1Laki julkisen hallinnon tiedonhallinnasta 9.8.2019/906
Tämä säädös on tulostettu Edilex-lakitietopalvelusta osoitteesta
www.edilex.fi/saadokset/lainsaadanto/20190906 .
Vastuunrajoitus ja tulosteen käyttö Edilexin käyttöehtojen mukaisesti.
Lainsäädäntöä seurattu säädöskokoelman numeroon 711/2021 saakka.
Eduskunnan päätöksen mukaisesti säädetään:
1 luku Yleiset säännökset
1 § Lain tarkoitus
Tämän lain tarkoituksena on:
1) varmistaa viranomaisten tietoaineistojen yhdenmukainen ja laa-
dukas hallinta sekä tietoturvallinen käsittely julkisuusperiaatteen to-
teuttamiseksi;
2) mahdollistaa viranomaisten tietoaineistojen turvallinen ja teho-
kas hyödyntäminen, jotta viranomainen voi hoitaa tehtävänsä ja tarjo-
ta palvelunsa hallinnon asiakkaille hyvää hallintoa noudattaen tulok-
sellisesti ja laadukkaasti;
3) edistää tietojärjestelmien ja tietovarantojen yhteentoimivuutta.
2 momentti on kumottu L:lla 15.7.2021/710 .
2 § Määritelmät
Tässä laissa tarkoitetaan:
1) viranomaisella  viranomaisten toiminnan julkisuudesta annetun
lain (621/1999) 4 §:n  1 momentissa tarkoitettuja viranomaisia;
2) tiedonhallintayksiköllä  viranomaista, jonka tehtävänä on järjestää
tiedonhallinta tämän lain vaatimusten mukaisesti;
3) tietojärjestelmällä  tietojenkäsittelylaitteista, ohjelmistoista ja
muusta tietojenkäsittelystä koostuvaa kokonaisjärjestelyä;
4) asiakirjalla  viranomaisten toiminnan julkisuudesta annetun lain
5 §:n 2 momentissa tarkoitettua viranomaisen asiakirjaa;
5) tietoaineistolla  asiakirjoista ja muista vastaavista tiedoista muodos-
tuvaa tiettyyn viranomaisen tehtävään tai palveluun liittyvää tietoko-
konaisuutta;
6) tietovarannolla  viranomaisen tehtävien hoidossa tai muussa toi-
minnassa käytettäviä tietoaineistoja sisältävää kokonaisuutta, jota käsi-
tellään tietojärjestelmien avulla tai manuaalisesti;
7) yhteisellä tietovarannolla  useiden toimijoiden käyttöön suunnitel-
tua ja ylläpidettyä tietovarantoa, jonka tiedot ovat luovutettavissa ja
hyödynnettävissä eri tarkoituksiin;
8) tietoturvallisuustoimenpiteillä  tietoaineistojen saatavuuden, ehey-
den ja luottamuksellisuuden varmistamista hallinnollisilla, toiminnalli-
silla ja teknisillä toimenpiteillä;
9) tiedonhallinnalla  viranomaisen tehtävien hoidossa tai sen muus-
sa toiminnassa syntyviin tarpeisiin perustuvia toimia ja tietoturvalli-
suustoimenpiteitä viranomaisen tietoaineistojen, niiden käsittelyvaihei-
den ja tietoaineistoihin sisältyvien tietojen hallinnoimiseksi riippumat-
ta tietoaineistojen tallentamistavasta ja muista käsittelytavoista;
10) toimintaprosessilla  viranomaisen asiankäsittely- tai palveluproses-
sia;
11) teknisellä rajapinnalla  sähköisen tietojenvaihdon mahdollistavaa
tiedonsiirtoratkaisua kahden tai useamman tietojärjestelmän välillä;
12) katseluyhteydellä  tietojärjestelmään toteutettua tietoaineistojen
katselun mahdollistavaa rajattua näkymää;
13) tietovarantojen yhteentoimivuudella  tietojen hyödyntämistä ja
vaihtoa eri tietojärjestelmien välillä siten, että tietojen merkitys ja käy-
tettävyys säilyvät;
14) koneluettavalla muodolla  tiedostomuotoa, jonka rakenne mah-
dollistaa sen, että ohjelmistot pystyvät helposti yksilöimään, tunnista-
maan ja poimimaan siitä tietoaineistoja, yksittäisiä tietoja sekä niiden
rakenteita.
3 § Lain soveltamisala ja sen rajoitukset
Tätä lakia sovelletaan tiedonhallintaan ja tietojärjestelmien käyt-
töön, kun viranomaiset käsittelevät tietoaineistoja, jollei muualla lais-
sa toisin säädetä. Mitä tässä laissa säädetään viranomaisesta, sovelletaan
myös yliopistolaissa (588/2009)  tarkoitettuihin yliopistoihin ja am-
mattikorkeakoululaissa (932/2014)  tarkoitettuihin ammattikorkeakou-
luihin.Asiankäsittelyssä ja palvelujen tuottamisessa noudatettavista menet-
telyistä, salassapidosta ja tiedonsaantioikeudesta viranomaisten asiakir-
joihin sekä asiakirjojen arkistoinnista säädetään erikseen. Tiedonhallin-
nasta ja tietojärjestelmien käytöstä Suomen evankelis-luterilaisessa kir-
kossa säädetään kirkkolaissa (1054/1993) .
Tämän lain 19, 20, 26 ja 27 §:ää ei sovelleta tuomioistuimien eikä
valitusasioita käsittelemään perustettujen lautakuntien lainkäyttöön.
Tämän lain 3 lukua ei sovelleta eduskunnan oikeusasiamiehen eikä
valtioneuvoston oikeuskanslerin toimintaan, tuomioistuimien eikä va-
litusasioita käsittelemään perustettujen lautakuntien toimintaan, ta-
savallan presidentin kansliaan, eduskunnan virastoihin, Kansaneläke-
laitokseen, Suomen Pankkiin, muihin itsenäisiin julkisoikeudellisiin
laitoksiin, yliopistolaissa tarkoitettuihin yliopistoihin eikä ammatti-
korkeakoululaissa tarkoitettuihin ammattikorkeakouluihin. Tämän
lain 3 lukua sovelletaan hyvinvointialueisiin, hyvinvointiyhtymiin,
kuntiin ja kuntayhtymiin niiden hoitaessa laissa säädettyjä tehtäviä.
