Tietotilinpäätös 2025 – tiivistelmä
Helsingin kaupungin asunnot Oy
Saate
Tämä on Hekan vuoden 2025 tietotilinpäätöksen tiivistelmä.
Tietotilinpäätöksessä kuvaamme tietosuojatyötämme ja arvioimme henkilötietojen suojan toteutumista Hekassa vuonna 2025. Kerromme tässä tiivistelmässä keskeisistä onnistumisistamme ja kehityskohteistamme.
Haluamme viestiä henkilötietojen käsittelystä ja suojasta avoimesti ja läpinäkyvästi. Toivomme, että tämän tiivistelmän julkaiseminen lisää toimintamme läpinäkyvyyttä ja luottamustasi meihin henkilötietojesi rekisterinpitäjänä.
Löydät verkkosivuiltamme tietosuojapolitiikkamme tiivistelmän ja tietosuojaselosteemme. Ne kertovat, miten Heka käsittelee henkilötietoja.
Jos sinulla on kysymyksiä Hekan tietosuojakäytännöistä, voit olla yhteydessä Hekan tietosuojavastaavaan sähköpostitse osoitteeseen tietosuoja@hekaoy.fi.
Tietosuojaasioiden vastuunjako
Päivitimme sisäisiä roolejamme ja vastuutehtäviämme järjestelmissä, joita käytämme. Nimeämme jokaiselle järjestelmälle omistajan, sovellusvastaavan ja pääkäyttäjät, ja olemme määritelleet kullekin roolille vastuutehtävät. Lisäksi olemme määritelleet, mitkä ovat järjestelmiä käyttävien työntekijöiden ja heidän esihenkilöidensä vastuut järjestelmissä. Roolien ja vastuiden jalkautuksessa on meillä kuitenkin vielä tehtävää.
Laajensimme Hekan sisäisen tietosuojaryhmän tietosuoja- ja tietoturvaryhmäksi. Ryhmä ryhtyi käsittelemään vakioaiheena myös tekoälyn tietosuoja- ja tietoturva-asioita.
Laajensimme Hekan sisäisen tietosuojaryhmän tietosuoja ja tietoturvaryhmäksi.
Onnistumiset
+ Laajennettu tietosuoja ja tietoturvaryhmä
Laajensimme Hekan sisäisen tietosuojaryhmän tietosuoja- ja tietoturvaryhmäksi, mikä tukee kokonaisuuden hallintaa.
+ Päivitetyt roolit ja tehtävät tietojärjestelmissä
Päivitimme järjestelmien vastuuhenkilörooleja ja rooleihin kuuluvia vastuutehtäviä.
+ Tietosuojavastaavan resurssi
Päätimme kasvattaa tietosuojavastaavan tehtävien resurssointia.
Haasteet ja kehityskohteet
− Tietojärjestelmien vastuuhenkilöiden roolin vahvistaminen
Tietojärjestelmien vastuuhenkilöillä on tärkeä rooli järjestelmän tietosuoja- ja tietoturva-asioissa. Kehitämme roolituksen ja vastuutehtävien viemistä käytäntöön.
− Johdon ja esihenkilöiden tietoisuudesta ja sitoutumisesta huolehtiminen
Johdon ja esihenkilöiden sitoutuminen ja asennoituminen vaikuttavat olennaisesti tietosuojan toteutumiseen. Haluamme huolehtia siitä, että he näkevät tietosuojan ja tietoturvan tärkeänä asiana kaikessa toiminnassa, johon liittyy henkilötietojen käsittelyä.
− Ennakoiva ote
Kun vahvistamme tietosuojavaatimusten huomioimista prosessien ja järjestelmien suunnitteluvaiheessa, toteutamme tehokkaammin sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita.
Rekisteröidyn oikeuksien toteuttaminen
Rekisteröityjen informointi
Kerromme henkilötietojen käsittelystä tietosuojaselosteidemme avulla asiakkaillemme, työntekijöillemme ja muille henkilöille, joiden henkilötietoja käsittelemme. Tietosuojaselosteita on viisi henkilöryhmäkohtaisesti:
• Asiakkaiden tietosuojaseloste
• Työntekijöiden tietosuojaseloste
• Työnhakijoiden tietosuojaseloste
• Sidosryhmien tietosuojaseloste
• Hallituksen jäsenten tietosuojaseloste
Lisäksi verkkosivujemme evästeille on oma selosteensa.
Emme tehneet tietosuojaselosteisiin muutoksia vuonna 2025. Olemme tunnistaneet, että tietosuojaselosteissa on päivittämistä vaativia kohtia. Tavoitteenamme on, että päivitämme asiakkaiden ja työntekijöiden tietosuojaselosteet vuoden 2026 aikana. Viestimme päivityksistä asiakkaillemme ja työntekijöillemme.
