Vuonna 2026 GDPR ei ole enää uutuus – mutta silti suuri osa suomalaisyrityksistä rikkoo sen perusvaatimuksia, usein tietämättään. EU:n yleinen tietosuoja-asetus 2016/679 tuli sovellettavaksi 25.5.2018 (EUR-Lex), ja Suomen tietosuojalaki täydentää sitä 1.1.2019 lähtien (Linklaters 2026). Maksimisakko on 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta – kumpi on suurempi. Tämä artikkeli kertoo, mitä vaatimuksia GDPR asettaa suomalaisille yrityksille käytännössä, mitkä ovat yleisimmät rikkomukset ja miten tarkistuslistasi voi suojata sinut kalliiilta sanktioilta.
Mitä GDPR tarkoittaa yrityksen näkökulmasta?
GDPR – General Data Protection Regulation – on EU:n asetus, joka suojaa luonnollisten henkilöiden oikeutta omiin henkilötietoihinsa. Se koskee kaikkia organisaatioita, jotka käsittelevät EU:ssa asuvien henkilöiden tietoja riippumatta siitä, onko yrityksen kotipaikka EU:ssa vai ei (Euroopan komissio, Your Europe). Tämä tarkoittaa, että yhdysvaltalainen verkkokauppa, joka myy suomalaisille, on yhtä lailla GDPR:n piirissä kuin tamperelainen pk-yritys.
Käytännössä GDPR määrittelee, millä perustein henkilötietoja saa kerätä, kuinka kauan niitä saa säilyttää, kenelle niitä voi luovuttaa ja miten rekisteröityjen oikeudet on toteutettava. Asetuksen ytimessä on riskiperusteinen lähestymistapa: suojaustoimet mitoitetaan käsittelyn luonteen ja riskin mukaan (EUR-Lex 2016/679).
GDPR:n historia ja tausta lyhyesti
EU:n vanha henkilötietodirektiivi (95/46/EY) oli peräisin vuodelta 1995, jolloin internet oli vasta kehittymässä. Digitalisaation myötä tietojen keruu räjähti käsiin, mutta sääntely ei pysynyt mukana. EU ryhtyi uudistamaan kehystä 2012, ja neuvottelujen jälkeen GDPR hyväksyttiin toukokuussa 2016. Se tuli voimaan 24.5.2016 ja soveltaminen alkoi kahden vuoden siirtymäajan jälkeen 25.5.2018 (EUR-Lex).
Suomi sääti oman tietosuojalain (1050/2018), joka täydentää GDPR:ää kansallisesti ja kumosi vanhan henkilötietolain (523/1999). Laki tuli voimaan 1.1.2019 (Linklaters 2026 / DataGuidance). Suomen tietosuojavaltuutetun toimisto toimii kansallisena valvontaviranomaisena ja antaa ohjeistusta tietosuoja.fi-sivustolla.
Keneen GDPR soveltuu?
Väärinkäsitys on yleinen: GDPR ei koske vain suuria yrityksiä tai teknologiajättejä. Asetus koskee kaikkia organisaatioita – yrityksiä, yhdistyksiä, kuntia ja viranomaisia – jotka käsittelevät EU:ssa asuvien henkilöiden henkilötietoja (Euroopan komissio, Your Europe). Pk-yritys, joka tallentaa asiakkaidensa sähköpostiosoitteet, kuuluu GDPR:n piiriin yhtä lailla kuin monikansallinen konserni.
Alueellisen soveltamisalan kannalta keskeistä on ns. markkinalähtöinen periaate: jos yritys kohdistaa palveluitaan tai tuotteitaan EU-kansalaisille taikka seuraa heidän käyttäytymistään verkossa, GDPR soveltuu – vaikka yritys itsessään sijaitsisi Yhdysvalloissa, Aasiassa tai muualla EU:n ulkopuolella (EUR-Lex 2016/679, johdanto-osa).
