Miten valita whistleblower-kanava — 8 tarkistuskohtaa ennen allekirjoitusta

Kun ilmoittajan­suojelulaki (1171/2022) tuli voimaan, markkinoille ilmestyi kolmenlaisia ratkaisuja:

1. Sähköposti­osoite tyyliin ilmoitukset@yritys.fi — ei täytä lakia, mutta moni luulee täyttävänsä
2. Geneerinen lomake­palvelu (Typeform, Google Forms, SharePoint-lomake) — tekninen pohja olemassa, mutta anonymiteetti on ohut
3. Erikoistunut whistleblowing-alusta — 29 €/kk → 800 €/kk, hintahaitari vakio toiminnallisuuksilla

Tässä 8 tarkistuskohtaa joiden avulla erotat kolmannen ryhmän kelvollisimmat vaihtoehdot.

1. Anonymiteetti by design, ei by policy

Kysy: "Jos minä pyydän teiltä ilmoittajan IP-osoitetta, voitteko antaa sen?"

Oikea vastaus: "Emme voi, koska emme tallenna sitä."

Väärät vastaukset:

• "Toimittaja­sopimus kieltää sen luovuttamisen" (policy, ei arkkitehtuuri)
• "Vain hätä­tapauksissa poliisin pyynnöstä" (tarkoittaa että tieto on olemassa)
• "Anonymisoimme ilmoituksen vasta 30 päivän jälkeen" (tarkoittaa että 30 päivää se on identifioitavissa)

Ilmoittajan­suojelulain 12 § vaatii että ilmoittajan henkilöllisyyttä ei selvitetä ilman suostumusta. Tekninen mahdottomuus on ainoa tapa varmistaa tämä — policyt voivat pettää ihmisen erehdyksellä tai viranomais­pyynnöllä.

2. EU-datasijainti

Ilmoitus­data kuuluu GDPR:n piiriin. Jos palveluntarjoaja tallentaa dataa USA:ssa, Schrems II -päätös tarkoittaa että sinun pitää tehdä siirto­vaikutus­arviointi (Transfer Impact Assessment) jokaisesta datan­siirrosta. Tämä on raskas hallinnollinen taakka yhden kanavan takia.

Valitse palvelu joka tallentaa datan EU-alueella (vaikkapa eu-north-1 Tukholmassa tai eu-west-1 Dublinissa). Tämä eliminoi koko siirto­kysymyksen.

Miten tarkistat: Katso palvelun tietosuoja­seloste, etsi kohta "datasijainti" tai "data location". Jos palvelu ei kerro suoraan tai vastaa "globaali pilvi­infrastruktuuri", se ei ole EU-only.

3. 5 vuoden retention on pakko — ei enempää, ei vähempää

Direktiivi (art. 18) ja Suomen laki (18 §) vaativat ilmoitus­datan säilyttämistä vähintään 5 vuotta käsittelyn päätymisestä. Mutta GDPR vaatii minimoimaan säilytys­ajan.

Hyvä palvelu:

• Automaattinen purge 5v + 1pv jälkeen
• Aikaleima jokaiseen ilmoitukseen niin retention-laskuri toimii oikein
• Mahdollisuus aikaistaa poistoa yksittäin jos tutkinta päättyy aiemmin

Huono palvelu:

• "Säilytämme datan toistaiseksi teidän turvaksenne" — vastoin GDPR:n säilytyksen minimointi­periaatetta
• Manuaalinen poisto (= unohtuu)

4. Suullinen ilmoitus (optional, mutta halutaan)

Direktiivi 16 § mahdollistaa suullisen ilmoituksen puhelimitse tai tapaamisella. Tämä ei ole pakollinen kaikille yrityksille, mutta jos työntekijöissäsi on esim. tuotanto­työntekijöitä joille kirjoittaminen on hankalampaa, suullinen kanava on arvokas.

Kysy: "Miten suullinen ilmoitus tehdään ja miten se säilytetään?"

