Vuonna 2026 henkilötietojen käsittelyä koskeva sääntely elää poikkeuksellisen aktiivista vaihetta Suomessa: tietosuojalakiin on tehty muutos 380/2026, ja valtioneuvoston mukaan lisämuutosten on tarkoitus tulla voimaan syyskuussa 2026 (Valtioneuvosto, 2026). Jokaisella organisaatiolla, joka kerää, tallentaa tai muulla tavoin käsittelee henkilötietoja, on velvollisuus noudattaa sekä EU:n yleistä tietosuoja-asetusta (GDPR) että kansallista tietosuojalakia 1050/2018.
Mikä on henkilötieto ja mitä sen käsittely tarkoittaa?
Henkilötieto on kaikki sellainen tieto, joka voidaan yhdistää tunnistettavaan luonnolliseen henkilöön. Tähän kuuluvat muun muassa nimi, sähköpostiosoite, puhelinnumero, henkilötunnus, sijainti- ja verkkotunnisteet sekä epäsuorat tiedot, joiden avulla henkilö voidaan tunnistaa. Kuntaliitto korostaa, että henkilötietojen käsittely kattaa huomattavan laajan toimintajoukon: tietojen keräämisen, tallentamisen, järjestämisen, jäsentämisen, säilyttämisen, muokkaamisen ja muuttamisen (Kuntaliitto, 2024).
Käytännössä lähes kaikki digitaalinen vuorovaikutus organisaation ja asiakkaan tai työntekijän välillä sisältää jonkin muotoista henkilötietojen käsittelyä. Verkkolomake, sähköpostiviesti, kirjautumisloki tai CRM-järjestelmä ovat kaikki esimerkkejä tilanteista, joissa laki astuu voimaan.
Lainsäädännön rakenne: GDPR ja tietosuojalaki 1050/2018
Henkilötietojen käsittelyn juridinen perusta Suomessa rakentuu kahdesta kerroksesta. Ensimmäisen muodostaa EU:n yleinen tietosuoja-asetus (GDPR, asetus 2016/679), joka on suoraan sovellettavaa oikeutta kaikissa jäsenvaltioissa ilman erillistä kansallista täytäntöönpanoa. Toisen kerroksen muodostaa kansallinen tietosuojalaki 1050/2018, joka täsmentää ja täydentää GDPR:ää erityisesti niissä kohdissa, joissa asetus jättää kansallista liikkumavaraa.
Tietosuojalain keskeinen tehtävä on säätää valvontaviranomaisen, eli tietosuojavaltuutetun, nimittämisestä, organisaatiosta ja toimivaltuuksista. Lisäksi laki sisältää kansallisia erityissäännöksiä muun muassa sananvapauden, tieteellisen tutkimuksen ja journalismin alalta. Tietosuojavaltuutetun toimiston mukaan laki ei korvaa GDPR:ää, vaan toimii sen rinnalla (tietosuoja.fi, 2026).
Vuonna 2026 tätä kehikkoa on täydennetty kahdella merkittävällä muutoksella. Lakimuutos 380/2026 julkaistiin Suomen säädöskokoelmassa, ja lisäksi valtioneuvosto on esittänyt tietosuojalainsäädäntöön laajempia muutoksia, joiden on tarkoitus tulla voimaan syyskuussa 2026 (Valtioneuvosto, 2026). Nämä muutokset liittyvät oikeusministeriön hankkeeseen OM015:00/2025, jossa tarkastellaan tietosuojalainsäädännön kokonaisuudistusta.
Kuusi oikeusperustetta: milloin henkilötietoja saa käsitellä?
