Tietosuoja ja kyberturvallisuus viranomaisvalvonnan kohteena

Tietosuojavalvonnassa on siirrytty Suomessakin uudelle miljoonasakkojen aikakaudelle, ja uusi kyberturvallisuussääntely on tuonut useille viranomaisille uusia toimivaltuuksia. Erityisesti paljon henkilötietoja käsittelevien sekä yhteiskunnan kannalta kriittisten palvelujen parissa toimivien yritysten on syytä valmistautua jo etukäteen viranomaisen selvitys- tai tarkastuspyyntöihin. Miten yrityksen kannattaa toimia, kun viranomainen ottaa yhteyttä selvitys- tai tarkastusasiassa? Milloin päätöksestä kannattaa valittaa ja mitä valitusprosessi vaatii? Teknologiapraktiikkamme otti kantaa näihin kysymyksiin 20.10.2026 järjestetyssä aamukahviwebinaarissa.

Webinaarissa esiintyivät asiantuntijamme Kalle Hynönen, Salha Hanna ja Iiris Rantanen.

Webinaari keskittyi erityisesti kolmeen sääntelykokonaisuuteen: 1) EU:n yleiseen tietosuoja-asetukseen (GDPR) ja sitä kansallisesti täydentävään tietosuojalakiin, 2) kyberturvallisuuslakiin ja sen taustalla olevaan EU:n NIS2-direktiiviin sekä 3) EU:n kyberkestävyysasetukseen (CRA), jota aletaan pääosin soveltaa 11.12.2027 lukien, ja sitä täydentävään kyberkestävyyslakiin. Näille sääntelykokonaisuuksille on yhteistä se, että niihin liittyvät hallinnolliset menettelyt, seuraamusjärjestelmä ja viranomaisvalvonta ovat hyvin samanlaisia. Valvontaa toteuttavat kuitenkin eri viranomaiset: GDPR:n noudattamista valvoo Tietosuojavaltuutetun toimisto, CRA:n markkinavalvontaviranomaisena toimii Traficom ja kyberturvallisuuslaissa on omaksuttu hajautettu malli, jossa lain noudattamista valvovat monet eri sektorikohtaiset valvontaviranomaiset.   

Tietosuoja- ja kyberasioiden viranomaiskäsittely – miten prosessi etenee?

Tietosuoja-asiat tulevat tyypillisesti vireille rekisterinpitäjän ilmoituksella tai rekisteröidyn tai kolmannen tahon ilmoituksesta. Viranomainen voi myös käynnistää selvityksen oma-aloitteisesti esimerkiksi mediatietojen tai toiselta viranomaiselta saadun tiedon perusteella, minkä lisäksi viranomiset tekevät alakohtaisia tarkastuksia tarkastussuunnitelman mukaan. Tämän lisäksi, erityisesti kyberturvallisuusasioissa, viranomaisen työkalupakkiin kuuluvat erilaiset tarkastukset ja auditoinnit, joko viranomaisen itsensä tai sen valtuuttaman kolmannen osapuolen kautta tai avulla. Tietosuoja- ja kyberturvallisuusasioissa asia voi tulla viranomaisen käsiteltäväksi myös sen seurauksena, että organisaatio on tehnyt henkilötietojen tietoturvaloukkausta, poikkeamaa tai haavoittuvuutta koskevan ilmoituksen viranomaiselle.

Vireilletuloa seuraa käsittelyvaihe, jonka aikana viranomainen hankkii tarpeelliseksi katsomansa selvityksen asian tutkimiseksi ja ratkaisemiseksi. Viranomaiset eivät ole sidottuja pelkästään ilmoituksen tai muun vireillepanoasiakirjan sisältöön, vaan he voivat tarvittaessa samalla tutkia myös muita toimivaltaansa kuuluvia asioita. Rajat viranomaisen toimivallalle asettaa kuitenkin laki. Viranomainen voi myös pyytää asianosaiselta selvitystä ja sen tulee kuulla asianosaisia asiasta ennen päätöksentekoa. Käsittelyvaihe siten tyypillisesti sisältää myös yhden tai useamman selvityspyyntökierroksen. Pääsääntönä viranomaiskäsittelyssä on kirjallinen menettely, mutta asian selvittämiseen voi liittyä myös suullisia kuulemisia tai käynti valvottavan yrityksen toimitiloissa.

