Ilmoittajansuojelulaki käytännössä: mitä yrityksen ilmoituskanavalta vaaditaan?

Velvollisuus ei ole uusi. Suomen ilmoittajansuojelulaki tuli voimaan vuoden 2023 alussa, ja 50–249 työntekijän yksityisen sektorin organisaatioiden siirtymäaika päättyi 17.12.2023. Jos kanava puuttuu edelleen, kyse ei ole tulevaan määräaikaan valmistautumisesta vaan jo voimassa olevan velvoitteen hoitamisesta. [1, 40 §; 2, 26 artikla]

Tässä artikkelissa käymme läpi Suomen lain ja EU-sääntelyn keskeiset vaatimukset sekä sen, miten ne näkyvät yrityksen arjessa. Painopiste on suomalaisissa yrityksissä. Julkisella sektorilla ja erityissäännellyillä toimialoilla on lisäksi omia huomioitavia sääntöjään.

Lyhyesti: mitä yrityksen pitää hoitaa?

Tarkista velvollisuus. Sisäinen kanava on yleensä pakollinen, kun työntekijöitä on säännöllisesti vähintään 50. Toimialakohtaiset poikkeukset on arvioitava erikseen.
Nimeä riippumattomat käsittelijät. Sopikaa myös varahenkilöstä ja siitä, kuka käsittelee johtoa koskevat ilmoitukset.
Seuraa määräaikoja. Vastaanottokuittaus annetaan seitsemässä päivässä ja toimenpiteistä kerrotaan kolmessa kuukaudessa. Nimettömiin ilmoituksiin on laissa poikkeus.
Anna henkilöstölle ohjeet. Kerro sisäisestä kanavasta, viranomaisreitistä ja suojan edellytyksistä. Ohjeista myös esihenkilöt väärään paikkaan saapuvien ilmoitusten varalta.
Kirjaa ilmoitukset ja rajaa pääsy. Suullisen ilmoituksen tallentaminen edellyttää ilmoittajan suostumusta.
Sovi poistamisesta. Lähtökohta on viisi vuotta ilmoituksen saapumisesta, mutta tarpeettomat henkilötiedot poistetaan jo aiemmin. Laissa säädetyt perusteet voivat edellyttää pidempää säilytystä.

Alla avaamme nämä velvollisuudet ja niiden poikkeukset lähdeviitteineen.

EU-direktiivi loi perustan, Suomen laki määrittää kansalliset velvollisuudet

Sääntelyn taustalla on direktiivi (EU) 2019/1937 unionin oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta. Sitä kutsutaan usein whistleblower-direktiiviksi. Sen tarkoitus on suojata ihmisiä, jotka saavat työnsä yhteydessä tietoa lainvastaisesta toiminnasta ja ilmoittavat siitä asianmukaisesti. [2, 1 ja 4 artikla]

Suomessa direktiivi on pantu täytäntöön lailla 1171/2022. Sen virallinen nimi on pitkä: laki Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta. Arkikäytössä ilmoittajansuojelulaki riittää. [1, 1 §]

Ero direktiivin ja kansallisen lain välillä kannattaa ymmärtää. Direktiivi asettaa EU-tason vaatimukset jäsenvaltioille. Suomessa toimivan yrityksen käytännön velvollisuuksia arvioidaan erityisesti Suomen lain ja mahdollisen toimialakohtaisen erityissääntelyn perusteella. Lisäksi henkilötietojen käsittelyyn sovelletaan EU:n yleistä tietosuoja-asetusta eli GDPR:ää. [1, 3 §; 3]

Laki ei edellytä tietyn valmistajan sovelluksen ostamista. Se edellyttää toimivaa ilmoituskanavaa, asianmukaista käsittelyä ja ilmoittajan suojaa. Ohjelmiston tehtävä on tehdä näiden toteuttamisesta helpompaa.

Keiden on perustettava sisäinen ilmoituskanava?

