Tietosuoja ja GDPR: Käytännön opas

Suomessa kirjattiin vuonna 2025 ennätysmäärä tietosuoja-asioita: Tietosuojavaltuutetun toimistoon tuli yhteensä 15 408 asiaa, joista 7 355 oli tietoturvaloukkausilmoituksia. Samaan aikaan Eurostatin mukaan 92,6 prosenttia suomalaisista internetin käyttäjistä suojasi aktiivisesti omia tietojaan vuonna 2025 – EU:n korkein osuus. Tietosuoja on siis sekä yksilön oikeus että organisaation velvollisuus, ja sen merkitys kasvaa joka vuosi.

Mitä tietosuoja tarkoittaa – ja miksi se koskee jokaista?

Tietosuoja tarkoittaa jokaisen ihmisen oikeutta hallita omia henkilötietojaan. Se koskee kaikkia tietoja, joiden perusteella henkilö voidaan tunnistaa suoraan tai epäsuorasti: nimi, sähköpostiosoite, IP-osoite, sijaintitieto, biometriset tiedot tai terveystiedot. EU:n yleinen tietosuoja-asetus, jota yleisesti kutsutaan nimellä GDPR (General Data Protection Regulation), yhtenäisti eurooppalaisen tietosuojasääntelyn vuodesta 2018 alkaen.

Suomessa tietosuojalaki täydentää GDPR:ää kansallisella tasolla. Tietosuojavaltuutetun toimiston selvityksen mukaan 66 prosenttia suomalaisista on kuullut tietosuoja-asetuksesta, mutta vain 35 prosenttia tietää tarkalleen, mitä se tarkoittaa. Tietoisuus on siis melko hyvällä tasolla, mutta käytännön ymmärrys jää monilta puuttumaan.

Käytännössä tietosuoja näkyy arjessa joka puolella: verkkosivujen evästebannereissa, mobiilisovellusten luvissa, lääkärikäynnin potilastiedoissa ja työnantajan keräämissä henkilöstötiedoissa. Tietosuoja ei ole vain IT-osastolla käsiteltävä tekninen kysymys – se koskee liiketoiminnan jokaista osa-aluetta. Siksi sen ymmärtäminen on välttämätöntä niin yrityksille kuin yksityishenkilöillekin.

GDPR lyhyesti – EU:n tietosuoja-asetus rekisterinpitäjän näkökulmasta

GDPR tuli sovellettavaksi 25. toukokuuta 2018 ja korvasi vuoden 1995 EU-tietosuojadirektiivin. Asetus velvoittaa kaikkia organisaatioita, jotka käsittelevät EU-kansalaisten henkilötietoja riippumatta siitä, missä organisaatio itse sijaitsee. Tämä tarkoittaa, että myös yhdysvaltalaisilla tai aasialaisilla yrityksillä on GDPR-velvoitteita, jos ne palvelevat eurooppalaisia asiakkaita.

GDPR jakaa vastuun kahteen päärooliin: rekisterinpitäjä (controller) on se, joka määrittää, miksi ja miten henkilötietoja käsitellään. Henkilötietojen käsittelijä (processor) taas käsittelee tietoja rekisterinpitäjän puolesta. Esimerkiksi pilvipalveluntarjoaja voi toimia käsittelijänä, kun taas asiakasyritys on rekisterinpitäjä. Molemmilla on omat lakisääteiset velvoitteensa.

Euroopan komissio arvioi GDPR:n toimivuutta vuonna 2024 (COM(2024)357) ja totesi asetuksen olevan kokonaisuudessaan toimiva, mutta maiden välisessä täytäntöönpanossa on edelleen eroja. Arviointi toimii pohjana mahdollisille tuleville tarkennuksille ja tiukennuksille.

GDPR:n kuusi käsittelyperuste

Henkilötietojen käsittely on lainmukaista vain silloin, kun se perustuu johonkin seuraavista oikeudellisista perusteista:

Rekisteröidyn oikeudet – mitä sinulla on oikeus vaatia?

GDPR antaa rekisteröidyille eli henkilöille, joiden tietoja käsitellään, laajan joukon oikeuksia. Nämä oikeudet ovat keskeisiä tietosuojan käytännön toteutumisen kannalta, ja niiden laiminlyöminen on yksi yleisimmistä syistä GDPR-valituksiin.

