Tietosuoja-asetus velvoittaa rekisterinpitäjää ilmoittamaan henkilötietojen tietoturvaloukkauksen valvontaviranomaiselle 72 tunnin kuluessa siitä, kun loukkaus on tullut sen tietoon. Tämä määräaika on yksi GDPR:n tiukimmin valvotuista vaatimuksista, ja sen rikkominen voi johtaa hallinnolliseen sakkoon, joka voi nousta jopa 10 miljoonaan euroon tai kahteen prosenttiin yrityksen maailmanlaajuisesta vuosiliikevaihdosta. Suomessa ilmoitusvelvollisuuden laiminlyönti on myös tietosuojavaltuutetun toimiston aktiivisen seurannan kohteena.
Mikä on tietoturvaloukkaus GDPR:n näkökulmasta?
GDPR:n 4 artiklan mukaan tietoturvaloukkaus (engl. personal data breach) on turvallisuuden rikkomus, joka johtaa siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvaan tai laittomaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn. Määritelmä on tarkoituksellisesti laaja: se kattaa niin kyberhyökkäykset, inhimilliset virheet kuin tekniset häiriötkin.
Käytännössä loukkaukset jakautuvat kolmeen päätyyppiin. Luottamuksellisuusloukkaus tarkoittaa, että tietoja on luovutettu tai niihin on päästy luvattomasti. Eheyden loukkaus syntyy silloin, kun tietoja muutetaan ilman lupaa tai vahingossa. Saatavuuden loukkaus puolestaan tarkoittaa, että pääsy henkilötietoihin on estynyt tai tuhoutuminen on tapahtunut – esimerkiksi ransomware-hyökkäyksen seurauksena.
GDPR 33 artikla: ilmoitusvelvollisuuden oikeudellinen perusta
Ilmoitusvelvollisuuden juridinen perusta löytyy yleisen tietosuoja-asetuksen (EU) 2016/679 artiklasta 33. Sen ensimmäinen kohta asettaa kaksi keskeistä edellytystä: ilmoituksen on tapahduttava ilman aiheetonta viivästystä ja, jos mahdollista, 72 tunnin kuluessa. Nämä kaksi ilmausta elävät jännitteessä keskenään: asetus ei anna lupaa odottaa täyttä tietoa, mutta se myöntää, että 72 tuntia on tiukka aikataulu kiireisessä varhaisreaktiotilanteessa.
Artikla 33(4) sallii niin sanotun vaiheistetun ilmoituksen. Jos kaikkia tietoja ei saada koottua 72 tunnin sisällä, rekisterinpitäjä voi toimittaa alustavan ilmoituksen ja täydentää sitä myöhemmin ilman aiheetonta lisäviivästystä. Tietosuojavaltuutetun toimisto on vahvistanut tämän lähestymistavan kansallisessa ohjeistuksessaan: parempi toimittaa vajavainen ilmoitus ajoissa kuin täydellinen ilmoitus myöhässä.
Velvollisuus rajataan selkeästi: ilmoitusta ei edellytetä, jos loukkaus ei todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Tämä riskiarvio on rekisterinpitäjän vastuulla, ja se on dokumentoitava joka tapauksessa – myös silloin, kun ilmoitusta ei tehdä.
Milloin ilmoitusvelvollisuus ei synny?
Kaikki tietoturvaloukkaukset eivät käynnistä valvontaviranomaiselle tehtävää ilmoitusta. Pienen riskin loukkauksissa – esimerkiksi jos kadonneet tiedot on salattu tehokkaasti ja avain on edelleen turvassa – rekisterinpitäjä voi riskiarvionsa perusteella jättää ilmoituksen tekemättä. GDPR:n johdanto-osa 87 selventää, että salaus on yksi keskeinen lieventävä tekijä.
Tietosuojavaltuutetun toimiston ohjeistuksen mukaan riskiä arvioidaan neljän tekijän kautta: loukkauksen luonne ja vakavuus, käsiteltyjen henkilötietojen sensitiivisyys, loukkauksen laajuus ja kohteena olevien henkilöiden erityinen haavoittuvuus. Matalan riskin tapauksissa on silti aina dokumentoitava se, miksi ilmoitus jätettiin tekemättä. Tämä kirjaus tallennetaan sisäiseen loukkausrekisteriin, jonka pitäminen on GDPR 33(5) artiklan mukaan pakollista kaikille rekisterinpitäjille riippumatta siitä, täyttyykö ilmoituskynnys.
