Väestörekisterikeskuksen tietotilinpäätös vuodelta 2019

Väestörekisterikeskuksen tietotilinpäätös arvioi tietosuojan ja tietoturvan toteutumista viraston ydintoiminnoissa vuonna 2019. Tietotilinpäätös on yksi keino täyttää EU:n yleisen tietosuoja-asetuksen mukainen rekisterinpitäjän osoitusvelvollisuus.

Tässä tietotilinpäätöksessä kuvataan väestötietojärjestelmään (VTJ), varmennetietojärjestelmään sekä Suomi.fi-palveluihin liittyviä tietovirtoja sekä kerrotaan henkilötietojen käsittelyn ja tietojen seurannan ja valvonnan tilasta. Tietotilinpäätöksessä tarkastellaan myös keskeisimpiä tunnuslukuja ja tunnistetaan VRK:n ydintoimintoihin liittyviä kehittämistarpeita sekä raportoidaan tehdystä kehittämistyöstä.

Tietotilinpäätöksestä on saatavilla myös laajempi versio, jonka voi pyytää DVV:n kirjaamosta.

---

Tietosuojan ja tietoturvan toteuttaminen

Organisoituminen

Väestörekisterikeskuksessa tietoturva- ja tietosuojatoiminnot kuuluvat tiiviisti yhteen. Toiminnan kehittämisessä molemmat osa-alueet huomioidaan, ja ne tukevat myös toiminnallisesti toinen toisiaan. VRK:lla on tietosuoja-vastaava ja joka yksikössä työskentelee tietosuojan vastuuhenkilö. Myös VAAKA-kehittämishankkeeseen on nimetty oma tietosuojasta vastaava henkilö. Lisäksi tietoturvapäällikkö sekä tietoturva-asiantuntijat tukevat tietosuojavastaavaa. Vuoden 2019 loppupuolella käynnistettiin uuden organisoitumismallin suunnittelu Digi- ja väestötietovirastoa varten.

Tietosuojan hallintamalli ja työkalut

Tietosuojan ja -turvan hallintamalli perustuu organisaatiossa laadituille tietosuojapolitiikoille, ohjeistuksille ja näiden jalkautuminen tapahtuu erilaisten työkalujen avulla. VRK:ssa noudatetaan ketterän kehittämisen toimintamallia, jossa huomioidaan tietosuoja kunkin kehittämistehtävän, projektin tai hankkeen alusta alkaen. Tietosuoja-asetuksen vaatimusten täyttämiseksi käytetään VRK:ssa tietosuojan työkirjoja ”Rekisteröidyn oikeudet” sekä ”Oletusarvoinen ja sisäänrakennettu tietosuoja”. Kaikki VRK:n henkilötietovarannot ja näihin liittyvät palvelut on arvioitu työkirjojen kriteeristöjen avulla. Edellä mainittujen työkalujen lisäksi VRK:ssa on käytössä tilannekuva- ja riskienhallintatyökalu, jota käytetään riskienhallinnan lisäksi kehityshankkeiden hallinnointiin, tietosuojavaikutusten arviointiin (DPIA) sekä poikkeamienhallintaan. 

VRK:n käyttöön otetun turvallisen sovelluskehityksen käsikirjaa on sovellettu käytäntöön ja täsmennetty vuoden 2019 aikana. Tähän liittyy myös koulutus, jonka ovat velvoitettuja käymään kaikki VRK:ssa sovelluskehityksen kanssa työskentelevät henkilöt, myös konsultit.

Tietosuojan ja tietoturvan toteuttaminen

Käyttövaltuudet

Väestörekisterikeskuksessa noudatetaan käyttövaltuushallinnan politiikkaa, jonka mukaisesti yksittäisellä henkilöllä tulee olla käyttövaltuudet lähtökohtaisesti vain työtehtävissään tarvitsemiinsa Väestörekisterikeskuksen tietojärjestelmiin – ei enempää. Käyttövaltuudet pohjautuvat työtehtäviin ja asianmukaisesti hyväksyttyihin erikseen tilattuihin käyttövaltuuksiin. 