GDPR kieltää henkilötietojen käsittelyn, ellei sille ole vähintään yhtä laillista perustetta. Tietosuojavaltuutetun toimiston mukaan perusteita on kuusi, ja rekisterinpitäjän on tunnistettava oikea peruste ennen käsittelyn aloittamista (tietosuoja.fi/kasittelyperusteet, 2026).
| Oikeusperuste | Milloin soveltuu? | Esimerkki |
|---|---|---|
| Suostumus | Rekisteröity antaa vapaaehtoisen, yksilöidyn ja tietoisen suostumuksen | Uutiskirjeen tilaaminen |
| Sopimus | Käsittely on tarpeen sopimuksen täyttämiseksi | Verkkokaupan toimitus asiakkaalle |
| Lakisääteinen velvoite | Rekisterinpitäjällä on laillinen velvollisuus käsitellä tietoja | Kirjanpito, verotus |
| Elintärkeiden etujen suojaaminen | Käsittely on välttämätöntä hengen pelastamiseksi | Hätätilanteen ensihoito |
| Yleinen etu tai julkinen valta | Käsittely tapahtuu viranomaisen toimivaltuuksien puitteissa | Väestörekisterin ylläpito |
| Oikeutettu etu | Rekisterinpitäjän tai kolmannen osapuolen etu ylittää rekisteröidyn edun | Petosten torjunta |
Suostumus on näistä perusteista se, johon yritykset herkimmin turvautuvat, mutta samalla se on myös vaativin. Suostumuksen on oltava vapaaehtoinen: rekisteröidyllä on aina oltava aito valinnanmahdollisuus ilman negatiivisia seurauksia kieltäytymisestä. Pelkkä ennalta täytetty valintaruutu tai hiljainen hyväksyntä ei täytä GDPR:n vaatimuksia.
Arkaluonteiset tiedot: erityinen suoja erityisille tiedoille
GDPR:ssä on erillinen kategoria niin kutsutuille erityisille henkilötietoryhmille. Näiden tietojen käsittely on lähtökohtaisesti kielletty, koska niiden väärinkäyttö voi aiheuttaa vakavaa haittaa rekisteröidylle. Erityisiin kategorioihin kuuluvat:
- rotu tai etninen alkuperä
- poliittiset mielipiteet
- uskonnollinen tai filosofinen vakaumus
- ammattiliiton jäsenyys
- terveyttä koskevat tiedot
- geneettinen ja biometrinen data
- seksuaalinen suuntautuminen
Käsittely on silti mahdollista tietyissä poikkeustapauksissa. Terveydenhuollon ammattilainen voi käsitellä potilaan terveystietoja hoidon antamiseksi. Työnantaja voi käsitellä työntekijöiden ammattiliiton jäsenyyttä palkanlaskennan lakisääteisten velvoitteiden täyttämiseksi. Tieteellisessä tutkimuksessa voidaan käsitellä myös arkaluonteisia tietoja, kun tutkimukselle on eettinen lupa ja käsittely on asianmukaisesti suojattu (Pirha, 2026).
Henkilötunnuksen käsittelyä koskevat Suomessa omat, tietosuojalaissa säädetyt erityisohjeet. Henkilötunnus on yksilöivänä tunnisteena erittäin herkkä tieto, ja sen käsittely edellyttää joko rekisteröidyn suostumusta tai lakisääteistä perustetta.
Rekisteröidyn oikeudet: käytännön velvollisuudet organisaatiolle
GDPR takaa rekisteröidyille laajan oikeusjoukon, joiden toteuttaminen on rekisterinpitäjän vastuulla. Oikeuksien toteuttamisessa on noudatettava tiukkoja määräaikoja: pääsääntöisesti pyyntöihin on vastattava kuukauden kuluessa, ja poikkeuksellisen monimutkaisissa tilanteissa enintään kolmen kuukauden kuluessa.