Artiklat 33 ja 34: kaksi eri ilmoituskanavaa
GDPR erottaa toisistaan kaksi ilmoitusvelvollisuutta. Artikla 33 koskee ilmoitusta valvontaviranomaiselle – Suomessa tietosuojavaltuutetun toimistolle. Artikla 34 koskee puolestaan ilmoitusta suoraan rekisteröidyille, eli niille henkilöille, joiden tietoja loukkaus koskee.
Rekisteröidyille ilmoittamisen kynnys on korkeampi: se vaaditaan vain, kun loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen. Korkean riskin indikaattoreita ovat muun muassa taloudellinen vahinko, identiteettivarkaus, arkaluonteisten tietojen paljastuminen tai rekisteröityjen haavoittuva asema. Tietosuojavaltuutettu voi myös velvoittaa rekisterinpitäjän ilmoittamaan rekisteröidyille, vaikka rekisterinpitäjä itse arvioisi riskin matalaksi.
| Velvollisuus | Oikeusperusta | Ilmoituksen kohde | Kynnys | Aikataulu |
|---|---|---|---|---|
| Ilmoitus valvontaviranomaiselle | GDPR artikla 33 | Tietosuojavaltuutetun toimisto (Suomi) | Todennäköinen riski oikeuksille | 72 tuntia (vaiheistus sallittu) |
| Ilmoitus rekisteröidyille | GDPR artikla 34 | Loukkauksen kohteena olevat henkilöt | Korkea riski oikeuksille | Ilman aiheetonta viivästystä |
| Sisäinen kirjaaminen | GDPR artikla 33(5) | Oma loukkausrekisteri | Kaikki loukkaustapaukset | Tapahtuman hetkestä |
Artikla 34(3) listaa kolme poikkeusta, joissa rekisteröidyille ei tarvitse ilmoittaa suoraan: jos rekisterinpitäjä on toteuttanut asianmukaiset tekniset suojatoimet (esim. salaus), jos myöhemmät toimenpiteet ovat eliminoineet todennäköisen korkean riskin, tai jos ilmoituksen tekeminen yksittäisille rekisteröidyille vaatisi suhteettoman suuren työmäärän – jolloin riittää julkinen tiedotus tai vastaava.
Parempi toimittaa vajavainen ilmoitus 72 tunnissa kuin täydellinen ilmoitus viikon kuluttua – tämä on tietosuojavaltuutetun keskeinen viesti rekisterinpitäjille.
Ilmoitusvelvollisuuden historiallinen tausta: ennen GDPR:ää
Ennen GDPR:n voimaantuloa toukokuussa 2018 Suomessa ei ollut yleistä lakisääteistä velvoitetta ilmoittaa henkilötietojen tietoturvaloukkauksia viranomaisille. Henkilötietolaki (523/1999) edellytti asianmukaisia teknisiä ja organisatorisia suojatoimia, mutta nimenomainen ilmoitusvelvollisuus puuttui yleisestä laista. Poikkeus oli sähköisen viestinnän ala: direktiivin 2002/58/EY muutokset velvoittivat teleoperaattorit ilmoittamaan turvaloukkaukset vuodesta 2009 alkaen.
GDPR toi mukanaan järjestelmällisen, kaikki toimialat kattavan ilmoitusvelvollisuuden. Muutos oli merkittävä: aiemmin yritykset saattoivat hoitaa loukkaustapaukset hiljaisesti ilman ulkoista raportointia. Uusi sääntely pakottaa organisaatiot rakentamaan sisäiset prosessit, joilla loukkaukset havaitaan, arvioidaan ja raportoidaan nopeasti.
Käytännön prosessi: mitä tehdä 72 tunnin sisällä?
Tietoturvaloukkauksen ilmoitusvelvollisuuden täyttäminen edellyttää selkeää sisäistä prosessia. Alla oleva vaiheistus kuvaa, miten organisaation tulisi edetä siitä hetkestä, kun loukkaus havaitaan:
- Havaitseminen ja alustava arviointi (0–6 h): Varmistetaan, onko kyseessä todellinen loukkaus vai väärä hälytys. Kytketään tietoturva- ja lakitiimi mukaan välittömästi.
