Ashio whistleblowing software

Sep 28, 2026

Mitä ilmoittajansuojalaki vaatii työnantajalta: pk-yrityksen velvoitteet 2026

Mitä ilmoittajansuojalaki vaatii työnantajalta: pk-yrityksen velvoitteet 2026

Ilmoittajansuojalaki toi pk-yrityksille saman velvoitteen kuin suurille – mutta käytännön toteutusratkaisut näyttävät usein paperilla paremmilta kuin todellisuudessa ovat. Tässä artikkelissa käydään läpi konkreettiset vaatimukset ja se, mitä laiminlyönnistä voi seurata. Lisäksi selvitetään, mitä ilmoittajansuojalaki vaatii työnantajalta käytännön tasolla: kirjallisesta kanavasta määräaikojen seurantaan ja dokumentaatioon, joka kestää tarkastuksen.

Suomessa sovellettava ilmoittajansuojalaki perustuu EU:n direktiiviin (EU) 2019/1937, ja se asetti yli 50 työntekijän oikeushenkilöille sekä kaikille kuntasektorin toimijoille velvollisuuden perustaa sisäinen ilmoituskanava viimeistään 17.12.2021 mennessä. Käytännössä mitä ilmoittajansuojalaki vaatii työnantajalta tiivistyy neljään ytimeen: kirjalliseen ilmoituskanavaan, seitsemän päivän kuittauskelloon, kolmen kuukauden palautesykliin ja dokumentaatioon, joka kestää tarkastuksen. Alle 50 hengen yrityksille laki ei lähtökohtaisesti aseta ilmoituskanavapakkoa, mutta julkiset hankinnat ja tietyt toimialat tuovat velvoitteen myös pienemmille toimijoille.

Sisällysluettelo

Keskeiset havainnot

  • Suomessa 50 työntekijän raja koskee yksityisen sektorin oikeushenkilöitä; kuntasektori on velvoitettu kokoluokasta riippumatta.
  • Jokainen ilmoitus on kuittattava seitsemässä päivässä ja annettava palaute kolmen kuukauden sisällä – nämä ovat ehdottomia määräaikoja.
  • Ilmoittajan tunnistetietoja saa käsitellä vain silloin, kun se on välttämätöntä ilmoituksen tutkimiseksi, ja käsittelystä on kerrottava etukäteen.
  • Kostotoimien ehkäisy ei ole pelkkä lauseke politiikassa: se on kirjattava toimenpiteisiin ja pystyttävä todistamaan jälkikäteen.
  • Anonyymin ilmoituskanavan, joka ei kerää IP-osoitteita eikä evästeitä, voi rakentaa itse, mutta tällöin auditoitavuus on ratkaistava erikseen.

Ilmoittajansuojalain keskeiset velvoitteet pk-yrityksille

Ilmoittajansuojalaki velvoittaa työnantajan tarjoamaan sisäisen ilmoituskanavan, johon työntekijä voi ilmoittaa EU-oikeuden rikkomisesta, kansallisesta työ- tai kuluttajansuojelurikkomuksesta sekä muista lain tarkoittamista väärinkäytöksistä. Kanavan on oltava kirjallinen, esteetön ja helppokäyttöinen, ja sen on taattava luottamuksellisuus – eli ilmoittajan henkilöllisyyttä ei saa paljastaa sivullisille ilman erityistä perustetta. Käytännössä tämä tarkoittaa vähintään suojattua lomaketta, nimetöntä yhteydenottokanavaa ja selkeää ohjetta siitä, miten ilmoitus etenee. Kanavan kautta annettavan palautteen on lisäksi katettava sekä vastaanottokuittaus että jatkotoimista tiedottaminen, jotta ilmoittaja tietää ilmoituksen etenevän.

