Viranomaiset altistavat kansalaiset säilyttämällä tarpeettomia henkilötietoja

Kun lainsäätäjä tai viranomainen tekee henkilötiedon luovuttamisesta lakisääteisen velvoitteen tai julkisen palvelun käyttämisen ehdon, kansalainen ei voi neuvotella ehdoista. Laki, rekisterinpitäjän päätökset ja järjestelmän rakenne määräävät yhdessä, mitä kerätään, kuinka kauan sitä säilytetään ja mitä pääsyreittejä tietoihin syntyy. Jos tiedon välttämättömyyttä nimettyyn tehtävään ei pystytä osoittamaan, kansalainen kantaa tietomurron, sisäpiirin, uuden käyttötarkoituksen ja myöhemmän vallan väärinkäytön riskin ilman hyväksyttävää tehtäväperustetta.

Helsingin yksi haavoittuvuus johti murtoon ympäristössä, jossa oli kymmeniä miljoonia tiedostoja

Ulkopuolinen hyökkääjä käytti vuonna 2024 Helsingin kasvatuksen ja koulutuksen toimialan etäkäyttöpalvelimen haavoittuvuutta ja pääsi verkkoasemaympäristöön. Kaupungin mukaan asemalla oli kymmeniä miljoonia tiedostoja. Pahimmillaan murto koskee yli 80 000 oppilasta ja heidän huoltajiaan. Myös koko kaupungin henkilöstön käyttäjätunnuksia ja sähköpostiosoitteita vaarantui.

Verkkoasemalla käsiteltiin muun muassa henkilötunnuksia, osoitteita, terveyttä, erityistä tukea, oppilashuoltoa ja uskonnollista yhdyskuntaa koskevia tietoja. Tapaus osoittaa, kuinka suuri tietomassa yhden murretun ympäristön takana voi olla.

Lähteet: Helsingin kaupunki 13.5.2024 · Helsingin tietomurtosivu · Selvitys tietosuojavaltuutetulle 8.7.2024

Valtorin järjestelmä oli merkinnyt tiedon poistetuksi mutta jättänyt sen talteen

Valtorin mobiililaitteiden hallintapalveluun kohdistunut hyökkäys vaaransi vuonna 2026 noin 50 000 valtionhallinnon laitteen käyttäjätietoja: nimiä, työsähköposteja, puhelinnumeroita ja laitetietoja. Valtioneuvoston mukaan laitteisiin tallennetut sisällöt eivät senhetkisten tietojen perusteella vaarantuneet.

Ratkaiseva virhe koski säilytystä. Järjestelmä ei ollut hävittänyt poistettuja tietoja, vaan ainoastaan merkinnyt ne poistetuiksi. Siksi vaarantuivat kaikkien palvelua sen elinkaaren aikana käyttäneiden organisaatioiden laite- ja käyttäjätiedot.

Lähteet: Valtioneuvosto 6.2.2026

RajausLuettelo kuvaa aseman tietosisältöä, ei sitä, että hyökkääjä olisi saanut jokaisen kentän jokaisesta henkilöstä. Kaupungin mukaan hyökkääjä pääsi vain osaan verkkoasemalla käsitellystä tiedosta.

Tietomurron vahinko ei määräydy vain sen mukaan, pääseekö hyökkääjä sisään. Se määräytyy myös sen mukaan, mitä sisäänpääsyn takana odottaa.

1. 1

   Viranomainen kerää tai säilyttää tiedon

   Kun käsittely perustuu lakiin tai julkisen vallan tehtävään, kansalainen ei voi yksipuolisesti peruuttaa henkilötunnuksen, osoitteen, perhesuhteen tai palvelumerkinnän laillista säilytystä.

2. 2

   Tieto jää tunnistettavaan ja saavutettavaan muotoon

   Sama pysyvä tunniste, liian laaja käyttöoikeus tai järjestelmäpolku voi yhdistää vuosia, ihmisryhmiä tai organisaatioita.

