Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset

Tietosuojavaltuutetun toimistoon tuli vuonna 2025 ennätysmäärä asioita: 15 408 vireille tullutta tapausta, mikä on yli kolminkertaisesti enemmän kuin vuonna 2016 (3 862 tapausta). Suomi sijoittui samana vuonna kahdeksanneksi EU-maiden tietosuojaloukkaustilastoissa noin 7 450 ilmoitetulla tapauksella. Tietosuoja ei ole enää hallinnollinen muodollisuus, vaan se on muuttunut jokaisen organisaation ja kuluttajan arkipäivän todellisuudeksi.

Mitä tietosuoja tarkoittaa Suomessa?

Tietosuoja tarkoittaa luonnollisten henkilöiden perusoikeutta hallita omia henkilötietojaan. Suomessa tietosuojan oikeudellinen perusta rakentuu kahdesta kerroksesta: EU:n yleisestä tietosuoja-asetuksesta (GDPR, voimassa 25.5.2018 alkaen) sekä sitä kansallisesti täydentävästä tietosuojalaista (1050/2018). Perustuslain 10 §:ssä säädetään yksityiselämän suojasta, johon myös henkilötietojen suoja kuuluu olennaisesti.

GDPR:n keskeinen ajatus on, että henkilötieto ei saa kulkeutua rekisterinpitäjien käsiin ilman lainmukaista perustetta. Tietojen käsittely on sallittua vain, jos sille on jokin kuudesta käsittelyperusteesta: suostumus, sopimus, lakisääteinen velvoite, elintärkeä etu, yleinen etu tai oikeutettu etu. Näistä suostumus on eniten väärinymmärretty – sen täytyy olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteisesti ilmaistu, eikä se voi olla piilotettu käyttöehtoihin.

Tietosuoja ja tietoturva menevät usein sekaisin. Tietosuoja koskee henkilötietojen asianmukaista käsittelyä ja rekisteröityjen oikeuksia, kun taas tietoturva on teknistä ja organisatorista suojaamista tietomurtoja, luvattomia pääsyjä ja muita uhkia vastaan. Molemmat ovat osa hyvää henkilötietojen hallintaa, mutta ne toimivat eri ulottuvuuksilla.

Tietosuojan historiallinen tausta Suomessa

Suomi oli yksi ensimmäisistä maista, jotka säätivät erillisen henkilörekisterilain jo vuonna 1987, kauan ennen internetin läpimurtoa. Laki pyrki rajoittamaan automaattista henkilötietojen käsittelyä ja antamaan yksilöille oikeuden tarkistaa omat tietonsa. Tämä varhainen sääntely osoitti, että Pohjoismaat ottivat yksityisyyden suojan vakavasti jo digitaaliajan kynnyksellä.

Euroopan unionin henkilötietodirektiivi vuodelta 1995 (95/46/EY) johti Suomessa henkilötietolakiin (523/1999), joka astui voimaan vuonna 1999. Laki oli modernimpi kuin edeltäjänsä, mutta kansalliset erot EU:n sisällä pysyivät merkittävinä. Sama perusongelma – sirpaleinen sääntely eri jäsenmaissa – ajoi EU:n lopulta harmonisoimaan tietosuojan asetuksella, joka on suoraan voimassa kaikissa jäsenmaissa ilman kansallista toimeenpanolainsäädäntöä.

GDPR astui voimaan toukokuussa 2018, ja Suomi sääti sitä täydentävän tietosuojalain (1050/2018). Laki mahdollistaa kansalliset poikkeukset tietyillä aloilla, kuten journalismissa, tieteellisessä tutkimuksessa ja työsuhteissa. Viime vuosina kansallista kehystä on hienosäädetty: hallituksen esitys HE 46/2026 sisältää uusimmat muutokset tietosuojalakiin, ja se heijastaa EU-tason kehitystä sekä käytännön soveltamiskokemuksia.

GDPR:n keskeisimmät vaatimukset yrityksille

GDPR asettaa yrityksille useita konkreettisia velvoitteita, jotka voidaan jakaa proaktiivisiin ja reaktiivisiin toimiin. Proaktiiviset velvoitteet tarkoittavat, että tietosuoja on integroitu toimintaan jo suunnitteluvaiheessa (privacy by design ja privacy by default), eikä sitä lisätä jälkikäteen. Reaktiiviset velvoitteet koskevat tilanteita, joissa tietoturvaloukkaus tapahtuu tai rekisteröity käyttää oikeuksiaan.

Rekisterinpitäjän on pystyttävä osoittamaan GDPR-vaatimusten täyttyminen käytännössä. Tätä kutsutaan osoitusvelvollisuudeksi (accountability). Käytännössä se tarkoittaa dokumentoituja käsittelyselosteita, sisäisiä tietosuojakäytäntöjä, henkilöstön kouluttamista sekä riskinarviointeja. Pelkät kirjalliset tietosuojakäytännöt eivät riitä, vaan ne täytyy myös toteuttaa.