Laissa on kuitenkin kokoelähtöinen poikkeus. Alle 50 työntekijän yksityisille oikeushenkilöille, joiden liikevaihto tai tase ei ylitä tiettyjä kynnysarvoja, ilmoituskanavavelvoitetta ei synny. Tämä rajaus on tärkeä ilmoittajansuojalaki pk-yritys -kysymyksen ytimessä: pienimmät toimijat eivät ole lain kirjaimen mukaan velvoitettuja, mutta EU:n whistleblowing direktiivi Suomi -tasolla velvoite laajenee, jos yritys toimii esimerkiksi rahanpesun, terrorismin rahoittamisen tai tuoteturvallisuuden alalla. Silloin kanava on pystytettävä kokoluokasta huolimatta. Rajaus ei myöskään poista velvoitetta niissä tapauksissa, joissa yritys osallistuu julkiseen hankintaan tai toimii säännellyllä toimialalla, jolloin ilmoituskanava voi tulla vaatimukseksi erillisen sopimuksen tai säädöksen kautta.

Toinen keskeinen velvoite koskee ilmoittajien suojaa. Työnantaja ei saa kohdistaa ilmoittajaan kostotoimia, kuten irtisanomista, tehtävien muutosta, palkkauksen leikkausta tai mustamaalaamista. Tämä suoja on voimassa koko tutkinnan ajan ja päättyy vasta, kun ilmoitus on loppuun käsitelty – käytännössä suoja ulottuu myös tapauksiin, joissa ilmoitus osoittautuu perättömäksi, jos ilmoittajalla oli perusteltu syy uskoa väitteisiin. Suoja kattaa myös ilmoittajan lähipiiriin kohdistuvat toimet, jolloin esimerkiksi ilmoittajan työtovereihin kohdistuvat painostustoimet rinnastetaan kostotoimiin. Työnantajan onkin syytä varmistaa, että henkilöstöhallinto ja esihenkilöt ymmärtävät tämän rajan ennen ensimmäistäkään ilmoitusta.

Miten ilmoituskanava tulee teknisesti toteuttaa?

Miten ilmoituskanava tulee teknisesti toteuttaa? Sisäinen ilmoituskanava on teknisesti väylä, joka ottaa vastaan ilmoituksen, suojaa sen sisällön ja ohjaa sen käsittelijälle ilman, että ulkopuoliset saavat tietoa ilmoittajan henkilöllisyydestä. Käytännön toteutus voi olla lomake, erillinen postilaatikko tai kolmannen osapuolen ylläpitämä järjestelmä, mutta lain hengen mukaan sen on oltava riippumaton työnantajan tavallisesta viestinnästä. Esimerkiksi työntekijän oma sähköpostilaatikko ei täytä vaatimusta, koska sen suojaus ja auditointijälki ovat puutteelliset. Samoin jaettu puhelinnumero tai WhatsApp-ryhmä ei täytä riippumattomuuden ja lokitusvelvollisuuden vaatimuksia.

Tekninen toteutus jakautuu kolmeen kerrokseen. Ensimmäinen kerros on itse ilmoituskanava: sen on oltava helposti löydettävissä, käytettävissä suomeksi ja tarvittaessa muilla kielillä, ja sen on tuettava sekä tunnistettuja että anonyymeja ilmoituksia. Toinen kerros on tietoturva: ilmoituksen sisältö on salattava sekä siirron aikana että levossa, ja pääsynhallinta on rakennettava niin, että käsittelijäryhmä on rajattu ja roolikohtainen. Kolmas kerros on lokitus ja auditointijälki, joka kattaa jokaisen toimenpiteen ja jonka on oltava muuttumaton jälkikäteen. Tietoturvakerroksen osalta keskeistä on, etteivät ilmoituksen tiedot joudu sellaisen palvelun piiriin, joka säilyttää niitä selväkielisenä ilman erillistä roolikohtaista pääsyä, sillä tämä voi muodostaa GDPR-yhteensovittamisen riskin jo ennen ensimmäistäkään ilmoitusta.

Tämä on kohta, jossa pk-yritys joutuu usein punnitsemaan, rakennetaanko kanava itse vai ostetaanko se. Itse rakennettu järjestelmä vaatii tietoturvaosaamista, salausavainten hallintaa ja erillisen lokiarkkitehtuurin – asioita, jotka eivät ole tyypillisen HR- tai talousvastuullisen ydinosaamista. Kolmannen osapuolen työkalu vie nämä tekniset kerrokset pois päiväjärjestyksestä ja samalla tuo yleensä mukanaan valmiit SAP- tai GDPR-dokumentaatiopohjat. Whistleblowing-kanava on pakollinen suurimmalle osalle soveltamisalaan kuuluvista pk-yrityksistä, joten tekniseen valmiuteen kannattaa panostaa heti. Kun kanava ostetaan, valinnan painopiste on internal reporting channel -ratkaisun kyvyssä eriyttää käsittelijäryhmät, säilyttää muuttumaton loki ja tarjota ilmoittajalle kaksisuuntainen viestintä ilman tunnistetietojen paljastumista.