Toimintaa ohjaavat kriteeristöt

VRK:n toimintaa ohjaa lainsäädännön lisäksi ISO/IEC 27001:2013 tietoturvastandardi. Lisäksi tietoturvallisuuteen liittyvää toimintaa ohjaavat keskeisesti valtionhallinnon VAHTI-ohjeet. 

VRK:n varmennepalvelutoimintaa ohjaa ISO 9001:2008 laatustandardi. VRK:n henkilöstöä, yhteistyökumppaneita ja asiakkaita ohjataan tietojen käsittelyssä toimintapolitiikkojen avulla, käytännesäännöillä, käyttöehdoilla sekä muulla ohjeistuksella. Niillä myös selkiytetään ja ohjataan väestötietojärjestelmän tietojen käsittelyä koskevien säännösten soveltamista ja tulkintaa. 

VRK:ssa käytännesääntöjä on julkishallinnon ja liiketaloudellisen sektorin tietopalveluista, VTJ:n turvakielloista ja VTJ:n osoitepalvelusta. 

VRK:lla on jokaiselle myöntämälleen varmennetyypille erillinen varmennepolitiikka, joissa kuvataan varmennetyypeittäin käytettävät menettelytavat, toimintaperiaatteet, käyttöehdot ja vastuiden jaot. Varmennepolitiikkojen lisäksi VRK:lla on varmennuskäytännöt ja varmennekuvaukset. 

VRK teki vuonna 2019 linjauspäätöksen Väestörekisterikeskuksen tietojen ja palveluiden sijainnista. Näiden periaatteiden tarkoituksena on linjata Väestörekisterikeskuksen hallussa olevan tiedon ja palveluiden hallinnan sijainti niiden tietosisältöön ja palvelun kriittisyyteen pohjautuen. Linjauksen taustalla on valtiovarainministeriön yleiset linjaukset pilvipalveluiden hyödyntämisestä sekä varautumiseen liittyvä normisto. Linjaukset koskevat kaikkea tiedon sijaintia ja hallintaa, ei vain pilvipalveluteknologiaa.

Lisäksi VRK:lla on laaja joukko muuta viraston ja asiakkaiden toimintaa ohjaavia toimintapolitiikkoja ja -ohjeita sekä käyttöehtoja.

Henkilöstön koulutus ja tietosuojaosaaminen

Väestörekisterikeskuksessa uusi henkilöstö käy perehdyttämisjakson, jonka yhtenä osana oli tietosuojaperehdytys. Tämän lisäksi henkilöstölle järjestettiin säännöllisesti pakollisia tietoturvan ja tietosuojan koulutuksia. 

Vuonna 2019 tietosuojan ABC- kohdistettiin ensisijaisesti uusille työntekijöille. Lisäksi kaikki koulutukset ovat avoimina saataville myös niille, jotka eivät ole suorittaneet niitä aiemmin.

Marraskuussa 2019 aloitettiin koko henkilökunnalle HoxHunt-tietoturvakoulutus, jossa opitaan tunnistamaan ja raportoimaan huijauksia ja kalasteluviestejä. 

Väestörekisterikeskuksessa työskentelee laaja joukko konsultteja mm. kehitystiimeissä. Heidän osaamisestaan huolehditaan sopimusteitse sekä järjestämällä räätälöityjä koulutuksia kehitystiimien tarpeisiin. Kaikki kehitystiimeissä työskentelevät konsultit käyvät läpi turvallisen sovelluskehityksen koulutuksen. Lisäksi tietosuojan työkirjat sekä tietosuojan vaikutustenarvioinnit toimivat hyvinä oppimistilaisuuksina niin VRK:n omalle henkilöstölle kuin konsulteillekin.

Kaikki VRK:lle työskentelevät henkilöt on turvaselvitetty ja he ovat allekirjoittaneet salassapitositoumukset. 

Tietoturva, riskienhallinta ja jatkuvuus

VRK seuraa ja valvoo omaa toimintaansa lisäksi mm. sisäisten ja ulkoisten tietoturva- ja laatuauditointien, säännöllisten tietoturvaraporttien ja sisäisen valvonnan arviointien avulla. VRK:lle on myönnetty tietoturvasertifikaatti, joka kattaa myös hallinnon yhteiset sähköisen asioinnin palvelut (Suomi.fi). 