- Riskiarvio (6–24 h): Arvioidaan loukkauksen laajuus, kosketut henkilöt ja tietotyypit. Päätetään, ylittääkö riski ilmoituskynnyksen.
- Alustava ilmoitus (24–72 h): Laaditaan ilmoitus tietosuojavaltuutetun toimiston sähköiseen lomakkeeseen, vaikka kaikki tiedot eivät ole vielä selvillä.
- Täydennys (72 h jälkeen): Toimitetaan puuttuvat tiedot ilman aiheetonta lisäviivästystä, kun tutkinta on edennyt.
- Rekisteröidyille ilmoittaminen (tarvittaessa): Jos riski on korkea, laaditaan selkeä ilmoitus loukkauksen kohteena oleville henkilöille.
- Sisäinen kirjaus: Kaikki tapaukset kirjataan loukkausrekisteriin riippumatta siitä, tehdäänkö ilmoitus viranomaisille vai ei.
Ilmoitus tietosuojavaltuutetun toimistolle tehdään toimiston verkkosivuilla olevan sähköisen lomakkeen kautta. Lomakkeessa pyydetään tiedot muun muassa loukkauksen luonteesta, kosketuista henkilöistä, todennäköisistä seurauksista ja jo toteutetuista tai suunnitelluista toimenpiteistä.
Mitä ilmoituksen tulee sisältää?
GDPR 33(3) artikla määrittelee ilmoituksen vähimmäissisällön. Rekisterinpitäjän on toimitettava seuraavat tiedot, kun ne ovat käytettävissä:
| Vaadittava tieto | Käytännön sisältö |
|---|---|
| Loukkauksen luonne | Mikä tyyppi (luottamuksellisuus, eheys, saatavuus) ja miten se tapahtui |
| Kosketetut henkilöt ja tietoryhmät | Arviomäärä ja tunniste (asiakastiedot, potilastiedot jne.) |
| Todennäköiset seuraukset | Millaisia riskejä aiheutuu rekisteröidyille |
| Toteutetut ja suunnitellut toimenpiteet | Esim. tietovuodon tukkiminen, salasanojen nollaus, uhrien tiedottaminen |
| Tietosuojavastaavan yhteystiedot | DPO:n nimi, puhelin ja sähköposti (tai muu yhteyshenkilö) |
Jos kaikkia tietoja ei ole käytettävissä 72 tunnin sisällä, ilmoituksessa on selvitettävä myöhästymisen syy. Euroopan tietosuojaneuvosto (EDPB) on ohjeissaan korostanut, että viivästystä selittävien olosuhteiden on oltava objektiivisesti ymmärrettäviä – esimerkiksi laajamittainen kyberkriisi, jossa selvittely vaatii poikkeuksellista teknistä työtä.
Pohjoismaiset valvontaviranomaiset vertailussa
Kaikki pohjoismaiset EU- ja ETA-maat soveltavat GDPR:n 33 artiklaa samalla 72 tunnin määräajalla, mutta kansalliset valvontaviranomaiset eroavat toisistaan ohjeistuksen tarkkuudessa ja täytäntöönpanon painotuksissa. Alla vertailu keskeisistä toimijoista:
- Suomi – Tietosuojavaltuutetun toimisto (tietosuoja.fi): Tarjoaa sähköisen ilmoituslomakkeen ja yksityiskohtaisen ohjeistuksen riskiarvion tekemiseen. Painottaa vaiheistetun ilmoituksen mahdollisuutta.
- Ruotsi – Integritetsskyddsmyndigheten (IMY): Ylläpitää omaa sähköistä ilmoitusportaalia. Julkaisee vuosiraportteja ilmoitusmääristä.
- Norja – Datatilsynet: ETA-maana soveltaa samaa 72 tunnin sääntöä. Tarjoaa norjankielistä ohjeistusta ja englanninkielisen raportoinnin.
- Tanska – Datatilsynet: Tunnettu aktiivisesta täytäntöönpanosta; on määrännyt merkittäviä sakkoja tietoturvaloukkausasioissa.