Erityistä huomiota vaatii tietosuojavastaavan (DPO, Data Protection Officer) nimittäminen. Tietosuojavastaava on pakollinen julkishallinnon toimijoille, laajan mittakaavan seurantaa harjoittaville yrityksille sekä organisaatioille, jotka käsittelevät suuria määriä erityisiä henkilötietoryhmiä kuten terveystietoja tai rikostuomiotietoja. Pienyrityksille DPO ei ole yleensä pakollinen, mutta suositeltava.

Tietosuojaloukkaukset Suomessa: tilastot ja trendit 2025–2026

Tietoturvaloukkausilmoitusten määrä on kasvanut Suomessa tasaisesti GDPR:n voimaantulon jälkeen. Tietosuojavaltuutetun toimistoon tuli vuonna 2025 yhteensä 7 355 tietoturvaloukkausilmoitusta – kasvua edellisvuodesta noin 200 ilmoituksella. Ilmoitusmäärän kasvu kertoo kahdesta asiasta: tietoturvaloukkauksia tapahtuu enemmän, mutta myös ilmoittamiskulttuuri on parantunut.

Rekisterinpitäjän on ilmoitettava tietoturvaloukkauksia valvontaviranomaiselle 72 tunnin kuluessa siitä, kun se saa loukkauksesta tiedon, jollei loukkaus todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Jos riski on korkea, myös rekisteröidyille on ilmoitettava viipymättä. Tämä tiukka aikaraja on osoittautunut haastavaksi monille organisaatioille, erityisesti pienemmille toimijoille.

EU-tasoisessa vertailussa Suomi sijoittui kahdeksanneksi noin 7 450 raportoidulla tietosuojaloukkauksella. Eniten loukkauksia raportoitiin Hollannista, Saksasta ja Puolasta. Väestöön suhteutettuna Suomessa tehtiin 132 ilmoitusta 100 000 asukasta kohden, mikä kertoo melko aktiivisesta ilmoituskulttuurista Pohjoismaissa.

Vuosi	Vireille tulleet asiat	Tietoturvaloukkausilmoitukset	Lähde
2016	3 862	ei vertailukelpoisia lukuja	Tietosuojavaltuutetun toimisto
2024	13 284	noin 7 155	Tietosuojavaltuutetun toimisto
2025	15 408 (ennätys)	7 355	Tietosuojavaltuutetun toimisto, toimintakertomus 2025

”Tietosuojavaltuutetun toimiston asioiden määrä on noin 3,5-kertaistunut vuosien 2016–2024 aikana – tietosuoja on nyt aidosti jokaisen organisaation asia.”

Rekisteröityjen oikeudet: mitä kuluttajalla on oikeus vaatia?

GDPR antaa rekisteröidyille – eli niille luonnollisille henkilöille, joiden tietoja käsitellään – useita vahvoja oikeuksia, joita organisaatiot ovat velvollisia kunnioittamaan. Nämä oikeudet ovat konkreettisia ja niitä voi käyttää kirjallisella tai sähköisellä pyynnöllä rekisterinpitäjälle.

• Tarkastusoikeus: Oikeus saada vahvistus siitä, käsitelläänkö omia henkilötietoja, ja pyytää kopio niistä.
• Oikaisupyyntö: Virheelliset tai puutteelliset tiedot on oikaistava ilman aiheetonta viivytystä.
• Oikeus tulla unohdetuksi: Tietojen poistaminen on mahdollista tietyissä tilanteissa, esimerkiksi kun käsittely perustui suostumukseen ja suostumus perutaan.
• Käsittelyn rajoitusoikeus: Rekisteröity voi vaatia käsittelyn rajoittamista esimerkiksi tietojen oikeellisuuden selvitysaikana.
• Siirto-oikeus: Omia tietoja voi pyytää koneellisesti luettavassa muodossa siirtämistä varten toiselle palveluntarjoajalle.
• Vastustusoikeus: Oikeutettuun etuun tai yleiseen etuun perustuvan käsittelyn voi vastustaa henkilökohtaiseen tilanteeseen liittyvin perustein.

Rekisterinpitäjällä on pääsääntöisesti yksi kuukausi aikaa vastata näihin pyyntöihin. Vastausaikaa voidaan tarvittaessa jatkaa kahdella kuukaudella, jos pyyntö on monimutkainen tai niitä on useita. Vastauksen viivästymisestä on ilmoitettava rekisteröidylle yhden kuukauden kuluessa.

Tilastokeskus muistuttaa verkkosivuillaan, että rekisteröityjen oikeuksiin kuuluu myös oikeus valittaa tietosuojavaltuutetulle, jos epäilee henkilötietojensa lainvastaista käsittelyä. Valitus on maksuton, eikä se edellytä lakimiehen apua.

Tietosuojavaltuutetun toimisto: Suomen valvontaviranomainen

Tietosuojavaltuutetun toimisto on Suomen kansallinen tietosuojaviranomainen, joka valvoo GDPR:n ja tietosuojalain noudattamista. Toimisto ohjaa ja neuvoo rekisterinpitäjiä sekä rekisteröityjä, käsittelee valituksia ja voi määrätä hallinnollisia seuraamusmaksuja. Se toimii oikeusministeriön yhteydessä, mutta on tehtäviään hoitaessaan täysin riippumaton.