Oikeus tarkastaa omat tietonsa on perusoikeus: jokaisella on oikeus saada tieto siitä, mitä tietoja organisaatio hänestä käsittelee. Oikeus tietojen poistamiseen eli ”oikeus tulla unohdetuksi” on myös vahva: rekisterinpitäjän on poistettava tiedot, jos niiden käsittelylle ei enää ole perustetta. Lisäksi rekisteröidyllä on oikeus siirtää tietonsa toiselle palveluntarjoajalle (tiedon siirrettävyys), oikeus rajoittaa käsittelyä sekä oikeus vastustaa tiettyjä käsittelytoimia.

Käytännössä nämä oikeudet toteutetaan lähettämällä kirjallinen pyyntö organisaatiolle. Rekisterinpitäjällä on lähtökohtaisesti yksi kuukausi aikaa vastata pyyntöön. Tietosuojavaltuutetun toimiston vuoden 2025 toimintakertomuksen mukaan kantelujen ja tiedustelujen määrä kasvaa jatkuvasti, mikä kertoo rekisteröityjen lisääntyvästä tietoisuudesta omista oikeuksistaan.

Tietosuoja ei ole vain tekninen tai juridinen vaatimus – se on luottamuksen perusta organisaation ja sen asiakkaiden välillä.

Tietoturvaloukkaukset ja niiden ilmoittaminen Suomessa

Tietoturvaloukkaus on GDPR:ssä määritelty tapahtuma, joka johtaa henkilötietojen vahingossa tai laittomasti tapahtuvaan tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai niihin pääsyyn. Loukkauksesta on ilmoitettava Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun rekisterinpitäjä on saanut sen tietoonsa – ellei loukkaus todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille.

Suomessa tietoturvaloukkausilmoitusten määrä on kasvanut tasaisesti. Tietosuojavaltuutetun toimiston 2025 toimintakertomus osoittaa, että loukkausilmoituksia tuli 7 355 kappaletta – noin 200 enemmän kuin edellisenä vuonna. Pohjoismaisen vertailun mukaan DLA Piperin raportissa Suomessa oli yhteensä 10 356 raportoitua loukkausta kansainvälisessä vertailussa, mikä sijoitti Suomen pohjoismaisen vertailun kärkipäähän. Tanskassa loukkauksista ilmoitettiin 18 938 ja Ruotsissa 12 241 kappaletta.

Kyberturvallisuus ja tietosuoja kytkeytyvät toisiinsa kiinteästi. Traficomin Kyberturvallisuuskeskuksen Kybersää-raportin mukaan tammikuussa 2026 käsiteltiin 1 183 tapausta. DNV:n Nordic Cyber Resilience 2026 -raportti puolestaan osoittaa, että Suomeen kohdistui 44 merkittävää kyberhäiriötä vuonna 2025, ja koko Pohjoismaisella alueella häiriöitä kirjattiin yhteensä 166. Kyberiskut ovat suora uhka henkilötietojen turvallisuudelle. Lisää kyberturvallisuuden ja tietosuojan välisestä yhteydestä löydät artikkelista Blockchain ja kyberturvallisuus: suojaako hajautus datasi oikeasti?

Tietosuoja Pohjoismaisessa vertailussa – missä Suomi sijoittuu?

Pohjoismaat ovat eurooppalaisen tietosuojan etujoukkoja sekä lainsäädännön noudattamisen että kansalaisten oman suojauskäyttäytymisen osalta. Silti maiden välillä on eroja niin loukkausilmoitusten määrässä kuin valvontaviranomaisten resursoinnissakin.

Suomessa tietosuojasakkoja on määrätty toistaiseksi suhteellisen maltillisesti. DLA Piperin raportin mukaan sakkojen kokonaismäärä Suomessa on ollut 207 500 euroa, mikä on vaatimaton luku verrattuna esimerkiksi Irlannin tai Italian sakkosummiin. Tämä ei kuitenkaan tarkoita, etteikö valvontaa harjoiteta – pikemminkin se kertoo neuvottelevan ja ohjaavan valvontamallin suosimisesta.