Poikkeamienhallinta

Poikkeamienhallinnan työkaluna toimii tilannekuva- ja riskienhallintajärjestelmä TIRA.  Lähes kaikki poikkeamat ilmoitetaan suoraan sinne. Työkalun avulla poikkeamat voidaan analysoida ja hallintatoimenpiteet vastuuttaa ja niitä voidaan seurata. TIRAsta saadaan myös analytiikkadataa, jota voidaan käyttää tilannekuvan kehittämisen apuna. TIRA toimii välineenä tietosuojapoikkeamien dokumentoinnissa.

TIRA:ssa otettiin käyttöön maistraattien poikkeamienhallinnan toteutus, jolla valmistauduttiin virastojen yhdistymiseen. Maistraateille pidettiin kaksi TIRAn käyttöönottokoulutusta. 

Vuoden 2019 aikana tehtiin myös uudelle virastolle poikkeamahallintaprosessi ja suunnittelimme turvallisuuden organisoinnin uudessa virastossa. Palveluiden kriittisyysluokittelun toteuttaminen aloitettiin TIRA:ssa ja häiriötilanteita varten tehtiin tapahtumapäiväkirja sekä useita pienempiä kehitystehtäviä, jotka liittyivät mm. riskien- ja poikkeamienhallintaan.

Kokonaisuutena arvioiden poikkeamat olivat suhteellisen lieviä. Väestörekisterikeskus teki vuonna 2019 EU:n tietosuoja-asetuksen mukaisia ilmoituksia Tietosuojavaltuutetulle kolmessa tapauksessa.

VRK osallistui TAISTO19-harjoitukseen.  TAISTO-harjoituksessa ei käytetty ulkopuolisia analysoijia vaan tarkkailijan roolissa toimivat VRK:n omat asiantuntijat, jotka osallistuivat myös TAISTO19 -harjoituksen suunnitteluun VRK:ssa. 

Rekisteröidyn oikeuksien toteutuminen

Tietosuojainformaatio

VRK:n tietosuojainformaatiota on parannettu vuoden 2019 aikana internetin tietosuojasivuille tehdyillä muutoksilla. Vuoden lopulla verkkosivuja kehitettiin uutta virastoa silmällä pitäen. Viraston internetsivuilla on oma tietosuojaalasivu, johon on koottu vastauksia usein kysyttyihin kysymyksiin. Sivulla on myös uudistetut tietosuojaselosteet, jotka laadittiin palvelemaan paremmin asiakkaita käsittelytoimikohtaisesti. 

Omien tietojen tarkastus ja ilmoittaminen

Omien tietojen tarkastamiseen VRK tarjoaa ensisijaisesti sähköisiä palveluita. Väestötietojärjestelmään tallennetut tiedot on mahdollista tarkastaa Tarkasta tietosi- palvelusta tai Suomi.fi-palvelunäkymästä. 

VTJ:n Omien tietojen tarkastus ja Ilmoita itsepalvelut toteutetaan osana Suomi.fi-verkkopalvelua. Palvelujen yhdistämisen tavoitteena on mahdollistaa henkilölle yhtenäinen ja sujuva palvelukokemus.

Kansalaisten kiinnostus omiin rekisteritietoihinsa näkyy edelleen vahvana nousuna edellisvuodesta.

Muissa rekistereissä olevat tiedot voi tarkastaa tekemällä tätä koskevan pyynnön kirjallisesti VRK:lle. Näitä pyyntöjä ei ole tullut kuin muutama vuoden 2019 aikana. Pääosa kansalaisista tarkisti tietonsa mieluummin sähköisesti, kuin pyytämällä tietoja kirjallisesti. VTJ:n tietoja koskevat tarkastus- ja korjaamispyynnöt ohjattiin vielä vuonna 2019 eteenpäin maistraateille käsiteltäviksi. 