Tarkastuspyynnöt ja muut tietosuojaoikeuksia koskevat pyynnöt
Vuonna 2024 tarkastuspyyntöjä oli enemmän kuin aiempina vuosina ja selvästi enemmän kuin edellisvuonna.
Saamme vuosittain noin 8–10 henkilötietojen tarkastuspyyntöä pääasiassa asiakkailtamme. Tulevaisuudessa pyyntöjen määrä todennäköisesti kasvaa vähitellen, kun asiakasmäärämme kasvaa ja henkilöiden tietoisuus tietosuojaoikeuksistaan saattaa lisääntyä.
Henkilötietojen tarkastuspyynnöt, kpl
Tarkastuspyyntöjen lopputulokset 2025
Peruutetut tarkastuspyynnöt 1
Tarkastuspyynnöistä kieltäytymiset 2
1 kuukaudessa toteutetut tarkastuspyynnöt 5
2–3 kuukaudessa toteutetut tarkastuspyynnöt 1
Myöhässä toteutetut tarkastuspyynnöt 0
Saamme muita tietosuojaoikeuksia koskevia pyyntöjä harvakseltaan. Vuonna 2025 saimme yhden henkilötietojen poistopyynnön ja yhden oikaisupyynnön. Tosin korjaamme vanhentuneita tai muuten virheellisiä henkilötietoja myös osana tavanomaista asiakaspalvelua. Emme saaneet muita tietosuojaoikeuksia koskevia pyyntöjä vuonna 2025.
Onnistumiset
+ Henkilötietojen tarkastuspyyntöjen käsittelyohjeet
Meillä on selkeät ohjeet henkilötietojen tarkastuspyyntöjen käsittelyyn.
+ Tarkastuspyyntöjen toteuttaminen määräajassa
Saamme käsiteltyä tarkastuspyynnöt määräajassa.
Haasteet ja kehityskohteet
− Tietosuojaselosteiden päivittäminen
Tietosuojaselosteissamme on päivittämistä vaativia kohtia. Päivitämme asiakkaiden ja työntekijöiden tietosuojaselosteita vuoden 2026 aikana.
− Henkilötietojen tarkastuspyyntöjen automatisointi
Henkilötietojen tarkastuspyyntöjen toteuttamisessa paljon manuaalista työtä.
Tietoturva
Kehitimme tietoturvaa useilla toimenpiteillä vuonna 2025:
→ Osallistuimme jälleen Digi- ja väestötietoviraston järjestämään TAISTO-harjoitukseen, jossa saimme turvallisen tilaisuuden harjoitella toimimista vakavien tietoturva- ja tietosuojaloukkaustilanteiden varalta.
→ Kehitimme identiteettien ja käyttöoikeuksien hallintaa ja suojaamista.
→ Uudistimme tietoturvan hallintamallia, selkeytimme rooleja ja yhdenmukaistimme päätöksentekoa, mikä vahvistaa tietoturvan johtamista.
→ Vahvistimme Hekan tietoturvapolitiikan.
→ Otimme käyttöön uusia teknistä tietoturvaa parantavia työkaluja ja päivityksiä.
Tietosuojariskien arviointi
Arvioimme henkilötietojen käsittelystä asiakkaille, työntekijöille ja muille rekisteröidyille aiheutuvia riskejä tietosuojariskien kynnysarvioiden ja tietosuojan vaikutustenarviointien avulla.
Tietosuojariskien kynnysarvio
Suppea arviointi, joka kertoo, liittyykö arvioinnin kohteeseen todennäköisesti korkeita tietosuojariskejä.
Tietosuojan vaikutustenarviointi
Laaja arviointi, joka tehdään, jos arvioinnin kohteeseen
liittyy todennäköisesti korkeita tietosuojariskejä.
Vaikutustenarvioinnin päivittäminen
Vaikutustenarviointia päivitetään, jos arvioinnin kohteeseen suunnitellaan muutoksia, jotka voivat vaikuttaa tietosuojariskeihin.
Tietosuojariskien kynnysarviot, kpl
Tietosuojaa koskevat vaikutusarvioinnit, kpl
Onnistumiset
+ Vakiintuneet riskiarvioinnit
Tietosuojariskien kynnysarviot ja tietosuojan vaikutustenarvioinnit ovat vakiintuneet osaksi tietosuojatyötämme. Toteutamme arviointeja tasaiseen tahtiin.
Haasteet ja kehityskohteet
− Tietosuojan riskiarviointien määrän kasvattaminen
Muistutamme vastuuhenkilöitä tietosuojariskien kynnysarvioiden tekemisestä, jotta kaikista uusista prosesseista ja järjestelmistä tehtäisiin kynnysarvio. Pyrimme kasvattamaan myös vaikutustenarviointien vuotuista määrää.