| Oikeus | Sisältö | Vastausaika |
|---|---|---|
| Tarkastusoikeus | Rekisteröidyllä on oikeus saada tieto siitä, käsitelläänkö hänen tietojaan (Korkein oikeus, 2026) | 1 kk (max 3 kk) |
| Oikaisuoikeus | Virheelliset tai puutteelliset tiedot on korjattava ilman aiheetonta viivytystä | Ilman aiheetonta viivytystä |
| Oikeus tulla unohdetuksi | Rekisteröity voi pyytää tietojensa poistamista tietyissä tilanteissa | Ilman aiheetonta viivytystä |
| Käsittelyn rajoittaminen | Käsittely voidaan rajoittaa esimerkiksi tietojen oikeellisuuden riitauttamisen ajaksi | Ilman aiheetonta viivytystä |
| Tiedon siirrettävyys | Rekisteröidyllä on oikeus saada tietonsa koneluettavassa muodossa | 1 kk (max 3 kk) |
| Vastustamisoikeus | Rekisteröity voi vastustaa tietojensa käsittelyä oikeutetun edun perusteella | Ilman aiheetonta viivytystä |
Tarkastusoikeus on näistä se, jota rekisteröidyt käyttävät eniten. Korkeimman oikeuden tietosuojasivun mukaan jokaisella on oikeus saada rekisterinpitäjältä tieto siitä, käsitelläänkö hänen henkilötietojaan (Korkein oikeus, 2026). Pyyntö voi olla muodoltaan vapaa, eikä rekisteröidyn tarvitse perustella pyyntöään.
Henkilötietoja saa säilyttää tunnistettavassa muodossa vain niin kauan kuin se on tarpeen käsittelyn tarkoitusten toteuttamiseksi – ei päivääkään kauemmin.
Käytännön velvollisuudet rekisterinpitäjälle
Lain noudattaminen ei ole pelkkä passiivinen tila, vaan aktiivinen, jatkuva prosessi. Rekisterinpitäjän keskeisiin velvollisuuksiin kuuluu useita konkreettisia toimenpiteitä, jotka on toteutettava ennen henkilötietojen käsittelyn aloittamista ja sen aikana.
Seloste käsittelytoimista on GDPR:n 30 artiklan mukainen sisäinen dokumentti, johon kirjataan kaikki organisaation käsittelytoimet. Asiakirjaan merkitään käsittelyn tarkoitus, tietoluokat, rekisteröityjen ryhmät, vastaanottajat ja säilytysajat. Alle 250 henkilön yritykset on vapautettu osittain tästä velvoitteesta, mutta poikkeus on kapea.
Tietosuojavastaava (DPO) on nimettävä tietyissä organisaatioissa. Velvoite koskee kaikkia viranomaisia, organisaatioita, joiden ydintehtävät vaativat laajamittaista rekisteröityjen seurantaa, sekä tahoja, jotka käsittelevät suuressa mittakaavassa arkaluonteisia tietoja. DPO:n rooli on neuvova ja valvova, ei operatiivinen.
Tietosuoja sisäänrakennettuna (privacy by design) tarkoittaa, että tietosuojaan liittyvät tekniset ja organisatoriset toimenpiteet otetaan huomioon jo järjestelmien suunnitteluvaiheessa. Tähän liittyy myös tietosuoja oletusasetuksena (privacy by default): oletusarvoisesti käsitellään vain ne tiedot, jotka ovat välttämättömiä kulloisenkin tarkoituksen kannalta. Lisätietoa tietosuojan teknisestä toteuttamisesta löydät myös GDPR:n käytännön oppaastamme.
Toimialakohtaiset erityislait ja niiden vaikutus
GDPR ja tietosuojalaki eivät kata kaikkea yksinään. Henkilötietojen käsittelyä täydentävät useilla toimialoilla omat erityislait, jotka asettavat joko tiukempia tai sovellusalaltaan rajatumpia vaatimuksia. Suomessa keskeisiä erityislakeja ovat muun muassa:
- Laki yksityisyyden suojasta työelämässä – sääntelee työnantajan oikeutta kerätä ja käsitellä työntekijöiden henkilötietoja
- Laki henkilötietojen käsittelystä Tullissa 650/2019 – koskee tulliviranomaisen erityisiä käsittelytoimia (Edilex, 2019)
- Potilasrekisterilaki – sääntelee terveydenhuollon potilasasiakirjojen käsittelyä
- Rikosasioiden tietosuojalaki – kattaa poliisin ja syyttäjien käsittelytoimet rikosasioissa
Toimialakohtainen lainsäädäntö on erityisen tärkeää terveydenhuollossa, rahoitusalalla sekä julkishallinnossa. Näillä sektoreilla GDPR:n rinnalla sovelletaan usein tiukempaa kansallista sääntelyä, jota GDPR:n yleissäännökset eivät syrjäytä. Esimerkiksi terveydenhuollossa potilastietojen käsittelyllä on omat, kansallisessa laissa säädetyt suojaustasot ja lokitusvelvoitteet.