Tietosuoja-asioiden selvittelyvaiheessa kannattaa seurata seuraavia ohjenuoria: 

• Vastaa annetussa määräajassa. Jos asian selvittely sitä edellyttää, pyydä hyvissä ajoin ja perustellusti lisäaikaa. Osallista jo alkuvaiheessa tarvittavat sisäiset resurssit. 
• Vastaa huolellisesti ja tiiviisti siihen, mitä kysytään. Ensimmäinen vastaus voi vaikuttaa olennaisesti siihen, miten prosessi etenee – tai ei etene. Tuo esiin asian kannalta relevantit seikat ja keskity olennaiseen, älä spekuloi tai arvaile. 
• Asian ollessa selvityspyyntövaiheessa viranomaisella on usein jo toisen osapuolen antamat tiedot ja ennakkokäsitys asiasta, jotka eivät välttämättä ole oikein. Selvityksellä voidaan oikoa mahdollisia virheellisyyksiä jo prosessin alkuvaiheessa. 
• Hyödynnä tarvittaessa mahdollisuutta tarkastaa viranomaisen diaarista, onko yritystä koskien vireillä muita asioita ja arvioi salassapitotarve ja -peruste jo alkuvaiheessa. Merkitse salassa pidettävät asiat huolellisesti ja perustele pyyntö.

Menettely viranomaisvaiheessa päättyy hallintopäätöksen antamiseen. Päätösvaiheessa valvontaviranomainen antaa ratkaisunsa hankkimansa ja saamiensa selvitysten pohjalta. Mikäli tutkinnan kohteena olevan valvottavan toiminnassa on havaittu puutteita tai lainrikkomuksia, viranomainen voi käyttää korjaavia toimivaltuuksiaan. Esimerkiksi tietosuojavaltuutetun toimiston toimivaltuuksiin kuuluvat muun ohella huomautus, varoitus, määräys henkilötietojen käsittelyn keskeyttämisestä tai määräys toteuttaa rekisteröidyn pyyntö.

Vakavampien rikkomusten yhteydessä valvontaviranomainen voi myös esittää hallinnollisen seuraamusmaksun määräämistä. Seuraamusmaksusta päättää yleensä viranomaisen yhteydessä toimiva erillinen elin, tietosuojaviranomaisen tapauksessa seuraamuskollegio ja kyberturvallisuusviranomaisten tapauksessa seuraamusmaksulautakunta. Kyberkestävyyssäädöksen mukaisen seuraamusmaksun määrää kuitenkin markkinavalvontaviranomainen itse.

Päätöksessä kerrotaan, mihin asianomainen on oikeutettu tai velvoitettu sekä mihin lainkohtiin päätös perustuu. Päätökseen on liitettävä valitusosoitus, jossa kerrotaan mille viranomaiselle valitus on osoitettava, mihin se on toimitettava sekä missä ajassa valitus on ajettava perille. Mikäli viranomainen on määrännyt valvottavalleen seuraamusmaksun, seuraamusmaksua koskeva päätöksen osa on yleensä muusta valvontapäätöksestä erillään. Maksun määräämiselle on asianomaisissa säädöksissä määritetyt kriteerit, joiden arvioinnin tulee tulla päätöksessä ilmi. On myös hyvä muistaa, että seuraamusmaksua pidetään Suomessa vakiintuneesti rangaistusluonteisena seuraamuksena, jonka määräämisessä on noudatettava perustuslain suojaamia oikeusturvan takeita.