Teimme vuonna 2025:
2 kpl
tietosuojan vaikutustenarviointia
7 kpl
tietosuojariskien kynnysarviota
Henkilötietojen elinkaaren hallinta
Tunnistamme, että Hekan vastuulla on suuri määrä henkilötietoja. Vuokranantajana ja kiinteistönomistajana käsittelemme ennen kaikkea tietoa asiakkaistamme asuntojen vuokraamista ja kiinteistöjen hoitamista varten. Käsittelemme henkilötietoja myös työnantajana, hankintayksikkönä ja sopimuskumppanina. Käsittelemme henkilötietoja useimmiten vuokrasopimuksen tai työsopimuksen toteuttamiseksi ja lakisääteisistä velvoitteistamme huolehtimiseksi.
Otimme vuonna 2025 käyttöön työkalun tietosuoja- ja tietoturvavaatimusten hallintaan. Uuden työkalun avulla pystymme kehittämään henkilötietojen käsittelyn elinkaaren hallintaa, henkilötietojen käsittelyn dokumentointia ja tietosuojan sisäänrakennettua toteutumista toiminnassamme.
Sivun oikeassa laidassa on kuvattu henkilötietojen elinkaaren hallinnan keskeisimmät onnistumiset ja kehityskohteet.
Onnistumiset
+ Uusi työkalu tietosuojan ja tietoturvan hallintaan
Uusi työkalu auttaa meitä henkilötietojen elinkaaren hallinnan kehittämisessä sekä tietosuojadokumentaation tuottamisessa ja ylläpitämisessä.
+ Päävuokralaisen yhteystietojen päivittäminen
Vuokrasopimusten yhtenäistämisen yhteydessä päivitämme päävuokralaisten sähköpostiosoitteet ja puhelinnumerot.
Haasteet ja kehityskohteet
− Henkilötietojen säilytyksen rajoittaminen ja poistot
Meidän on kehitettävä tietojen poistamista järjestelmistä, jotta järjestelmät tukevat henkilötietojen säilytyksen rajoittamisen käytännön toteuttamista.
− Henkilötietojen luovutusten dokumentointi Henkilötietojen luovutusten dokumentoinnissa on kehitettävää.
Henkilötietojen käsittelijät, yhteisrekisterinpitäjät ja sopimukset
Monet kumppanimme käsittelevät henkilötietoja meidän puolestamme, jotta he voivat esimeriksi tuottaa palveluita Hekalle. Tällöin sovimme kumppanimme kanssa henkilötietojen käsittelystä ensisijaisesti Hekan vakiomuotoisten tietosuojaliitteiden avulla. Lisäksi ohjeistamme kumppaneitamme tarvittaessa Hekan yleisillä tietoturvaohjeilla. Tallennamme sopimuksen keskitetysti dokumentinhallintajärjestelmäämme.
Lainsäädäntö, koulutukset ja ohjeet
EU:n uuden tekoälysäädöksen soveltaminen alkaa vaiheittain vuosien 2025–2027 aikana, mutta pääasiassa asetusta sovelletaan elokuusta 2026 alkaen. Olemme tunnistaneet tekoälypolitiikassamme, että tekoälyn käyttämisessä on varmistettava tietosuoja- ja tietoturvavaatimusten noudattaminen. Tavoitteenamme on laatia vuoden 2026 aikana tekoälyn hallintajärjestelmä, jonka avulla huolehdimme tekoälyjärjestelmien vaatimustenmukaisesta käytöstä ja riskienhallinnasta.
Hekassa jokaisen uuden työntekijän perehdytykseen kuuluu oma Tietosuojakortti-verkkokurssimme. Vuonna 2025 uusista työntekijöistä noin 82 prosenttia suoritti Tietosuojakortin. Henkilökunnallamme on käytössään myös Hekan oma Tietosuojaopas.
Aloitimme viime vuonna uuden Tietoturvakorttiverkkokurssin tuottamisen ja Tietosuojakorttiverkkokurssin päivittämisen. Julkaisimme verkkokurssit henkilökunnalle helmikuussa 2026. Jokainen hekalainen suorittaa kurssit vuoden 2026 aikana. Jokainen työntekijä uusii Tietosuojakorttikurssin joka toinen vuosi.
Tietosuojavaltuutetun toimisto julkaisi joulukuussa uudistetun ohjeistuksen asumiseen ja taloyhtiöihin liittyvästä henkilötietojen käsittelystä. Hekan sisäiset ohjeet ovat linjassa viranomaisen ohjeiden kanssa.