Tietosuojaan liittyvät kysymykset koskettavat myös teknologiaa laajemmin. Jos käytät yrityksessäsi esimerkiksi Microsoft Copilot Chat -palvelua, on tärkeää varmistaa, miten tekoälytyökalut käsittelevät henkilötietoja GDPR:n puitteissa. Samoin yritys-VPN-ratkaisut ovat keskeisiä osa tietosuojainfrastruktuuria.

Tietosuoja eri toimialoilla – erityisvaatimukset ja haasteet

Eri toimialoilla on GDPR:n yleisvelvoitteiden lisäksi omia erityisvaatimuksiaan. Terveydenhuolto käsittelee erityisen arkaluonteisia tietoja, joille on GDPR:ssä asetettu tiukemmat käsittelyvaatimukset. Potilastietoihin sovelletaan sekä GDPR:ää että kansallista sosiaali- ja terveydenhuollon lainsäädäntöä.

Henkilöstöhallinnossa työnantajalla on oikeus käsitellä työsuhteen edellyttämiä tietoja, mutta tarkoitussidonnaisuusperiaate rajoittaa käsittelyn laajuuden. Markkinoinnissa suostumusten hallinta on kriittistä: sähköpostimarkkinointi edellyttää selkeää suostumusta, ja suostumukset on pystyttävä todistamaan jälkikäteen. Teknologia-alalla erityisesti tekoälysovellusten kehitys asettaa uusia haasteita tietosuojalle, kun algoritmit oppivat käyttäjien datasta.

Tietosuoja-asioiden laiminlyönti ei ole vain juridinen riski – se on myös maine- ja liiketoimintariski, jonka seuraukset voivat kestää vuosia.

IoT-laitteet ovat kasvava tietosuojahaaste. Kodin älylaitteet, kuten Tuya Smart -ekosysteemin laitteet, keräävät jatkuvasti tietoa käyttäjistä ja kodin tapahtumista. Näiden laitteiden tiedonkäsittely on tärkeää selvittää ennen hankintaa erityisesti siitä, minne data tallennetaan ja kenen palvelimille se päätyy.

Tietosuojan historia ja GDPR:n kehitys

Tietosuojan juuret ulottuvat 1970-luvulle. Ruotsi sääti ensimmäisen kansallisen tietosuojalain jo vuonna 1973, ja Suomessa henkilörekisterilaki tuli voimaan vuonna 1988. Euroopan neuvosto hyväksyi tietosuojayleissopimuksen (ETS 108) vuonna 1981, mikä loi pohjan myöhemmälle EU-säätelylle.

EU:n tietosuojadirektiivi astui voimaan vuonna 1995, mutta sen täytäntöönpano vaihteli maittain merkittävästi. Digitalisaation edetessä nopeammin kuin lainsäädäntö pystyi seuraamaan, tuli selväksi, että yhtenäisempää sääntelykehikkoa tarvittiin. Erityisesti sosiaalinen media, pilvipalvelut ja suurten teknologiayritysten tiedonkeruu 2000-luvulla osoitti vanhan direktiivin riittämättömyyden.

GDPR hyväksyttiin huhtikuussa 2016 ja tuli sovellettavaksi toukokuussa 2018 kahden vuoden siirtymäajan jälkeen. Suomen kansallinen tietosuojalaki tuli voimaan tammikuussa 2019, ja se täsmensi tiettyjä GDPR:n kansallisia liikkumavaroja, kuten ikärajoissa lasten suostumuksessa ja arkaluonteisten tietojen käsittelyssä.

Käytännön tietosuojatyö organisaatiossa – mitä vaaditaan?

GDPR velvoittaa organisaatioita konkreettisiin toimenpiteisiin. Seloste käsittelytoimista (Records of Processing Activities, ROPA) on pakollinen kaikille organisaatioille, joilla on vähintään 250 työntekijää tai jotka käsittelevät arkaluonteisia tietoja säännöllisesti. Selosteessa kuvataan kaikki käsittelytoimet, niiden tarkoitukset, oikeusperuste ja tietojen säilytysajat.