Laillinen käsittelyperuste: kuusi vaihtoehtoa
Jokainen henkilötietojen käsittelytoimenpide vaatii laillisen perusteen. GDPR tunnistaa kuusi vaihtoehtoista perustetta (GDPR art. 6). Valittu peruste on kirjattava ylös ja pystyttävä osoittamaan valvontaviranomaiselle.
| Käsittelyperuste | Tyypillinen käyttötilanne | Huomio |
|---|---|---|
| Suostumus (art. 6.1.a) | Uutiskirje, markkinointiviestintä | Oltava vapaaehtoinen, yksiselitteinen ja peruttavissa |
| Sopimus (art. 6.1.b) | Asiakastietojen käsittely tilauksen täyttämiseksi | Vain sopimukseen liittyvät tiedot |
| Lakisääteinen velvollisuus (art. 6.1.c) | Kirjanpito, työnantajavelvoitteet | Laki määrää käsittelystä |
| Elintärkeä etu (art. 6.1.d) | Hätätilanne, potilastiedot | Harvinainen peruste yritystoiminnassa |
| Yleinen etu / julkinen tehtävä (art. 6.1.e) | Viranomaiset, tutkimuslaitokset | Vaatii kansallisen lain tuen |
| Oikeutettu etu (art. 6.1.f) | Tietoturva, asiakassuhteen hoito, suoramarkkinointi b2b | Edun on ylitettävä rekisteröidyn intressit |
Lähde: GDPR asetus 2016/679 art. 6, EUR-Lex
Rekisteröityjen oikeudet – mitä yrityksen on käytännössä tehtävä?
GDPR antaa rekisteröidyille laajat oikeudet omiin tietoihinsa. Yrityksen on rakennettava prosessit, joilla näihin pyyntöihin voidaan vastata pääsääntöisesti kuukauden kuluessa (Euroopan komissio, Your Europe). Jos käsittely on laajaa tai monimutkaista, vastausaikaa voidaan pidentää enintään kahdella kuukaudella, mutta tästä on ilmoitettava rekisteröidylle.
- Tiedonsaantioikeus: rekisteröity voi pyytää vahvistuksen, käsitelläänkö hänen tietojaan, ja saada kopion tiedoista.
- Oikaisupyyntö: virheelliset tai vanhentuneet tiedot on oikaistava.
- Oikeus tulla unohdetuksi: tietyissä tilanteissa rekisteröity voi vaatia tietojensa poistamista.
- Käsittelyn rajoittaminen: rekisteröity voi vaatia käsittelyn keskeyttämistä kiistanalaisissa tilanteissa.
- Tietojen siirrettävyys: rekisteröidyllä on oikeus saada tietonsa koneluettavassa muodossa.
- Vastustamisoikeus: rekisteröity voi vastustaa käsittelyä, joka perustuu oikeutettuun etuun tai suoramarkkinointiin.
Tietosuojaseloste: mitä siinä on oltava?
Tietosuojaseloste on usein ensimmäinen konkreettinen GDPR-velvoite, johon yritys törmää. Se ei ole vapaaehtoinen lisädokumentti vaan lakisääteinen vaatimus. Euroopan komission pk-yrityksille suunnatussa ohjeessa (data-protection-factsheet-sme-obligations_fi) todetaan, että rekisterinpitäjän on ilmoitettava rekisteröidyille vähintään:
- Rekisterinpitäjän ja tarvittaessa tietosuojavastaavan yhteystiedot
- Käsittelyn tarkoitukset ja laillinen peruste
- Vastaanottajat tai vastaanottajaryhmät
- Mahdolliset tiedonsiirrot EU:n ulkopuolelle ja niiden suojatakeet
- Säilytysaika tai sen määrittelykriteerit
- Rekisteröidyn oikeudet ja miten niitä käytetään
- Suostumuksen peruuttamisen mahdollisuus (jos peruste on suostumus)
- Oikeus tehdä valitus valvontaviranomaiselle (Suomessa: tietosuojavaltuutettu)
Tietosuojaseloste on annettava rekisteröidylle selkeässä ja ymmärrettävässä muodossa – juridinen jargon ei riitä. Monesti toimivin tapa on julkaista seloste verkkosivuilla helposti löydettävässä paikassa, esimerkiksi alatunnisteessa.
GDPR-vaatimukset eivät ole paperisota vaan prosessimuutos: vaatimustenmukaisuus syntyy toimivista käytännöistä, ei vain juridisista dokumenteista.
Tietoturvaloukkaukset: 72 tunnin ilmoitusvelvollisuus
Yksi GDPR:n käytännössä haastavimmista vaatimuksista on tietoturvaloukkausten nopea käsittely. GDPR:n 33 artiklan mukaan rekisterinpitäjän on ilmoitettava tietoturvaloukkaus valvontaviranomaiselle ilman aiheetonta viivytystä – ja pääsääntöisesti 72 tunnin kuluessa siitä, kun se on saanut siitä tiedon (EUR-Lex). Suomessa ilmoitus tehdään tietosuojavaltuutetun toimistolle.