Suomen lain 10 §:n mukaan sisäinen ilmoituskanava on perustettava pykälässä luetelluissa organisaatioissa, joissa työ- tai virkasuhteessa olevien henkilöiden määrä on säännöllisesti vähintään 50. Tavallisen yksityisen yrityksen kannalta 50 työntekijän raja on keskeinen lähtökohta. Velvollisuus koskee myös muita laissa määriteltyjä organisaatioita, ei vain osakeyhtiöitä. [1, 10 §]

Sana ”säännöllisesti” on olennainen. Velvollisuutta ei kannata arvioida yksittäisen päivän henkilöstölistasta, jos henkilöstömäärä vaihtelee. Oman tilanteen arvioinnissa pitää huomioida organisaation todellinen toiminta ja sovellettava sääntely.

Alle 50 työntekijää ei myöskään ole yleispätevä vapautus kaikista ilmoituskanavavelvoitteista. Lain 10 §:ssä on henkilöstömäärästä riippumaton velvollisuus tietyille lisäeläkelaitoksille, ja toimialakohtainen erityissääntely voi tuoda muitakin velvoitteita pienemmille organisaatioille. [1, 3 ja 10 §]

Pienempi yritys voi perustaa kanavan myös vapaaehtoisesti. Tässä on tärkeä ero tavalliseen palautelomakkeeseen: jos vapaaehtoinen sisäinen kanava perustetaan lain soveltamisalaan kuuluvien rikkomisten ilmoittamista varten, siihen, ilmoittamiseen ja ilmoittajan suojeluun sovelletaan lain säännöksiä. Vapaaehtoinen käyttöönotto ei siis tarkoita vapaamuotoista käsittelyä. [1, 13 §]

Yrityksen on annettava omille työntekijöilleen mahdollisuus käyttää sisäistä kanavaa. Se voi avata kanavan myös muille, kuten alihankkijoille ja yhteistyökumppaneille. Tämä kannattaa kertoa ohjeissa selvästi. [1, 10 §]

Voiko konsernilla olla yhteinen kanava?

Samaan konserniin kuuluvilla yhtiöillä voi Suomen lain mukaan olla yhteinen sisäinen ilmoituskanava. Lisäksi lain 10 §:n 1 momentin 5–6 kohdissa tarkoitetut, enintään 249 henkilön yksityiset organisaatiot voivat jakaa ilmoitusten vastaanottamiseen ja selvittämiseen osoitettuja resursseja. Yhteinen käsittelijä tai järjestelmä ei kuitenkaan siirrä pois kunkin organisaation velvollisuutta antaa palautetta, puuttua rikkomiseen ja huolehtia salassapidosta. Kansainvälisessä konsernissa on tarkistettava myös muiden toimintamaiden vaatimukset. [1, 12 §]

Mistä kanavassa voi ilmoittaa?

Ilmoittajansuojelulaki ei kata automaattisesti kaikkia työpaikan ongelmia tai kaikkia lainvastaisuuksia. Soveltamisala on määritelty laissa erikseen. Se kattaa muun muassa julkisia hankintoja, rahoituspalveluja, rahanpesun torjuntaa, tuoteturvallisuutta, ympäristönsuojelua, elintarviketurvallisuutta, kuluttajansuojaa sekä henkilötietojen ja tietojärjestelmien suojaa koskevia rikkomisia. [1, 2 §; 2, 2 artikla]

Myös rikkomisen luonteella on merkitystä. Lain 2 §:n 1 momentissa luetelluilla aloilla lain piiriin kuuluvat teot tai laiminlyönnit, jotka on säädetty rangaistaviksi, joista voi seurata rangaistusluonteinen hallinnollinen seuraamus tai jotka voivat vakavasti vaarantaa lainsäädännön yleisen edun mukaisten tavoitteiden toteutumista. Nämä ovat kolme vaihtoehtoista edellytystä: vähintään yhden on täytyttävä. Soveltamisalassa on lisäksi erillisiä kohtia muun muassa EU:n taloudellisista eduista, kilpailusäännöistä ja yritysverotuksesta. Ajantasaiseen lakiin sisältyy myös pakotteiden rikkomista koskeva säännös. [1, 2 §]

Käytännön esimerkki voisi olla työntekijän havainto siitä, että tuotteen turvallisuuspuutteita peitellään tai henkilötietoja käsitellään järjestelmällisesti sääntöjen vastaisesti. Nämä ovat mahdollisia kanava-asioita, mutta jokaisen ilmoituksen kuuluminen lain piiriin arvioidaan sen sisällön perusteella.

