet sosiaalialan yritykset tuottavat palveluja hyvinvointialueille tai muille julkisille toimijoille. Tällöin yritys toimii usein henkilötietojen käsittelijänä rekisterinpitäjän lukuun. Vastaavasti myös monet yksityiset terveydenhuollon palveluntuottajat käsittelevät henkilötietoja toisen rekisterinpitäjän puolesta esimerkiksi alihankinta- tai palvelusopimusten perusteella.

Tämä rooli tuo yritykselle omat velvollisuutensa, jotka eroavat rekisterinpitäjän vastuista.

Käytännössä yrityksellä tulisi olla dokumentoituna esimerkiksi:

Käytännön työssä havaitaan kuitenkin usein, että yrityksellä on laadittu rekisterinpitäjän dokumentaatio melko kattavasti, mutta henkilötietojen käsittelijän rooliin liittyvä dokumentaatio puuttuu lähes kokonaan tai se on hyvin yleisluontoista.

Tämä voi muodostaa merkittävän puutteen erityisesti silloin, kun hyvinvointialue tai muu toimeksiantaja arvioi palveluntuottajan tietosuojan ja tietoturvan tasoa tai pyytää osoittamaan, miten henkilötietojen käsittelijälle kuuluvat velvollisuudet on käytännössä toteutettu.

Dokumenttien tulee vastata todellista toimintaa

Tietosuojadokumentaatio ei saa olla pelkkä kokoelma valmiita mallipohjia. Sen tulee kuvata yrityksen todellista toimintaa ja muuttua sen mukana.

Monessa yrityksessä toiminta on viime vuosina digitalisoitunut merkittävästi. Käyttöön on voitu ottaa uusia asiakas- ja potilastietojärjestelmiä, sähköisiä ajanvarauspalveluja, verkkokauppa, verkkokoulutusalustoja, pilvipalveluita, sähköisiä lomakkeita, etävastaanottoratkaisuja tai muita digitaalisia palveluja. Jokainen uusi palvelu voi vaikuttaa siihen, miten henkilötietoja käsitellään ja millaisia tietosuojavelvoitteita yritykselle syntyy.

Hyvä esimerkki tästä on ilmoittajansuojeluun perustuva sisäinen ilmoituskanava eli whistleblowing-kanava. Lainsäädäntö velvoittaa vähintään 50 työntekijää työllistäviä yrityksiä järjestämään sisäisen ilmoituskanavan, mutta myös pienemmät organisaatiot voivat ottaa sellaisen käyttöön osana hyvää hallintoa. Kanavan käyttöönotto ei kuitenkaan tarkoita pelkästään uuden järjestelmän hankkimista. Yrityksen on samalla arvioitava, miten ilmoituskanavassa käsiteltävät henkilötiedot suojataan, miten käsittelystä informoidaan rekisteröityjä ja miten nämä käsittelytoimet dokumentoidaan osaksi yrityksen tietosuojakokonaisuutta.

Toinen usein huomiotta jäävä kokonaisuus liittyy yrityksen verkkosivuihin ja evästeisiin. Evästeiden käyttö mielletään helposti pelkäksi tekniseksi tai markkinointiin liittyväksi asiaksi, vaikka kyse on myös tietosuojasta. Jos verkkosivusto käyttää analytiikka-, markkinointi- tai muita kuin välttämättömiä evästeitä, yrityksen tulee huolehtia asianmukaisesta evästeinformaatiosta, suostumusten hallinnasta sekä siitä, että tietosuojaseloste ja evästekäytännöt vastaavat verkkosivuston todellista toimintaa.

Käytännössä havaitaan melko usein, että verkkosivujen evästekäytännöt on kopioitu valmiista mallista tai niitä ei ole päivitetty sen jälkeen, kun sivustolle on lisätty uusia toiminnallisuuksia, analytiikkatyökaluja tai kolmannen osapuolen palveluita. Tällöin yritys ei välttämättä enää täytä sille asetettuja tiedonantovelvollisuuksia eikä käyttäjille anneta riittävän selkeää kuvaa henkilötietojen käsittelystä.