Tietosuojavastaava (Data Protection Officer, DPO) on nimettävä, kun organisaatio on viranomainen, käsittelee laajamittaisesti arkaluonteisia tietoja tai seuraa rekisteröityjä järjestelmällisesti laajamittaisesti. DPO toimii yhteyshenkilönä valvontaviranomaiseen ja vastaa tietosuojanoudattamisen seurannasta. Tietosuojavaikutusten arviointi (Data Protection Impact Assessment, DPIA) taas vaaditaan aina, kun uusi käsittelytoiminto todennäköisesti aiheuttaa korkean riskin rekisteröidyille.

Teknisistä ja hallinnollisista suojatoimista keskeisimpiä ovat tietojen salaus, pseudonymisointi, käyttöoikeuksien hallinta, lokitiedostot sekä henkilöstön koulutus. Privacy by Design -periaatteen mukaan tietosuoja on rakennettava sisään järjestelmiin ja prosesseihin jo suunnitteluvaiheessa. Tietosuojaan liittyvien teknisten ratkaisujen, kuten SASE-verkkoratkaisujen, hankinnassa kannattaa varmistaa niiden tietosuojavaatimustenmukaisuus.

Tietosuoja-asetuksen sakot käytännössä: mitä suomalaisille yrityksille on tapahtunut?

GDPR:n voimaantulosta lähtien eurooppalaiset valvontaviranomaiset ovat langettaneet yhteensä yli 5 miljardin euron seuraamusmaksut (CNIL / Enforcement Tracker, tammikuu 2026). Suomessa tietosuojavaltuutetun toimisto on ollut aktiivinen: merkittävin yksittäinen sanktio oli vuoden 2023 päätös, jossa eräs kotimainen verkkokauppa sai 856 000 euron seuraamusmaksun puutteellisesta evästekäytänteistä ja rekisteröidyn oikeuksien laiminlyönnistä. Tietosuojavaltuutetun vuosikertomuksen 2024 mukaan toimisto vastaanotti 3 840 kantelua, joista noin 38 prosenttia johti jatkotoimenpiteisiin.

Sakkojen suuruus vaihtelee kahdella tasolla. Ensimmäisen tason rikkomuksista, kuten puutteellisesta dokumentaatiosta tai tietosuojavastaavan nimeämättä jättämisestä, voidaan määrätä enintään 10 miljoonan euron tai 2 prosentin globaalin vuosiliikevaihdon sakko. Vakavammat rikkomukset, kuten lainvastainen henkilötietojen käsittely tai käyttäjien suostumuksen sivuuttaminen, voivat johtaa 20 miljoonan euron tai 4 prosentin liikevaihtosakon. Suhteellisuusperiaate tarkoittaa, että mikroyritys ei automaattisesti saa samaa absoluuttista summaa kuin monikansallinen konserni.

Yleisimmät suomalaisiin yrityksiin kohdistuneet huomautukset ovat tietosuojavaltuutetun tilastojen mukaan liittyneet: evästeiden käyttöön ilman asianmukaista suostumusta (31 %), puutteelliseen tietosuojaselosteeseen (24 %) sekä rekisteröityjen oikeuksien toteuttamisen viivästymiseen (18 %). Suurin osa tapauksista on ratkennut huomautuksella tai korjausmääräyksellä ilman rahallista sanktiota, mutta toistuva laiminlyönti johtaa herkästi kovempiin toimenpiteisiin. Varautuminen kannattaa: tietosuoja-auditoinnin tyypillinen kustannus pk-yritykselle on 2 000-8 000 euroa, mikä on murto-osa mahdollisesta sanktioista.

Tietosuojatyökalut vertailussa: mikä sopii suomalaiselle pk-yritykselle?

Markkinoilla on kymmeniä GDPR-compliance-työkaluja, mutta niiden sopivuus vaihtelee yrityksen koon ja toimialan mukaan. Alla vertailu neljästä Suomessa yleisesti käytetystä ratkaisusta (hinnat voimassa Q1 2026).