(29.6.2021/653)
Tämän lain 4 lukua sekä 22–24 ja 25–27 §:ää sovelletaan yksityi-
siin henkilöihin tai yhteisöihin taikka muihin kuin viranomaisena toi-
miviin julkisoikeudellisiin yhteisöihin siltä osin kuin ne hoitavat jul-
kista hallintotehtävää. Yksityisiin henkilöihin ja yhteisöihin sekä mui-
hin kuin viranomaisena toimiviin julkisoikeudellisiin yhteisöihin so-
velletaan lisäksi, mitä 4 ja 28 §:ssä säädetään, niiden käyttäessä julkis-
ta valtaa viranomaisten toiminnan julkisuudesta annetun lain 4 §:n 2
momentissa tarkoitetulla tavalla tai kun mainittu laki on säädetty erik-
seen sovellettavaksi niiden toiminnassa. Edelleen yksityisiin yhteisöi-
hin ja muihin kuin viranomaisena toimiviin julkisoikeudellisiin yhtei-
söihin sovelletaan, mitä tämän lain 19 §:n 2 momentissa sekä 24 a ja
24 b §:ssä säädetään, niiden käyttäessä julkista valtaa viranomaisten
toiminnan julkisuudesta annetun lain 4 §:n 2 momentissa tarkoitetulla
tavalla. (15.7.2021/710)
Tätä lakia ei sovelleta Ahvenanmaan maakunnassa toimiviin maa-
kunnan, valtion ja kunnallisiin viranomaisiin.
Ks. YliopistoL 558/2009 .
2 luku Tiedonhallinnan järjestäminen
4 § Tiedonhallinnan järjestäminen tiedonhallintayksikössä
Tässä laissa tarkoitettuja tiedonhallintayksikkojä ovat:
1) valtion virastot ja laitokset;
2) tuomioistuimet ja valitusasioita käsittelemään perustetut lauta-
kunnat;
3) eduskunnan virastot;
4) valtion liikelaitokset;
5) hyvinvointialueet;
6) hyvinvointiyhtymät;
7) kunnat;
8) kuntayhtymät;
9) itsenäiset julkisoikeudelliset laitokset;
10) yliopistolaissa tarkoitetut yliopistot sekä ammattikorkeakoulu-
laissa tarkoitetut ammattikorkeakoulut.
(29.6.2021/653)
Tiedonhallintayksikön johdon on huolehdittava siitä, että tiedon-
hallintayksikössä on:
1) määritelty tässä ja muussa laissa säädettyjen tiedonhallinnan to-
teuttamiseen liittyvien tehtävien vastuut;
2) ajantasaiset ohjeet tietoaineistojen käsittelystä, tietojärjestelmien
käytöstä, tietojenkäsittelyoikeuksista, tiedonhallinnan vastuiden to-
teuttamisesta, tiedonsaantioikeuksien toteuttamisesta, tietoturvalli-
suustoimenpiteistä sekä poikkeusoloihin varautumisesta;
3) tarjolla koulutusta, jolla varmistetaan, että henkilöstöllä ja tie-
donhallintayksikön lukuun toimivilla on riittävä tuntemus voimassa
olevista tiedonhallintaa, tietojenkäsittelyä sekä asiakirjojen julkisuutta
ja salassapitoa koskevista säädöksistä, määräyksistä ja tiedonhallintayk-
sikön ohjeista;
4) asianmukaiset työvälineet tiedonhallintaa koskevien velvollisuuk-
sien toteuttamiseksi;
5) järjestetty riittävä valvonta tiedonhallintaan liittyvien säädösten,
määräysten ja ohjeiden noudattamisesta.
25 § Tiedonhallintamalli ja muutosvaikutuksen arviointi
Tiedonhallintayksikössä on ylläpidettävä sen toimintaympäristön
tiedonhallintaa määrittelevää ja kuvaavaa tiedonhallintamallia. Tiedon-
hallintamallia ylläpidetään palvelujen, asiankäsittelyn ja tietoaineisto-
jen hallinnan suunnittelemiseksi ja toteuttamiseksi, tiedonsaantia kos-
kevien oikeuksien ja rajoitusten toteuttamiseksi, moninkertaisen tie-
tojen keruun vähentämiseksi, tietojärjestelmien ja tietovarantojen yh-
teentoimivuuden toteuttamiseksi sekä tietoturvallisuuden ylläpitämi-
seksi.
Tiedonhallintamallin on sisällettävä vähintään tiedot:
1) toimintaprosesseja kuvaavista nimikkeistä, prosessista vastaavasta
viranomaisesta, prosessin tarkoituksesta sekä prosessin sidoksista mui-
hin prosesseihin;
2) tietovarantojen nimikkeistä, kuvaukset tietovarantojen sidoksis-
ta toimintaprosesseihin ja tietojärjestelmiin sekä luonnollisten henki-
löiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen va-
paasta liikkuvuudesta ja direktiivin 95/46/EY  kumoamisesta (yleinen
tietosuoja-asetus) annetun Euroopan parlamentin ja neuvoston asetuk-
sen (EU) 2016/679 , jäljempänä tietosuoja-asetus , 30 artiklan 1 kohdas-
sa tarkoitetun selosteen sisällöstä tai, jos selostetta ei tarvitse tietosuo-
ja-asetuksen mukaan laatia, tietovarannosta vastaavasta viranomaisesta,
tietovarannon käyttötarkoituksesta, keskeisistä tietoryhmistä tietoai-
neistoissa, tietojen luovutuskohteista ja tietojen säilytysajoista;
3) tietoaineiston arkistoon siirtämisestä, arkistointitavasta ja arkisto-
paikasta tai tuhoamisesta;
4) tietojärjestelmien nimikkeistä, tietojärjestelmästä vastaavasta vi-
ranomaisesta, tietojärjestelmän käyttötarkoituksesta, tietojärjestelmän
liittymistä muihin tietojärjestelmiin ja liittymissä käytettävistä tiedon-
siirtotavoista;
5) tietoturvallisuustoimenpiteistä.