Pohjoismaisen yhteistyön näkökulmasta EDPB:n ohje 01/2021 henkilötietojen tietoturvaloukkausten esimerkeistä on käytännössä kaikkien kansallisten viranomaisten keskeinen tulkintaväline. Se sisältää konkreettisia tapausesimerkkejä eri tyyppisistä loukkauksista ja niiden riskitason arvioinnista.
72 tunnin määräaika on sama koko EU:ssa ja ETA-alueella, mutta se, miten valvontaviranomaiset tulkitsevat "kohtuullista varmuutta" loukkauksen olemassaolosta, vaihtelee käytännössä jonkin verran maasta toiseen.
Yleisimmät virheet ja kuinka välttää ne
Tietosuojavaltuutetun toimiston käsittelemistä tapauksista nousee esiin toistuvia virhekuvioita. Ensimmäinen ja yleisin on viivästyminen: organisaatio tekee perusteellisen sisäisen tutkimuksen ennen kuin ilmoittaa, ja 72 tuntia on kulunut jo ennen kuin lomake edes avautuu. Ratkaisuna on raportoida alustavasti heti, kun on kohtuullinen varmuus loukkauksen olemassaolosta.
Toinen yleinen virhe on ilmoituksen laiminlyönti kokonaan pienen kokoluokan loukkauksissa. Pienikin tietovuoto voi ylittää ilmoituskynnyksen, jos se koskee erityisiä henkilötietoryhmiä kuten terveystietoja tai rikosrekisteritietoja. Rekisteröityjen pienen lukumäärän perusteella ei saa automaattisesti päätellä, että riski on matala.
Kolmas virhekuvio on puutteellinen sisäinen loukkausrekisteri. Monilla organisaatioilla rekisteri puuttuu kokonaan tai se on niin ylimalkainen, ettei siitä selviä, miten riskiarvio on tehty. Tietosuojavaltuutetun toimisto voi tarkastuskäynneillä pyytää nähtäväkseen kaikki loukkauskirjaukset – myös ne, joista ei ole tehty ilmoitusta.
Neljäs virhe liittyy alihankkijoihin ja henkilötietojen käsittelijöihin. GDPR 33(2) artiklan mukaan henkilötietojen käsittelijän on ilmoitettava loukkauksen rekisterinpitäjälle ilman aiheetonta viivästystä. Jos tietojenkäsittelysopimukseen ei ole kirjattu selkeää ilmoitusvelvollisuutta ja -aikataulua, 72 tunnin kello saattaa juosta alihankkijan havaitessa loukkauksen – ilman, että rekisterinpitäjä saa asiasta tietoa ajoissa. Lisätietoa henkilötietojen käsittelijän velvollisuuksista löydät artikkelista Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein.
Sanktiot ja täytäntöönpano: mitä voi tapahtua?
Ilmoitusvelvollisuuden rikkominen kuuluu GDPR 83(4) artiklassa tarkoitettuihin rikkomuksiin, joista voidaan määrätä hallinnollinen sakko enintään 10 miljoonaa euroa tai, jos kyseessä on yritys, 2 prosenttia sen edellisen tilikauden maailmanlaajuisesta kokonaisliikevaihdosta – sen mukaan, kumpi on suurempi. Vakavammista rikkomuksista, kuten rekisteröityjen oikeuksien loukkaukset, enimmäissakko on 20 miljoonaa euroa tai 4 prosenttia liikevaihdosta.
Käytännön täytäntöönpano vaihtelee EU-maiden välillä. Irlannin DPC on määrännyt joitakin EU:n suurimmista sakoista suurille teknologiayhtiöille, kuten Metalle ja WhatsAppille. Suomessa tietosuojavaltuutetun toimisto on käyttänyt sekä huomautuksia, korjauskehotuksia että sakkoja. Täytäntöönpanon tehokkuutta on EU-tasolla arvioitu EDPB:n koordinoiduissa täytäntöönpanotoimissa.
Pelkästään myöhässä tehty mutta asiallinen ilmoitus ei välttämättä johda sakkoon, jos viivästykselle on objektiivisesti hyväksyttävä syy ja organisaatio on muutoin toiminut asianmukaisesti. Sen sijaan toistuvat laiminlyönnit tai selkeä piittaamattomuus ilmoitusvelvollisuudesta ovat tietosuojaviranomaisen kannalta vakavia merkkejä systemaattisesta noudattamatta jättämisestä.
Usein kysytyt kysymykset (UKK)
Mitä tapahtuu, jos 72 tunnin määräaika ylittyy?