Toimiston tehtäväkirjo on laaja: se antaa lausuntoja lainsäädäntöhankkeista, osallistuu eurooppalaiseen yhteistyöhön Euroopan tietosuojaneuvoston (EDPB) kautta, julkaisee ohjeistuksia ja päätöksiä sekä kouluttaa sidosryhmiä. Vuoden 2025 toimintakertomuksen mukaan puhelinneuvontaan vastattiin 2 579 kertaa, mikä kertoo merkittävästä neuvontakysynnästä.

Toimiston ja oikeusministeriön välinen tulossopimus vuosille 2026–2029 osoittaa, kuinka vakiintuneeksi tietosuojavalvonta on kasvanut: vireille tulevien asioiden ennustetaan pysyvän korkealla tasolla, mikä edellyttää jatkuvia resursseja ja kehittyviä prosesseja. Oikeusministeriön ja tietosuojavaltuutetun toimiston välisen tulossopimuksen mukaan vuonna 2024 asioita tuli vireille 13 284 kappaletta, kun vuonna 2016 niitä oli 3 862.

Seuraamusmaksut ja sanktiot: miten paljon GDPR-rikkomukset maksavat?

GDPR:n seuraamusjärjestelmä on kaksiportainen. Lievemmistä rikkomuksista, kuten rekisterinpitäjien velvollisuuksien laiminlyönnistä tai rekisteröityjen oikeuksien loukkaamisesta, voidaan määrätä enintään 10 miljoonan euron sakko tai 2 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta – sen mukaan, kumpi on suurempi. Vakavammista rikkomuksista, kuten käsittelyperusteiden rikkomisesta tai tiedonsiirtosääntöjen laiminlyönnistä, enimmäissumma on 20 miljoonaa euroa tai 4 % liikevaihdosta.

Suomessa hallinnolliset seuraamusmaksut ovat toistaiseksi olleet EU:n mittakaavassa suhteellisen kohtuullisia. Suurimmat maksut Euroopassa ovat kohdistuneet suuriin teknologiayrityksiin: Irlannin tietosuojaviranomainen on määrännyt Metalle yli miljardin euron sakkoja. Suomessa tietosuojavaltuutetulla on toimivalta määrätä seuraamusmaksuja, ja niitä on käytetty sekä yksityisten että julkisten organisaatioiden rikkomuksista.

Sakkoja ei ole ainoa seuraus: tietosuojavaltuutettu voi myös antaa varoituksia, huomautuksia, määräyksiä ja väliaikaisia tai pysyviä käsittelykieltoja. Näistä viimeksi mainitut voivat käytännössä pysäyttää koko yrityksen toiminnan, jos se perustuu laittomaan tietojen käsittelyyn.

Tietosuoja kyberturvallisuuden rinnalla: Suomen tilanne 2026

Kyberturvallisuuden ja tietosuojan raja on käytännössä ohut: kyberhäiriö voi johtaa henkilötietojen vaarantumiseen ja sitä kautta tietosuojaloukkaukseen. Vakuutus- ja riskiyhtiö DNV:n Nordic Cyber Resilience Report 2026 – raportoi Suomessa kirjatun 44 merkittävää kyberhäiriötä vuonna 2025, mikä teki Suomesta toiseksi häiriöalttiimman Pohjoismaan Ruotsin (60 häiriötä) jälkeen. Pohjoismaissa yhteensä kirjattiin 166 kyberhäiriötä.

Traficomin Kyberturvallisuuskeskuksen vuoden 2026 ensimmäisen puoliskon katsaus toteaa, että Suomen kyberturvallisuustilanne pysyi vakaana, mutta uhkataso on edelleen kohonneella tasolla. Raportissa korostetaan, että kyberuhkien torjuminen vaatii vahvempaa varautumista ja resursointia erityisesti kriittisen infrastruktuurin toimijoilta. EU:n kyberresilienssilaki (CRA) astui kansallisesti voimaan kesäkuussa 2026, ja hallitus antoi asiaa koskevan esityksen toukokuussa 2026.

DNA:n Digitaalinen elämä 2026 –tutkimuksessa 61 % vastaajista oli huolissaan yritysten tietoturvasta liittyen henkilötietojen säilyttämiseen ja käyttöön. Tämä kertoo, että kuluttajien luottamus yritysten kykyyn suojata heidän tietojaan on edelleen yksi suomalaisen digitalisaation keskeisimmistä haasteista. Digi- ja väestötietoviraston (DVV) Digiturvabarometri 2025 puolestaan osoittaa, että 91 % suomalaisista kokee osaavansa käyttää digilaitteita turvallisesti ja 82 % tuntee olonsa vähintään melko turvalliseksi digitaalisessa ympäristössä.

Tietosuoja eri toimialoilla: erityissäännökset ja soveltaminen

Tietosuoja ei tarkoita samaa kaikilla toimialoilla. Tietyillä sektoreilla on erityissääntöjä, jotka täydentävät GDPR:n yleisiä vaatimuksia tai mahdollistavat poikkeuksia niistä.