Ilmoitus ei kuitenkaan ole aina pakollinen: jos loukkaus ei todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille tai vapauksille, ilmoitusta ei tarvita – mutta tämä arvio on dokumentoitava. Kun riski on korkea, myös rekisteröidyille on ilmoitettava henkilökohtaisesti (art. 34).
72 tunnin aikaraja on tiukka. Käytännössä se tarkoittaa, että yrityksellä on oltava etukäteen sovittu kriisinhallintaprosessi: kuka ilmoittaa, miten loukkaus dokumentoidaan ja miten viestintä hoidetaan. Ilman valmistautumista kelloa vastaan juokseminen aiheuttaa lisäriskejä.
Tietosuojavastaava (DPO): milloin pakollinen?
Tietosuojavastaava (Data Protection Officer, DPO) on GDPR:n edellyttämä rooli tietyissä tilanteissa. Nimeäminen on pakollista (GDPR art. 37), kun yritys:
- on julkishallinnon viranomainen tai julkinen toimielin
- käsittelee laajassa mittakaavassa erityisiä henkilötietoryhmiä (esim. terveystiedot, biometriset tiedot)
- harjoittaa laajamittaista, säännöllistä ja järjestelmällistä rekisteröityjen seurantaa (esim. profilointi, kohdemainos)
Pelkkä asiakasrekisteri, jonka avulla lähetetään uutiskirje, ei yleensä velvoita nimittämään DPO:ta. Silti monelle pk-yritykselle tietosuojavastaavan – tai ainakin vastuuhenkilön – nimeäminen on hyvä käytäntö, vaikka se ei olisi lakisääteisesti pakollista. DPO voi olla myös ulkoistettu, esimerkiksi lakitoimistolta tai tietosuojaan erikoistuneelta konsultilta hankittu palvelu.
Osoitusvelvollisuus ja rekisterinpitäjän seloste
GDPR ei riitä täytettäväksi kertaluonteisesti – vaatimustenmukaisuus on voitava osoittaa jatkuvasti (GDPR art. 5.2). Tämä osoitusvelvollisuus (accountability) tarkoittaa käytännössä dokumentaatiota: rekisterinpitäjällä on oltava ajantasainen seloste käsittelytoimista (art. 30), josta käy ilmi mm. käsittelyn tarkoitukset, tietoluokat, vastaanottajat ja säilytysajat.
Euroopan tietosuojaneuvosto (EDPB) julkaisi vuonna 2026 lausunnon Europrivacy-sertifiointikriteereistä (Opinion 14/2026), mikä korostaa sertifioinnin kasvavaa roolia osoitusvelvollisuuden täyttämisessä. Yritys, jolla on GDPR-sertifiointi, pystyy osoittamaan viranomaiselle konkreettisesti, miten se noudattaa asetusta – tämä on selkeä etu valvontatilanteessa.
Privacy by Design ja Privacy by Default
GDPR:n 25 artikla velvoittaa yrityksiä huomioimaan tietosuojan jo tuotteiden ja palveluiden suunnitteluvaiheessa. Privacy by Design tarkoittaa, että tietosuoja on rakennettu sisään järjestelmään alusta lähtien – ei lisätty jälkikäteen. Privacy by Default puolestaan tarkoittaa, että oletusasetukset ovat aina tietosuojaystävällisiä: kerätään vain välttämätön tieto ja säilytetään se vain tarvittavan ajan.
Käytännössä tämä vaikuttaa esimerkiksi verkkosivuston evästeasetuksiin (oletus: ei seurantaevästeita ennen suostumusta), mobiilisovellusten käyttöoikeuksiin (pyydetään vain tarvittavat luvat) ja CRM-järjestelmien kenttämäärityksiin (ei kerätä tarpeettomia asiakastietoja). Yritykset, jotka käyttävät esimerkiksi Microsoft Dynamics 365:tä tai Salesforcea asiakkuudenhallintaan, voivat hyödyntää näiden järjestelmien sisäänrakennettuja tietosuojaominaisuuksia, mutta vastuu oikeasta konfiguraatiosta on aina rekisterinpitäjällä.
Tietosuoja ei ala käyttäjälle näkyvästä suostumusbannerista – se alkaa järjestelmäarkkitehtuurin ensimmäisestä piirustuksesta.
Henkilötietojen siirto EU:n ulkopuolelle
Pilvipalveluiden yleistyminen on tehnyt henkilötietojen kansainvälisistä siirroista arkipäivää – ja samalla yksi GDPR:n haastavimmista alueista. Tietojen siirto EU:n ulkopuolelle on sallittua vain, jos kohdemaalla on riittävä suojan taso tai käytössä on asianmukaiset suojatoimet (GDPR art. 44–46).
