Ulkoministeriön ilmoitusvelvollisuus tietoturvaloukkauksesta – KHO antaa tuomion verkkovakoilu tapauksessa
Korkein hallinto-oikeus (KHO) antoi tuomion tietoturvaloukkausta koskevan ilmoituksen viivästymisestä asiassa, joka koski kansallista turvallisuutta KHO:2024:115. Tuomiossa käsitellään ulkoministeriön valitusta Helsingin hallinto-oikeuden tuomiosta 18.12.2023 nro 7408/2023. KHO hylkäsi osan valituksesta, mutta kumosi osan hallinto-oikeuden päätöksestä. Tiivistettynä KHO hylkäsi valituksen GDPR:n 33 artiklassa tarkoitetun valvontaviranomaiselle tehtävän ilmoituksen viivästymisestä, mutta kumosi hallinto-oikeuden päätöksen siltä osin kuin siinä oli kysymys GDPR:n 34 artiklassa tarkoitetun rekisteröidylle tehtävän ilmoituksen viivästymisestä.
Tapauksessa suomalaisiin diplomaatteihin oli kohdistettu verkkovakoilua vakoiluhaittaohjelmalla, joka mahdollisti puhelimessa olevan tiedon ja ominaisuuksien laajan hyväksikäytön. KHO:n tuli ratkaista, oliko rekisterinpitäjänä toimiva ulkoministeriö ilmoittanut verkkovakoilun aiheuttaman tietoturvaloukkauksen tietosuojavaltuutetulle yleisen tietosuoja-asetuksen (GDPR) 33 ja 34 artiklojen asettamien aikarajojen mukaisesti. Apulaistietosuojavaltuutettu oli antanut ulkoministeriölle tästä huomautuksen ja hallinto-oikeus hylkäsi ulkoministeriön valituksen tästä apulaistietosuojavaltuutetun huomautuksesta suullisen käsittelyn jälkeen.
KHO katsoi, että tässä myös turvallisuuteen ja ulkopolitiikkaan kytkeytyvässä asiassa sovelletaan tietosuojalain 2 §:n 1 momentin perusteella GDPR:ää. Unionin oikeudessa on kuitenkin nimenomaisesti säädetty kansalliseen turvallisuuteen ja yhteiseen ulko- ja turvallisuuspolitiikkaan liittyvistä toimista GDPR:n ulkopuolelle. Lisäksi myös tietosuojalaissa on pidätetty kansallisen lainsäätäjän toimivalta supistaa GDPR:n soveltamisalan kansallista laajennusta. GDPR:n 33 ja 34 artikloja sovelletaan siis tässä siten kuin kansallista lainsäädäntöä sovelletaan eli niillä ei ole unionin oikeuden oikeusvaikutuksia. Tapaukseen sovelletaan siis kansallista lainsäädäntöä.
KHO totesi, että ilmoitus tietoturvaloukkauksesta tietosuojaviranomaiselle oli viivästynyt. Viivästymiselle ei ollut ilmennyt GDPR:n 33 artiklassa tarkoitettua aiheellista perustetta. KHO myös selvensi, ettei tietosuojalain ja julkisuuslain mukaan ole aikarajojen kannalta merkitystä, sisältyykö ilmoitukseen salassa pidettäviä tietoja.
KHO katsoi lisäksi, että julkisuuslain salassapitosäännökset ovat kyseisessä asiassa erityissäännöksiä suhteessa GDPR:n ilmoitusvelvollisuutta koskevaan säännökseen (34 artikla). KHO totesi, että ilmoituksen antamisajankohtaa arvioidessaan rekisterinpitäjän on otettava huomioon, tarkoittaako ilmoituksen antaminen salassa pidettävien tietojen ilmaisemista rekisteröidylle. KHO lisäsi, että ulkoministeriön katsottiin ilmoittaneen henkilötietojen tietoturvaloukkauksesta GDPR:n 34 artiklan 1 kohdan mukaisesti ilman aiheetonta viivytystä, kun otetaan huomioon julkisuuslain 24§:n 1 momentin 2,7 ja 9 kohdissa suojatut kansainvälisten suhteiden ja valtion turvallisuuden intressit.
Lue lisää ratkaisusta KHO:2024:115.
Kirjoittajat