Suunniteltaessa tiedonhallintamallin sisältöön vaikuttavia olennai-
sia hallinnollisia uudistuksia ja tietojärjestelmien käyttöönottoa tiedon-
hallintayksikössä on arvioitava näihin kohdistuvat muutokset ja niiden
vaikutukset suhteessa tiedonhallinnan vastuisiin, 4 luvussa säädettyihin
tietoturvallisuusvaatimuksiin ja -toimenpiteisiin, 5 luvussa säädettyihin
tietoaineistojen muodostamista ja luovutustapaa koskeviin vaatimuk-
siin, 6 luvussa säädettyihin asianhallinnan ja palvelujen tiedonhallin-
nan vaatimuksiin sekä muualla laissa säädettyihin asiakirjojen julkisuu-
teen, salassapitoon, suojaan ja tiedonsaantioikeuksiin. Tiedonhallin-
tayksikön on tiedonhallinnan muutosten arvioinnissaan otettava huo-
mioon tietovarantojen yhteentoimivuus sekä niiden hyödynnettävyys
tietoaineistoja muodostettaessa ja käytettäessä. Arvioinnin perusteella
tiedonhallintayksikön on ryhdyttävä tarpeellisiin toimenpiteisiin tie-
donhallintamallin muuttamiseksi ja muutosten toimeenpanemiseksi.
Tietosuojaa koskevasta vaikutustenarvioinnista ja siihen liittyvästä en-
nakkokuulemisesta säädetään erikseen.
Ks. EPNAs (EU) 2016/679  (yleinen tietosuoja-asetus) 35 art.
3 luku Julkisen hallinnon tiedonhallinnan yleinen oh-
jaus
6 § Tietovarantojen yhteentoimivuuden yleinen ohjaus
Valtiovarainministeriön tehtävänä on julkisen hallinnon yhteisten
tietovarantojen yhteentoimivuuden yleinen ohjaus. Tässä tarkoitukses-
sa valtiovarainministeriö:
1) huolehtii julkisen hallinnon tiedonhallintakartan ylläpidosta;
2) ylläpitää julkisen hallinnon tiedonhallinnan kehittämisen yleisiä
linjauksia yhteisten tietovarantojen ja tietojärjestelmien yhteentoimi-
vuuden edistämiseksi.
Kunkin ministeriön on omalla toimialallaan huolehdittava julkisen
hallinnon tiedonhallintakartan sisällön ajantasaisuudesta sekä ylläpi-
dettävä yleisiä linjauksia yhteisten tietovarantojen ja tietojärjestelmien
yhteentoimivuuden edistämiseksi. Valtioneuvoston asetuksella voidaan
säätää tarkemmin julkisen hallinnon tiedonhallintakartan sisällöstä ja
ylläpidon toteutuksesta.
7 § Julkisen hallinnon tiedonhallinnan sekä tieto- ja viestintätek-
nisten palvelujen tuottamisen yhteistyö 
Valtiovarainministeriön on huolehdittava, että julkisen hallinnon
tiedonhallintaa sekä tieto- ja viestintäteknisten palvelujen tuottamis-ta koskevan yhteistyön koordinointia varten on järjestetty valtion vi-
rastoissa ja laitoksissa toimivien viranomaisten sekä hyvinvointialuei-
den, hyvinvointiyhtymien ja kuntien viranomaisten yhteistyötavat ja -
menettelyt. Yhteistyön tarkoituksena on edistää tämän lain tarkoitus-
ten toteuttamista sekä julkisen hallinnon toimintatapojen ja palvelu-
jen tuotantotapojen kehittämistä tietovarantoja sekä tieto- ja viestintä-
tekniikkaa hyödyntämällä. Yhteistyössä seurataan julkisen hallinnon
tiedonhallinnan ja tieto- ja viestintäteknisten palvelujen kehittymistä,
muutoksia ja vaikutuksia. (29.6.2021/653)
Valtioneuvosto voi asettaa 1 momentissa tarkoitettua yhteistyötä
varten tarvittavia neuvottelukuntia tai muita yhteistyöelimiä.
8 § Tiedonhallinnan muutosten arviointi valtion virastoissa ja lai-
toksissa
Valtion virastojen ja laitosten on arvioitava tiedonhallintaan vaikut-
tavien muutosten taloudelliset vaikutukset tehdessään 5 §:n 3 momen-
tin mukaista arviointia.
Toimialasta vastaavan ministeriön on laadittava 5 §:n 3 momentin
mukainen arviointi, kun valmisteltavat säännökset vaikuttavat tietoai-
neistoihin ja tietojärjestelmiin. Lisäksi ministeriön on arvioitava suun-
niteltujen säännösten vaikutukset asiakirjojen julkisuuteen ja salassapi-
toon.
9 § Lausunto muutosten arvioinnista valtionhallinnossa
Valtion virastojen ja laitosten on toimitettava valtiovarainminis-
teriölle 5 §:n 3 momentin ja 8 §:n 1 momentin perusteella tehty ar-
viointi tietovarantojen ja tietojärjestelmien hyödyntämistä, yhteentoi-
mivuutta ja tietoturvallisuutta koskevaa lausuntoa varten, kun arvioi-
dulla muutoksella on merkittäviä taloudellisia tai toiminnallisia vaiku-
tuksia tiedonhallintaan tai toimintaan taikka muutos koskee julkisen
hallinnon yhteisten tietovarantojen rajapintojen tietorakenteiden olen-
naisia muutoksia. Valtiovarainministeriöllä on oikeus saada salassapi-
tosäännösten estämättä välttämättömät tiedot valtion viranomaiselta
lausunnon antamista varten.
Lausuntoa edellyttävistä tiedonhallinnan muutoksista, lausunto-
pyynnön sisällöstä ja lausuntoasiassa noudatettavasta menettelystä sää-
detään tarkemmin valtioneuvoston asetuksella.