Yhdysvaltoihin tietoja voidaan siirtää EU:n ja USA:n välisen EU-U.S. Data Privacy Framework -sopimuksen nojalla, jonka EU-komissio hyväksyi 2023. Tähän kehykseen osallistuvat yritykset löytyvät virallisilta rekisterilistoilta. Jos käytetty palveluntarjoaja ei kuulu kehykseen, käytössä on oltava esimerkiksi EU:n standardisopimuslausekkeet (SCC). Yritykset, jotka käyttävät AWS:ää, Google Cloud Platformia tai Microsoft Azurea, löytävät nämä tiedot palveluntarjoajan DPA-sopimuksista (Data Processing Agreement).
Yleisimmät GDPR-rikkomukset suomalaisissa yrityksissä
Tietosuojavaltuutetun toimisto (tietosuoja.fi) ja EU:n valvontaviranomaisten tilastot osoittavat, että samat virheet toistuvat yritys toisensa jälkeen. Seuraava taulukko kokoaa yleisimmät ongelma-alueet ja niiden seuraukset:
| Rikkomus | Tyypillinen syy | Mahdollinen seuraamus |
|---|---|---|
| Puuttuva tai vanhentunut tietosuojaseloste | Seloste laadittu kerran eikä päivitetty | Huomautus, sakko |
| Käsittelyperuste puuttuu tai on väärä | Suostumus kerätty väärin tai puuttuu kokonaan | Sakko jopa 20 milj. € / 4 % liikevaihdosta |
| Tietomurtoilmoituksen viivästyminen | Prosessi puuttuu, 72 h ylittyy | Sakko, mainevahinko |
| Kolmannen osapuolen sopimukset puuttuvat | Ei DPA-sopimusta alihankkijoiden kanssa | Yhteisvastuullisuusriski |
| Tarpeettomien tietojen säilyttäminen | Ei poistorutiineja, vanhat tietokannat | Huomautus, korjausvelvoite |
| Evästeet ilman suostumusta | Analytiikkatyökalut käytössä ilman banneria | Sakko, reklamaatio |
| Rekisteröityjen pyyntöihin ei vastata ajoissa | Ei prosessia pyyntöjen käsittelyyn | Valvontamenettely, sakko |
Lähde: tietosuoja.fi (UKK-osio), Euroopan komissio (pk-yritysohje), EUR-Lex GDPR art. 83
GDPR-tarkistuslista yrityksille 2026
Alla oleva tarkistuslista on tarkoitettu itsearvioinnin välineeksi. Se ei korvaa juridista neuvontaa, mutta antaa hyvän kuvan siitä, missä yrityksen GDPR-kypsyys on.
- Oletko tunnistanut kaikki henkilötietoja sisältävät järjestelmät (CRM, HR, markkinointi, laskutus)?
- Onko jokaiselle käsittelytoimelle määritelty laillinen peruste?
- Onko tietosuojaseloste ajan tasalla ja helposti löydettävissä?
- Onko rekisterinpitäjän seloste (art. 30) laadittu ja päivitetty?
- Onko kaikista ulkopuolisista henkilötietoja käsittelevistä palveluntarjoajista tehty DPA-sopimus?
- Onko henkilötietojen kansainvälisten siirtojen suojatakeet kunnossa?
- Onko tietosuojavaikutusten arviointi (DPIA) tehty korkean riskin käsittelyille?
- Onko tietoturvaloukkausten hallintaprosessi dokumentoitu?
- Onko vastausreitit rekisteröityjen oikeuksien toteuttamiseen (tiedonsaanti, oikaisu, poisto) käytössä?
- Onko henkilöstö koulutettu GDPR:n perusperiaatteisiin?
- Onko evästekäytännöt tarkistettu ja suostumusmekanismi toiminnassa?
- Onko tietosuojavastaava nimetty tai selvitetty, onko nimeäminen pakollista?