Myös muutokset yrityksen toiminnassa vaikuttavat dokumentaation ajantasaisuuteen. Yritys on voinut laajentaa palveluitaan, aloittaa yhteistyön hyvinvointialueen kanssa, ottaa käyttöön uusia ohjelmistoja tai siirtää tietojen käsittelyä pilvipalveluihin. Jos dokumentaatiota ei päivitetä samassa yhteydessä, syntyy helposti tilanne, jossa asiakirjat eivät enää kuvaa yrityksen todellista toimintaa.

GDPR keskeinen periaate on osoitusvelvollisuus. Yrityksen tulee pystyä osoittamaan, miten henkilötietojen suojaamisesta huolehditaan käytännössä – ei ainoastaan todeta, että asia on huomioitu.

Ulkopuolinen asiantuntija näkee asiat, jotka arjessa jäävät helposti huomaamatta

Kun yritys toimii päivittäin oman toimintansa keskellä, on ymmärrettävää ja luonnollista, että omille käytännöille voi sokeutua.

Tämän vuoksi ulkopuolisen asiantuntijan tekemä nykytilan arviointi on usein yksi tehokkaimmista tavoista tunnistaa kehittämiskohteet ennen kuin ne nousevat esille viranomaisvalvonnassa, tilaajan auditoinnissa tai tietoturvapoikkeaman yhteydessä.

Asiantuntija voi arvioida esimerkiksi:

Usein kyse ei ole suurista virheistä, vaan vuosien aikana syntyneistä pienistä puutteista. Juuri nämä yksityiskohdat muodostavat kuitenkin kokonaisuuden, johon viranomaiset ja palvelujen tilaajat kiinnittävät yhä enemmän huomiota.

Hyvin hoidettu tietosuoja on myös kilpailuetu

Tietosuoja ja tietoturva eivät ole pelkästään lakisääteisiä velvollisuuksia. Ne ovat osa yrityksen laatua, ammattimaisuutta ja luotettavuutta.

Hyvin dokumentoidut toimintamallit lisäävät asiakkaiden, yhteistyökumppaneiden ja hyvinvointialueiden luottamusta. Ne helpottavat myös tarjouskilpailuihin osallistumista, sopimusneuvotteluja sekä viranomaisvalvontoja.

Samalla yritys pienentää riskiä tietoturvaloukkauksista, sopimusriskeihin liittyvistä ongelmista sekä mahdollisista hallinnollisista seuraamuksista.

Milloin nykytilan arviointi kannattaa tehdä?

Tietosuojan ja tietoturvan kokonaisuus kannattaa arvioida erityisesti silloin, kun:

Yhteenveto

Tietosuoja ja tietoturva eivät ole koskaan valmiita. Ne ovat jatkuvaa johtamista, riskienhallintaa ja toiminnan kehittämistä.

Sote-alalla yrityksen tulee huolehtia sekä rekisterinpitäjän että mahdollisen henkilötietojen käsittelijän velvollisuuksista. Molemmat roolit edellyttävät riittävää dokumentaatiota, toimivia käytäntöjä ja kykyä osoittaa, että henkilötietoja käsitellään turvallisesti ja lainsäädännön mukaisesti.

Jos dokumentaatio on laadittu useita vuosia sitten tai yrityksen toiminta on muuttunut, nyt on oikea hetki arvioida, vastaavatko käytännöt edelleen tämän päivän vaatimuksia. Ulkopuolinen asiantuntija tuo arviointiin puolueettoman näkökulman, tunnistaa kehittämiskohteet ja auttaa varmistamaan, että yritys täyttää sekä viranomaisten että yhteistyökumppaneiden odotukset – myös tulevaisuudessa.

Jos tarvitset apua tietosuojan ja tietoturvan nykytilan arviointiin tai asiakirjojen päivittämiseen, älä epäröi ottaa yhteyttä: heidi.ilmonen@sotetraining.fi