Arkistointi ja tietosuoja kulkevat suomalaisessa yrityksessä käsi kädessä, kun henkilötietoja sisältävät asiakirjat pitää säilyttää GDPR:n vaatimusten mukaisesti. Moni pk-yrittäjä huomaa tämän vasta silloin, kun tietosuojavaltuutetun toimisto pyytää selvitystä tai kun asiakas kysyy, miten hänen tietojaan säilytetään ja kuka niihin pääsee käsiksi.
Miksi arkistointi ja GDPR liittyvät toisiinsa
EU:n yleinen tietosuoja-asetus koskee kaikkea henkilötietojen käsittelyä, ja käsittely tarkoittaa myös säilyttämistä. Palkkalaskelmat, työsopimukset, asiakasrekisterit, terveystiedot ja laskutusaineisto sisältävät lähes aina henkilötietoja.
Käytännössä tämä tarkoittaa, että arkistokaappi ei ole enää pelkkä säilytyskaluste vaan osa yrityksen tietosuojan hallintaa. Lukitsematon kansio hyllyssä tai avoin mappi kopiokoneen vieressä voi olla GDPR-rikkomus, jos siinä on työntekijöiden tai asiakkaiden henkilötietoja ja tilaan pääsee kuka tahansa.
Tietosuojavaltuutetun toimisto on antanut vuosien varrella useita huomautuksia juuri fyysisen arkistoinnin puutteista – ei vain tietojärjestelmistä. Arkistointiratkaisut paperille ja digitaaliselle aineistolle kannattaakin suunnitella yhtä huolellisesti kuin verkkopalvelun tietoturva.
Mitä laki oikeasti vaatii toimiston arkistoinnilta
GDPR ei määrää tarkkaa kaappimallia tai lukkotyyppiä. Se määrää periaatteet: tietoturvan riittävyyden, käyttöoikeuksien rajaamisen ja säilytysajan minimoinnin.
Käytännössä tämä tarkoittaa kolmea asiaa. Ensinnäkin henkilötietoja sisältävä aineisto pitää säilyttää lukitussa tilassa tai lukitussa kaapissa, johon pääsee vain niillä on aito työtehtävään liittyvä tarve. Toiseksi säilytysaika pitää olla määritelty – palkka-aineistolle usein 6–10 vuotta kirjanpitolain vuoksi, mutta esimerkiksi rekrytoinnin CV:t vain muutaman kuukauden, jos hakija ei tullut valituksi. Kolmanneksi aineisto pitää hävittää turvallisesti, kun säilytysaika päättyy.
Moni yritys tekee tässä virheen suuntaan tai toiseen: joko säilyttää kaiken ”varmuuden vuoksi” ikuisesti, mikä on GDPR:n minimointiperiaatteen vastaista, tai hävittää liian aikaisin materiaalia, jota kirjanpitolaki tai työsopimuslaki vielä edellyttäisi. Näiden kahden lain – tietosuoja-asetuksen ja kirjanpitolain – yhteensovittaminen on juuri se kohta, jossa moni pk-yritys kompastuu.
Lukittavat kaapit ja pääsynhallinta käytännössä
Ammattilainen aloittaa arkistoinnin suunnittelun aina siitä, kuka tarvitsee pääsyn mihinkin aineistoon – ei siitä, mikä kaappi näyttää toimistoon sopivalta. Henkilöstöhallinnon aineisto, terveystiedot ja palkka-asiat kuuluvat omaan lukittuun tilaansa, johon pääsy on rajattu HR:lle ja esihenkilölle.
Säilytyskaapit toimistoon – avoimet ja lukolliset -valinnassa kannattaa muistaa, että avoin hyllyjärjestelmä sopii yleiselle toimistomateriaalille, mutta ei koskaan henkilörekistereille. Lukollinen teräskaappi maksaa perustasolla 150–400 €, keskitasolla 400–900 € ja paloturvallisella tai murtosuojatulla mallilla 900–2 500 €. Erittäin arkaluontoiselle aineistolle, kuten terveystiedoille tai sopimuksille joissa on liikesalaisuuksia, monet yritykset investoivat myös kassakaappiin.
10–30 hengen pk-yrityksessä toimiva ratkaisu on usein yksi tai kaksi lukollista kaappia HR:n huoneessa tai erillisessä arkistotilassa, avainten hallinta kirjattuna ylös ja pääsyoikeudet käytävä läpi vuosittain. 100+ hengen organisaatiossa tarvitaan jo kulunvalvontaa arkistotilaan pelkän avaimen sijaan, koska avainten kopiointia on vaikea valvoa isossa talossa.
Digitaalinen arkisto ei poista fyysisen arkiston ongelmia
Yleinen väärinkäsitys on, että kun asiakirjat skannataan ja siirretään dokumentinhallintaohjelmistoon, GDPR-riski katoaa. Näin ei ole. Digitaalinen arkisto tuo omat riskinsä – kuka pääsee kansioon, miten varmuuskopiot suojataan, minne pilvipalvelun data fyysisesti tallentuu – ja lisäksi alkuperäiset paperit pitää usein silti säilyttää tietyn ajan esimerkiksi kirjanpitolain vuoksi.