Digitaalisen turvallisuuden näkökulmasta henkilötietojen käsittely kytkeytyy myös kyberturvallisuuteen. Aiheesta löydät lisää sivustoltamme: Tietosuoja Suomessa 2026 – GDPR:n käytännön vaikutukset.
Suostumuksen elinkaari: miten se myönnetään ja peruutetaan
Suostumus on tietosuojakeskustelun ehkä tunnetuin käsite, mutta samalla yksi virheellisimmin ymmärretyistä. Se ei ole kertaluonteinen tapahtuma, vaan dynaaminen, jatkuvasti hallittava suhde rekisterinpitäjän ja rekisteröidyn välillä.
Laillinen suostumus täyttää kaikki seuraavat ehdot: se on vapaaehtoinen (ei pakkotilanne tai ehtona palvelun saamiselle), yksilöity (koskee tiettyä käsittelytarkoitusta), tietoinen (rekisteröidylle on kerrottu selkeästi, mistä on kyse) ja yksiselitteinen (vaatii selkeän myönteisen toimen, esimerkiksi valintaruudun klikkaamisen).
Suostumus voidaan peruuttaa milloin tahansa, ja tästä oikeudesta on kerrottava rekisteröidylle ennen suostumuksen antamista. Pirhan tutkimustietosuojaa koskevan sivuston mukaan suostumuksen peruuttamisen jälkeen henkilötietoja ei pääsääntöisesti saa enää käsitellä, ellei käsittelylle ole muuta lainmukaista perustetta (Pirha, 2026). Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen.
Alaikäisten suostumus on erityinen kysymys. Suomessa alle 13-vuotiaan lapsen osalta tarvitaan huoltajan suostumus tai valtuutus tietoyhteiskunnan palveluissa. Yli 13-vuotias voi antaa suostumuksen itse (Lexia, 2018). Tämä eroaa joitakin EU:n jäsenvaltioita, joissa ikäraja on 16 vuotta.
Tietojen säilyttäminen ja minimointiperiaate
Yksi GDPR:n keskeisimmistä periaatteista on tietojen minimointi: käsiteltävien tietojen on oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeen käsittelyn tarkoitusten kannalta. Tämä koskee sekä kerättävien tietojen laajuutta että niiden säilytysaikaa.
Säilyttämisen rajoittaminen tarkoittaa, että henkilötietoja saa pitää tunnistettavassa muodossa vain niin kauan kuin se on tarpeellista. Konkreettisesti tämä tarkoittaa, että organisaation on määriteltävä kullekin tietoluokalle säilytysaika ja toteutettava mekanismit sen automaattiseen noudattamiseen.
Käytännön haasteena on, että säilytysajat voivat vaihdella merkittävästi: kirjanpitoaineisto on säilytettävä lain mukaan useita vuosia, kun taas verkkosivuston analytiikkaevästeiden keräämä data voi vanhentua huomattavasti nopeammin. Rekisterinpitäjän tehtävänä on rakentaa sisäiset prosessit, joilla näitä aikatauluja hallitaan systemaattisesti.
Tietosuoja ei ole kertaluonteinen projekti, vaan jatkuva johtamisprosessi – ja sen laiminlyönnistä voi seurata hallinnollisia sakkoja, joiden enimmäismäärä on 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta.
Valvonta ja seuraamukset: tietosuojavaltuutetun rooli
Suomessa tietosuojavaltuutetun toimisto valvoo GDPR:n ja tietosuojalain noudattamista. Valtuutetulla on laajat toimivaltuudet: se voi antaa varoituksia, huomautuksia ja sitovia ohjeita, määrätä käsittely keskeytettäväksi sekä esittää hallinnollisia sakkoja (tietosuoja.fi/lainsaadanto, 2026).
