TSV: Valtion pilvipalveluiden suoja ei ole ollut riittävällä tasolla

Tietosuojavaltuutetun toimisto on antanut huomautuksia valtionhallinnon toimijoille, joiden pilvipalveluiden käytössä havaittiin puutteita henkilötietojen suojassa. Valtion tieto- ja viestintäkeskuksen (Valtori), Digi- ja väestötietoviraston (DVV) sekä Verohallinnon toiminnassa ei ollut varmistettu riittävää tietosuojaa, kun henkilötietoja siirrettiin Yhdysvaltoihin EU:n ja USA:n välisen tiedonsiirtosopimuksen ollessa tauolla vuonna 2022.

Tietosuojavaltuutetun toimiston selvitys kattoi ajanjakson helmikuusta huhtikuuhun 2022, kun EU:lla ja Yhdysvalloilla ei ollut voimassa olevaa tietosuojakehystä kansainvälisille tiedonsiirroille. Sopimustauon aikana viranomaisten olisi pitänyt huolehtia henkilötietojen suojasta erityisin lisätoimin, mikä ei toteutunut kaikilta osin. Tietosuojavaltuutetun mukaan erityisesti Valtorin tarjoamien pilvipalveluiden käyttö ei täyttänyt vaadittavaa suojaustasoa.

Valtorille ja DVV:lle annettiin huomautukset tietosuojapuutteista. Verohallinto vältti vastaavan huomautuksen, koska se oli pyrkinyt paikkaamaan puutteitaan henkilötietojen suojassa erilaisilla lisäsuojaustoimilla. Toimia ei kuitenkaan katsottu täysin riittäviksi.

Tietosuojavaltuutettu Anu Talus painottaa, että pilvipalvelujen luotettavuus ja lainmukaisuus korostuvat etenkin valtionhallinnossa, jossa käsiteltävänä on huomattavia määriä suomalaisten henkilötietoja. Hän muistuttaa myös, että julkisen sektorin toimijoilla on vain rajalliset mahdollisuudet vaikuttaa käyttämiinsä IT-palveluihin. Tässä tilanteessa palveluntarjoajan vastuu korostuu.

Toimiston selvitys oli osa EU:n laajuista tarkastusta, jossa arvioitiin pilvipalveluiden käyttöä eri sektoreilla, kuten terveydenhuollossa, koulutuksessa ja verotuksessa. Suomessa tarkasteluun valitut Valtori, DVV ja Verohallinto käsittelevät suuria määriä henkilötietoja, mikä tekee niiden toiminnasta erityisen kriittistä tietosuojan näkökulmasta.

Tietosuojavaltuutetun tekemät päätökset eivät ole vielä lainvoimaisia, ja niistä on mahdollista valittaa hallinto-oikeuteen. EU:n ja Yhdysvaltojen uuden tietosuojakehyksen puitteissa tietojen siirto Yhdysvaltoihin on ollut mahdollista taas heinäkuusta 2023 alkaen.

Tietosuojavaltuutetun toimiston tiedotteen löydät täältä.

Kuva: Unsplash / AbsolutVision, Codzilla