Oikea prosessi:

• Ilmoittaja voi jättää ääniviestin, tai sopia tapaamisen jossa tehdään muistio
• Muistio palautetaan ilmoittajalle tarkistettavaksi (direktiivi 18.2 §)
• Säilytys samalla retention-politiikalla kuin kirjallinen

5. Vastaanotto­vahvistus 7 päivässä, vastaus 3 kuukaudessa

Direktiivi vaatii:

• Vastaanotto­vahvistus 7 vuorokauden sisällä (9.1 § b)
• Kirjallinen vastaus käsittelyn tilasta 3 kuukauden sisällä (9.1 § f), poikkeus­tapauksissa 6 kk

Hyvä palvelu:

• Automaattinen vahvistus ilmoittajan palattaessa (anonyymilla referenssi­koodilla)
• Muistutus käsittelijälle 60 päivän kohdalla että 3 kk lähestyy
• Valmiit vastaus­pohjat jotka täyttävät direktiivin muoto­vaatimukset

Jos palvelu ei auta tämän aikataulun kanssa, sinä jäät itse valvomaan sitä.

6. Kostotoimien suoja — ei pelkkä policy vaan tekninen suoja

Ilmoittajan­suojelulaki 23 § kieltää kostotoimet ja kääntää todistus­taakan työnantajalle. Mutta tämä toimii vasta oikeudessa. Ennen sitä pitäisi estää että ilmoittajan henkilöllisyys edes vuotaa organisaatiossa.

Kysy:

• Voiko HR-johtaja nähdä ilmoitukset hänen tiimistään? Oikea vastaus: ei, jos ilmoitus koskee häntä tai hänen alaistaan — pitäisi olla tiedonsaanti­rajoitus rooleittain
• Näkyykö ilmoituksissa IP, selain, sijainti? Oikea vastaus: ei mitään
• Tallennetaanko kirjautumisesta lokia josta henkilöllisyys voi johtaa? Oikea vastaus: ei tai vain aggregaatteina

7. Hinnoittelun läpinäkyvyys

Markkinoilla on ratkaisuja jotka maksavat satoja euroja kuussa per työntekijä­porras. Kun katsoo mitä tarjoamaansa, on pääasiassa lomake + sähköposti­ilmoitukset + raporttinäkymä. Ei monimutkaista teknologiaa.

Realistinen hintahaitari yritykseen joka työllistää 50–250 henkilöä:

• 0–50 €/kk — itse hostattu (open source) tai kevyt SaaS
• 50–150 €/kk — kohtuullinen SaaS kansallisella tuella
• 200+ €/kk — on-premise integraatio, audit-palvelut, corp legal-liityntöjä

Jos joku myy "whistleblowing-paketin 400 €/kk alkaen 50 hlö yritykselle", heidän pitäisi perustella mitä 350 € ylimääräisestä sisältää. Usein vastaus on "turvallisuus" ilman että mitattavaa lisäarvoa löytyy.

8. Exit-strategia

Jos vaihdat palveluntarjoajaa 2 vuoden päästä, mitä ilmoitus­datalle tapahtuu?

Hyvä palvelu:

• Täysi JSON-/PDF-export kaikista ilmoituksista ja kommunikaatiosta
• Ilmoittajien yksilölliset palautusavaimet pysyvät voimassa siirron yli (tai uusi palvelu auttaa migraatiossa)
• Palveluntarjoaja purge:aa datan sopimuksen päättyessä + antaa poisto­todistuksen

Huono palvelu:

• "Voit ladata raportit PDF:nä" (ei strukturoitua)
• "Data pysyy meillä 5 vuotta lainnmukaisesti" vaikka olet jo lopettanut (GDPR:n vastaista — sinun pitäisi voida hallita sitä)

Tiivistys: arvioi nämä ennen allekirjoitusta

Veltotin lähtö­kohta

Velto rakennettiin näiden vastausten ympärille, ei niiden varaan. Arkkitehtuuri estää IP-tallennuksen rakennteellisesti — ei policy-tasolla. EU-datasijainti (eu-north-1). Automaattinen 5v retention. Suullinen ilmoitus tuetaan liitteinä. Ilmoittaja­henkilöllisyys piilossa myös operaattorilta itseltään.

Ilmoittaja­kanava on yrityksen integriteetti­työkalu. Jos se ei toimi ilmoittajan eduksi ensisijaisesti, se ei toimi ollenkaan.

Aloita ilmaisella kokeilulla: velto.fi/ilmoittaja.