Ks. VNa lausuntomenettelystä tiedonhallinnan muutosta koskevissa asioissa
1301/2019 .
10 § Julkisen hallinnon tiedonhallintalautakunta
Valtiovarainministeriön yhteydessä toimii julkisen hallinnon tiedon-
hallintalautakunta ( tiedonhallintalautakunta ), jonka tehtävänä on:
1) arvioida valtion virastojen ja laitosten, hyvinvointialueiden ja hy-
vinvointiyhtymien sekä kuntien ja kuntayhtymien 4 §:n 2 momentin,
5, 19, 22–24, 24 a, 24 b ja 28 §:n sekä 6 luvun säännösten toteutta-
mista ja noudattamista; (15.7.2021/710)
2) edistää tässä laissa säädettyjen tiedonhallinnan ja tietoturvallisuu-
den menettelytapojen ja tämän lain vaatimusten toteuttamista.
Valtioneuvosto nimittää tiedonhallintalautakunnan neljäksi vuodek-
si kerrallaan. Tiedonhallintalautakunnassa on puheenjohtaja, varapu-
heenjohtaja sekä jäseniä, joilla on asiantuntemus julkisen hallinnon
tietoturvallisuudesta, tietojärjestelmien ja tietovarantojen yhteentoimi-
vuudesta, tilastoinnista tai tietoaineistojen tiedonhallinnasta. Tiedon-
hallintalautakunnan tarkemmasta kokoonpanosta, toiminnan järjestä-
misestä, päätöksentekomenettelystä ja jäsenten pätevyysvaatimuksista
säädetään valtioneuvoston asetuksella.
Valtiovarainministeriö määrää virkamiehistään lautakunnan sivutoi-
miset sihteerit tehtäviinsä lautakunnan toimikaudeksi. Sihteerien teh-
tävistä säädetään tarkemmin valtioneuvoston asetuksella.
Lautakunnan jäseneen ja varajäseneen sovelletaan rikosoikeudellis-
ta virkavastuuta koskevia säännöksiä hänen hoitaessaan lautakunnalle
säädettyjä tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkor-
vauslaissa (412/1974) . Lautakunnan jäsenille ja varajäsenille maksetaan
tehtävien hoitamisesta palkkio. Valtiovarainministeriö vahvistaa palk-
kioiden määrät.
Tiedonhallintalautakunta voi asettaa väliaikaisia jaostoja tiedonhal-
linnan menettelyjen kehittämiseksi. Jaostoihin voi kuulua tiedonhal-
lintayksikköjen asiantuntijoita. Lautakunnan sihteerit toimivat jaos-
tojen puheenjohtajina. Väestörekisterikeskuksen tehtävänä on tuottaa
3tiedonhallintalautakunnalle asiantuntijapalveluja tiedonhallinnan ja
tietoturvallisuuden menettelyjen kehittämiseksi.
Ks. VNa julkisen hallinnon tiedonhallintalautakunnasta 1338/2019 .
11 § Tiedonhallintalautakunnan arviointitehtävä
Tiedonhallintalautakunnan arviointitehtävän toteuttaminen perus-
tuu tiedonhallintalautakunnan hyväksymään arviointisuunnitelmaan.
Tiedonhallintalautakunnalla on oikeus saada arviointitehtävän to-
teuttamiseksi arvioinnin kohteena olevilta viranomaisilta salassapito-
säännösten estämättä maksutta arviointitehtävän hoitamiseksi vält-
tämättömät selvitykset sekä tarpeelliset tiedot tiedonhallintamallista,
tiedonhallinnan muutosten arvioinnista, 24 a ja 24 b §:ssä tarkoitet-
tujen tietojen saatavuuden toteuttamisesta, 28 §:ssä tarkoitetusta ku-
vauksesta, käytettävistä asianhallinnan ja palvelujen tiedonhallinnan
menettelyistä, asiakirjojen sähköiseen muotoon muuttamista koske-
vasta teknologiasta, katseluyhteyksien toteutuksesta ja teknisten raja-
pintojen kuvauksista, teknisten rajapintojen käytöstä ja hallinnoinnis-
ta sekä rajapintojen käytön menettelyistä lukuun ottamatta turvalli-
suusluokiteltavia asiakirjoja. Viranomaisen on toimitettava pyydetyt
tiedot asetettuun määräaikaan mennessä tiedonhallintalautakunnalle.
(15.7.2021/710)
Jos tiedonhallintalautakunta havaitsee 10 §:n 1 momentin 1 koh-
dassa tarkoitettujen arviointikohteena olevien säännösten noudattami-
sessa puutteita, voi lautakunta kiinnittää viranomaisen huomiota tie-
donhallintaan liittyvien tämän lain mukaisten menettelyjen toteutta-
miseen ja vaatimusten täyttämiseen.
Tiedonhallintalautakunnan on laadittava kertomus arvioinnin tu-
loksista joka toinen vuosi ja toimitettava se valtiovarainministeriölle.
4 luku Tietoturvallisuus
12 § Luotettavuutta edellyttävien tehtävien tunnistaminen ja luo-
tettavuudesta varmistuminen
Tiedonhallintayksikön on tunnistettava ne tehtävät, joiden suorit-
taminen edellyttää sen palveluksessa olevilta tai sen lukuun toimivilta
henkilöiltä erityistä luotettavuutta. Henkilöturvallisuusselvityksen laa-
timisen edellytyksistä säädetään turvallisuusselvityslaissa (726/2014) .
Työnantajan oikeudesta selvittää työntekijän luotettavuuden arvioimi-
seksi häntä koskevat luottotiedot ja käsitellä huumausainetestejä koske-
via tietoja säädetään yksityisyyden suojasta työelämässä annetussa laissa
(759/2004) .
13 § Tietoaineistojen ja tietojärjestelmien tietoturvallisuus
Tiedonhallintayksikön on seurattava toimintaympäristönsä tietotur-
vallisuuden tilaa ja varmistettava tietoaineistojen ja tietojärjestelmien
tietoturvallisuus koko niiden elinkaaren ajan. Tiedonhallintayksikön
on selvitettävä olennaiset tietojenkäsittelyyn kohdistuvat riskit ja mi-
toitettava tietoturvallisuustoimenpiteet riskiarvioinnin mukaisesti.