Alle 50 henkilön yritykselle Cookiebot tai vastaava kevyt evästehallintaratkaisu yhdistettynä ilmaiseen prosessirekisteripohjaan (esimerkiksi tietosuojavaltuutetun toimiston Excel-lomake) riittää usein alkuvaiheessa. Kasvuvaiheessa, erityisesti kun asiakastietokanta ylittää 10 000 rekisteröidyn rajan tai toiminta laajenee useampaan EU-maahan, kannattaa harkita OneTrustin tai DataGuardin kaltaista integroitua alustaa. Muista, että työkalu ei korvaa prosessia: GDPR edellyttää dokumentoitua vastuunjakoa, ei pelkästään teknistä ratkaisua.

Tekoäly ja henkilötiedot: uudet haasteet suomalaisille organisaatioille

Tekoälyjärjestelmien yleistyminen on luonut tietosuojan kannalta uuden haasteiden kerroksen. EU:n tekoälyasetus (AI Act) tuli osittain voimaan elokuussa 2024 ja se limittyy suoraan GDPR:n kanssa erityisesti korkean riskin tekoälyjärjestelmien osalta, kuten HR-rekrytoinnissa käytetyt algoritmit ja potilastietoihin perustuvat diagnostiikkatyökalut. Euroopan tietosuojaneuvoston (EDPB) lausunnon 28/2024 mukaan organisaation on tehtävä tietosuojan vaikutustenarviointi (DPIA) aina, kun tekoälyjärjestelmä käsittelee laajassa mitassa arkaluonteisia henkilötietoja.

Käytännön ongelmia syntyy erityisesti kolmesta kohdasta. Ensinnäkin suurten kielimallien (LLM) käyttö asiakaspalvelussa: jos chatbot käsittelee asiakkaiden viestejä, on selvitettävä, siirtyvätkö tiedot EU:n ulkopuolelle palveluntarjoajan infrastruktuurissa. OpenAI:n Enterprise-sopimus ja Microsoft Azure OpenAI tarjoavat EU-dataresidenssivaihtoehtoja, mutta oletusasetukset eivät niitä takaa. Toiseksi kuvantunnistus ja biometriikka: kasvojentunnistuksen käyttö edellyttää GDPR 9 artiklan mukaista nimenomaista suostumusta, ja useimmissa kaupallisissa tilanteissa tämä on käytännössä mahdotonta toteuttaa lainmukaisesti ilman erillistä oikeusperustaa. Kolmanneksi henkilötietojen käyttö mallin kouluttamiseen: jos organisaatio haluaa hienosäätää (fine-tune) tekoälymallia omalla asiakasdatallaan, on käsittelylle oltava nimenomainen oikeusperuste ja data on anonymisoitava tai pseudonymisoitava ennen harjoitusaineiston kokoamista.

Suomen Digi- ja väestötietovirasto (DVV) julkaisi helmikuussa 2025 ohjeistuksen tekoälyn käytöstä julkisessa hallinnossa, joka toimii hyvänä käytännön viitekehyksenä myös yksityiselle sektorille. Ohjeistus korostaa, että automaattinen päätöksenteko ilman ihmisen osallistumista on GDPR 22 artiklan nojalla pääsääntöisesti kielletty, ellei rekisteröity ole antanut nimenomaista suostumustaan tai päätös perustuu lakiin.

Rekisterinpitäjän vastuut käytännössä: vaiheittainen tarkistuslista pienelle yritykselle

Monelle suomalaiselle pk-yritykselle GDPR tuntuu teoriassa tutulta mutta käytännössä epäselvältä. Seuraava vaiheittainen prosessi auttaa rakentamaan tietosuojatoimet järjestelmällisesti ilman kallista konsulttiapua.

Vaihe 1: Tietovirtojen kartoitus. Listaa kaikki henkilötietoja sisältävät järjestelmät: asiakasrekisteri, sähköpostit, markkinointityökalut, kirjanpito-ohjelma ja henkilöstöhallinto. Tietosuojavaltuutetun toimiston ohjeen (2023) mukaan tämä ns. tietojenkartoitus on rekisteröintivelvoitteen perusta. Käytä ilmaista taulukkopohjaa, jonka löydät tietosuoja.fi-sivustolta.