Tekniset ja organisatoriset suojaustoimet
GDPR:n 32 artikla velvoittaa rekisterinpitäjän ja henkilötietojen käsittelijän toteuttamaan asianmukaiset tekniset ja organisatoriset suojaustoimet ottaen huomioon käsittelyn luonteen, laajuuden ja riskin. Konkreettisia toimia ovat EUR-Lexin mukaan:
- Pseudonymisointi ja salaus: henkilötietojen suojaus teknisesti
- Luottamuksellisuuden, eheyden, saatavuuden ja palautumiskyvyn varmistaminen
- Kyky palauttaa tiedot tietoturvapoikkeamatilanteen jälkeen
- Säännöllinen testaaminen ja arviointi teknisten ja organisatoristen toimenpiteiden tehokkuudesta
Käytännön tasolla tämä tarkoittaa esimerkiksi tietokantojen salausta, kulunvalvontaa, lokitietoja, varmuuskopiointia ja henkilöstön tietoturvakoulutusta. Yritykset voivat hyödyntää esimerkiksi ISO 27001 -sertifiointia osoittaakseen tietoturvakäytäntönsä järjestelmällisyyttä – tämä on myös GDPR:n osoitusvelvollisuuden näkökulmasta hyödyllinen todiste.
Pohjoismainen näkökulma: Suomi, Ruotsi, Norja
GDPR on EU-asetus, joka pätee sellaisenaan kaikissa EU-maissa. Silti pohjoismaisten maiden välillä on eroja viranomaisvalvonnan painotuksissa ja kansallisissa täsmennyksissä. Suomessa tietosuojavaltuutetun toimisto on ollut aktiivinen erityisesti terveystietojen käsittelyn valvonnassa. Ruotsissa Integritetsskyddsmyndigheten (IMY) on antanut merkittäviä sakkopäätöksiä teknologiayrityksille (Chambers Data Protection 2026, Sweden).
Norja ei ole EU:n jäsen, mutta kuuluu ETA:n kautta GDPR:n soveltamispiiriin. Datatilsynet on Norjan valvontaviranomainen. Tanskan Datatilsynet on puolestaan profiloitunut aktiivisena toimijana erityisesti koulutus- ja terveydenhuoltosektoreilla. Pohjoismaisille yrityksille, joilla on toimintaa useassa maassa, käytännöllinen valinta on synkronoida GDPR-prosessit niin, että ne täyttävät tiukimman valvontaympäristön vaatimukset.
Lisätietoa tietosuojan käytännön vaikutuksista Suomessa löytyy aiemmasta artikkelista: Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset.
Tietosuojavaikutusten arviointi (DPIA)
Tietosuojavaikutusten arviointi (Data Protection Impact Assessment, DPIA) on pakollinen, kun käsittely todennäköisesti aiheuttaa korkean riskin rekisteröidyille (GDPR art. 35). EDPB on julkaissut ohjeen tilanteista, joissa DPIA on vähintään harkittava:
- Laajamittainen profilointi tai automatisoitu päätöksenteko
- Arkaluonteisten tietoryhmien laajamittainen käsittely
- Julkisten alueiden järjestelmällinen seuranta
- Uuden teknologian käyttöönotto (tekoälyratkaisut, biometria, IoT)
- Tietojen yhdistely useista lähteistä
DPIA ei ole kertaluonteinen toimenpide: se on tehtävä uudelleen aina, kun käsittelyn luonne muuttuu merkittävästi. Tekoälysovellusten yleistyminen 2024–2026 on tuonut DPIA:t erityiseen huomioon – esimerkiksi yritys, joka ottaa käyttöön Microsoft Copilotin henkilöstödatan analysointiin, on hyvä syy tehdä DPIA ennen käyttöönottoa. Lisää aiheesta: Microsoft Copilot Chat yrityskäytössä Suomessa.
GDPR ja tekoäly 2026: uudet haasteet
Generatiivinen tekoäly ja suuret kielimallit ovat tuoneet GDPR:ään uusia tulkintakysymyksiä. Kun henkilötietoja syötetään tekoälymallille tai käytetään sen kouluttamiseen, sovelletaan GDPR:ää täysimääräisesti. Euroopan tietosuojaneuvosto (EDPB) on julkaissut aiheesta ohjeita, joissa korostetaan erityisesti käsittelyn tarkoitussidonnaisuutta ja minimaalisuusperiaatetta.
Käytännön ongelma on usein se, että yritykset ottavat käyttöön tekoälytyökaluja – kuten ChatGPT Enterprisea, GitHub Copilotia tai Google Workspacen Gemini-ominaisuuksia – ilman riittävää arviointia siitä, mitä henkilötietoja niiden kautta kulkee. Tietosuoja on varmistettava ennen käyttöönottoa, ei jälkikäteen. EU:n tekoälysäädös (AI Act) ja GDPR täydentävät toisiaan tässä kehyksessä.