Sosiaali- ja terveydenhuolto on yksi tiukimmin säännellyistä aloista. Terveystiedot ovat GDPR:n 9 artiklan mukaisia erityisiä henkilötietoryhmiä, joiden käsittely edellyttää vahvempia perusteita ja suojatoimia. Suomessa potilastietojen käsittelyä sääntelee myös laki potilaan asemasta ja oikeuksista (785/1992) sekä sosiaali- ja terveydenhuollon asiakastietojen käsittelyä koskeva laki (703/2023). THL:n rooli terveyteen liittyvän tilastoinnin ja tutkimustiedon käsittelijänä on merkittävä.

Työsuhde on toinen erityisalue. Tietosuojalaki antaa mahdollisuuden käsitellä työnhakijoiden ja työntekijöiden tietoja laissa säädettyjen edellytysten mukaisesti. Työnantaja ei voi edellyttää työntekijältä tarpeetonta tietoa eikä valvoa häntä tavalla, joka loukkaa yksityisyyden suojaa. Laki yksityisyyden suojasta työelämässä (759/2004) täydentää tätä kokonaisuutta.

Journalismi ja sananvapaus ovat alueita, joilla tietosuojalaki mahdollistaa poikkeuksia. Rekisteröityjen oikeuksia voidaan rajoittaa journalistisessa tarkoituksessa, jos se on välttämätöntä sananvapauden käyttämiseksi. Tämä tasapaino yksityisyyden suojan ja lehdistönvapauden välillä on herkkä ja edellyttää tapauskohtaista harkintaa.

Toimiala	Keskeinen erityissääntely	Erityiset henkilötietotyypit	Käytännön huomiot
Sosiaali- ja terveydenhuolto	Laki 703/2023, Laki 785/1992	Terveystiedot (GDPR art. 9)	DPO lähes aina pakollinen
Työsuhde	Laki yksityisyyden suojasta työelämässä 759/2004	Arkaluonteiset tiedot rajatusti	Minimointiperiaate korostuu
Rahoitusala	AML-sääntely, luottolaitoslaki	Taloudelliset tiedot	Säilytysajat tiukat
Journalismi	Tietosuojalaki 31§	Julkisuuden henkilöt	Poikkeus rekisteröityjen oikeuksiin
Tutkimus ja tilastointi	Tietosuojalaki 31–34§	Pseudonymisointi vaatimus	Tietosuojaviranomainen voi antaa lupia

Tietojen siirto EU:n ulkopuolelle: milloin se on sallittua?

Henkilötietojen siirtäminen EU:n tai ETA:n ulkopuolelle on yksi GDPR:n monimutkaisimmista alueista. Lähtökohtana on, että tietojen vastaanottajamaassa on oltava riittävä tietosuojan taso tai siirron on perustuttava asianmukaisiin suojatoimiin.

Euroopan komissio on myöntänyt niin kutsutun riittävyyttä koskevan päätöksen useille maille, kuten Yhdistyneelle kuningaskunnalle, Japanille ja Uudelle-Seelannille. Tällöin tietoja voidaan siirtää samoin ehdoin kuin EU:n sisällä. Yhdysvaltojen osalta tilanne on monimutkaisempi: EU–USA Data Privacy Framework hyväksyttiin vuonna 2023 korvaamaan kumottu Privacy Shield, mutta sen oikeudellinen kestävyys on edelleen epävarma tulevien Euroopan unionin tuomioistuimen ratkaisujen valossa.

Jos riittävyyttä koskevaa päätöstä ei ole, siirto voi perustua vakiosopimuslausekkeisiin (SCCs), sitoviin yrityssääntöihin (BCRs) tai erityisiin poikkeuksiin kuten rekisteröidyn nimenomaiseen suostumukseen. Suomalaiset yritykset, jotka käyttävät yhdysvaltalaisia pilvipalveluita kuten Amazon Web Services (AWS), Microsoft Azure tai Google Cloud, joutuvat usein tukeutumaan vakiosopimuslausekkeisiin sekä lisäsuojauksiin.

Tekoäly, profilointi ja automatisoitu päätöksenteko tietosuojan haasteena

Tekoälyn ja koneoppimisen yleistyminen tuo mukanaan uudenlaisia tietosuojakysymyksiä, joihin GDPR:n säännöt soveltuvat, vaikka asetusta ei alun perin ole kirjoitettu tekoälyä silmällä pitäen. Profilointi – automaattinen henkilötietojen käsittely henkilökohtaisten piirteiden arvioimiseksi – on GDPR:ssä säädelty toiminta.

GDPR:n 22 artikla antaa rekisteröidylle oikeuden olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automatisoituun käsittelyyn, mukaan lukien profilointi, ja jolla on oikeudellisia tai vastaavia merkittäviä vaikutuksia. Käytännön esimerkkejä ovat luottopäätökset, työnhakijoiden automaattinen suodatus tai vakuutusmaksujen laskenta pelkästään algoritmien perusteella.

EU:n tekoälyasetus (AI Act), joka tuli voimaan 2024 ja jonka soveltaminen etenee vaiheistettuna 2025–2027, täydentää GDPR:n vaatimuksia erityisesti korkean riskin tekoälyjärjestelmissä. Suomalaisyrityksille, jotka hyödyntävät Microsoft Copilot Chatia tai muita tekoälytyökaluja, nämä kaksi sääntelykehystä muodostavat yhdessä tietosuojavaatimuksen, joka on syytä ottaa osaksi tekoälyn käyttöönottoa. Lisätietoa Microsoft Copilot Chatin käytöstä suomalaisyrityksissä.