Viranomaisen tehtävien hoitamisen kannalta olennaisten tietojärjes-
telmien vikasietoisuus ja toiminnallinen käytettävyys on varmistettava
riittävällä testauksella säännöllisesti.
Viranomaisen on suunniteltava tietojärjestelmät, tietovarantojen tie-
torakenteet ja niihin liittyvä tietojenkäsittely siten, että asiakirjojen jul-
kisuus voidaan vaivatta toteuttaa.
Viranomaisen on varmistettava hankinnoissaan, että hankittavaan
tietojärjestelmään on toteutettu asianmukaiset tietoturvallisuustoimen-
piteet.
Viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tieto-
turvallisuuden arvioinnista säädetään erikseen.
Ks. L viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuu-
den arvioinnista 1406/2011 .
14 § Tietojen siirtäminen tietoverkossa
Viranomaisen on toteutettava tietojensiirto yleisessä tietoverkossa
salattua tai muuten suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämäl-
lä, jos siirrettävät tiedot ovat salassa pidettäviä. Lisäksi tietojensiirto on
järjestettävä siten, että vastaanottaja varmistetaan tai tunnistetaan riit-
tävän tietoturvallisella tavalla ennen kuin vastaanottaja pääsee käsitte-
lemään siirrettyjä salassa pidettäviä tietoja.
Käyttäjän tunnistamisesta yleisölle tarjottavissa digitaalisissa palve-
luissa säädetään digitaalisten palvelujen tarjoamisesta annetussa laissa
(306/2019) .15 § Tietoaineistojen turvallisuuden varmistaminen
Viranomaisen on varmistettava tarpeellisin tietoturvallisuustoimen-
pitein, että sen:
1) tietoaineistojen muuttumattomuus on riittävästi varmistettu;
2) tietoaineistot on suojattu teknisiltä ja fyysisiltä vahingoilta;
3) tietoaineistojen alkuperäisyys, ajantasaisuus ja virheettömyys on
varmistettu;
4) tietoaineistojen saatavuus ja käyttökelpoisuus on varmistettu;
5) tietoaineistojen saatavuutta rajoitetaan vain, jos tiedonsaantia tai
käsittelyoikeuksia on laissa erikseen rajoitettu;
6) tietoaineistot voidaan tarvittavilta osin arkistoida.
Tietoaineistoja on käsiteltävä ja säilytettävä toimitiloissa, jotka ovat
tietoaineiston luottamuksellisuuteen, eheyteen ja saatavuuteen liitty-
vien vaatimusten toteuttamiseksi riittävän turvallisia.
16 § Tietojärjestelmien käyttöoikeuksien hallinta
Tietojärjestelmästä vastuussa olevan viranomaisen on määriteltävä
tietojärjestelmän käyttöoikeudet. Käyttöoikeudet on määriteltävä käyt-
täjän tehtäviin liittyvien käyttötarpeiden mukaan, ja ne on pidettävä
ajantasaisina.
17 § Lokitietojen kerääminen
Viranomaisen on huolehdittava, että sen tietojärjestelmien käytös-
tä ja niistä tehtävistä tietojen luovutuksista kerätään tarpeelliset lokitie-
dot, jos tietojärjestelmän käyttö edellyttää tunnistautumista tai muuta
kirjautumista. Lokitietojen käyttötarkoituksena on tietojärjestelmissä
olevien tietojen käytön ja luovutuksen seuranta sekä tietojärjestelmän
teknisten virheiden selvittäminen.
18 § Turvallisuusluokiteltavat asiakirjat valtionhallinnossa
Valtion virastoissa, laitoksissa ja valtion liikelaitoksissa toimivien vi-
ranomaisten, tuomioistuimien ja valitusasioita käsittelemään perustet-
tujen lautakuntien on turvallisuusluokiteltava asiakirjat ja tehtävä nii-
hin turvallisuusluokkaa koskeva merkintä sen osoittamiseksi, minkälai-
sia tietoturvallisuustoimenpiteitä asiakirjaa käsiteltäessä noudatetaan.
T urvallisuusluokkaa koskeva merkintä on tehtävä, jos asiakirja tai sii-
hen sisältyvä tieto on salassa pidettävä viranomaisten toiminnan julki-
suudesta annetun lain 24 §:n 1 momentin 2, 5 tai 7–11 kohdan perus-
teella ja asiakirjaan sisältyvän tiedon oikeudeton paljastuminen tai oi-
keudeton käyttö voi aiheuttaa vahinkoa maanpuolustukselle, poikkeus-
oloihin varautumiselle, kansainvälisille suhteille, rikosten torjunnalle,
yleiselle turvallisuudelle tai valtion- ja kansantalouden toimivuudelle
taikka muulla niihin rinnastettavalla tavalla Suomen turvallisuudelle.
(17.12.2020/1022)
T urvallisuusluokkaa koskevaa merkintää ei saa käyttää muissa kuin
1 momentissa tarkoitetuissa tapauksissa, ellei merkinnän tekeminen
ole tarpeen kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi
tai asiakirja muutoin liity kansainväliseen yhteistyöhön.
Kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa
(588/2004)  tarkoitettuihin asiakirjoihin on tehtävä turvallisuusluoki-
tuksesta merkintä siten kuin mainitussa laissa säädetään.
T urvallisuusluokittelusta, turvallisuusluokiteltaviin asiakirjoihin teh-
tävistä merkinnöistä ja turvallisuusluokiteltujen asiakirjojen käsittelyyn
liittyvistä tietoturvallisuustoimenpiteistä säädetään tarkemmin valtio-
neuvoston asetuksella. Asiakirjoihin tehtävistä salassapitoa koskevista
merkinnöistä säädetään viranomaisten toiminnan julkisuudesta anne-
tun lain 25 §:ssä.