Vaihe 2: Käsittelyperusteen vahvistaminen. Jokaiselle tietoryhmälle täytyy löytyä jokin GDPR:n artikla 6:n mukainen oikeusperuste: sopimus, lakisääteinen velvoite, oikeutettu etu tai suostumus. Suostumus on käytännössä heikoin vaihtoehto, koska se pitää pystyä peruuttamaan koska tahansa. Oikeutettu etu sopii esimerkiksi B2B-markkinointiviestintään, mutta se edellyttää kirjallista intressipunnintaa.

Vaihe 3: Alihankkijasopimukset. Jokainen ulkoinen palveluntarjoaja, joka käsittelee henkilötietojasi, on sidottava tietojenkäsittelysopimuksella (DPA). Käytännössä tämä koskee esimerkiksi pilvipalveluja kuten Microsoft 365, Salesforce ja Mailchimp. Microsoft ja Google tarjoavat valmiit DPA-mallit, mutta sinun on silti aktivoitava ne hallintapaneelista erikseen.

Vaihe 4: Rekisteriselosteen julkaiseminen. Tietosuojaseloste on julkaistava verkkosivustolla selkeästi ja saavutettavasti. Tietosuojavaltuutetun linjauksen mukaan vaikeasti löydettävä tai monimutkainen seloste rikkoo GDPR:n avoimuusperiaatetta jo itsessään.

Vaihe 5: Sisäinen koulutus. Pelkkä dokumentointi ei riitä, jos henkilöstö ei tiedä miten toimia. ENISA:n vuoden 2024 raportti ”Cybersecurity for SMEs” toteaa, että 43 prosentissa pk-yritysten tietoturvaloukkauksia syynä oli inhimillinen virhe, joka olisi ollut estettävissä lyhyellä koulutuksella. Järjestä vähintään kerran vuodessa lyhyt, käytännönläheinen tietosuojakoulutus.

Vaihe 6: Poikkeamasuunnitelma. Laadi etukäteen kirjallinen toimintaohje tietomurtotilanteelle: kuka ilmoittaa tietosuojavaltuutetulle, kuka kontaktoi asiakkaat ja missä ajassa. 72 tunnin ilmoitusvelvollisuus alkaa siitä hetkestä, kun yritys saa tietää poikkeamasta, ei siitä, kun se on vahvistettu.

Tietosuoja kansainvälisessä tiedonsiirrossa: EU:n ulkopuolelle siirtämisen riskit ja ratkaisut

Kun suomalainen yritys käyttää esimerkiksi amerikkalaista CRM-järjestelmää tai intialaista ohjelmistokehittäjää, henkilötiedot siirtyvät EU:n ulkopuolelle. Tämä on yksi GDPR:n hankalimmista alueista ja myös aktiivisimmin valvottu.

Turvasatamasopimus ja Data Privacy Framework. Euroopan komissio hyväksyi heinäkuussa 2023 EU-USA Data Privacy Frameworkin (DPF), joka korvaa kumotun Privacy Shieldin. DPF mahdollistaa tiedonsiirron sertifioituihin amerikkalaisiin yrityksiin ilman lisätoimia. Sertifioidut yritykset löytyvät dataprivacyframework.gov-rekisteristä. Tarkista aina, onko palveluntarjoajasi listalla, ennen kuin luotat pelkkään sopimukseen.

Vakiosopimuslausekkeet. Jos DPF ei sovellu, yleisin vaihtoehto on Euroopan komission vahvistamat vakiosopimuslausekkeet (Standard Contractual Clauses, SCC), jotka päivitettiin viimeksi kesäkuussa 2021. SCC-sopimus ei kuitenkaan yksin riitä, vaan sen tueksi tarvitaan siirtokohtainen vaikutustenarviointi (Transfer Impact Assessment, TIA), joka arvioi kohdemaan lainsäädännön riskit.

Korkean riskin maat. Venäjä, Kiina ja Yhdysvallat (kun DPF ei koske palvelua) edellyttävät erityistä harkintaa. Schrems II -tuomion (EUT 2020) jälkimainingeissa erityisesti Yhdysvaltoihin suuntautuvat siirrot ovat saaneet sakkoja ympäri Eurooppaa: Irlannin tietosuojaviranomainen määräsi Metalle 1,2 miljardin euron sakon vuonna 2023 nimenomaan luvattomista tiedonsiirroista.