Tarkasta tietosi! -palvelusta voi tarkistaa omat tietonsa, jos henkilöllä on ollut historiassaan elämäntapahtumia kuten: oleskelulupatiedot, väestökirjanpitokunta, päättyneet avioliitot ja rekisteröidyt parisuhteet sekä aiemmat uskonnolliset yhdyskunnat, lisätiedot huollosta sekä vakinaisen osoitteen asukkaiden lukumäärätieto. 

Luovutuskiellot väestötietojärjestelmään

Henkilöllä on oikeus kieltää VTJ-tietojensa luovuttaminen suoramarkkinointia, markkina- ja mielipidetutkimusta, henkilömatrikkelia ja sukututkimusta varten sekä asiakkuuden hoitoon ja osoitepalveluna. VTJ:ään voidaan hakemuksesta tallentaa myös maistraatin myöntämä turvakielto, jos sen hakijalla on perusteltu ja ilmeinen syy epäillä itsensä tai perheensä terveyden tai turvallisuuden tulevan uhatuksi. Turvakielto estää osoite- ja asuinpaikkatietojen luovutuksen yksityissektorille ja rajoittaa laajasti luovutusta myös viranomaisille.

Suoramarkkinointikieltojen tekemisessä viime vuosina suhteellisen tasaista nousua. EU:n tietosuoja-asetus ei tehnyt tähän piikkiä, vaikka kansalaisten kiinnostus kieltojen tekoon ollut kasvamaan päin. Samansuuntainen kehitys on ollut asiakasrekisterin päivityskielloissa, joissa lisäys on jatkunut tasaisesti noin 5 prosenttia vuodessa. Samansuuntainen nousu voi selittyä sillä, että henkilölle voidaan yhtä aikaa tallentaa monta eri kieltoa, ja näin varmasti usein käytännössä toimitaan. 

Muuttoilmoituspalvelu

Muuttoilmoituspalvelu on avoinna kaikille kansalaisille osoitteessa muuttoilmoitus.fi. Muuttoilmoituksia otettiin vastaan VRK:n, maistraattien ja Postin yhteistyössä ylläpitämien tiedonkeruumenetelmien avulla. Yhteisellä muuttoilmoitus- ja osoitteenmuutospalvelulla kerätään tietoja sekä väestötietojärjestelmään että Postin osoitetietojärjestelmään. Suurin osa ilmoituksista, 81,03 %, saadaan kansalaisilta itseltään sähköisessä palvelussa, jonka käyttö edellyttää vahvaa tunnistautumista. Asiakkaat, jotka eivät käytä sähköisiä välineitä, voivat tehdä ilmoituksen kirjallisesti muuttoilmoituslomakkeella, joka on allekirjoitettava.  

Muuttoilmoittamisessa on tavoitteena sähköisen asioinnin kasvu. Sähköinen asiointi on kasvanut tasaisesti. Vuonna 2019 sähköiseen muuttoilmoittamiseen on päätetty ottaa käyttöön mahdollisuus tehdä ilmoitus muuttajan puolesta siten, että ilmoittaja tunnistautuu vahvasti. Tämä mahdollistaa yhä useamman asioimisen sähköisesti. Kehitystyö on suunniteltu vuodelle 2020. 

Rekisteröidyistä muuttoilmoituksista 81% tehtiin internetin kautta, loput 19% lomakkeella. 

Tietovarannot

VRK käsittelee henkilötietoja hoitaakseen sille laissa määrätyt tehtävät. Seuraavissa kappaleissa pureudutaan tarkemmin VRK:n keskeisiin tietovarantoihin. Tarkastelussa eivät ole mukana muut tietovarannot, joita ovat esimerkiksi asiakas- ja sidosryhmäsuhteiden tietovaranto ja henkilöstötietovarannot. 

Klikkaa otsikkoa nähdäksesi tiedot.

Tietovirrat

Klikkaa alla olevaa otsikkoa nähdäksesi kuvan tekstikuvauksen.

Lokienhallinta

Väestörekisterikeskuksen tietovarantojen lokitus perustuu pääasiassa erityislainsäädäntöön. Käytännössä lokienhallinta toteutetaan VRK:n lokipolitiikan mukaisesti, ja lisäksi jokaisella palvelulla on palvelukohtaiset lokiperiaatteet.