Ks. VNa asiakirjojen turvallisuusluokittelusta valtionhallinnossa 1101/2019 .
5 luku Tietoaineistojen muodostaminen ja sähköinen
luovutustapa
19 § Tietoaineistojen sähköiseen muotoon muuttaminen ja saata-
vuus
Jos asiakirja saapuu viranomaiselle muussa kuin sähköisessä muo-
dossa, on se muutettava sähköiseen muotoon, jos asiakirja on säädetty
pysyvästi säilytettäväksi taikka lailla tai lain nojalla arkistoitavaksi. Vi-
ranomainen vastaa siitä, että sähköiseen muotoon muutetun asiakirjan
luotettavuus ja eheys varmistetaan. Viranomaisen laatimat asiakirjat
säilytetään sähköisesti. Sähköiseen muotoon muuttamisesta ja säilyttä-
misestä voidaan poiketa, jos se on välttämätöntä turvallisuusluokitelta-
vien asiakirjojen käsittelyä koskevien vaatimusten, muiden tietoturval-
4lisuusvaatimusten tai muun asiakirjan luonteeseen liittyvän välttämät-
tömän syyn vuoksi.
Ottaen huomioon, mitä tiedonsaannista ja henkilötietojen suojas-
ta erikseen säädetään, viranomaisen on huolehdittava, että tietoaineis-
to on saatavilla ja hyödynnettävissä yleisesti käytettävässä koneluetta-
vassa muodossa kuvailutietoineen, jos tietoaineisto voidaan saattaa al-
kuperäisestä muodosta suoraan koneluettavaan muotoon. Tämän lain
24 b §:n 1 momentissa tarkoitettujen arvokkaiden tietoaineistojen on
oltava saatavilla koneluettavassa muodossa. (15.7.2021/710)
Viranomainen voi käyttää asiakirjojen sähköiseen muotoon muutta-
misessa yksityistä toimijaa, jolla on riittävät tekniset edellytykset sekä
riittävä osaaminen tällaisen tehtävän hoitamiseksi. Tätä tehtävää suo-
rittavaan yksityiseen toimijaan sovelletaan rikosoikeudellista virkavas-
tuuta. Vahingonkorvausvelvollisuudesta säädetään vahingonkorvaus-
laissa.
20 § Tietoaineistojen kerääminen viranomaisen tehtäviä varten
Viranomaisen on pyrittävä hyödyntämään toisen viranomaisen tie-
toaineistoja, jos viranomaisella on oikeus saada tarvittavat tiedot toisel-
ta viranomaiselta teknisen rajapinnan tai katseluyhteyden avulla. Tie-
tojen hyödyntämisessä on huolehdittava asianosaisen tai muun hallin-
non asiakkaan oikeusturvasta.
Jos viranomaisella on oikeus saada toisen viranomaisen tietovaran-
nosta tehtäviensä hoitamista varten tietoja luotettavasti ja ajantasaisesti
teknisen rajapinnan tai katseluyhteyden avulla, se ei saa vaatia asiakas-
taan esittämään tai toimittamaan tällaista todistusta tai otetta, ellei se
ole välttämätöntä asian selvittämiseksi.
21 § Tietoaineistojen säilytystarpeen määrittäminen
Jos tietoaineistojen tai asiakirjojen säilytysajasta ei ole säädetty laissa,
säilytysaikoja määritettäessä on otettava huomioon:
1) tietoaineiston alkuperäisen käyttötarkoituksen mukainen tarpeel-
lisuus viranomaisen toiminnassa;
2) luonnollisen henkilön tai oikeushenkilön etujen, oikeuksien, vel-
vollisuuksien ja oikeusturvan toteuttaminen ja todentaminen;
3) sopimuksen tai muun yksityisoikeudellisen oikeustoimen oikeus-
vaikutus;
4) vahingonkorvausoikeudelliset vanhentumisajat; ja
5) rikosoikeudelliset vanhentumisajat.
Säilytysajan päättymisen jälkeen tietoaineistot on arkistoitava tai tu-
hottava viipymättä tietoturvallisella tavalla.
Säilytysaikojen määrittämisen vastuista, arkistoinnista ja arkistotoi-
men tehtävistä säädetään erikseen.
Ks. EPNAs (EU) 2016/679  (yleinen tietosuoja-asetus) 89 art., TietosuojaL
1050/2018 , L sähköisestä asioinnista viranomaistoiminnassa 13/2003  sekä Arkis-
toL 831/1994 .
22 § Tietojen luovuttaminen teknisen rajapinnan avulla viran-
omaisten välillä
Viranomaisten on toteutettava säännöllisesti toistuva ja vakiosisäl-
töinen sähköinen tietojen luovuttaminen tietojärjestelmien välillä tek-
nisten rajapintojen avulla, jos vastaanottavalla viranomaisella on tietoi-
hin laissa säädetty tiedonsaantioikeus. Säännöllisesti toistuva ja vakio-
sisältöinen tietojen sähköinen luovuttaminen voidaan toteuttaa muul-
la tavalla, jos teknisen rajapinnan toteuttaminen tai käyttö ei ole tek-
nisesti tai taloudellisesti tarkoituksenmukaista. Viranomainen voi ava-
ta teknisen rajapinnan tiedonsaantiin oikeutetulle viranomaiselle myös
muissa tilanteissa. Asiakirjojen ja tietojen antamisesta muulla tavalla
säädetään erikseen.
Sen lisäksi, mitä 4 luvussa säädetään, tietojen luovuttaminen teknis-
ten rajapintojen avulla on toteutettava tietojärjestelmien välillä siten,
että teknisesti varmistetaan luovutettavien tietojen tapauskohtainen
tarpeellisuus tai välttämättömyys tietoja saavan viranomaisen tehtävien
hoitamiseksi, jos luovutettavat tiedot ovat henkilötietoja tai salassa pi-
dettäviä tietoja.
Teknisen rajapinnan avulla luovutettavien tietojen tietorakenteen
kuvauksen määrittelee ja sitä ylläpitää tiedot luovuttava viranomainen.