Jos 72 tunnin määräaika ylittyy, ilmoitus on silti tehtävä välittömästi. Ilmoitukseen on liitettävä selitys viivästymisen syistä. Tietosuojavaltuutettu arvioi tapauskohtaisesti, johtaako viivästys toimenpiteisiin. Hyväksyttäviä syitä voivat olla esimerkiksi poikkeuksellisen laaja kyberturvallisuuspoikkeama tai tilanne, jossa loukkauksen laajuuden selvittäminen on vaatinut erityistä teknistä asiantuntemusta. Pelkkä kiire tai organisaation sisäinen epäselvyys vastuista ei riitä perusteeksi. Viivästys ei tee ilmoitusvelvollisuudesta tarpeetonta – myöhässä tehty ilmoitus on aina parempi kuin tekemättä jätetty.
Koskeeko ilmoitusvelvollisuus myös pienyrityksiä?
Kyllä. GDPR:n ilmoitusvelvollisuus koskee kaikkia rekisterinpitäjiä koosta riippumatta. Pienyrityksille on myönnetty tiettyjä helpotuksia muissa yhteyksissä – esimerkiksi tietosuojavastaavan nimittämisvelvollisuudesta – mutta tietoturvaloukkausten ilmoitusvelvollisuudessa ei tehdä poikkeuksia organisaation koon perusteella. Käytännössä pienyrityksen on syytä varmistaa, että jollakin henkilöllä on selkeä vastuu loukkausten tunnistamisesta ja ilmoittamisesta. Tietosuojavaltuutetun toimisto tarjoaa maksutonta ohjeistusta myös pienille toimijoille. Tutustumisen arvoinen resurssi on myös Tietosuojaseloste 2026: malli, rakenne ja tyypilliset virheet, jossa käsitellään tietosuojan perusdokumentaatiota yleisemmin.
Pitääkö tietoturvaloukkaus ilmoittaa, jos tiedot oli salattu?
Salaus on keskeinen lieventävä tekijä, mutta se ei automaattisesti poista ilmoitusvelvollisuutta. Ratkaisevaa on se, onko salausavain varmasti turvassa. Jos salatut tiedot ovat joutuneet ulkopuolisten käsiin mutta avain on edelleen turvassa ja salaus on ollut asianmukaista, valvontaviranomaiselle tehtävä ilmoitus ei välttämättä ole tarpeen. Tällöinkin tapaus on kirjattava sisäiseen loukkausrekisteriin ja tehdystä riskiarviosta on pidettävä asianmukaista dokumentaatiota. EDPB:n ohje 01/2021 sisältää konkreettisen esimerkin salattujen tietojen menetystilanteesta.
Milloin rekisteröidyille on ilmoitettava erikseen?
Rekisteröidyille ilmoitetaan GDPR 34 artiklan nojalla silloin, kun loukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen. Korkea riski tarkoittaa käytännössä tilannetta, jossa tietojen väärinkäyttö voi johtaa esimerkiksi identiteettivarkauteen, taloudelliseen vahinkoon, mainehaittaan, syrjintään tai muuhun vakavaan seuraukseen. Ilmoituksen on oltava selkokielinen, sen on kuvattava loukkauksen luonne ja sen todennäköiset seuraukset sekä kerrottava, mitä toimenpiteitä on tehty tai aiotaan tehdä. Ilmoituksen tulee tapahtua ilman aiheetonta viivästystä – asetus ei aseta sille numeraalista aikarajaa, mutta käytäntö on, että viivästys päiviä enemmän on jo ongelmallista.
Mitä on kirjattava sisäiseen loukkausrekisteriin?
GDPR 33(5) artiklan mukaan rekisterinpitäjällä on oltava sisäinen dokumentaatio kaikista tietoturvaloukkaustapauksista – sekä niistä, joista on tehty ilmoitus viranomaisille, että niistä, joiden on arvioitu alittavan ilmoituskynnyksen. Rekisteriin on kirjattava vähintään: loukkauksen tosiasiat ja olosuhteet, sen vaikutukset sekä toteutetut korjaavat toimenpiteet. Myös se, miksi ilmoitusta ei tehty, on perusteltava ja dokumentoitava. Rekisteriä voidaan pyytää nähtäväksi tarkastuskäynneillä. Tarkat vaatimukset on hyvä kerrata GDPR:n käytännön oppaasta.