Mitkä ovat 7 päivän ja 3 kuukauden määräajat?

Seitsemän päivän ja kolmen kuukauden määräajat ovat ilmoittajansuojan ydin. Lain mukaan jokainen ilmoitus on kuittattava ilmoittajalle seitsemän päivän kuluessa ilmoituksen vastaanottamisesta – kyse on vastaanottokuittauksesta, ei lopullisesta vastauksesta. Kuittaus vahvistaa, että ilmoitus on kirjautunut järjestelmään, antaa ilmoittajalle varmuuden siitä, ettei ilmoitus ole kadonnut, ja käynnistää palautesyklin.

Kolmen kuukauden palaute on pidempi prosessi. Sen aikana ilmoituksen käsittelijä tutkii ilmoituksen, pyytää tarvittaessa lisätietoja ja antaa ilmoittajalle arvion jatkotoimista tai siitä, ettei jatkotoimiin ole aihetta. Määräaika on ehdoton, mutta sitä voi pidentää kolmella kuukaudella, jos ilmoituksen monimutkaisuus sitä edellyttää – tällöinkin ilmoittajalle on kerrottava pidennyksestä ja sen syistä ennen alkuperäisen määräajan umpeutumista. Pidennysperuste on dokumentoitava järjestelmään samalla tavalla kuin muut käsittelytoimet, jotta tarkastajalle voidaan osoittaa arvio monimutkaisuudesta ja lisäselvitysten tarpeesta.

Näiden kahden määräajan yhteispeli on käytännössä se mittari, jolla auditoijat ja tuomioistuimet arvioivat työnantajan toimintaa. Jos ilmoittaja nostaa kanteen tai vie asian ulkoiseen kanavaan, ensimmäinen kysymys on aina: kuittattiinko seitsemässä päivässä ja annettiinko palaute kolmen kuukauden aikana. Vastauksen puuttuminen tarkoittaa automaattisesti laiminlyöntiä, vaikka itse ilmoituksen käsittely olisi ollut asiallista. Siksi määräaikojen seuranta on syytä automatisoida osaksi ilmoituskanavaa, jolloin yksittäisen käsittelijän muistin varaan ei jää kriittistä velvoitetta.

Mitä tietoja ilmoittajasta saa kerätä?

Ilmoittajansuoja on rakennettu vahvaksi juuri siksi, että ilmoittajia suojataan painostukselta, mutta tiedon keruu ei ole täysin rajoitettua. Työnantaja saa käsitellä vain niitä henkilötietoja, jotka ovat välttämättömiä ilmoituksen vastaanottamiseksi ja tutkimiseksi. Käytännössä tähän kuuluvat ilmoittajan mahdollisesti antamat yhteystiedot, ilmoituksen kohteena olevan henkilön tunnistetiedot, todistajien tiedot ja ilmoituksen käsittelyyn liittyvät toimenpiteet.

Tietojen käsittelystä on kerrottava ilmoittajalle etukäteen. Ilmoittajalle on annettava selkeä tietosuojaseloste, jossa kerrotaan, mitä tietoja kerätään, mihin tarkoitukseen, kuinka kauan niitä säilytetään ja kuka niitä käsittelee. Tämä on yksi GDPR:n ja ilmoittajansuojalain yhtymäkohdista: anonymiteettiä ei voi luvata ilman, että ilmoittajalle kerrotaan, mitä tietoja syntyy taustalla.