Hallinnolliset sakot jakautuvat GDPR:ssä kahteen tasoon. Lievemmissä rikkomuksissa, kuten rekisteröidyn oikeuksien laiminlyönnissä tai dokumentaatiovelvoitteiden rikkomisessa, sakko voi olla enintään 10 miljoonaa euroa tai 2 % liikevaihdosta. Vakavimmissa rikkomuksissa, kuten laittomassa käsittelyssä tai siirroissa kolmansiin maihin ilman asianmukaisia suojatoimia, enimmäismäärä on 20 miljoonaa euroa tai 4 % liikevaihdosta.
Rekisteröidyllä on oikeus tehdä kantelu tietosuojavaltuutetulle, jos hän katsoo, että hänen oikeuksiaan on loukattu. Suomessa kantelun voi tehdä tietosuojavaltuutetun toimiston verkkosivujen kautta. Lisätietoa GDPR-vaatimuksista ja yleisimmistä rikkomuksista löydät artikkelista GDPR-vaatimukset yrityksille 2026.
Kansainväliset tiedonsiirrot kolmansiin maihin
Henkilötietojen siirtäminen EU:n tai ETA-alueen ulkopuolelle on sallittua vain tietyillä edellytyksillä. EU:n komissio voi antaa ns. riittävyystoteamuksen jollekin maalle, jolloin tiedonsiirto siihen on yhtä vapaata kuin EU:n sisäiset siirrot. Yhdysvaltoihin tiedonsiirto on mahdollista EU-US Data Privacy Framework -mekanismin nojalla, jonka komissio hyväksyi vuonna 2023.
Riittävyystoteamuksen puuttuessa rekisterinpitäjä voi käyttää vakiosopimuslausekkeita (Standard Contractual Clauses, SCC), joita komissio päivitti viimeksi vuonna 2021. Toinen vaihtoehto ovat sitovat yritysnormit (Binding Corporate Rules, BCR), jotka soveltuvat ennen kaikkea kansainvälisten konsernien sisäisiin tiedonsiirtoihin.
Pilvipalveluiden yleistyminen on tehnyt kansainvälisistä tiedonsiirroista arkipäiväinen kysymys lähes kaikille organisaatioille. Suomalainen yritys, joka käyttää esimerkiksi Microsoft Azure-, Google Cloud- tai Amazon Web Services -palveluja, osallistuu väistämättä henkilötietojen kansainväliseen siirtoon. Palveluntarjoajien tietosuojaehdot ja DPA-sopimukset (Data Processing Agreement) on tarkistettava huolella. Tietoturvan ja pilvipalveluiden yhtymäkohtia käsitellään myös SASE-ratkaisuja koskevassa artikkelissamme.
Aiheeseen liittyvät artikkelit
- Tietosuoja ja GDPR: Käytännön opas
- GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
- Tietosuojaseloste 2026: malli, rakenne ja tyypilliset virheet
- Tietoturvaloukkaus ja ilmoitusvelvollisuus: 72 tunnin sääntö käytännössä
UKK – Usein kysytyt kysymykset
Mikä laki säätelee henkilötietojen käsittelyä Suomessa?
Henkilötietojen käsittelyä säätelee Suomessa ensisijaisesti EU:n yleinen tietosuoja-asetus (GDPR, asetus 2016/679), joka on suoraan sovellettavaa oikeutta kaikissa jäsenvaltioissa. GDPR:n rinnalla sovelletaan kansallista tietosuojalakia 1050/2018, joka täsmentää ja täydentää asetuksen soveltamista erityisesti niissä kohdissa, joissa EU:n säädös jättää kansallista liikkumavaraa. Lisäksi useilla toimialoilla sovelletaan omia erityislakeja, kuten lakia yksityisyyden suojasta työelämässä tai lakia henkilötietojen käsittelystä Tullissa. Vuonna 2026 tietosuojalakiin on tehty muutos 380/2026 ja lisämuutoksia on tulossa syyskuussa 2026 valtioneuvoston ilmoituksen mukaan.
Tarvitaanko henkilötietojen käsittelyyn aina suostumus?