3. 3

   Murto, sisäpiiriläinen tai uusi vallankäyttö saa saavutettavissa olevan tietomassan

   Mitä enemmän tarpeetonta tietoa polun takana on, sitä enemmän on haettavaa, yhdistettävää ja kohdennettavaa.

4. 4

   Kansalainen maksaa seurauksen

   Viranomainen voi korjata oman rekisterinsä, mutta vuotanutta terveys-, osoite- tai perhesuhdehistoriaa ei saa takaisin hyökkääjän kopiosta.

Lisäkenttä ei kasvata juuri tietyn murron vahinkoa, jos tieto on aidosti eristetty eikä murretun pääsyreitin saavutettavissa. Siksi ehdotuksemme sisältää kaksi eri suojaa: tarpeeton tieto poistetaan; välttämätön tieto erotetaan muista tiedoista ja suojataan oman tehtävänsä mukaan.

Tekoäly täydentää jo käytössä olevia haku- ja analyysivälineitä. Kun tietoihin on pääsy, automaattiset työkalut voivat alentaa niiden haun, ryhmittelyn, yhdistelyn ja priorisoinnin työmäärää. NIST varoittaa, että generatiiviset mallit voivat vuotaa, tuottaa tai päätellä arkaluonteista tietoa ja yhdistää päätelmiä eri lähteistä.

Yhdistelyn voima ei edellytä täydellistä kansallista rekisteriä. Tutkimuksessa neljä aika- ja sijaintipistettä riitti yksilöimään 95 prosenttia 1,5 miljoonan ihmisen liikkuvuusaineiston henkilöistä.

Ilman pääsyä ei ole analysoitavaa. Ilman yhdistettäviä tunnisteita kohdentaminen vaikeutuu. Ilman toimivaa työkalua mittakaava pienenee. Ilman käyttäjää tai hyökkääjää kyky ei muutu teoksi.

Tekoäly vahvistaa samaa johtopäätöstä kuin tietomurrot: mahdollisen seuraavan murron ulottuvuutta pienennetään keräämällä vähemmän tietoa, lyhentämällä perustelemattomia säilytysaikoja, erottamalla pääsyreitit ja toteuttamalla poistot.

RajausLuku koskee vain kyseistä aineistoa ja tarkkuutta. Se ei ole yleinen 95 prosentin sääntö suomalaisille rekistereille, mutta se näyttää, kuinka niukka lisätieto voi purkaa oletetun anonymiteetin.

Lähteet: NIST AI 600-1, kohta 2.4 · de Montjoye ym., Scientific Reports 2013

Tarpeeton tieto tarkoittaa tässä tietoa, jonka nykyistä välttämättömyyttä nimettyyn tehtävään viranomainen ei pysty osoittamaan. Määritelmä ei kata tietoa, jonka säilyttämisen laki, nimetty julkisen vallan tehtävä, oikeusvaateen laatiminen, esittäminen tai puolustaminen taikka erikseen päätetty yleisen edun mukainen arkistointi aidosti vaatii.

EU:n tietosuoja-asetuksen 5 artikla vaatii käyttötarkoitussidonnaisuutta, tietojen minimointia ja säilytyksen rajaamista. Tunnistettavaa tietoa saa säilyttää vain niin kauan kuin käsittelyn tarkoitus vaatii. Yleisen edun mukainen arkistointi, tutkimus ja tilastointi voivat oikeuttaa pidempään säilytykseen vain niihin kuuluvin suojatoimin.

Tietosuoja-asetuksen poistamisoikeus ei silti tarkoita, että kaikki julkiset tiedot voidaan pyyhkiä pyynnöstä. Oikeusvelvoite, julkisen vallan tehtävä, oikeusvaade sekä yleisen edun mukainen arkistointi tai suojattu tutkimus voivat vaatia säilyttämistä.