Kun ilmoittaja pysyy anonyymina, työnantajalle ei synny henkilötietoja lainkaan – eikä siten myöskään tietosuojaselosteen tarvetta henkilötietojen osalta. Tämä on yksi syy siihen, miksi aidosti anonyymit kanavat ovat yleistymässä: ne poistavat sekä tietosuojakysymyksen että ilmoittajan tunnistamisriskin kokonaan. anonymous reporting -kanavien yhteydessä on kuitenkin muistettava, että anonymiteetti ei saa olla vain tekninen piirre, vaan sen on katettava koko ilmoituspolku – IP-osoitteet, evästeet ja selaimen sormenjäljet mukaan lukien. Käytännön tasolla tämä tarkoittaa, ettei ilmoitussivuilla saa olla analytiikkaa eikä kolmansien osapuolten komentosarjoja, jotka voisivat paljastaa ilmoittajan selaimen tai sijainnin.

Miten kostotoimia ehkäistään ja dokumentoidaan?

Kostotoimien ehkäisy ei ole yksittäinen toimenpide, vaan jatkuva prosessi, joka alkaa ilmoituksen vastaanottamisesta ja jatkuu sen jälkeiseen aikaan. Käytännössä se tarkoittaa vähintään kolmea asiaa: ilmoittajan tunnistetietojen suojaamista, käsittelyryhmän rajaamista ja seurantajärjestelmää, joka tunnistaa, jos ilmoittajan työtilanne muuttuu pian ilmoituksen jälkeen. Tähän seurantaan kuuluu myös HR-järjestelmän ja esimieskokousten tarkastelu siltä varalta, ettei ilmoittajalle synny epäedullisia päätöksiä ilmoitukseen liittymättömistä syistä.

Dokumentointi on tässä kriittistä. Jos tarkastaja tai tuomioistuin kysyy, onko työnantaja ryhtynyt toimenpiteisiin kostotoimien estämiseksi, vastauksen on löydyttävä kirjallisista lähteistä. Yksittäinen taulukko, jossa on lista mahdollisista kostotoimista – irtisanomisuhat, tehtävämuutokset, esimies-alaiskeskustelujen tiheys – auttaa paljon. Samoin auttaa käsittelyryhmän määrittely kirjallisesti: kuka saa lukea ilmoituksen, kuka käsitellä, kuka tehdä päätöksiä.

Lain henkeen kuuluu myös se, ettei ilmoittajaa saa asettaa lähtökohtaisesti epäedulliseen asemaan. Tämä tarkoittaa, että ennen ilmoituksen käsittelyn päättymistä ilmoittajalle ei saa antaa epäsuotuisia työtehtäviä, kieltää koulutuksia tai muuttaa työaikoja ilman perusteltua syytä. Jokaisen tällaisen päätöksen on oltava dokumentoitavissa ja perusteltavissa riippumattomasti ilmoituksesta. Sisäisen käsittelyn ohjaaminen selkeästi roolitettuun for compliance officers -ryhmään tuo tähän rakenteellisen pohjan, sillä nimetty käsittelijäryhmä pystyy reagoimaan nopeammin ja kirjaamaan toimenpiteet järjestelmään, josta ne ovat jälkikäteen tarkastettavissa.

Mikä erottaa toimivan kanavan pelkästä lomakkeesta?

Toimiva ilmoituskanava erottautuu pelkästä lomakkeesta kolmella asialla: sillä on nimetty käsittelijä, joka tuntee ilmoittajansuojaa koskevan lainsäädännön; sillä on kirjattu prosessi, joka varmistaa seitsemän päivän kuittauksen ja kolmen kuukauden palautteen; ja sillä on auditoitava loki, joka kattaa jokaisen ilmoituksen elinkaaren. Pelkkä lomake ilman näitä kolmea elementtiä ei täytä lain vaatimuksia, vaikka se olisi kuinka hyvin suunniteltu.