Sen sijaan tyytymättömyys työvuorolistaan tai yksittäinen erimielisyys esihenkilön kanssa ei sellaisenaan tarkoita, että kyse olisi ilmoittajansuojelulain mukaisesta ilmoituksesta. Asia voi silti olla tärkeä ja kuulua esimerkiksi henkilöstöhallinnon tai työsuojelun käsiteltäväksi.

Samaa palvelua voidaan käyttää myös yleisen palautteen vastaanottamiseen. Silloin käyttäjälle on kerrottava, mikä on lakisääteinen ilmoitus ja mikä muuta palautetta. Lomakkeen nimi tai käyttäjän valitsema luokka ei yksin ratkaise lain soveltumista: ratkaisevaa on ilmoituksen sisältö.

Ketä laki suojaa ja millä ehdoilla?

Suojan piiri ei rajoitu nykyisiin työntekijöihin. Lain henkilöllinen soveltamisala kattaa määritellyin edellytyksin esimerkiksi itsenäisiä ammatinharjoittajia, osakkeenomistajia, hallintoelinten jäseniä, harjoittelijoita ja vapaaehtoistyöntekijöitä. Suoja voi koskea myös työnsä jo päättänyttä henkilöä tai henkilöä, joka sai tiedon työtä edeltävien neuvottelujen aikana. [1, 5 §; 2, 4 artikla]

Keskeinen edellytys on, että ilmoittajalla on ilmoittamishetkellä perusteltu syy uskoa tiedon pitävän paikkansa ja kuuluvan lain soveltamisalaan. Ilmoittajan ei siis tarvitse ennen ilmoittamista selvittää asiaa loppuun tai todistaa rikkomista aukottomasti. Tahallaan vääriä tietoja ilmoittava voi joutua korvaamaan ilmoituksen kohteelle aiheuttamansa taloudellisen vahingon. Lain 36 §:n mukaan tahallinen väärien tietojen ilmoittaminen tai julkistaminen on myös sakolla rangaistavaa, jollei teko ole vähäinen tai siitä muualla laissa säädetä ankarampaa rangaistusta. Tämä on eri asia kuin perusteltu epäily, joka myöhemmin osoittautuu aiheettomaksi. [1, 6, 26 ja 36 §; 2, 6 artikla]

Yrityksen ohjeissa on hyvä pyytää ilmoittajaa kuvaamaan konkreettisesti, mitä hän havaitsi, milloin ja mihin havainto perustuu. Samalla on syytä erottaa omat havainnot oletuksista ja muilta kuulluista tiedoista. Tämä auttaa käsittelijää selvittämään asiaa ilman, että työntekijältä odotetaan valmista tutkintaraporttia.

Mitä ilmoituskanavan käsittelystä on sovittava?

Pelkkä lomake verkkosivulla ei riitä, jos kukaan ei vastaa sen kautta tulevista ilmoituksista. Organisaation tai kanavan järjestämisestä vastaavan ulkoistetun palveluntuottajan on nimettävä ilmoitusten käsittelystä vastaava henkilö tai henkilöt. Heidän on voitava hoitaa tehtävänsä puolueettomasti ja riippumattomasti, ja ilmoituksia saavat käsitellä vain tähän tehtävään nimetyt henkilöt. [1, 14 §]

Käytännössä pitää ratkaista myös hankalat tilanteet. Jos ilmoitus koskee tavallista käsittelijää tai tämän lähiesihenkilöä, kuka ottaa asian hoitaakseen? Miten toimitaan loman tai pitkän poissaolon aikana? Varahenkilöistä ja esteellisyystilanteista kannattaa sopia ennen ensimmäistä ilmoitusta.

Kanavan on mahdollistettava ilmoittaminen kirjallisesti tai suullisesti. Suomen laki ei siis yleisesti vaadi jokaista organisaatiota hankkimaan sekä verkkolomaketta että puhelinpalvelua. Jos suullinen ilmoittaminen on mahdollista, siihen liittyvät 15 §:n vaatimukset puhelimesta tai muusta ääniviestijärjestelmästä ja ilmoittajan pyynnöstä kohtuullisessa ajassa järjestettävästä henkilökohtaisesta tapaamisesta. [1, 15 §]

Organisaation pitää lisäksi kertoa ymmärrettävästi sisäisestä kanavasta, oikeuskanslerinviraston keskitetystä kanavasta, ilmoittamisen menettelyistä ja suojelun edellytyksistä. Ohjeiden on oltava helposti saatavilla. Intranetiin piilotettu linkki ilman käyttöohjetta jättää tämän työn kesken. [1, 15 §]

Mitä jos ilmoitus tulee suoraan esihenkilölle?