Suunniteltaessa usean viranomaisen välistä tietojen luovuttamista tek-
nisten rajapintojen avulla on tietorakenteen kuvaus määriteltävä ja yl-
läpidettävä toimialasta vastaavan ministeriön johdolla.23 § Katseluyhteyden avaaminen viranomaiselle
Viranomainen voi avata katseluyhteyden toiselle viranomaiselle tie-
tovarannon sellaisiin tietoihin, joihin katseluoikeuden saavalla viran-
omaisella on tiedonsaantioikeus. Sen lisäksi, mitä 4 luvussa säädetään,
edellytyksenä katseluyhteyden avaamiselle on, että:
1) katselumahdollisuus on rajattu vain yksittäisiin hakuihin, jotka
voivat kohdistua tiedonsaantioikeuden mukaisesti tarpeellisiin tai vält-
tämättömiin tietoihin; sekä
2) tietojen hakemisen yhteydessä selvitetään tietojen käyttötarkoi-
tus.
Viranomaisen on toteutettava katseluyhteys siten, että katseluyhtey-
den mahdollistava tietojärjestelmä tunnistaa automaattisesti poikkea-
van tietojen hakemisen.
24 § Tietoaineistojen luovuttaminen teknisen rajapinnan avulla
muille kuin viranomaisille
Viranomainen voi luovuttaa teknisten rajapintojen avulla tietoja
muulle kuin toiselle viranomaiselle, jos tiedot saavalla toimijalla on
erikseen laissa säädetty tiedonsaantioikeus ja oikeus käsitellä näitä tie-
toja. Tekninen rajapinta voidaan avata 22 §:ssä säädettyjen edellytysten
täyttyessä siten kuin mainitussa pykälässä säädetään. Tiedot luovutta-
van viranomaisen on tarvittaessa varmistettava, että tietoja saava toimi-
ja noudattaa tietojen käsittelyssä tässä laissa säädettyjä velvollisuuksia.
Tiedon antamisesta muussa sähköisessä muodossa ja yleisölle katse-
luyhteytenä toteutettuna tietopalveluna säädetään erikseen.
Ks. esim. L viranomaisten toiminnan julkisuudesta 621/1999 4 luku .
24 a § (15.7.2021/710)  Tiheästi päivittyvän tiedon saatavuus
Viranomaisten toiminnan julkisuudesta annetun lain 16 §:n 2 mo-
mentissa tarkoitetun sähköisessä muodossa olevista tiheästi tai reaaliai-
kaisesti päivittyvistä julkisista asiakirjoista annettavan tiedon on pyyn-
nöstä oltava saatavilla teknisten rajapintojen avulla heti tiedon kerää-
misen jälkeen ja tarvittaessa useana kerralla ladattavana tiedostona.
Jos 1 momentin noudattaminen aiheuttaisi viranomaiselle kohtuu-
tonta vaivaa taloudellisista tai teknisistä syistä, tiedon on oltava saata-
villa sellaisella aikavälillä tai sellaisin tilapäisin teknisin rajoituksin, jot-
ka eivät tarpeettomasti haittaa sen hyödyntämistä.
24 b § (15.7.2021/710)  Arvokkaiden tietoaineistojen saatavuus
Arvokkailla tietoaineistoilla  tarkoitetaan sellaisia tietoaineistoja, joi-
den saatavuutta koskevista menettelyistä säädetään avoimesta datasta
ja julkisen sektorin hallussa olevien tietojen uudelleenkäytöstä annetun
Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/1024  14
artiklan 1 kohdassa tarkoitetuilla täytäntöönpanosäädöksillä niiden ta-
loudellisen tai yhteiskunnallisen merkityksen vuoksi.
Arvokkaiden  tietoaineistojen,  joihin  tiedon  saajalla  on  erikseen
  laissa  säädetty  tiedonsaantioikeus ja oikeus käsitellä näitä tietoja, on
pyynnöstä oltava saatavilla teknisten rajapintojen avulla. Tiedon on
tarvittaessa oltava saatavilla myös useana kerralla ladattavana tiedosto-
na.
Arvokkaiden tietoaineistojen luettelosta sekä näiden tietoaineisto-
jen saatavuudesta säädetään tarkemmin valtioneuvoston asetuksella sen
mukaan kuin niistä Euroopan unionin lainsäädännössä säädetään tai
jollei toisin säädetä muualla lainsäädännössä.
6 luku Asianhallinta ja palvelujen tiedonhallinta
25 § Rekisteröinti asiarekisteriin
Tiedonhallintayksikön on ylläpidettävä viranomaisen käsittelyssä
olevista ja olleista asioista asiarekisteriä, johon rekisteröidään asiaa,
asiankäsittelyä ja asiakirjoja koskevat tiedot. Viranomaisen on rekiste-
röitävä viipymättä sille saapunut tai sen laatima asiakirja asiarekisteriin.
Sen lisäksi, mitä 26 §:ssä säädetään, asiakirjan rekisteröinnistä on käy-
tävä ilmi asiakirjan saapumisajankohta.
Tiedonhallintayksikön on huolehdittava siitä, että asiarekisterin tai
sen osan julkisista merkinnöistä on mahdollista tuottaa tiedot tiedon-
saantia koskevien pyyntöjen yksilöimiseksi.
26 § Asiarekisteriin rekisteröitävät tiedot
Tiedonhallintayksikön on muodostettava viranomaisen käsiteltä-
väksi otetun tai annetun asian yksilöivä asiatunnus, jonka avulla asiaan
liittyvät tiedot yksilöidään.
5Viranomaisen on rekisteröitävä asialle ainakin seuraavat yksilöinti-
tiedot:
1) tiedonhallintayksikön yritys- ja yhteisötunnus;
2) viranomaisen yksilöivä tieto;
3) toimintaprosessin yksilöivä tieto;
4) asian vireilletuloajankohta.
Viranomaiselle saapuneesta asiakirjasta rekisteröidään ainakin:
1) asiakirjan yksilöivä tieto;
2) asiakirjan saapumistapa;
3) asiakirjan lähettäjä tai asiamies.