Kun muu laki ei määrää säilytysaikaa, tiedonhallintalain 21 § velvoittaa viranomaisen arvioimaan tarpeen muun muassa käyttötarkoituksen, oikeusturvan, oikeusvaikutusten ja vanhentumisaikojen perusteella. Säilytysajan päätyttyä aineisto on arkistoitava tai tuhottava viipymättä tietoturvallisesti.

Ehdotettu poistomalli ei tarkoita teknisesti katteetonta lupausta, että jokainen varmuuskopion bitti katoaa samalla sekunnilla. Tieto poistetaan aktiivisista järjestelmistä ja replikoista, suljetaan varmuuskopioissa normaalikäytön ulkopuolelle ja hävitetään dokumentoidun kierron mukana. Jos varmuuskopio palautetaan, elinkaarisäännön on tehtävä erääntyneet poistot uudelleen.

Lähteet: GDPR 5 ja 17 artikla · Tiedonhallintalaki 906/2019, 21 §

Yksityisen palvelun tiedonkeruusta voi ainakin muodollisesti kieltäytyä jättämällä sopimuksen tekemättä, vaikka käytännön vaihtoehdot vaihtelevat. Lakisääteisessä väestö-, vero- tai poliisirekisterissä vastaavaa sopimusperusteista poistumistietä ei ole. Pakollinen rekisteri siirtää siksi välttämättömyyden todistustaakan tiedon kerääjälle.

Ehdotuksemme mukaan jokaisesta viranomaisen tietoluokasta on pystyttävä vastaamaan julkisesti viiteen kysymykseen:

1. 1

   Jokaiselle tietokentälle on nimettävä tehtävä, joka vaatii juuri sen tiedon.

   Yleinen "mahdollinen tuleva tarve" ei riitä käyttötarkoitukseksi.

2. 2

   Tehtävä ei saa vaatia enempää tietoa tai vahvempaa tunnistetta kuin on välttämätöntä.

   Pysyvä henkilötunnus ei saa olla automaattinen vastaus jokaiseen palveluun.

3. 3

   Säilytys päättyy nimetystä tapahtumasta, ei avoimesta tulevasta tarpeesta.

   Määräajan on käynnistyttävä selvästä tapahtumasta, kuten asian päättymisestä, palvelusuhteen loppumisesta tai oikeusvaateen vanhentumisesta.

4. 4

   Kaikki kopiot — elävä järjestelmä, varmuuskopio, loki ja vienti — on voitava nimetä.

   Elävä järjestelmä, replika, varmuuskopio, loki, vientitiedosto ja johdettu aineisto eivät saa kadota sanan "poistettu" taakse.

5. 5

   Käyttöoikeuden on seurattava tehtävää, ja poikkeava käyttö on voitava jäljittää.

   Käyttöoikeuden on seurattava tehtävää, ja poikkeava käyttö on voitava jäljittää.

Minimireformi poistaa tarpeettoman tiedon nykyisessä valtiossa

1. 01

   Julkinen rekisterikohtainen välttämättömyysauditointi 12 kuukaudessa

   Jokaisesta tietoluokasta julkaistaan tehtävä, oikeusperusta, säilytysaika, määräajan alkutapahtuma, vastuullinen rekisterinpitäjä ja tieto siitä, syntyykö kopioita tai johdettuja aineistoja.

2. 02

   Automaattinen elinkaarisääntö jokaiseen järjestelmään

   Säilytysajan päättyminen käynnistää tuhoamisen tai laillisen arkistosiirron.

3. 03

   Eri tehtävät eivät jaa yhtä pääsyreittiä

   Välttämättömät tunnisteet ja arkaluonteinen sisältö erotetaan tehtävien, järjestelmien, käyttöoikeuksien ja salausavainten mukaan niin, ettei yhden tilin tai palvelun murto avaa koko henkilöhistoriaa.