Muutoksenhaku hallinto-oikeudessa ja linjan hakeminen ylemmältä oikeusasteelta

Mikäli organisaatio on viranomaispäätökseen tyytymätön, tulee ajankohtaiseksi pohtia, kannattaako päätökseen lähteä hakemaan valittamalla muutosta. Muutosta tietosuoja- ja kyberturvallisuusviranomaisten päätöksiin haetaan hallinto-oikeudelta. Ei ole mitään yhtä oikeaa tapaa tehdä ratkaisua muutoksenhausta ja näkökulmat voivat painottua tilanteesta riippuen. Tärkeimpinä syinä nousevat usein esiin seuraamuksen vaikutukset organisaation toimintaan. Myös asian saamalla julkisuudella ja esimerkiksi asiakkaiden ja sidosryhmien mielikuvilla voi olla vaikutusta.

Vaikka puhtaan juridiset syyt harvemmin ovat kärkisyy päätöksestä valittamiseen, juridiikka tarjoaa työkalut päätöksestä valittamiselle. Jos valitukseen siis päädytään, tulee viranomaisen päätös analysoida huolellisesti juridisesta näkökulmasta: mitä lopputuloksia valituksella voidaan mahdollisesti saavuttaa, ja löytyykö viranomaisen päätöksestä tai menettelystä sellaisia virheitä tai puutteita, joihin vetoamalla asian lopputulokseen olisi mahdollista saada toivottua muutosta. Valitusta pohdittaessa huomioon on syytä ottaa myös oikeudenkäyntikulut ja käsittelyaika, jonka osalta tulee huomioida, että prosessi voi jatkua hallinto-oikeusvaiheenkin jälkeen vielä korkeimmassa hallinto-oikeudessa. Prosessin kustannuksia ja kestoa voi myös pidentää mahdollinen ennakkoratkaisumenettely EU-tuomioistuimessa, jos asiaan liittyy EU-oikeudellisesti epäselviä tulkintakysymyksiä.

Valitus päätöksestä tulee tehdä hallinto-oikeuteen 30 päivän kuluessa sen tiedoksisaannista. Valituksessa tulee mainita päätös, johon haetaan muutosta, vaatimukset ja perusteet, joilla muutosta haetaan. Mukaan voi myös toimittaa tarpeelliseksi katsomansa selvitykset. Valituksen johdosta hallinto-oikeus tutkii viranomaisen päätöksen ja menettelyn laillisuuden. Prosessin lopputuloksena hallinto-oikeus voi päättää:

• pysyttää viranomaisen päätöksen,
• kumota valituksen kohteena olevan päätöksen, 
• palauttaa asian viranomaisen uudelleen ratkaistavaksi, 
• muuttaa valituksen kohteena olevaa päätöstä, tai
• siirtää valituksen toimivaltaiseen viranomaiseen tai tuomioistuimeen. 

On hyvä huomata, että hallintoprosessi poikkeaa monella tapaa oikeudenkäynnistä yleisissä tuomioistuimissa: asia käsitellään ensinnäkin lähtökohtaisesti aina kirjallisesti, eikä hallintoprosessissa tyypillisesti järjestetä suullista käsittelyä. Jos suullinen käsittely poikkeuksellisesti järjestetään, kyse on suullisen selvityksen vastaanottamisesta, eikä käsittelyllä ole samanlaista roolia kuin esimerkiksi riita-asian pääkäsittelyllä yleisessä tuomioistuimessa. Toisena eroavaisuutena hallintoprosessissa tuomioistuin ei ole rajoitettu asianosaisten esittämään selvitykseen, vaan se voi myös omasta aloitteestaan osoittaa asianosaiselle ja viranomaiselle, mitä lisäselvitystä asiassa tarvitaan, ja sillä on myös velvollisuus hankkia tarvittaessa oma-aloitteisesti asiassa tarpeelliseksi katsomaansa lisäselvitystä.  Kolmantena esimerkkinä prekluusiosäännöt ovat hallintoprosessissa rajoitetumpia, mikä tarkoittaa, että asianosaiset voivat melko vapaasti vielä valituksen jättämisen jälkeenkin esittää uusia perusteita ja selvitystä valituksensa tai lausumiensa tueksi. Rajana on, ettei asia saa kuitenkaan muuttua uusien perustelujen johdosta toiseksi.