Viranomaisen laatimista asiakirjoista rekisteröidään ainakin:
1) asiakirjan yksilöivä tieto;
2) asiakirjan laatija;
3) laatimisajankohta.
Asiarekisteriin rekisteröidään lisäksi asiasta ainakin:
1) asian vireillepanija ja tarvittaessa muut asianosaiset;
2) asian käsittelyn tila;
3) viranomaisen toimenpiteet ja niissä käsitellyt asiakirjat käsittely-
vaiheittain.
27 § Tietoaineistojen hallinta palveluja tuotettaessa
Tiedonhallintayksikön on järjestettävä muun kuin asiankäsittelyn
yhteydessä muodostuvan tietoaineiston hallinta siten, että tietoaineis-
tosta muodostettavat asiakirjat ovat haettavissa jollakin tietokokonai-
suudet yksilöivällä tunnuksella, jotta tiedot voidaan antaa siihen oikeu-
tetulle vaivattomasti. Viranomaisen on rekisteröitävä palveluja tuotet-
taessa muodostuvat asiakirjat ja muut tiedot viipymättä siten, että nii-
den muodostuminen palvelua tuotettaessa voidaan jälkikäteen toden-
taa.
28 § Kuvaus asiakirjajulkisuuden toteuttamiseksi
Tiedonhallintayksikön on julkisuusperiaatteen toteuttamista varten
ylläpidettävä kuvausta sen hallinnoimista tietovarannoista ja asiarekis-
teristä. Kuvauksen on sisällettävä tiedot:
1) tietojärjestelmistä, jotka sisältävät asiarekisteriin kuuluvia tai pal-
velujen tiedonhallintaan kuuluvia tietoja;
2) asiarekisterin tai tietojärjestelmän sisältämien tietojen antamisesta
päättävästä viranomaisesta ja sen yhteystiedoista tiedonsaantia koske-
van pyynnön esittämiseksi;
3) tietojärjestelmien sisältämistä tietoaineistoista tietoryhmittäin;
4) hakutekijöistä, joilla asiakirjoja on mahdollista hakea teknisesti
viranomaisen asiarekisteristä tai tietojärjestelmistä;
5) tietoaineistojen saatavuudesta avoimesti teknisen rajapinnan avul-
la.
Tiedonhallintayksikön on julkaistava 1 momentissa tarkoitettu ku-
vaus yleisessä tietoverkossa siltä osin kuin kuvauksen tiedot eivät ole
salassa pidettäviä.7 luku Erinäiset säännökset
29 § Voimaantulo
Tämä laki tulee voimaan 1 päivänä tammikuuta 2020.
Tällä lailla kumotaan julkisen hallinnon tietohallinnon ohjauksesta
annettu laki (634/2011) .
30 § Siirtymäsäännökset
Tiedonhallintayksikköjen on laadittava 5 §:n mukainen tiedonhal-
lintamalli 12 kuukauden kuluessa tämän lain voimaantulosta.
Muiden kuin valtion virastoissa ja laitoksissa toimivien viranomais-
ten on toteutettava 12–16 §:ssä säädetyt vaatimukset 36 kuukauden
kuluessa tämän lain voimaantulosta.
Tämän lain 19 §:n 1 momenttia sovelletaan 24 kuukauden kulut-
tua tämän lain voimaantulosta viranomaiselle saapuviin ja viranomai-
sen laatimiin uusiin asiakirjoihin. Ennen lain voimaantuloa muodos-
tuneita tietoaineistoja säilytetään siten kuin ne ovat muodostuneet en-
nen siirtymäajan päättymistä. Edellä 19 §:n 2 momentissa tarkoitettu
tietoaineistojen saatavuus on toteutettava 24 kuukauden kuluessa tä-
män lain voimaantulosta. Tämän lain 20 §:ää sovelletaan 12 kuukau-
den kuluttua lain voimaantulosta.
Ministeriöiden on selvitettävä 12 kuukauden kuluessa tämän lain
voimaantulosta 22 §:n 3 momentissa tarkoitetut rajapintojen määritte-
lyn ja ylläpidon hallinnointia edellyttävät tietojärjestelmät.
Tämän lain 17 ja 22–24 §:n säännöksiä sovelletaan lain voimaantu-
lon jälkeen hankittaviin tietojärjestelmiin. Ennen tämän lain voimaan-
tuloa hankittuihin tietojärjestelmiin sovelletaan 22–24 §:ssä säädetty-
jä tietojen sähköistä luovutustapaa koskevia vaatimuksia päivitettäes-
sä tietojärjestelmien teknisiä rajapintoja tai katseluyhteyksiä, kuitenkin
viimeistään 48 kuukauden kuluttua lain voimaantulosta, ja 17 §:ssä
edellytettyjä lokitietojen keräämistä koskevia vaatimuksia 24 kuukau-
den kuluttua tämän lain voimaantulosta.
Asianhallinta ja palvelujen tiedonhallinta on järjestettävä 24 kuu-
kauden kuluessa tämän lain voimaantulosta 26 ja 27 §:ssä säädettyjen
vaatimusten mukaisesti. Tämän lain 28 §:ssä säädetyt kuvaukset on
ajantasaistettava 12 kuukauden kuluessa lain voimaantulosta.
HE 284/2018  , HaVM 38/2018  , EV 320/2018  , Euroopan parlamentin ja
neuvoston direktiivi 2013/37/EU ; EUVL L 175, 27.6.2013, s. 1
Muutossäädösten voimaantulo ja soveltaminen:
17.12.2020/1022:  Tämä laki tulee voimaan 1 päivänä tammikuuta
2021.
HE 31/2020  , PuVM 2/2020  , EV 194/2020
29.6.2021/653:  Tämä laki tulee voimaan 1 päivänä heinäkuuta 2021.
HE 241/2020  , StVM 16/2021  , EV 111/2021
15.7.2021/710:  Tämä laki tulee voimaan 17 päivänä heinäkuuta
2021.
HE 74/2021  , HaVM 10/2021  , EV 107/2021  , Euroopan parlamentin ja
neuvoston direktiivi 2019/1024/EU ; EUVL L 172, 26.6.2019, s.56