Onnistumiset
+ Tietoturvakorttikurssin ja päivitetyn Tietosuojakorttikurssin tuottaminen alkoi
Aloitimme Tietoturvakortti-verkkokurssin tuottamisen ja Tietosuojakorttiverkkokurssin päivittämisen. Julkaisimme verkkokurssit henkilökunnalle helmikuussa 2026. Kurssit ovat tärkeäitä työkaluja ylläpitää ja kehittää koko henkilökunnan tietoturva- ja tietosuojaosaamista.
Haasteet ja kehityskohteet
− Tekoälyjärjestelmien vaatimustenmukaisuus ja riskienhallinta Olemme tunnistaneet, että tarvitsemme raamin, jonka avulla huolehdimme lain vaatimusten noudattamisesta ja riskienhallinnasta, kun otamme käyttöön tekoälyjärjestelmiä. Laadimme tekoälyn hallintajärjestelmän vuoden 2026 aikana.
Tietoturvaloukkausten riskitaso, kpl
Henkilötietojen tietoturvaloukkaukset
Henkilötietojen tietoturvaloukkausten määrä kasvoi Hekassa vuonna 2025, ja aiempien vuosien laskeva trendi katkesi. Suurimmassa osassa, noin 82 prosentissa, loukkauksista arvioimme, että loukkauksesta aiheutui enintään vähäisiä riskejä loukkauksen kohteena olevalle henkilölle. Noin 18 prosentissa loukkauksista arvioimme riskien tason enintään kohtalaiseksi. Korkean tai hyvin korkean riskin loukkauksia ei tapahtunut. Tyypillisin henkilötietojen tietoturvaloukkauksemme oli edelleen henkilötietoja sisältävän viestin lähettäminen väärälle vastaanottajalle (noin 27 prosenttia kaikista loukkauksista).
Tietoturvaloukkaukset: Mitä tapahtui?
* Esimerkiksi tietojen luovuttaminen väärälle henkilölle tai ilman valtakirjaa.
Henkilötietojen tietoturvaloukkausten kasvu voi johtua loukkausten aidosta kasvusta tai siitä, että työntekijämme ja kumppanimme havaitsivat ja ilmoittivat loukkauksista aiempaa aktiivisemmin.
Ilmoitimme tietosuojavaltuutetun toimistolle yhdestä tietoturvaloukkauksesta.
Jatkoimme vuonna 2024 tapahtuneen Hekan sisäisen tietoturvaloukkauksen selvittämistä tietosuojavaltuutetun toimiston kanssa ja tietosuojavaltuutetun toimiston ohjeesta ilmoitimme kyseisestä loukkauksesta henkilökohtaisesti noin 230 nykyiselle tai entiselle työntekijälle, joita tietoturvaloukkaus erityisesti koski.
Henkilötietojen tietoturvaloukkaukset, kpl
Onnistumiset
+ Tietoturvan suunnitelmallinen kehittäminen
Hekan IT-ympäristön tietoturvan tila auditoitiin vuonna 2024. Jatkoimme auditoinnin pohjalta tehdyn kehityssuunnitelman toteuttamista.
+ TAISTO harjoitus
Olimme jälleen mukana Digi- ja väestötietoviraston
TAISTO-harjoituksessa, joka auttoi meitä tunnistamaan kehittämiskohteita erilaisten tietosuoja- ja tietoturvapoikkeaminen hallinnassa.
Haasteet ja kehityskohteet
− Tietoturvaloukkauksen määrä kasvoi selvästi
Tietoturvaloukkauksia ilmoitettiin selvästi enemmän kuin aiempina vuosina. Kasvu voi johtua siitä, että loukkauksia tapahtui aidosti enemmän, tai siitä, että työntekijät ja henkilötietojen käsittelijät ilmoittivat loukkauksista aktiivisemmin.
− Tietoturvaloukkauksista ilmoittaminen
Koulutamme henkilökuntaamme tunnistamaan tietoturvaloukkauksia ja ilmoittamaan niistä, jotta loukkauksia ei jäisi huomaamatta tai ilmoittamatta.
Viranomaisvalvonta ja vahingonkorvausvastuu
Hekalla oli tietosuojavaltuutetun toimistossa vireillä kolme asiaa vuonna 2025. Niistä kaksi koski Hekan tekemiä tietoturvaloukkausilmoituksia ja yksi koski rekisteröidyn tekemää toimenpidepyyntöä. Asiat eivät ole johtaneet seuraamustoimenpiteisiin.
Hekalle ei ole osoitettu tietosuoja-asetuksen rikkomiseen perustuvia vahingonkorvausvaatimuksia vuonna 2025.
Helsingin kaupungin asunnot Oy
Viipurinkatu 2, 00510 Helsinki
hekaoy@hekaoy.fi