Ei. GDPR:ssä on kuusi eri oikeusperustetta, joista suostumus on vain yksi. Muita lainmukaisia perusteita ovat sopimus (esimerkiksi verkkokauppatilauksen toimittaminen), lakisääteinen velvoite (kuten kirjanpito tai verotus), elintärkeiden etujen suojaaminen, yleistä etua koskeva tehtävä tai julkinen valta sekä rekisterinpitäjän tai kolmannen osapuolen oikeutettu etu. Rekisterinpitäjän on valittava soveltuvin peruste ennen käsittelyn aloittamista ja se on dokumentoitava. Perusteen vaihtaminen jälkikäteen ei ole sallittua, joten valinta on tehtävä huolella. Tietosuojavaltuutetun toimiston sivut tarjoavat hyvän lähtöpisteen oikeusperusteittain (tietosuoja.fi/kasittelyperusteet).
Kuinka kauan henkilötietoja saa säilyttää?
GDPR:n säilyttämisen rajoittamisen periaatteen mukaan henkilötietoja saa pitää tunnistettavassa muodossa vain niin kauan kuin se on tarpeen käsittelyn tarkoitusten toteuttamiseksi. Tarkkaa enimmäisaikaa ei ole universaalisti säädetty, vaan se vaihtelee käsittelyn tarkoituksen ja sovellettavan lainsäädännön mukaan. Kirjanpitoaineistoa on pidettävä useita vuosia kirjanpitolain nojalla, kun taas markkinointirekistereille ei ole vastaavaa pakollista säilytysaikaa. Organisaation on dokumentoitava eri tietoluokkien säilytysajat ja toteutettava mekanismit niiden automaattiseksi noudattamiseksi. Säilytysaikojen ylittyessä tiedot on poistettava tai anonymisoitava siten, ettei henkilöä voida enää tunnistaa.
Kuka valvoo tietosuojaa Suomessa ja mitä seurauksia rikkomuksista voi olla?
Tietosuojan valvontaviranomainen Suomessa on tietosuojavaltuutetun toimisto. Sillä on laajat toimivaltuudet: se voi antaa varoituksia, huomautuksia ja sitovia ohjeita, määrätä käsittelyn keskeyttämisestä sekä esittää hallinnollisia sakkoja. Sakot jakautuvat kahteen tasoon: lievemmissä rikkomuksissa enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta, vakavimmissa rikkomuksissa enintään 20 miljoonaa euroa tai 4 % liikevaihdosta. Rekisteröity voi tehdä tietosuojavaltuutetulle kantelun, jos hän katsoo oikeuksiaan loukatun. Sanktioita arvioitaessa otetaan huomioon rikkomuksen vakavuus, tahallisuus sekä organisaation toiminta loukkauksen havaitsemisen jälkeen.
Voiko rekisteröity peruuttaa suostumuksensa?
Kyllä. Suostumus voidaan peruuttaa milloin tahansa, ja rekisteröidylle on kerrottava tästä oikeudesta ennen suostumuksen antamista. Peruuttaminen ei vaikuta taannehtivasti ennen peruutusta suoritetun käsittelyn lainmukaisuuteen. Suostumuksen peruuttamisen jälkeen henkilötietoja ei pääsääntöisesti saa enää käsitellä, ellei käsittelylle ole muuta lainmukaista perustetta. Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen: jos suostumus on annettu klikkaamalla painiketta, myös peruuttamisen on onnistuttava yhtä yksinkertaisella tavalla. Tieteellisessä tutkimuksessa suostumuksen peruuttaminen on erityinen tilanne, josta säädetään erikseen (Pirha, 2026).
Mitä tarkoittaa tietosuoja sisäänrakennettuna (privacy by design)?
Tietosuoja sisäänrakennettuna tarkoittaa, että yksityisyyden suoja otetaan huomioon jo järjestelmien, prosessien ja palveluiden suunnitteluvaiheessa, ei jälkikäteen lisättynä ominaisuutena. GDPR:n 25 artiklan mukaan rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietosuojaperiaatteiden täytäntöönpanemiseksi tehokkaasti. Tähän liittyy myös tietosuoja oletusasetuksena: oletuksena käsitellään vain välttämättömät tiedot eikä laajempia tietoja ilman rekisteröidyn erillistä valintaa. Käytännössä tämä tarkoittaa esimerkiksi sitä, että uuden sovelluksen suunnittelussa arvioidaan heti alussa, mitä tietoja tarvitaan, kuinka pitkään niitä säilytetään ja miten ne suojataan.