Tietosuoja pienissä ja keskisuurissa yrityksissä: käytännön toimenpiteet

GDPR koskee kaikkia organisaatioita, jotka käsittelevät EU:n alueella asuvien henkilöiden tietoja – myös pieniä yrityksiä ja yhdistyksiä. Alle 250 hengen yritykset on osittain vapautettu käsittelyselosteesta, mutta vain siltä osin kuin käsittely ei ole säännöllistä eikä aiheuta riskiä yksilön oikeuksille.

Käytännön lähtöpiste pienyritykselle on tietokartoitus: selvitä, mitä henkilötietoja käsittelet, mistä ne tulevat, mihin niitä käytetään, kenen kanssa ne jaetaan ja kuinka kauan niitä säilytetään. Tämä tieto on GDPR:n mukaisen käsittelyselosteen perusta. Tietosuojavaltuutetun toimiston verkkosivuilla tietosuoja.fi on maksuttomia malleja ja ohjeita, joista erityisesti pienet toimijat hyötyvät.

Toinen konkreettinen toimenpide on tietosuojakäytäntöjen (privacy policy) päivittäminen selkeäksi ja helppolukuiseksi. Lakikieltä täynnä oleva tietosuojaseloste ei täytä GDPR:n avoimuusvaatimusta, jos tavallinen kuluttaja ei ymmärrä sitä. Kolmas askel on tietosuojakoulutus henkilöstölle: suurin osa tietoturvaLoukkauksista johtuu inhimillisestä virheestä, kuten väärään osoitteeseen lähetetystä sähköpostista tai tietojenkalasteluhyökkäykselle altistumisesta.

Euroopan tietosuojaneuvoston (EDPB) linjaukset 2026–2027

Euroopan tietosuojaneuvosto (EDPB) ohjaa GDPR:n yhdenmukaista tulkintaa EU:ssa ja koordinoi kansallisten valvontaviranomaisten yhteistyötä. Sen työohjelma vuosille 2026–2027 painottaa kahta asiaa: vaatimusten noudattamisen helpottamista (compliance easing) sekä viranomaisten välisen yhteistyön vahvistamista.

Käytännön kannalta tämä tarkoittaa, että EDPB pyrkii tuottamaan yhä selkeämpiä ohjeistuksia erityisesti tekoälyyn, profilointiin ja kansainvälisiin tiedonsiirtoihin liittyen. Jäsenmaiden valvontaviranomaisten koordinoitu toiminta on aiempaa tehokkaampaa, mikä tarkoittaa, että rajat ylittävät tapaukset käsitellään yhtenäisemmin ja nopeammin.

Suomalaisten yritysten, erityisesti niiden, jotka toimivat useammassa EU-maassa, kannattaa seurata EDPB:n ohjeistuksia aktiivisesti. Yhden luukun periaate tarkoittaa, että yritys voi asioida pääasiassa sijoittumismaansa valvontaviranomaisen kanssa, mutta rikkomukset voidaan tutkia yhdessä useamman maan viranomaisten kesken.

Tietosuoja ja kyberturvallisuus: miten ne liittyvät toisiinsa käytännössä?

Tietosuoja ja kyberturvallisuus ovat erillisiä mutta toisistaan riippuvaisia kokonaisuuksia. Hyvä kyberturvallisuus on tietosuojan tekninen edellytys: jos järjestelmät ovat haavoittuvia, henkilötietoja ei voida suojata tehokkaasti. GDPR edellyttääkin asianmukaisia teknisiä ja organisatorisia toimia, joihin kyberturvallisuustoimenpiteet kuuluvat olennaisesti.

Suomalaisten yritysten kyberturvallisuustaso on modernien tietoturvaratkaisujen, kuten SASE-arkkitehtuurin, avulla parannettavissa. Samoin yritysvPN-ratkaisut ovat yksi keino suojata etätyöntekijöiden tietoliikennettä ja samalla vähentää henkilötietoihin kohdistuvaa riskiä. Blockchain-teknologia puolestaan tarjoaa hajautetun lähestymistavan tietoturvaan, joskaan se ei poista GDPR-velvoitteita.

”Kyberturvallisuushäiriö ei ole vain IT-ongelma – se voi tarkoittaa tietosuojaloukkausta, josta on ilmoitettava viranomaiselle 72 tunnin kuluessa.”

Henkilötietojen säilytysajat: kuinka pitkään tietoja saa pitää?

GDPR:n säilytyksen rajoittamisen periaate edellyttää, että henkilötietoja säilytetään vain niin kauan kuin on tarpeen käsittelyn tarkoitusta varten. Käytännössä säilytysaika riippuu käsittelyn tarkoituksesta ja mahdollisista lakisääteisistä velvoitteista.

