Konsernijaosto · 9.6.2025
Tietosuojan toteutuminen VAV-konsernissa
Asiakirjat näytetään suomeksi, kuten kaupunki ne julkaisee.
Päätös
Hyväksyttiin esitys.
Asiakirjan teksti
Perustelut
PT/RK-K/OL Sisäinen tarkastus on tehnyt tarkastuksen tietosuojan toteutumisesta VAV-konsernissa. Tarkastuksen tavoitteena oli varmistaa, että VAV-konsernissa noudatetaan tietosuojaan liittyvää lainsäädäntöä ja ohjeistusta, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, yleinen tietosuoja-asetus, kansallinen tietosuojalainsäädäntö sekä Vantaan kaupungin tietosuojapolitiikka. Tarkastuksessa arvioitiin myös yleisellä tasolla tietoturvakäytänteitä siltä osin, kuin ne voivat vaarantaa tietosuojan toteutumista. Selvityksestä annettu, 3.4.2025 päivätty tarkastusraportti on käsitelty VAV Yhtymä Oy:n hallituksessa 6.5., VAV Asunnot Oy:n hallituksessa 30.4., VAV Palvelukodit Oy:n hallituksessa 30.4. ja VAV Hoiva-asunnot Oy:n hallituksessa 30.4. Tarkastusraportissa on esitetty seuraavat olennaiset havainnot ja toimenpidesuositukset: - VAV ei ole tehnyt kattavasti tietosuojalainsäädännön mukaisia vaikutustenarviointeja tietojärjestelmiinsä, joissa käsitellään henkilötietoja. Yhtiön mukaan sillä on 19 tietojärjestelmää, joissa käsitellään henkilötietoja. Tarkastushavaintojen mukaan niistä ainoastaan kolmeen on tehty vaikutustenarviointi. - VAV on käyttänyt vaikutustenarviointien tekemiseen Excel-pohjaista arviointityökalua, joka ei sisäisen tarkastuksen näkemyksen mukaan kata kattavasti tietosuojalainsäädännön vaatimuksia. Työkalusta puuttuvat keskeiset osiot, kuten tietosuojaperiaatteiden ja rekisteröidyn oikeuksien arviointi. - VAV:lla on kymmenen tietosuojaselostetta, joista yhdeksän on julkaistu VAV:n verkkosivuilla. Sisäinen tarkastus ei havainnut selosteissa olennaisia puutteita. - VAV ei ole varmistanut, että se on huomioinut tietosuojatyössään kaupunginhallituksen 18.11.2024 hyväksymän uuden tietosuojapolitiikan vaatimukset. VAV:n mukaan yhtiö ei ole saanut ilmoitusta uudesta politiikasta konsernipalveluista. - Vantaan kaupunki valmistelee tarkastushetkellä uutta tietoturvapolitiikkaa. Ko. politiikkaluonnoksen mukaan se tulee myös huomioida tytäryhteisöjen toiminnassa. Uusi tietoturvapolitiikka tullee täten vaikuttamaan myös VAV:n toimintaan. - VAV:lla ei ole dokumentoitua prosessia henkilötietojen tietoturvaloukkauksille. VAV:n mukaan tietoturvaloukkaukset käsitellään tapauskohtaisesti tietosuojavastaavan ja johtoryhmän toimesta. - VAV:n tietosuojakoulutukset eivät ole linjassa kaupungin tietosuojapolitiikan kanssa, joiden mukaan työntekijöille tulee olla pakolliset tietosuojakoulutukset ja testit. Sisäinen tarkastus toteaa raportissaan, että tietosuojaa koskevan hallinnoinnin ja sisäisen valvonnan taso on tyydyttävä / hyvä, huomioiden, että merkittävä osa vaikutustenarvioinneista on tekemättä. Tarkastusraportissa on annettu 8 toimenpidesuositusta, joista 3 liittyy vaikutustenarviointien tekemiseen, 2 kaupungin tietosuojapolitiikan, tietoturvapolitiikan ja niitä koskevan ohjeistuksen seuraamiseen ja 3 tietosuojaa koskevaan ohjeistukseen ja menettelyihin. Konserniohjaus ja -valvonta on lähettänyt kaupungin tietosuojapolitiikan tiedoksi tytäryhtiöille 8.4.2025. VAV on antanut sisäiselle tarkastukselle tietosuojavastaavan ja IT-päällikön selvityksen toimenpiteistä, joihin sisäisen tarkastuksen perusteella ryhdytään. Selvityksessä on huomioitu kaikki sisäisen tarkastuksen antamat suositukset. Selvitys on päätöksen liitteenä.
Kaupunginjohtajan esitys
Päätetään a) merkitä tiedoksi sisäisen tarkastuksen tarkastusraportti koskien tietosuojan toteutumista VAV-konsernissa; ja b) kehottaa yhtiötä huomioimaan tarkastusraportissa esitetyt suositukset toiminnassaan.
Liitteet
Alkuperäinen asiakirja · Lähde: Vantaan kaupungin päätökset (Tweb)