Onko pienillä yrityksillä kevennettyjä velvoitteita?
GDPR:ssä on joitakin kevennyksiä pienille organisaatioille, mutta ne ovat suppeita. Alle 250 henkilön yritykset on vapautettu osittain käsittelytoimien selosteesta: se on pidettävä vain, jos käsittely on säännöllistä, voi aiheuttaa riskin rekisteröidyille tai koskee erityisiä henkilötietoryhmiä. Muutoin GDPR:n velvoitteet koskevat kaikkia rekisterinpitäjiä koosta riippumatta. Tietosuojavastaavan nimittämisvelvollisuus taas ei koske kaikkia yrityksiä, vaan ainoastaan tiettyjä, lain määrittelemiä toimintoja harjoittavia organisaatioita. Pienetkin yritykset tarvitsevat kuitenkin selkeän käsittelyperusteen ja tietosuojaselosteen verkkosivuillaan.
Miten arkaluonteisia tietoja, kuten terveystietoja, saa käsitellä?
Arkaluonteisten tietojen, kuten terveys-, geneettisten tai biometristen tietojen, käsittely on GDPR:n mukaan lähtökohtaisesti kielletty. Käsittely on kuitenkin mahdollista tietyissä poikkeustapauksissa: rekisteröidyn nimenomainen suostumus, työ- tai sosiaalioikeuden velvoitteet, elintärkeiden etujen suojaaminen, laillinen toiminta (esimerkiksi poliittiset järjestöt), terveydenhuollon tai sosiaaliturvan tarjoaminen ammattilaisen toimesta tai tieteellinen tutkimus asianmukaisin suojatoimenpitein. Tieteellisessä tutkimuksessa suostumuksen peruuttaminen on erityinen kysymys, jota Pirha-sairaanhoitopiirin ohjeistus käsittelee yksityiskohtaisesti. Terveystietoihin liittyy usein myös kansallisia erityissäädöksiä terveydenhuoltolaissa ja potilasasiakirja-asetuksessa.
Lähteet
- Tietosuojavaltuutetun toimisto: Tietosuojalaki – https://tietosuoja.fi/tietosuojalaki
- Tietosuojavaltuutetun toimisto: Henkilötietojen käsittelyperusteet – https://tietosuoja.fi/kasittelyperusteet
- Tietosuojavaltuutetun toimisto: Lainsäädäntöä – https://tietosuoja.fi/lainsaadanto
- Valtioneuvosto: Tietosuojalainsäädäntöön esitetään muutoksia (2026) – https://valtioneuvosto.fi/-/1410853/tietosuojalainsaadantoon-esitetaan-muutoksia
- Finlex: Laki tietosuojalain muuttamisesta 380/2026 – https://www.finlex.fi/fi/lainsaadanto/saadoskokoelma/2026/380
- Korkein oikeus: Tietosuoja (2026) – https://www.korkeinoikeus.fi/oikeudenkaynti-ja-asiointi-kkossa/tietosuoja/
- Kuntaliitto: Henkilötietojen käsittely kunnassa (2024) – https://www.kuntaliitto.fi/laki/julkisuus-ja-tietosuoja/henkilotietojen-kasittely-kunnassa
- Pirha: Henkilötietojen käsittely tieteellisessä tutkimuksessa (2026) – https://pirha.fi/ammattilaiselle/tutkimus/tutkimuksen-hallinnointi/tutkimuksen-tietosuoja-gdpr-/henkilotietojen-kasittely-tieteellisessa-tutkimuksessa
- Finlex: Tietosuojalaki 1050/2018 (englanninkielinen käännös) – https://www.finlex.fi/api/media/statute-foreign-language-translation/687709/mainPdf/main.pdf
- Lexia: Uusi kansallinen tietosuojalaki tarkentaa henkilötietojen käsittelyyn liittyviä ohjeistuksia (2018) – https://www.lexia.fi/fi/uusi-kansallinen-tietosuojalaki/
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