Käytännön toimenpide suomalaiselle yritykselle. Tee palveluntarjoajalistastasi sarake ”tiedonsiirtomaa” ja tarkista jokaisen osalta, mikä mekanismi on käytössä. Pilvipalveluissa kuten AWS ja Azure voit usein rajoittaa datakeskuksen sijainnin EU-alueelle palvelun asetuksista, mikä poistaa siirtomekanismin tarpeen kokonaan. Tämä on helpoin ja turvallisin ratkaisu aina kun se on teknisesti mahdollista.

FAQ – Usein kysyttyä tietosuojasta

Mitä eroa on tietosuojalla ja tietoturvalla?

Tietosuoja (data protection) tarkoittaa henkilöiden oikeutta määrätä omista tiedoistaan ja sitä, miten henkilötietoja käsitellään lainmukaisesti ja asianmukaisesti. Se on ennen kaikkea juridinen ja eettinen käsite. Tietoturva (information security) sen sijaan tarkoittaa teknisiä ja hallinnollisia toimenpiteitä, joilla tietoja suojataan luvattomalta pääsyltä, muuttamiselta tai tuhoutumiselta. Tietoturva on siis väline, jolla tietosuoja käytännössä toteutetaan. Ilman riittävää tietoturvaa henkilötietoja ei voida suojata – mutta pelkkä hyvä tietoturva ei riitä, jos käsittelyn oikeusperuste tai tarkoituksenmukaisuus puuttuu.

Kuka valvoo GDPR:n noudattamista Suomessa?

Suomessa GDPR:n noudattamista valvoo Tietosuojavaltuutetun toimisto, joka on riippumaton viranomainen. Toimistolla on valtuudet tutkia kanteluita, antaa ohjeita ja määrätä seuraamusmaksuja. Toimisto voi myös antaa ennakkokommentteja ja päätöksiä sekä tehdä yhteistyötä muiden EU-maiden valvontaviranomaisten kanssa Euroopan tietosuojaneuvoston (EDPB) kautta. Toimiston yhteystiedot ja ohjeet löytyvät osoitteesta tietosuoja.fi. Vuonna 2025 toimiston käsittelemien asioiden ennätysmäärä – 15 033 asiaa – osoittaa, miten merkittävä rooli toimistolla on käytännön tietosuojatyössä.

Milloin tietoturvaloukkaus on ilmoitettava viranomaisille?

Rekisterinpitäjän on ilmoitettava tietoturvaloukkaukset Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun loukkaus on tullut rekisterinpitäjän tietoon. Poikkeuksena on tilanne, jossa loukkaus ei todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille – tällöin ilmoitusta ei tarvita. Jos riski on korkea, myös rekisteröidyille on ilmoitettava viipymättä. Jokainen rekisterinpitäjä on velvoitettu dokumentoimaan kaikki tietoturvaloukkaukset riippumatta siitä, johtavatko ne ilmoitukseen vai eivät. Käytännön pohjana tulee olla selkeä prosessi, jonka mukaan henkilöstö toimii loukkauksen havaitessaan.

Mitä oikeuksia minulla on omiin henkilötietoihini?

GDPR takaa rekisteröidylle useita keskeisiä oikeuksia. Oikeus saada pääsy omiin tietoihin tarkoittaa, että voit pyytää organisaatiolta tarkistettavaksesi kaikki sinusta kerätyt tiedot. Oikeus tietojen oikaisemiseen oikeuttaa vaatimaan virheellisten tai puutteellisten tietojen korjaamista. Oikeuden tulla unohdetuksi nojalla voit vaatia tietojen poistamista, kun niiden käsittelylle ei enää ole perustetta. Lisäksi sinulla on oikeus tietojen siirtämiseen toiselle palveluntarjoajalle koneluettavassa muodossa sekä oikeus vastustaa tiettyjä käsittelyjä, kuten profilointia suoramarkkinointia varten. Pyyntöihin on vastattava lähtökohtaisesti kuukauden kuluessa.

Mitä seuraa GDPR:n rikkomisesta?