Miten alihankkijan aiheuttama loukkaus vaikuttaa rekisterinpitäjän velvollisuuksiin?
Rekisterinpitäjä on viime kädessä vastuussa ilmoitusvelvollisuuden täyttämisestä, vaikka loukkaus olisi tapahtunut henkilötietojen käsittelijän – alihankkijan – järjestelmissä. GDPR 33(2) artikla velvoittaa käsittelijän ilmoittamaan loukkauksen rekisterinpitäjälle ilman aiheetonta viivästystä. Tämä on syytä kirjata tietojenkäsittelysopimukseen selkeästi: milloin ilmoitusvelvollisuus käynnistyy, miten nopeasti ilmoitus on tehtävä rekisterinpitäjälle ja mitä tietoja ilmoituksen tulee sisältää. Jos alihankkija havaitsee loukkauksen maanantaina, mutta rekisterinpitäjä saa siitä tiedon vasta torstaina, 72 tunnin kello on jo käynyt pitkälti – ja vastuu on silti rekisterinpitäjällä.
Voiko tietosuojavaltuutettu vaatia lisätietoja ilmoituksen jälkeen?
Kyllä. Tietosuojavaltuutettu voi ilmoituksen vastaanotettuaan pyytää lisätietoja tapauksen selvittämiseksi ja arvioida, tarvitaanko lisätoimenpiteitä. Viranomaisella on myös toimivalta velvoittaa rekisterinpitäjä ilmoittamaan loukkauksen rekisteröidyille, jos rekisterinpitäjä itse on arvioinut riskin matalaksi mutta viranomainen arvioi sen olevan korkea. Yhteistyökyky ja avoimuus tietosuojavaltuutetun kanssa on tärkeä periaate: torjuva tai vastahakoinen asenne prosessin aikana voi vaikuttaa kielteisesti siihen, miten viranomainen tapauksen kokonaisuudessaan arvioi.
Miten NIS2-direktiivi liittyy tietoturvaloukkausten ilmoitusvelvollisuuteen?
NIS2-direktiivi (EU) 2022/2555, joka saatettiin osaksi Suomen lainsäädäntöä vuoden 2024 loppuun mennessä, asettaa merkittäville toimijoille ja tärkeille toimijoille rinnakkaisia kyberturvallisuustapahtumien raportointivelvoitteita. NIS2 kattaa laajemman joukon toimialojen toimijoita kuin NIS1 ja asettaa tiukempia aikarajoja: vakavimmista poikkeamista on annettava ennakoiva varoitus 24 tunnin kuluessa ja varsinainen ilmoitus 72 tunnin kuluessa. NIS2-velvoitteet eivät korvaa GDPR:n mukaista tietoturvaloukkausten raportointia – ne toimivat rinnakkain. Organisaatioilla voi siis olla velvollisuus raportoida samasta tapahtumasta sekä tietosuojavaltuutetulle (GDPR) että Kyberturvallisuuskeskukselle (NIS2).
Aiheeseen liittyvät artikkelit
- Tietosuoja ja GDPR: Käytännön opas
- GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset
- Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
- Tietosuojaseloste 2026: malli, rakenne ja tyypilliset virheet
Lähteet
Tietosuojavaltuutetun toimisto – Tietoturvaloukkaukset – Suomen kansallisen valvontaviranomaisen ohjeet ilmoitusvelvollisuudesta.
Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (GDPR) – Asetuksen virallinen teksti suomeksi EUR-Lexissä; artiklat 33 ja 34 käsittelevät ilmoitusvelvollisuutta.
EDPB – Guidelines 01/2021 on Examples regarding Personal Data Breach Notification – Euroopan tietosuojaneuvoston ohje konkreettisista tietoturvaloukkausten esimerkeistä ja riskiarvioinnista.
ENISA – Threat Landscape 2024 – Euroopan unionin kyberturvallisuusviraston uhkamaisemaraportti, joka sisältää tilastoja tietoturvapoikkeamista.
NIS2-direktiivi (EU) 2022/2555 – Verkko- ja tietojärjestelmien turvallisuudesta annettu direktiivi, joka täydentää GDPR:n mukaista raportointivelvollisuutta.
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