Käytännön ratkaisu on hybridimalli: aktiivinen käyttöaineisto digitaalisena hallitulla käyttöoikeuksilla, passiivinen pitkäaikaissäilytys lukitussa fyysisessä arkistossa. Paperisia asiakirjoja skannattaessa alkuperäiset eivät automaattisesti muutu tarpeettomiksi – tarkista aina, mitä laki vaatii juuri kyseiseltä asiakirjatyypiltä ennen alkuperäisten hävittämistä.
Yleisimmät virheet GDPR-arkistoinnissa
Kolme virhettä toistuu toimistoissa säännöllisesti. Ensimmäinen on merkitsemättömät laatikot – kun arkistolaatikossa lukee vain ”2023” ilman sisältökuvausta, kukaan ei tiedä mitä siellä on ilman avaamista, mikä tekee säilytysaikojen valvonnasta mahdotonta. Arkistolaatikot ja niiden merkintä yrityksessä kannattaa hoitaa kuntoon heti, kun arkistointi aloitetaan järjestelmällisesti.
Toinen virhe on paperisilppurin puuttuminen tai vääränlainen silppuri. Toimistotarvikeliikkeen perustason ristileikkuusilppuri (DIN P-2) ei riitä henkilötunnuksia tai terveystietoja sisältävälle materiaalille – niihin tarvitaan vähintään DIN P-4-tason turvaluokka. Kolmas virhe on se, että arkistokaapin avain kiertää koko toimistossa ”jos joku tarvitsee jotain”, jolloin pääsynhallinnasta ei jää mitään jälkeä.
Suomalainen konteksti: etätyö ja hybridimalli tuovat lisähaasteen
Suomi on Euroopan kärkimaita etätyössä, ja tämä on tuonut GDPR-arkistointiin uuden ulottuvuuden. Kun työntekijä tulostaa asiakasaineistoa kotitoimistolla, työnantajan vastuu tietosuojasta ei pääty toimiston oven kohdalle. Työturvallisuuslaki velvoittaa työnantajaa huolehtimaan myös etätyöpisteen asianmukaisuudesta, ja tietosuojan osalta tämä tarkoittaa käytännössä sitä, että henkilötietoja sisältävää paperiaineistoa ei pitäisi säilyttää kotona lukitsemattomana.
Monissa yrityksissä tähän on ratkaisuna kielletty henkilötietoja sisältävän aineiston tulostaminen kotiin kokonaan, tai etätyöntekijälle on hankittu pieni lukollinen laatikko. Tämä kannattaa kirjata myös yrityksen tietosuojakäytäntöön, ei jättää suulliseksi sopimukseksi.
UKK
Kuinka kauan henkilötietoja sisältäviä asiakirjoja saa säilyttää?
Säilytysaika riippuu asiakirjatyypistä eikä GDPR anna yhtä yleistä lukua. Palkka- ja kirjanpitoaineistolle kirjanpitolaki edellyttää 6 vuoden säilytystä tilikauden päättymisestä, kun taas esimerkiksi rekrytointiaineisto tulisi hävittää muutaman kuukauden kuluessa prosessin päättymisestä, ellei hakija ole antanut lupaa pidempään säilytykseen.
Riittääkö lukittava kaappi vai tarvitaanko erillinen arkistohuone?
Pienessä 1–10 hengen toimistossa yksi hyvälaatuinen lukollinen teräskaappi riittää useimmiten, kunhan avainten hallinta on kunnossa. Isommassa organisaatiossa, jossa henkilötietoja käsittelee useampi osasto, erillinen kulunvalvottu arkistotila on turvallisempi ja helpompi auditoida.
Pitääkö vanhat paperiarkistot digitalisoida GDPR:n vuoksi?
Ei ole pakko, mutta digitalisointi helpottaa säilytysaikojen valvontaa ja tietopyyntöihin vastaamista, kun rekisteröity pyytää nähtäväkseen omat tietonsa. Digitalisoinnin jälkeenkin on tarkistettava asiakirjakohtaisesti, voiko alkuperäisen paperin hävittää vai vaatiiko esimerkiksi kirjanpitolaki sen säilyttämistä alkuperäisenä.
Yhteenveto
GDPR-yhteensopiva arkistointi ei vaadi kalliita erikoisratkaisuja, vaan järjestelmällisyyttä: oikea lukollinen kaappi oikealle aineistolle, selkeä merkintä laatikoihin, määritelty säilytysaika ja turvaluokitukseltaan riittävä paperisilppuri hävitykseen. Kun nämä perusasiat ovat kunnossa sekä toimistolla että etätyöpisteillä, suurin osa tietosuojariskeistä on jo hallinnassa ilman raskasta byrokratiaa.