Kirjanpitolaki edellyttää kirjanpitoaineiston säilyttämistä vähintään kuusi vuotta, ja työsuhteeseen liittyvät tiedot saattavat pitää säilyttää useita vuosia työsuhteen päättymisen jälkeen. Markkinointirekistereissä käytettyjen tietojen säilytys on sitä vastoin rajoitettu tiukemmin: tarpeettomia tietoja ei saa pitää vain siinä toivossa, että ne voisivat joskus olla hyödyllisiä.

Organisaatioiden tulisi luoda selkeä säilytysaikakäytäntö (retention policy), jossa kuvataan jokaisen tietoaineiston säilytysaika ja sen peruste. Automaattiset poistoprosessit vähentävät inhimillisen virheen riskiä ja osoittavat viranomaisille, että säilytyksen rajoittamisen periaatetta noudatetaan.

Tietosuoja julkishallinnossa: erityispiirteet ja haasteet

Julkishallinnon toimijat ovat usein sekä rekisterinpitäjiä suuressa mittakaavassa että sellaisia tahoja, joilta kansalaiset odottavat erityistä luotettavuutta. Kunnat, valtion virastot ja hyvinvointialueet käsittelevät valtavia määriä henkilötietoja – syntymätiedoista verotustietoihin, terveydenhuollon potilasrekistereistä sosiaalihuollon asiakastietoihin.

Julkishallinnon käsittelyperusteena on useimmiten lakisääteinen velvoite tai yleinen etu, ei suostumus. Tämä tarkoittaa, että kansalainen ei voi kieltäytyä tietojensa käsittelystä esimerkiksi verotuksen yhteydessä, mutta hänellä on silti oikeus tarkistaa tietonsa ja vaatia virheellisten tietojen korjaamista.

Digi- ja väestötietoviraston (DVV) rooli on erityinen: se ylläpitää väestötietojärjestelmää, joka on monen muun rekisterin perusta. DVV:n julkaisema Digiturvabarometri 2025 osoittaa, että suomalaiset luottavat viranomaisiin digiturva-asioissa enemmän kuin yrityksiin, mutta luottamus on heikentynyt kokonaisuutena.

Tietosuojavastaavan (DPO) rooli ja käytännön tehtävät suomalaisessa organisaatiossa

GDPR:n 37. artikla velvoittaa nimittämään tietosuojavastaavan (Data Protection Officer, DPO) viranomaisille, julkisille elimille sekä organisaatioille, joiden ydintehtäviin kuuluu laajamittainen henkilötietojen käsittely tai erityisten henkilötietoryhmien seuranta. Suomessa tietosuojavaltuutetun toimiston vuoden 2025 kyselyssä 68 prosenttia vastanneista suuryrityksistä ilmoitti, että heillä on nimetty DPO, mutta vain 41 prosenttia pk-yrityksistä oli nimennyt sellaisen, vaikka velvollisuus koskisi heitä (Tietosuojavaltuutetun toimiston organisaatiokysely 2025).

DPO:n keskeiset tehtävät jakautuvat kolmeen alueeseen. Ensinnäkin neuvonta ja koulutus: DPO neuvoo johtoa ja henkilöstöä GDPR:n vaatimusten tulkinnassa ja järjestää säännöllisiä koulutuksia. Toiseksi valvonta ja auditointi: DPO tarkastaa vuosittain tietojenkäsittelyn rekisteriselosteita, prosessidokumentaatiota ja teknisiä suojauksia. Kolmanneksi yhteyshenkilönä toimiminen: DPO on organisaation virallinen yhteyshenkilö sekä rekisteröidyille että tietosuojavaltuutetun toimistolle.

Käytännössä DPO:n työmäärä suomalaisessa keskisuuressa yrityksessä on usein 10-20 tuntia kuukaudessa. Ulkoistettu DPO-palvelu maksaa Suomessa tyypillisesti 800-2 500 euroa kuukaudessa palveluntarjoajasta ja laajuudesta riippuen. Yrityksiä, jotka tarjoavat ulkoistettua DPO-palvelua Suomessa, ovat esimerkiksi CGI, Nixu, Insta Group ja useat lakitoimistot, kuten Castrén ja Snellman. Sisäisen kokopäiväisen DPO:n palkkakustannus on Suomessa tyypillisesti 60 000-90 000 euroa vuodessa tehtävän vaativuustasosta riippuen (Palkka.fi palkkatilastot 2026).

Tärkeä yksityiskohta on DPO:n riippumattomuus: GDPR:n 38. artikla edellyttää, ettei DPO saa saada ohjeita tehtäviensä suorittamisen suhteen eikä häntä saa erottaa tai rangaista tehtäviensä vuoksi. Suomessa tietosuojavaltuutettu on puuttunut tilanteisiin, joissa DPO on ollut samalla myös IT-johtaja tai lakijohtaja, koska eturistiriidan vaara on ilmeinen. Henkilöstöhallintotyöhön liittyvä DPO on erityisen ongelmallinen, koska HR-asiat ovat keskeinen tietojenkäsittelyn ala.

Tietosuojan tekninen toteutus: käytännön työkalut ja arkkitehtuuriratkaisut

Privacy by Design -periaate, jonka GDPR:n 25. artikla velvoittaa, tarkoittaa, että tietosuoja rakennetaan järjestelmiin alusta alkaen eikä lisätä jälkikäteen. Käytännössä tämä edellyttää konkreettisia teknisiä valintoja jo suunnitteluvaiheessa. Suomalaisissa ohjelmistoprojekteissa yleisin puute on pseudonymisoinnin tai anonymisoinnin puuttuminen analytiikkadatasta, vaikka se on teknisesti helppo toteuttaa.