Ilmoitus ei aina tule oikean lomakkeen kautta. Jos sen vastaanottaa muu kuin nimetty käsittelijä tai se saapuu muuta reittiä, vastaanottajan on pidettävä salassa tiedot, jotka voivat paljastaa ilmoittajan tai ilmoituksen kohteen henkilöllisyyden. Ilmoitus pitää toimittaa alkuperäisessä muodossaan viipymättä käsittelystä vastaavalle henkilölle. Tätä varten esihenkilöllä on oltava selkeä toimintaohje; viestin edelleenlähettäminen laajalle jakelulle ei ole asianmukaista käsittelyä. [1, 32 §]

Miten ilmoitukset ja suulliset keskustelut dokumentoidaan?

Vastaanotetut ilmoitukset on rekisteröitävä asianhallintarekisteriin tai muulla tavalla. Henkilökohtaisesta tapaamisesta laaditaan pöytäkirja, jonka ilmoittaja saa tarkastaa ja hyväksyä. Suullisen ilmoituksen saa tallentaa vain ilmoittajan suostumuksella. Käytännössä suostumus pyydetään ennen tallennuksen aloittamista, ei vasta tiedostoa kanavaan ladattaessa. [1, 37 §]

Sopikaa samalla, miten kuittaukset, yhteydenpito, selvitystoimet ja päätökset kirjataan. Näin käsittely ei jää yhden työntekijän muistin tai sähköpostilaatikon varaan.

Seitsemän päivää ja kolme kuukautta: mitä määräajat tarkoittavat?

Sisäisessä ilmoituskanavassa on kaksi keskeistä määräaikaa. Vastaanottoilmoitus on toimitettava seitsemän päivän kuluessa ilmoituksen saapumisesta. Ilmoittajalle on sen jälkeen annettava kolmen kuukauden kuluessa vastaanottoilmoituksen toimittamisesta tieto siitä, mitä toimenpiteitä ilmoituksen perusteella toteutetaan. [1, 15–16 §; 2, 9 artikla]

Jos vastaanottoilmoitusta ei toimiteta, kolmen kuukauden aika lasketaan siitä, kun vastaanottoilmoituksen seitsemän päivän määräaika päättyi. Kuittauksen laiminlyönti ei siirrä palautteen määräaikaa myöhemmäksi. [1, 16 §]

Kolmen kuukauden määräaika ei tarkoita, että jokainen selvitys pitäisi saada siihen mennessä lopullisesti valmiiksi. Ilmoittajalle on kerrottava toimenpiteistä. Monimutkainen asia voi vaatia pidemmän selvityksen, mutta pelkkä vastaanottokuittaus ei korvaa tätä tiedonantoa. Käsittelijällä on myös velvollisuus ryhtyä tarpeellisiin toimenpiteisiin tiedon paikkansapitävyyden selvittämiseksi ja tarvittaessa rikkomiseen puuttumiseksi. [1, 16 §]

Nimettömiin ilmoituksiin liittyy Suomen laissa poikkeus: niiden perusteella ei tarvitse toimittaa vastaanottoilmoitusta eikä antaa 16 §:n 2 momentin mukaista tietoa toimenpiteistä. Poikkeus ei tarkoita, että nimettömän ilmoituksen voisi automaattisesti jättää tutkimatta. [1, 17 §]

Jos järjestelmä mahdollistaa nimettömän kaksisuuntaisen viestinnän, kuittaaminen ja jatkotoimista kertominen ovat silti järkevä toimintatapa. Ilmoittaja voi täydentää havaintojaan ja nähdä, ettei asia ole kadonnut jonoon.