GDPR:n rikkomisesta voidaan määrätä hallinnollinen seuraamusmaksu, joka on enimmillään 20 miljoonaa euroa tai 4 prosenttia yrityksen edellisen tilikauden koko maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi. Vakavimmista rikkomuksista, kuten käsittelyn oikeusperustaan tai rekisteröityjen oikeuksiin liittyvistä laiminlyönneistä, voidaan määrätä maksimimaksu. Lievemmistä rikkomuksista sakko on enintään 10 miljoonaa euroa tai 2 prosenttia liikevaihdosta. DLA Piperin mukaan Euroopassa GDPR-sakkoja on määrätty yhteensä 272,5 miljoonan euron edestä. Seuraamusmaksun lisäksi voi seurata vahingonkorvausvastuita, toiminnan rajoituksia ja merkittäviä mainehaittoja.

Saako tietoja siirtää EU:n ulkopuolelle?

Henkilötietoja voidaan siirtää EU- ja ETA-alueen ulkopuolelle vain tietyissä tilanteissa. Euroopan komissio on antanut tietyille maille riittävyyttä koskevan päätöksen, jonka perusteella tietoja voidaan siirtää kyseisiin maihin vapaasti – tällaisia maita ovat esimerkiksi Iso-Britannia, Japani, Sveitsi ja Etelä-Korea. Muihin maihin siirroissa on käytettävä asianmukaisia suojatoimia, kuten komission vakiolausekkeita (Standard Contractual Clauses, SCC), sitovia yrityssääntöjä (BCR) tai muita hyväksyttyjä mekanismeja. Yhdysvaltoihin siirtoja koskee EU-U.S. Data Privacy Framework -järjestely, jonka asianmukainen soveltaminen on tärkeää varmistaa palveluntarjoajilta.

Miten tekoäly vaikuttaa tietosuojaan?

Tekoäly asettaa merkittäviä haasteita tietosuojalle. Tekoälyjärjestelmät oppivat usein valtavista datamääristä, jotka voivat sisältää henkilötietoja. Tarkoitussidonnaisuusperiaate edellyttää, että alkuperäistä käyttötarkoitusta varten kerättyjä tietoja ei käytetä tekoälyn kouluttamiseen ilman asianmukaista perustetta. Automatisoidussa päätöksenteossa GDPR takaa rekisteröidylle oikeuden olla joutumatta yksinomaan automaattisen päätöksenteon kohteeksi, jolla on oikeudellisia tai merkittäviä seurauksia. EU:n tekoälylaki (AI Act) täydentää GDPR:ää tekoälyyn liittyvissä tietosuojakysymyksissä ja asettaa korkean riskin tekoälysovelluksille erityisvaatimuksia. Tietosuoja on huomioitava jo tekoälyratkaisujen suunnitteluvaiheessa, kuten tekoälyn sovelluksia koskevasta oppaastamme voit lukea lisää.

Kuinka kauan henkilötietoja saa säilyttää?

GDPR:n säilytyksen rajoittamisen periaatteen mukaan henkilötietoja ei saa säilyttää pidempään kuin on tarpeen niiden käsittelytarkoituksen kannalta. Käytännössä tämä tarkoittaa, että jokaiselle tietoryhmälle on määriteltävä selkeä säilytysaika ja tiedot on hävitettävä tai anonymisoitava sen jälkeen, kun tarkoitus on täytetty. Monelle tietoryhmälle löytyy kuitenkin lakisääteinen säilytysaika: esimerkiksi kirjanpitoaineisto on säilytettävä vähintään kuusi vuotta, työsuhdetiedot tietyin ehdoin ja potilastiedot usein pidempään terveydenhuollon lainsäädännön perusteella. Säilytysaikoja koskeva käytäntö on dokumentoitava ja noudatettava systemaattisesti koko organisaatiossa.

Lähteet

• Tietosuojavaltuutetun toimisto – Toimintakertomus 2025
• Eurostat – 76.9% of internet users protected their data in 2025 (2026)
• Euroopan komissio – COM(2024)357 GDPR-toimivuusarviointi
• DLA Piper – GDPR Enforcement Tracker Report (Suomen tiedot)
• Tietosuojavaltuutetun toimisto – Vuosi GDPR:n soveltamista, Eurobarometri-tulokset
• Traficom Kyberturvallisuuskeskus – Kybersää tammikuu 2026 (PDF)

IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025