Heka vahvisti tietosuojan ja tietoturvan johtamista vuonna 2025

Hekan tietosuojatyön keskeinen tavoite on olla luotettava rekisterinpitäjä. Tavoite korostuu Hekan arjessa, sillä Heka käsittelee henkilötietoja vuokranantajana, kiinteistönomistajana, työnantajana, hankintayksikkönä ja sopimuskumppanina. Tietotilinpäätöksessä Heka arvioi henkilötietojen suojan toteutumista sekä kuvaa, miten tietosuojan ja tietoturvan hallintaa kehitettiin vuoden aikana. 

Vuonna 2025 Heka laajensi sisäisen tietosuojaryhmänsä tietosuoja- ja tietoturvaryhmäksi. Ryhmä käsittelee tietosuojaan ja tietoturvaan liittyviä kysymyksiä sekä seuraa osaltaan myös tekoälyn käyttöön liittyviä tietosuoja- ja tietoturvanäkökulmia. Lisäksi Heka päivitti tietojärjestelmien vastuuhenkilörooleja ja niihin liittyviä tehtäviä sekä päätti kasvattaa tietosuojavastaavan tehtävien resursointia. 

Tietoturvan hallintaa kehitettiin muun muassa uudistamalla tietoturvan hallintamallia, vahvistamalla Hekan tietoturvapolitiikkaa sekä kehittämällä identiteettien ja käyttöoikeuksien hallintaa. Heka osallistui myös Digi- ja väestötietoviraston TAISTO-harjoitukseen, jossa organisaatiot voivat harjoitella toimintaa vakavien tietoturva- ja tietosuojaloukkausten varalta. 

– Luotettava rekisterinpitäjä toimii harkitusti, ennakoivasti ja selkein vastuin. Suurena vuokranantajana, työnantajana ja palvelujen tuottajana meidän on huolehdittava siitä, että tietosuoja ja tietoturva kulkevat mukana arjen päätöksissä, prosesseissa ja järjestelmien kehittämisessä. Näin henkilötietoja käsitellään vastuullisesti ja yhdenmukaisesti kaikissa tehtävissämme, sanoo lakiasiainjohtaja Sanna Auressalmi. 

Tietosuoja osana arjen prosesseja 

Yksi vuoden 2025 keskeisistä kehitysaskeleista oli uuden työkalun käyttöönotto tietosuoja- ja tietoturvavaatimusten hallintaan. Työkalu tukee henkilötietojen käsittelyn elinkaaren hallintaa, dokumentointia sekä tietosuojavaatimusten huomioimista Hekan toiminnassa. 

Tietosuojariskien arviointi on vakiintunut osaksi Hekan tietosuojatyötä. Vuonna 2025 Heka teki seitsemän tietosuojariskien kynnysarviota ja kaksi tietosuojan vaikutustenarviointia. Arviointien avulla tunnistetaan ja hallitaan henkilötietojen käsittelyyn liittyviä riskejä jo prosessien ja järjestelmien suunnitteluvaiheessa. 

Heka on jatkanut tietosuojan ja tietoturvan kehittämistä vuonna 2026. Asiakkaiden ja työntekijöiden tietosuojaselosteita päivitetään, henkilötietojen säilytyksen ja poistamisen käytäntöjä kehitetään ja henkilötietojen luovutusten dokumentointia vahvistetaan. Lisäksi Heka laatii tekoälyn hallintajärjestelmän, jonka tavoitteena on tukea tekoälyjärjestelmien vaatimustenmukaista käyttöä ja riskienhallintaa. 

Heka kehittää myös henkilöstön osaamista. Helmikuussa 2026 henkilöstölle julkaistiin uusi Tietoturvakortti-verkkokurssi sekä päivitetty Tietosuojakortti-verkkokurssi. Jokainen hekalainen suorittaa kurssit vuoden 2026 aikana.