Nimettömyys ja luottamuksellisuus ovat eri asioita

Suomen ilmoittajansuojelulaki ei yleisesti velvoita sisäistä kanavaa vastaanottamaan nimettömiä ilmoituksia. Organisaatio voi päättää ottaa niitä vastaan. Luottamuksellisuuden ja salassapidon vaatimukset sen sijaan eivät riipu siitä, antaako ilmoittaja nimensä. [1, 17 ja 32 §]

Luottamuksellisessa ilmoituksessa käsittelijä voi tietää ilmoittajan henkilöllisyyden, mutta tietoa ei saa paljastaa oikeudettomasti. Nimettömässä ilmoituksessa ilmoittaja ei anna henkilöllisyyttään. On silti hyvä muistaa, että tapahtumakuvaus tai liite voi itsessään paljastaa, kuka ilmoituksen teki.

Salassapito koskee myös tietoja, joista henkilöllisyys voidaan päätellä suoraan tai välillisesti. Se suojaa lain mukaisesti myös ilmoituksen kohteena olevan henkilön identiteettiä. Ilmoitus on selvityksen lähtökohta, ei todiste syyllisyydestä. [1, 32 §; 2, 16 ja 22 artikla]

Täydellistä lupausta siitä, ettei henkilöllisyyttä koskaan luovuteta kenellekään, ei pidä antaa. Laissa on erikseen säädetty tilanteista, joissa salassa pidettäviä tietoja voidaan luovuttaa esimerkiksi asian selvittämiseksi tai viranomaismenettelyä varten. [1, 33 §]

Myös alun perin nimettömänä ilmoittanut voi saada lain mukaista suojaa, jos hänet myöhemmin tunnistetaan ja muut suojan edellytykset täyttyvät. Lain suoja ulottuu määritellyin edellytyksin myös esimerkiksi ilmoittajaa avustaviin henkilöihin, työnsä vuoksi vastatoimien vaaraan joutuviin läheisiin ja ilmoittajaan liittyviin oikeushenkilöihin. [1, 5 §]

Vastatoimet ovat kiellettyjä

Ilmoittajansuojelun ydin on siinä, ettei lain edellytykset täyttävän ilmoituksen tekemisestä saa rangaista ilmoittajaa. Kiellettyjä vastatoimia voivat olla esimerkiksi ilmoittamisen vuoksi tehty työsuhteen päättäminen, lomauttaminen, työehtojen heikentäminen tai muu epäedullinen kohtelu. Kielto koskee myös kielteisiä seurauksia, jotka johtuvat ilmoittajan osallistumisesta ilmoittamansa asian selvittämiseen. Myös ilmoittamisen estämiseen tähtäävä menettely on kielletty. [1, 23 §; 2, 19 artikla]

Organisaation kannalta tämä koskee esihenkilötyötä yhtä paljon kuin ilmoituskanavan asetuksia. Henkilöstölle annettu lupaus luottamuksellisesta käsittelystä ei auta, jos ilmoituksen tehnyttä työntekijää ryhdytään painostamaan arjessa.

Lakiin sisältyy säännöksiä muun muassa vahingonkorvauksesta, hyvityksestä ja todistustaakasta. Kyse ei siten ole vain hyvän henkilöstöjohtamisen suosituksesta, vaan oikeudellisesti velvoittavasta suojasta. [1, 25–26 ja 34 §]

Jos selvityksen perusteella voidaan olettaa vastatoimien kieltoa rikotun, vastapuolen on osoitettava, ettei kieltoa ole rikottu. Tätä todistustaakkasääntöä ei sovelleta rikosasioissa. Hyvitystä on vaadittava käräjäoikeudessa kolmen vuoden kuluessa vastatoimien kiellon vastaisesta menettelystä tai ilmoittamisen estämisestä; vahingonkorvauksella on omat määräaikasääntönsä. [1, 25, 27 ja 35 §]

Lain mukaisia oikeuksia tai oikeussuojakeinoja vähentävä sopimus on mitätön. Salassapitosopimuskaan ei siis saa poistaa lain tarjoamaa suojaa. Tietojen ilmaisemiseen liittyvä vastuuvapaus edellyttää kuitenkin muun muassa perusteltua syytä uskoa ilmoittamisen olevan välttämätöntä rikkomisen paljastamiseksi. Se ei oikeuta tiedon hankkimiseen rikoksella. [1, 24 ja 28 §]

Mitä kanavan puuttumisesta seuraa?