Yhteenveto: oman rakentamisen ja valmiin työkalun välillä

Kun ilmoittajansuojalain velvoitteet on käyty läpi, jäljellä on käytännön kysymys: rakennetaanko kanava itse vai otetaanko se käyttöön valmiina. Itse rakentaminen vaatii salausavainten hallintaa, lokiarkkitehtuuria ja prosessin kuvaamista kirjallisesti – työtä, joka harvoin on pk-yrityksen ydinosaamista ja jonka virheet näkyvät vasta tarkastuksessa. Valmis työkalu siirtää nämä tekniset ja dokumentaatioon liittyvät vastuut palveluntarjoajalle, jolloin HR tai compliance voi keskittyä itse ilmoitusten käsittelyyn ja ilmoituskulttuurin rakentamiseen. Ashio on tällaiseen tilanteeseen suunniteltu anonyymi ilmoituskanava, jossa yhdistyvät päästä päähän -salaus, automaattinen määräaikaseuranta ja auditointivalmis lokitus yhdessä kiinteässä kuukausihinnassa (23 €/kk vuosimaksulla tai 30 €/kk kuukausimaksulla) ilman ilmoituskohtaisia maksuja – ja jos haluat perehtyä EU-direktiivin asettamiin yksityiskohtiin syvemmin, eu whistleblowing directive avaa koko kehyksen. Tämä sopii yrityksille, joilla on ilmoituskanavavelvoite mutta ei omaa tietoturvatiimiä; se ei sovi organisaatioille, jotka haluavat hallita koko infrastruktuuriaan itse.

Usein kysyttyä ilmoittajansuojalaista

Koskeeko ilmoittajansuojalaki kaikkia yrityksiä?

Ilmoittajansuojalaki koskee Suomessa yksityisen sektorin oikeushenkilöitä, joilla on vähintään 50 työntekijää, sekä kaikkia kuntasektorin toimijoita kokoluokasta riippumatta. Lisäksi velvoite laajenee kokoa pienemmillekin yrityksille, jos ne toimivat esimerkiksi rahanpesun, tuoteturvallisuuden tai ympäristönsuojelun sääntelyn piirissä. Alle 50 hengen pk-yritys ilman näitä toimialoja ei lähtökohtaisesti ole lain soveltamisalassa.

Voiko ilmoittajan tunnistetiedot luovuttaa poliisille?

Kyllä, mutta vain kun se on välttämätöntä ilmoituksen tutkimiseksi, ja siitä on kerrottava ilmoittajalle etukäteen, ellei tiedonanto vaaranna tutkintaa. Käytännössä tämä tarkoittaa, ettei tunnistetietoja saa luovuttaa kevyin perustein – esimerkiksi työyhteisön kiinnostavuuden tai uteliaisuuden takia. Luovutuksesta on aina tehtävä merkintä käsittelylokiin.

Pitääkö anonyymin ilmoituksen tutkinta dokumentoida samalla tavalla?

Kyllä, anonyymin ilmoituksen tutkinta dokumentoidaan yhtä huolellisesti kuin tunnistetun ilmoittajan ilmoitus. Anonymiteetti ei poista auditoitavuusvelvoitetta: tutkinnan vaiheet, todisteet, haastattelut ja päätökset on kirjattava aikajärjestyksessä. Ero on vain siinä, ettei ilmoittajalle annettavaa palautetta kohdisteta tunnistettuun henkilöön.

Mitä seuraa, jos 7 päivän määräaika ylittyy?

Seitsemän päivän määräajan ylittäminen ei automaattisesti johda sakkoon, mutta se on yksi laiminlyönnin osoitus, joka voi johtaa hallinnolliseen seuraamukseen tai vahingonkorvausvelvollisuuteen, jos ilmoittaja kärsii vahinkoa. Käytännössä määräajan ylitys on ensimmäinen asia, jonka tarkastaja kirjaa ylös, ja se heikentää työnantajan puolustusta mahdollisessa oikeudenkäynnissä.

Tarvitseeko alle 50 hengen yritys silti ilmoituskanavan julkisiin hankintoihin osallistuakseen?

EU-jäsenvaltioiden käytännöt vaihtelevat, mutta Suomessa julkisiin hankintoihin osallistuminen ei sellaisenaan aseta ilmoituskanavavelvoitetta alle 50 hengen yrityksille. Velvollisuus voi silti syntyä, jos hankintasopimus sitä edellyttää tai jos yritys toimii toimialalla, joka on otettu mukaan soveltamisalaan erillisellä säädöksellä. Käytännön neuvo on tarkistaa oma hankintakohtainen sopimus erikseen.

Lähteet