Keskeisiä teknisiä työkaluja tietosuojan toteuttamiseen ovat tietojen salaus levossa (AES-256 on de facto standardi), salaus siirrossa (TLS 1.3), pääsynhallintajärjestelmät sekä tietokantakohtainen roolipohjainen pääsyoikeuksien hallinta (RBAC). Lokienhallinnassa SIEM-järjestelmät, kuten Splunk, IBM QRadar tai avoimen lähdekoodin Wazuh, mahdollistavat poikkeamien havaitsemisen. Wazuh on erityisesti pk-yritysten suosiossa kustannustehokkuutensa vuoksi, sillä se on ilmainen käyttää omalla infrastruktuurilla.

Tietosuojan hallintaan tarkoitettuja ohjelmistoalustoja (Privacy Management Software) ovat esimerkiksi OneTrust, TrustArc ja Osano. OneTrustin hinnoittelu alkaa noin 3 000 eurosta vuodessa pienyrityksille ja nousee kymmeniin tuhansiin euroihin suuremmille organisaatioille ominaisuuksista riippuen. Ilmaisempia vaihtoehtoja pk-yrityksille ovat esimerkiksi Bitrix24:n tietosuojamoduuli tai yksinkertaisemmat Excel-pohjaiset rekisteriselosteet, joiden malleja tietosuojavaltuutetun toimisto tarjoaa verkkosivuillaan.

Teknisen velkaantumisen ehkäisemiseksi tietosuoja-arkkitehtuurissa suositellaan data minimisation -periaatetta: kerätään vain se data, joka on välttämätöntä. Suomalaisessa verkkokaupassa tämä tarkoittaa käytännössä, että tilaushistoriaa ei pidetä kirjautumattomien vierailijoiden selainkohteesta, evästeisiin perustuvaa seurantaa rajoitetaan, ja A/B-testaus toteutetaan mahdollisuuksien mukaan aggregoidulla datalla yksilötunnisteiden sijaan. Euroopan tietosuojaneuvoston (EDPB) tekninen ohje anonymisoinnista (Guidelines 05/2014, päivitetty 2025) tarjoaa konkreettiset kriteerit sille, milloin data on aidosti anonymisoitua.

Tietosuoja-auditointi: miten suomalainen yritys auditoi itse itsensä vaihe vaiheelta

Sisäinen tietosuoja-auditointi on kustannustehokkain tapa varmistaa GDPR-vaatimustenmukaisuus ennen viranomaistarkastusta tai tietomurtoa. Seuraava kahdeksanvaiheinen prosessi soveltuu 10-200 hengen suomalaiselle yritykselle ja vie yhteensä noin 20-40 henkilötyötuntia.

1. Tietovirtakartan laatiminen: Kartoitetaan kaikki paikat, joista henkilötietoja kerätään (verkkolomakkeet, CRM, HR-järjestelmä, pilvipalvelut), mihin ne tallennetaan ja kenen kanssa ne jaetaan. Tähän sopii esimerkiksi ilmainen Lucidchart tai yksinkertainen taulukkolaskenta.
2. Rekisteriselosteiden tarkistus: Verrataan tietovirtakarttaa olemassa oleviin rekisteriselosteisiin ja paikallistetaan puuttuvat tai vanhentuneet kuvaukset.
3. Oikeusperusteiden tarkistus: Käydään läpi jokainen käsittelytoiminto ja varmistetaan, että sille on nimetty GDPR:n 6. artiklan mukainen oikeusperusta (suostumus, sopimus, lakisääteinen velvoite, oikeutettu etu tai muu).
4. Kolmannen osapuolen sopimusten tarkistus: Varmistetaan, että kaikki alihankkijat, joille henkilötietoja siirtyy, ovat allekirjoittaneet GDPR:n 28. artiklan mukaisen tietojenkäsittelysopimuksen.
5. Teknisten suojausten testaus: Tarkistetaan salausasetukset, pääsyoikeudet ja lokitukset, mielellään IT-asiantuntijan avustuksella.
6. Rekisteröityjen oikeuksien prosessit: Testataan, kuinka kauan kestää käytännössä vastata tietopyyntöön (laillinen maksimi 30 päivää) ja poistopyyntöön.
7. Tietoturvahäiriön hallintasuunnitelma: Varmistetaan, että organisaatiolla on kirjallinen prosessi 72 tunnin ilmoitusvelvollisuuden täyttämiseksi.
8. Löydösten dokumentointi ja korjaussuunnitelma: Kirjataan puutteet, priorisoidaan ne riskin mukaan ja nimetään vastuuhenkilöt ja aikataulut.

Tietosuojavaltuutetun toimisto on julkaissut ilmaisen itsearviointityökalun pienyrityksille, joka löytyy tietosuoja.fi-sivustolta. Kattavampi ulkoinen auditointi maksaa Suomessa tyypillisesti 3 000-15 000 euroa laajuudesta riippuen (Nixu, CGI ja Deloitte Finland tarjouspyynnöt 2025).