Ilmoittajansuojelulaissa ei ole erillistä hallinnollista seuraamusmaksua pelkästä sisäisen kanavan puuttumisesta. Tämä ei tee kanavasta vapaaehtoista: sen puuttuminen voi antaa ilmoittajalle perusteen käyttää suoraan viranomaisreittiä. Vastatoimista voi seurata vahingonkorvausta ja hyvitystä, ja salassapitovelvollisuuden rikkomisesta säädetään rangaistus rikoslaissa. Mahdollinen toimialakohtainen erityissääntely on arvioitava erikseen. [1, 3, 8, 10, 26, 34 ja 36 §]

Milloin ilmoituksen voi tehdä viranomaiselle?

Suomen laissa sisäisen ilmoittamisen ensisijaisuus on lähtökohtaisesti suojan edellytys, ei pelkkä suositus. Direktiivin 7 artikla puolestaan velvoittaa jäsenvaltiot kannustamaan sisäiseen ilmoittamiseen tietyin ehdoin. Suomen lain 8 §:n poikkeukset ovat siksi olennaisia: sisäistä reittiä ei tarvitse käyttää kaikissa tilanteissa. [1, 7–8 §; 2, 7 artikla]

Lain 8 §:ssä määritellään edellytykset viranomaiselle ilmoittamiselle. Niitä ovat esimerkiksi sisäisen kanavan puuttuminen tai se, ettei ilmoittajalle ole annettu mahdollisuutta käyttää sitä, sekä perusteltu syy uskoa, ettei sisäisen ilmoituksen johdosta ole ryhdytty 16 §:ssä tarkoitettuihin toimenpiteisiin säädetyssä määräajassa. Viranomaisreitti voi tulla kyseeseen myös silloin, kun ilmoittajalla on perusteltu syy uskoa, ettei rikkomiseen voida puuttua tehokkaasti sisäisesti tai että hän on vaarassa joutua vastatoimien kohteeksi. [1, 8 §]

Oikeuskanslerinvirasto ylläpitää keskitettyä ulkoista ilmoituskanavaa ja siirtää ilmoituksia toimivaltaisille viranomaisille. Erityissääntely voi mahdollistaa ilmoittamisen suoraan toimivaltaiselle viranomaiselle. Keskitetty kanava ei vastaanota nimettömiä ilmoituksia. [1, 18–19 §; 4]

Oikeuskanslerinvirasto toimittaa vastaanottokuittauksen viimeistään seitsemässä päivässä, ellei laissa säädetty poikkeus sovellu. Toimivaltainen viranomainen antaa tiedon toteutetuista toimenpiteistä kolmen tai perustelluista syistä enintään kuuden kuukauden kuluessa siitä, kun se on vastaanottanut ilmoituksen. Ulkoisen kanavan määräaikoja ei pidä sekoittaa yrityksen sisäisen kanavan määräaikoihin. [1, 19–20 §]

Tietojen julkistamiseen esimerkiksi mediassa tai sosiaalisessa mediassa liittyy omat, erilliset suojan edellytyksensä. Julkistamista ei pidä rinnastaa automaattisesti sisäiseen tai viranomaiselle tehtävään ilmoitukseen. [1, 9 §; 2, 15 artikla]

Tietosuoja: kuka saa nähdä tiedot ja kuinka kauan ne säilytetään?

Ilmoituksessa voi olla hyvin arkaluonteisia tietoja ilmoittajasta, epäillystä rikkomisesta ja muista ihmisistä. Siksi käyttöoikeudet, säilytysajat ja henkilötietojen käsittelyn vastuut on ratkaistava ennen käyttöönottoa.

GDPR:n 5 artiklan periaatteisiin kuuluvat muun muassa käyttötarkoitussidonnaisuus, tietojen minimointi ja asianmukainen suojaaminen. Käsittelylle on myös oltava 6 artiklan mukainen oikeusperuste. Lakisääteisen ilmoituskanavan ja vapaaehtoisen yleisen palautteen käsittelyä ei pidä niputtaa perustelematta saman oikeusperusteen alle. [3, 5–6 artikla]

Ulkoista ohjelmistopalvelua käytettäessä asiakasorganisaatio toimii tyypillisesti ilmoitustietojen rekisterinpitäjänä ja palveluntarjoaja sen lukuun toimivana henkilötietojen käsittelijänä. Käsittelysopimuksen vaatimuksista säädetään GDPR:n 28 artiklassa ja käsittelyn turvallisuudesta 32 artiklassa. [3]