4. 04

   Käyttö näkyväksi tiedon kohteelle

   Ihminen näkee, mikä viranomainen on käyttänyt hänen tietojaan, milloin ja millä tehtäväperusteella.

5. 05

   Ei tunnistettavien viranomaisrekisterien käyttöä tekoälyn koulutukseen yleisvaltuudella

   Mallikoulutus tai laaja automaattinen yhdistely vaatii erillisen täsmällisen oikeusperustan, rajatun tarkoituksen, pääsy- ja poistomallin sekä riippumattoman ennakkoarvion.

6. 06

   Riippumaton tarkastus ja korjausmääräys

   Valvoja voi määrätä tarpeettoman keruun lopetettavaksi, vanhentuneen tiedon tuhottavaksi ja yhteisen pääsyreitin eristettäväksi.

RajausLaillisesti salassa pidettävät tekniset yksityiskohdat jätetään pois, eivät itse säilytyspäätöksen perustelut. Pelkkä poistomerkintä ei ole tuhoamista. Varmuuskopioissa vanhentunut tieto suljetaan normaalikäytöstä, poistuu dokumentoidun kierron mukana ja poistetaan uudelleen, jos varmuuskopio palautetaan. Salaus, pseudonymisointi tai tunnisteen tiiviste eivät korvaa minimointia: pysyvä pseudotunniste voi yhä linkittää saman ihmisen tiedot, ja vaarantunut avain tai käyttöoikeus voi avata sisällön. Laissa tarkasti rajattu tutkinta- tai turvallisuussalaisuus voi lykätä ilmoitusta, mutta ei poistaa jälkeä riippumattomalta valvojalta. Vanhaan palvelutehtävään kerätty tieto ei muutu yleiseksi harjoitusaineistoksi siksi, että uusi tekniikka pystyy käyttämään sitä. Rekisterinpitäjän on näytettävä korjaus toteen järjestelmästä, ei pelkällä asiakirjalla.

Kaikkea ei pidä poistaa. Aktiivisen terveydenhoidon jatkuvuus, henkilön oikeudet ja velvollisuudet, oikeudenkäyntien näyttö, rikosasioiden määräajat ja valikoitu yleisen edun mukainen arkistointi voivat vaatia tietoa. Potilas- ja sosiaalihuollon asiakirjoille on säädetty useita eri säilytysaikoja; poliisitietojen määräajat vaihtelevat ja voivat laissa rajatuin perustein jatkua. Arkistointilaki antaa Kansallisarkistolle vallan määrätä valitut aineistot pysyvään säilytykseen.

Lähteet: Asiakastietolaki 703/2023 · Poliisin henkilötietolaki 616/2019 · Arkistointilaki 529/2026

Minimireformi rajoittaa nykyisen valtion tietoriskiä. Se ei tee pakollisesta rekisteristä vapaaehtoista.

Autonomiset alueet rajaavat tiedot ja pääsyreitit alueen tehtävään, joten yhden alueen murto ei avaa koko maan aineistoa. Yhteinen henkilötunniste ei yksin muodosta yhteistä tietovarantoa, mutta se antaa tiedoille vakaan yhdistelyavaimen. Jos siihen liitetään keskitetty haku tai valtakunnallinen käyttöoikeus, alueellinen erottelu katoaa: sama avain kokoaa hajallaan olleen aineiston uudelleen yhdeksi vaikutusalaksi.

1. 1

   Ensin poista tarpeeton tieto; ilman nimettyä tehtävää säilytetty kenttä kasvattaa murron vahinkoa.

2. 2

   Sitten eristä välttämätön tieto tehtävän ja alueen mukaan, jotta yhden alueen murto ei avaa koko maan aineistoa.

3. 3

   Estä yhteistä keskusta rakentamasta samaa tietomassaa uudelleen yhteisellä tunnisteella ja keskitetyllä haulla.

Lähteet: DVV: Personal data · DVV: Population Information System privacy