Seuraamusmaksut: miten ne määräytyvät?
GDPR:n seuraamusjärjestelmä on kaksitasoinen (art. 83). Lievemmistä rikkomuksista – kuten selostekirjavelvoitteen laiminlyönnistä tai DPO:n nimeämättä jättämisestä – voidaan määrätä sakko enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta. Vakavammista rikkomuksista, kuten lainmukaisen käsittelyperusteen puuttumisesta tai rekisteröityjen oikeuksien loukkaamisesta, sakko on enintään 20 miljoonaa euroa tai 4 % liikevaihdosta.
Sakko on siis suhteessa liikevaihtoon, ei absoluuttinen. Suuri yritys voi saada merkittävästi suuremman sakon kuin 20 miljoonaa euroa, jos 4 % liikevaihdosta on enemmän. Valvontaviranomainen ottaa huomioon myös rikkomuksen vakavuuden, keston, yhteistyöhalukkuuden ja mahdolliset lieventävät toimenpiteet.
Sakon ohella voi tulla toiminnallisia rajoituksia: valvontaviranomainen voi kieltää käsittelyn kokonaan tai rajoittaa sitä – mikä voi käytännössä pysäyttää liiketoiminnan osia. Lisätietoa digitaalisen liiketoiminnan sääntelystä: EU:n kilpailuoikeus ja suuret teknologiayritykset 2026.
Miten GDPR-vaatimustenmukaisuus osoitetaan viranomaiselle?
Valvontamenettely alkaa tyypillisesti joko rekisteröidyn kantelusta tai viranomaisen omasta aloitteesta. Yrityksen on tällöin pystyttävä esittämään dokumentaatio, joka osoittaa sen noudattavan GDPR:ää. Keskeisiä asiakirjoja ovat:
- Rekisterinpitäjän seloste (art. 30)
- Tietosuojaselosteet eri rekistereille
- DPA-sopimukset alihankkijoiden kanssa
- Tietoturvaloukkauksen hallintaohje ja mahdolliset aikaisemmat ilmoitukset
- DPIA-raportit korkean riskin käsittelyistä
- Henkilöstön koulutuskirjanpito
- Suostumustiedot (kuka on antanut suostumuksen, milloin ja mihin)
Euroopan tietosuojaneuvosto on korostanut, että osoitusvelvollisuus ei täyty pelkillä asiakirjoilla – yrityksellä on oltava myös toimivat prosessit ja tosiasiallisesti toteutuvat käytännöt (EDPB Opinion 14/2026).
GDPR-vaatimukset suhteutettuna yrityksen kokoon
Vaatimukset skaalautuvat käsittelyn riskin mukaan – ei suoraan yrityksen koon mukaan. Pienelläkin yrityksellä voi olla korkean riskin käsittelyjä (esim. lasten tietojen käsittely, terveystiedot), jotka edellyttävät laajempaa dokumentaatiota. Seuraava yhteenveto antaa suuntaviivoja:
- Mikroyritys (alle 10 hlö): tietosuojaseloste, lainmukainen käsittelyperuste, 72 h ilmoitusvelvollisuus, evästekäytäntö – selostekirjavelvoite yleensä vapautettu
- Pk-yritys (10–249 hlö): kaikki edellä mainitut + rekisterinpitäjän seloste + DPA-sopimukset + henkilöstöresurssi tietosuojakysymyksiin
- Suuryritys (250+ hlö): kaikki edellä mainitut + DPO todennäköisesti pakollinen + DPIA:t + sertifiointi harkittava + kansainväliset siirrot hallinnassa
GDPR käytännössä: sisäiset prosessit kuntoon
Paperidokumentit ovat vasta lähtökohta. GDPR:n todellinen ydin on prosesseissa: miten henkilötietoja käsitellään arjessa, kuka vastaa mistäkin ja miten ongelmatilanteet hoidetaan. Euroopan komissio on korostanut pk-yrityksille suunnatussa ohjeessaan, että vaatimustenmukaisuus syntyy nimenomaan toimivista käytännöistä, ei pelkästään juridisesta dokumentaatiosta.
Konkreettisesti tämä tarkoittaa esimerkiksi: säännöllistä henkilöstökoulutusta, selkeitä vastuunjakoja tietosuoja-asioissa, automaattisia tietojen poistoprofiileja vanhenevilla asiakastiedoille ja testattua prosessia tietomurtojen varalle. Blockchain-teknologian hyödyntäminen jäljitettävyyden parantamiseksi on noussut esille joissain suuremmissa organisaatioissa – aihe on tuttu myös itekcms.com:n blockchain ja kyberturvallisuus -katsauksesta.