Mikäli asianosainen ei ole hallinto-oikeuden ratkaisuun tyytyväinen, hänellä on vielä oikeus pyytää asiassa valituslupaa korkeimmalta hallinto-oikeudelta (KHO). KHO ei automaattisesti myönnä valituslupaa, ja valitusluvan saaminen on tilastollisesti melko harvinaista. Valitusluvan epääminen tarkoittaa samalla sitä, ettei KHO tutki valittajan valitusta. Tästä huolimatta valituslupahakemus ja varsinainen valitus on käytännössä jätettävä samanaikaisesti KHO:lle. Vaikka ne ovat muodollisesti erillisiä, on ne yleensä tapana sisällyttää samaan asiakirjaan.

KHO myöntää harkintansa perusteella valitusluvan, jos 1) oikeuskäytännön yhtenäisyyden vuoksi on tärkeää saattaa asia KHO:n ratkaistavaksi, 2) jos asiassa on tapahtunut ilmeinen virhe tai 3) jos valitusluvan myöntämiseen on muu painava syy. Asianosaisen tulee valituslupahakemuksessaan vedota yhteen tai useampaan näistä syistä.

Jos KHO ei myönnä valituslupaa, hallinto-oikeuden ratkaisu jää lainvoimaiseksi. Vaikka valituslupa myönnettäisiin, KHO:lla on melko laaja oikeus rajata prosessin kohdetta oma-aloitteisesti. KHO saattaa siis päätyä tutkimaan asiasta vain osan, vaikka valitus olisi kohdistunut koko päätökseen. Kuten hallinto-oikeudessa, prosessi on myös KHO:ssa lähtökohtaisesti kirjallista. KHO-vaiheessa asianosainen voi edelleen toimittaa tarpeelliseksi katsomaansa lisäselvitystä. 

KHO-valituksen hakemisesta päätettäessä kannattaa huomioida pitkälti samoja asioita, kuin muutoksenhaussa hallinto-oikeudessa. KHO:n päätös saa kuitenkin yleensä enemmän huomiota erityisesti, jos KHO julkaisee päätöksen ennakkoratkaisuna. Valitusta kannattaa harkita etenkin uusissa ja epäselvissä tilanteissa, joissa EU-oikeuden tai kotimaisen lainsäädännön tulkinnasta ei ole vielä yhtenäistä ratkaisua.

Lopuksi

Sääntelyn myötä erilaiset viranomaisprosessit ovat tulleet jäädäkseen osaksi tietosuoja- ja kyberturvallisuustyötä. Uusilla aloilla tulkintalinjat selkeytyvät oikeuskäytännön myötä, ja organisaatioiden onkin syytä tuntea menettelyjen perusteet ja omat oikeutensa viranomais- ja hallinto-oikeusmenettelyissä. Tietosuojakäytäntö on osoittanut, että erityisesti seuraamusmaksupäätökset ovat olleet valitusherkkiä ja että valitukset ovat myös useissa tapauksissa johtaneet seuraamusmaksujen kumoamiseen tai alentamiseen. Kyberturvallisuuspuolella vastaavaa käytäntöä ei tuoreen sääntelyn johdosta vielä juurikaan ole, mutta on oletettavaa, että tulemme näkemään seuraamusmaksuja myös kyberturvallisuuslakien valvonnan puolella lähivuosina. Vaikka valitusprosessi vaatii panostusta, ovat nämä tärkeitä prosesseja oikeusvarmuuden turvaamiseksi ja toimintaedellytysten selkeyttämiseksi. Siksi valittaminen voi monesti olla myös kannattavaa.

Lisätiedot

Olethan yhteydessä Technology, Data & IP -praktiikkaamme, jos sinulla herää kysymyksiä webinaarin aiheisiin liittyen. Jos haluat saada lisää tietoa tapahtumistamme ja webinaareistamme, voit täyttää tapahtumiimme liittyvän yhteystietolomakkeen täältä.