Suomen ilmoittajansuojelulaissa on oma säilytyssääntönsä: ilmoituskanavan kautta tulevat tiedot on poistettava viiden vuoden kuluttua ilmoituksen saapumisesta, ellei säilyttäminen ole välttämätöntä laissa mainittujen oikeuksien, velvoitteiden tai oikeudellisten vaateiden vuoksi. Ilmoituksen käsittelyn kannalta selvästi merkityksettömät henkilötiedot on poistettava ilman aiheetonta viivytystä. Viisi vuotta ei siis ole lupa säilyttää kaikkea kerättyä tietoa varmuuden vuoksi. [1, 29 §]

Suomen laissa on myös erityisiä henkilötietojen käsittelysääntöjä. Erityisiin henkilötietoryhmiin sekä rikostuomioihin ja rikoksiin liittyviä tietoja saa käsitellä vain lain tarkoituksen kannalta välttämättömästi. GDPR:n 18 artiklan oikeutta käsittelyn rajoittamiseen ei sovelleta tässä laissa tarkoitettuun henkilötietojen käsittelyyn. [1, 30–31 §]

GDPR:n 15 artiklan mukaista tarkastusoikeutta voidaan rajoittaa, jos se on välttämätöntä ja oikeasuhtaista ilmoituksen selvittämiseksi tai ilmoittajan henkilöllisyyden suojaamiseksi. Tämä ei oikeuta hylkäämään kaikkia tietopyyntöjä: muut kuin rajoituksen piiriin kuuluvat tiedot on annettava, ja laissa säädetään myös oikeudesta saada tieto rajoituksen syistä ja käyttää tietosuojavaltuutetun apua. [1, 31 §]

Dokumentoikaa käsittelyn oikeusperuste ja arvioikaa ennen käyttöönottoa tietosuojan vaikutustenarvioinnin tarve. GDPR:n 35 artiklan mukaan arviointi tarvitaan, jos käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Pelkkä palvelun hankinta ei ratkaise tätä organisaation puolesta. [3, 6 ja 35 artikla]

EU:ssa sijaitseva tallennus on palvelua valittaessa hyödyllinen tieto, mutta se ei yksin todista GDPR-vaatimusten täyttymistä. Myös käyttöoikeudet, palveluntarjoajien roolit, mahdolliset siirrot ja käytännön käsittelytavat on arvioitava.

Näin Ilmoo tukee ilmoitusten käsittelyä

Ilmoo kokoaa kirjallisen ilmoittamisen, viestinvaihdon ja käsittelyn samaan palveluun. Organisaatio saa oman osoitteen, esimerkiksi yritys.ilmoo.fi, jonka voi jakaa henkilöstölle ja muille kanavan käyttäjille. [5]

Ilmoittaja voi jättää ilmoituksen ilman käyttäjätiliä ja oletuksena nimettömästi. Hän saa henkilökohtaisen pääsykoodin, jolla voi palata seuraamaan asiaa ja keskustelemaan käsittelijän kanssa. Nimettömyys ei näin estä lisäkysymyksiä tai tietojen täydentämistä.

Käsittelijän käytössä ovat ilmoitukset, viestit, liitteet, sisäiset muistiinpanot ja käsittelyn tapahtumaloki. Käyttöoikeusroolit auttavat rajaamaan sitä, kuka palvelussa saa tehdä mitäkin. Organisaation on silti itse nimettävä käsittelijät ja annettava heille tehtävään sopivat oikeudet.

Palvelun tietojen mukaan tiedot säilytetään EU:ssa. Tallennetut sisällöt salataan, ja valinnaisena on myös päästä päähän -salaus. Salausratkaisu on yksi osa suojausta: se ei poista tarvetta huolelliselle käyttöoikeuksien hallinnalle tai salassapitoa noudattaville käsittelijöille. [5]

Ilmoon ydin on kirjallinen kanava. Palveluun voi myös ladata äänitallenteen, mutta siihen ei sisälly reaaliaikaista puhelinpalvelua. Jos organisaatio tarjoaa suullisen ilmoittamisen, sen pitää järjestää siihen liittyvä prosessi ja tarvittavat tapaamiset asianmukaisesti. Suullisen ilmoituksen tallentamiseen tarvitaan ilmoittajan suostumus; latausmahdollisuus ei korvaa tätä vaatimusta. [5; 1, 15 ja 37 §]