Usein kysytyt kysymykset (FAQ)
Koskeeko GDPR pientä suomalaista yritystä?
Kyllä, GDPR koskee kaikkia yrityksiä koosta riippumatta, jos ne käsittelevät EU-kansalaisten henkilötietoja. Euroopan komission pk-yritysohje (data-protection-factsheet-sme-obligations_fi) vahvistaa, että velvoitteet koskevat myös pieniä yrityksiä. Ainoa merkittävä lievennys liittyy rekisterinpitäjän selostekirjavelvollisuuteen: alle 250 henkilön yritykset on pääsääntöisesti vapautettu selostekirjasta, ellei käsittely ole säännöllistä, sisällä erityisiä tietoryhmiä tai aiheuta riskiä rekisteröidyille. Kaikki muut velvoitteet – tietosuojaseloste, laillinen peruste, ilmoitusvelvollisuus ym. – pätevät täysimääräisesti. Pk-yrityksen kannattaa aloittaa tunnistamalla, mitä henkilötietoja se kerää ja millä perusteella.
Milloin tietosuojavastaava on pakollinen?
Tietosuojavastaavan (DPO) nimeäminen on lakisääteisesti pakollista kolmessa tilanteessa (GDPR art. 37): julkishallinnon organisaatioilla aina, yrityksillä joiden ydintoimintaan kuuluu laajamittainen erityisten henkilötietoryhmien käsittely (esim. terveystiedot, biometriset tiedot) tai laajamittainen, säännöllinen ja järjestelmällinen rekisteröityjen seuranta. Pelkkä asiakasrekisterin ylläpito tai uutiskirjeen lähettäminen ei yleensä täytä näitä edellytyksiä. Silti monelle yritykselle vastuuhenkilön nimeäminen – vaikkei lakisääteisesti pakollista – on järkevää. DPO voi olla myös ulkoistettu asiantuntija. Nimetty DPO on rekisteröitävä tietosuojavaltuutetun toimistolle.
Mitä tapahtuu, jos en ilmoita tietomurrosta 72 tunnin kuluessa?
GDPR:n 33 artikla asettaa 72 tunnin ilmoitusajan valvontaviranomaiselle loukkauksen havaitsemisesta. Jos ilmoitus viivästyy ilman perusteltua syytä, kyseessä on itsenäinen rikkomus, joka voi johtaa seuraamusmaksuun – riippumatta siitä, kuinka vakava itse loukkaus oli. Suomessa ilmoitus tehdään tietosuojavaltuutetulle tietosuoja.fi:n kautta. Jos 72 tuntia ei ole riittänyt kaikkien tietojen kokoamiseen, ilmoitus on silti tehtävä ja täydennettävä myöhemmin. Myöhästynyt mutta täydellinen ilmoitus on parempi kuin ei ilmoitusta lainkaan. Dokumentoi myös tapaukset, joissa päätät olla ilmoittamatta: tämäkin päätös on perusteltava ja kirjattava.
Tarvitaanko aina suostumus henkilötietojen käsittelyyn?
Ei. Suostumus on yksi kuudesta lainmukaisesta käsittelyperusteesta, mutta se ei ole ainoa vaihtoehto eikä aina edes paras. Jos käsittely on tarpeen sopimuksen täyttämiseksi – esimerkiksi toimitusasiakkaan osoitetiedot tilauksen toimittamista varten – peruste on sopimus (art. 6.1.b), ei suostumus. Kirjanpitovelvoitteet perustuvat lakisääteiseen velvollisuuteen. B2b-suoramarkkinointiin voi usein käyttää oikeutettua etua. Suostumus on tarpeen tyypillisesti markkinointiviestinnässä kuluttajille ja seurantaevästeiden asettamisessa. Tärkeää on valita oikea peruste alusta lähtien, koska sitä ei voi vaihtaa jälkikäteen ilman käytännön toimenpiteitä.
Kuinka kauan henkilötietoja saa säilyttää?
GDPR ei määrää yksiselitteistä säilytysaikaa, mutta edellyttää säilytyksen minimaalisuusperiaatetta: henkilötietoja saa säilyttää vain niin kauan kuin on käsittelyn tarkoituksen kannalta tarpeen. Säilytysaika on määriteltävä etukäteen ja kirjattava rekisterinpitäjän selosteeseen tai tietosuojaselosteeseen. Poikkeuksen tekevät lakisääteiset velvoitteet, kuten kirjanpitolain mukainen 6–10 vuoden säilytysaika taloushallinnon aineistoille. Vanhentuneita tietoja ei saa jättää passiivisesti järjestelmiin – on luotava automaattiset poistoprosessit tai säännölliset tarkistuskierrokset. Tietojen minimointi on kirjattu GDPR:n 5 artiklaan yhdeksi keskeisimmistä periaatteista.