Suomi.fi-palveluiden osalta lokiselvityspyyntöjä on tullut muutamia vuoden 2019 aikana. Tätä voi osaltaan selittää se, että osa Suomi.fi-palvelujen käytöstä muodostuva lokitieto on kansalaisen saatavilla Suomi.fi-palvelun tapahtumatiedoissa. Tällä hetkellä tarkempaa tilastointia ei ole saatavilla. Varmennepalveluihin ei ole kohdistunut lokitietopyyntöjä vuoden 2019 aikana.

VTJ:n tietojen käsittelyä valvotaan mm. lokiselvitysprosessin mukaisesti. Lokiseuranta voidaan käynnistää VRK:n omasta aloitteesta tai rekisteröidyn, viranomaisen, asiakkaan tai yhteistyökumppanin pyynnöstä. Seurannan avulla saadaan selville mm. VTJ:ään tehty kysely- tai ylläpitotapahtuma, sen ajankohta ja organisaatio sekä toimenpiteen tehnyt henkilö.

Lokiselvityksen pyytäjälle ei pääsääntöisesti toimiteta koko listausta lokeista, vaan siitä laaditaan tarpeenmukainen yhteenveto. Jos lokitietoja ei voida esim. rikostutkinnasta johtuen pyytäjälle luovuttaa, on henkilöllä mahdollisuus pyytää tietosuojavaltuutettua tarkistamaan hänen henkilötietojensa käsittelyn lainmukaisuus. Mikäli lokiseurannan tai muun VRK:n tietojen käsittelyn valvonnan perusteella todetaan, että tietoja on käsitelty lainsäädännön tai lupaehtojen vastaisesti, arvioidaan rikkeen vakavuus ja määrätään seuraamuksia.

Mikäli lokiseurannan tai muun VRK:n tietojen käsittelyn valvonnan perusteella todetaan, että tietoja on käsitelty lainsäädännön tai lupaehtojen vastaisesti, arvioidaan rikkeen vakavuus ja määrätään seuraamuksia.

VRK on tehnyt aiemmin säännöllisesti ns. loki-iskuja selvittääkseen mahdollisia väärinkäytöksiä. Vuonna 2019 loki-iskua ei tehty. Tämän sijaan selvitettiin mahdollisuuksia poikkeamien havainnointiin automatisoinnilla väestötietojärjestelmän VTJkyselyn lokirekisteristä. Tällä tavoitellaan VTJ:n tietojen käytön valvonnan edistämistä menettelyllä, joka automatisoisi poikkeuksellisen kyselykäytön havainnointia.

Keskitetty lokienhallinta

Vuoden 2019 aikana tehtiin Lokipalvelun käyttöönottoja VRK:n palveluissa ja kehitettiin lokien käyttöä VRK:n palvelutuotannossa. Loppuvuodesta 2019 VRK:n digitaalisten palvelujen muodostamat lokiaineistot on jo suurimmalta osalta dokumentoitu (mm. Suomi.fi -palvelut, Vaaka-hanke ja Yhteentoimivuusalusta). Kapalogin lokiympäristön lokit saatiin siirrettyä hallitusti Keskitettyyn lokipalveluun ja ympäristö saatiin ajettua hallitusti alas vuoden 2020 vuodenvaihteessa.  Keskitetty lokienhallinta mahdollistaa paremman tilanneseurannan ja parantaa poikkeamienhallintaa, mutta edellyttää kysei-sen palvelun rinnalle SIEM-järjestelmän pystyttämistä.

Tietopalveluissa ilmenneet poikkeamat liiketaloudellisella sektorilla

Poikkeama	2019	2018
Osoitelähdevirhe (puuttuva/virheellinen osoitelähde)	49	36
Tietopalvelutoimituksessa virhe	5	0
Poimittujen tietojen luvaton uudelleenkäyttö	2	9
Poimintaperusteisiin viittaaminen	7	19
Tulostus-/postitusyritysvirhe	0	0
Tuhoamisilmoitusvirhe	2	6
Kontrollilähetysvirhe	19	20