Ilmoo maksaa 19,90 euroa kuukaudessa organisaatiolta arvonlisäveron lisäksi. Käyttäjämäärää ei ole rajattu. Ensimmäinen kuukausi on maksuton, eikä kokeiluun tarvita maksukorttia. Hinta ja ominaisuudet on tarkistettu Aigenin tuotesivulta 6.10.2026. [5]

Käyttöönoton yhteydessä tehtävät päätökset

Tekninen kanava voidaan avata nopeasti. Jotta se toimii myös ensimmäisen vaikean ilmoituksen saapuessa, organisaation kannattaa hoitaa samalla nämä asiat:

Nimetkää käsittelijät ja varahenkilöt. Sopikaa myös siitä, kuka käsittelee ilmoituksen, joka koskee tavallista käsittelijää tai organisaation johtoa.
Kirjoittakaa ilmoittajalle selkeät ohjeet. Kertokaa, mihin kanava on tarkoitettu, ketkä sitä voivat käyttää ja miten suojan edellytykset sekä ulkoinen ilmoittaminen toimivat.
Päättäkää nimettömien ilmoitusten käytännöt. Jos niitä vastaanotetaan, sopikaa myös kuittauksista, viestinvaihdosta ja seurannasta.
Sopikaa käsittelyn työnkulku. Kuka tarkistaa saapuneet ilmoitukset, seuraa määräaikoja, käynnistää selvityksen ja kirjaa jatkotoimet? Ohjeistakaa myös väärää reittiä tulleiden ilmoitusten siirto sekä suullisten ilmoitusten dokumentointi ja tallennussuostumus.
Tarkistakaa henkilötietojen käsittely. Huolehtikaa käsittelysopimuksesta, tarpeellisista käyttöoikeuksista, tietosuojatiedoista ja poistokäytännöistä.
Testatkaa koko reitti. Tehkää testimerkinnällä erotettu koeluonteinen ilmoitus, vastatkaa siihen ja varmistakaa, että ilmoittaja löytää vastauksen. Kertokaa henkilöstölle, mistä oikea kanava löytyy.

Ilmoituskanavan järjestämisen saa ulkoistaa, mutta vastuu lain velvoitteiden toteutumisesta säilyy organisaatiolla. Tämä on sanottu Suomen laissa suoraan. [1, 11 §]

Siksi Ilmoon tehtävä on tarjota kanava ja käsittelyn työkalut. Yrityksen tehtävä on varmistaa, että ilmoitukseen reagoidaan, asia selvitetään ja ihmisiä kohdellaan lain edellyttämällä tavalla.

Tutustu Ilmoon demoon tai avaa organisaatiollesi ilmoituskanava.

Lähteet

[1] Suomen ilmoittajansuojelulaki 1171/2022, ajantasainen teksti, mukaan lukien muutos 181/2025 (voimaan 20.5.2025). Laki Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta. Artikkelissa viitatut pykälät on merkitty asianomaisten väitteiden yhteyteen. https://www.finlex.fi/fi/lainsaadanto/2022/1171

[2] Direktiivi (EU) 2019/1937. Euroopan parlamentin ja neuvoston direktiivi unionin oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta. https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX:32019L1937

[3] EU:n yleinen tietosuoja-asetus (EU) 2016/679, GDPR. Erityisesti 5 artikla (käsittelyperiaatteet), 6 artikla (lainmukaisuus), 15 ja 18 artikla (rekisteröidyn oikeudet), 28 artikla (henkilötietojen käsittelijä), 32 artikla (turvallisuus) ja 35 artikla (vaikutustenarviointi). https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX:32016R0679

[4] Oikeuskanslerinvirasto: ilmoittajansuojelu. https://oikeuskansleri.fi/ilmoittajansuojelu

[5] Aigen: Ilmoo – sisäinen ilmoituskanava. Tuotteen ominaisuudet, hinnoittelu ja palvelun vastuunjako. https://aigen.fi/sovellukset/ilmoo/

Lainsäädäntö- ja tuotetiedot tarkistettu 6.10.2026. Artikkeli on yleiskuva suomalaisen yrityksen ilmoituskanavasta; yksittäisen organisaation velvoitteisiin voi vaikuttaa toimialakohtainen erityissääntely.