Voiko käyttää EU:n ulkopuolisia pilvipalveluita GDPR:n kanssa?
Kyllä, mutta edellytykset on täytettävä. Henkilötietojen siirto EU:n ulkopuolelle on laillista, jos kohdemaalla on EU:n tunnustama riittävä suojan taso tai käytössä on asianmukaiset suojatakeet, kuten EU:n standardisopimuslausekkeet (SCC) tai sitovat yritysnormit (BCR). Yhdysvaltojen osalta EU-U.S. Data Privacy Framework tarjoaa siirtomekanismin, jos palveluntarjoaja on rekisteröitynyt kehykseen. Suosittujen palveluiden – kuten AWS, Google Cloud ja Microsoft Azure – DPA-sopimukset sisältävät yleensä tarvittavat mekanismit, mutta asiakkaan on itse varmistettava, että ne on otettu käyttöön ja datakeskusten sijainti on tarkistettu. Kaikkia siirtoja on myös seurattava, kun lainsäädäntö muuttuu.
Mitä eroa on rekisterinpitäjällä ja henkilötietojen käsittelijällä?
Rekisterinpitäjä (controller) on se taho, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Käytännössä se on tyypillisesti yritys itse. Henkilötietojen käsittelijä (processor) käsittelee tietoja rekisterinpitäjän lukuun ja ohjeiden mukaisesti. Esimerkiksi palkanlaskennan ulkoistanut yritys on rekisterinpitäjä, ja palkanlaskentapalvelua tarjoava tilitoimisto on käsittelijä. Näiden välillä on oltava kirjallinen käsittelysopimus (DPA), jossa kuvataan käsittelyn luonne, tarkoitus, kesto ja osapuolten velvollisuudet. Molemmilla on GDPR:n mukaisia velvoitteita, mutta rekisterinpitäjällä on laajempi vastuuasema. Alihankkijan virheistä voi seurata vastuuta myös rekisterinpitäjälle.
Miten GDPR näkyy työnantajan ja työntekijöiden tiedoissa?
Työnantaja käsittelee väistämättä henkilötietoja työsuhteessa: palkanmaksu, verotus, työterveys, kulunvalvonta ja sähköpostiviestit ovat kaikki henkilötietojen käsittelyä. Suomessa työsuhteen henkilötietojen käsittelyyn soveltuu GDPR:n lisäksi laki yksityisyyden suojasta työelämässä (759/2004). Työnantajan on informoitava työntekijöitä käsittelystä selkeällä tietosuojaselosteella. Sähköpostiviestien seuranta ja päätelaitteiden käyttö edellyttävät erityistä tarkkuutta: niistä on neuvoteltava yhteistoimintalain mukaisesti ennen käyttöönottoa. Entisten työntekijöiden tiedot on myös poistettava tarpeettomina asianmukaisen ajan kuluessa työsuhteen päättymisestä.
Aiheeseen liittyvät artikkelit
- Tietosuoja ja GDPR: Käytännön opas
- Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
Lisää aiheesta: lue myös
Syvennä osaamistasi tietosuoja-asioissa tutustumalla näihin itekcms.com:n artikkeleihin:
- Tietosuoja ja GDPR: Käytännön opas – laaja pilariartikkeli tietosuojan perusteista
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
Lähteet
- EUR-Lex: GDPR-asetus 2016/679 – https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=FI
- Euroopan komissio, pk-yritysten tietosuojaohje (suomeksi) – commission.europa.eu
- Euroopan komissio, Your Europe – Yleinen tietosuoja-asetus – europa.eu/youreurope
- EUR-Lex, GDPR-tiivistelmä – eur-lex.europa.eu
- Tietosuojavaltuutetun toimisto (tietosuoja.fi), UKK-GDPR – tietosuoja.fi
- Euroopan tietosuojaneuvosto (EDPB), Opinion 14/2026 on Europrivacy – edpb.europa.eu
- Linklaters, Data Protected Finland 2026 – linklaters.com
- Chambers & Partners, Data Protection & Privacy 2026 – Sweden – practiceguides.chambers.com
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