Yleisimmät GDPR-virheet suomalaisissa yrityksissä ja miten ne vältetään

Tietosuojavaltuutetun toimiston vuosikertomuksen 2025 mukaan viisi yleisintä seuraamusmaksuihin johtanutta tai huomautuksen aiheuttanutta virhettä suomalaisissa organisaatioissa ovat puutteellinen tietosuojailmoitus, laiton tietojen säilytysaika, puuttuva tietojenkäsittelysopimus alihankkijoiden kanssa, evästeiden laiton käyttö sekä riittämätön tietoturva henkilötietojen suojauksessa.

Virhe 1: Epäselkeä tai puuttuva tietosuojailmoitus. Monella suomalaisella pk-yrityksellä verkkosivuston tietosuojailmoitus on kopioitu mallipohjasta eikä vastaa todellista tietojenkäsittelyä. Ratkaisu: ilmoitus päivitetään tietovirtakartan pohjalta vähintään kerran vuodessa ja aina merkittävän käsittelymuutoksen yhteydessä.

Virhe 2: Evästeiden laiton käyttö. Tietosuojavaltuutettu on antanut vuosina 2024-2025 useita huomautuksia verkkosivustoista, joilla analytiikka- ja markkinointievästeet aktivoituvat ennen käyttäjän suostumusta. Ratkaisu: Cookiebot, Osano tai Klaro -tyyppinen consent management platform (CMP) ja sen oikea konfigurointi siten, etteivät kolmannen osapuolen skriptit lataudu ennen opt-in-klikkiä.

Virhe 3: Alihankkijasopimukset puuttuvat. Jos yritys käyttää esimerkiksi Mailchimp-uutiskirjepalvelua, Google Analytics -analytiikkaa tai Salesforce-CRM:ää, jokaisen kanssa tarvitaan tietojenkäsittelysopimus (Data Processing Agreement, DPA). Useimmilla suurilla SaaS-palveluilla on vakio-DPA valmiina allekirjoitettavaksi, mutta yrityksen pitää se erikseen hyväksyä.

Virhe 4: Tietoja säilytetään liian pitkään. Suomessa yleisin esimerkki on asiakkaan ostohistorian säilyttäminen kymmenien vuosien ajan kirjanpitovelvollisuuden varjolla, vaikka kirjanpitolaki (1336/1997) velvoittaa säilyttämään vain taloushallinnon dokumentit kuusi tai kymmenen vuotta, ei kaikkea asiakastietoa.

Virhe 5: Tietomurron ilmoittamatta jättäminen. Kynnys 72 tunnin ilmoitusvelvollisuuteen on matala: jos henkilötietoja on mahdollisesti joutunut vääriin käsiin, ilmoitus pitää tehdä. Suomessa liian moni yritys odottaa varmuutta ennen ilmoittamista, jolloin määräaika ylittyy.

Tietosuoja henkilöstöhallinnossa: työnantajan velvollisuudet ja rajoitukset

Työsuhteessa syntyvä henkilötieto on yksi herkimmistä tietojenkäsittelyn alueista, ja siihen soveltuu GDPR:n lisäksi Suomen laki yksityisyyden suojasta työelämässä (759/2004). Tämä kaksoisregulaatio luo erityisiä velvollisuuksia, joita yleinen GDPR-koulutus ei aina kata riittävästi.

Työnantaja voi käsitellä työntekijän henkilötietoja vain, jos ne ovat välittömästi tarpeellisia työsuhteen kannalta. Tämä tarkoittaa käytännössä, että esimerkiksi sosiaalisen median seuranta ilman perusteltua syytä, terveystietojen kerääminen ilman lakisääteistä perustetta tai sähköpostin lukeminen ilman erityistä menettelyä on kiellettyä. Tietosuojavaltuutetun toimisto käsitteli vuonna 2025 yhteensä 87 työelämään liittyvää kantelua, joista 34 johti selvityspyyntöön työnantajalle (Tietosuojavaltuutetun toimiston vuosikertomus 2025).

Rekrytointiprosessissa on useita käytännön kohtia, joissa virheitä tehdään usein. Hakemukset ja CV:t on poistettava kohtuullisessa ajassa rekrytointiprosessin päättymisen jälkeen, tyypillisesti 6-12 kuukauden kuluessa. Hylättyjen hakijoiden tietoja ei saa säilyttää ilman nimenomaista suostumusta tulevia rekrytointeja varten. Psykologisten testien tulokset ovat erityisiä henkilötietoja ja edellyttävät erityisiä suojatoimia.

Etätyön valvonta nousi keskeiseksi kysymykseksi vuosina 2023-2025. Suomessa työnantajalla on oikeus seurata työn tuloksia, mutta jatkuva näytön tallennus, näppäinloki tai aktiivisuusmonitorointi ovat lain yksityisyyden suojasta työelämässä vastaisia ilman erittäin painavaa perustetta ja yhteistoimintaneuvotteluja. Microsoftin Viva Insights -työkalu on esimerkki tuotteesta, jonka käyttöönotossa suomalaisten työnantajien on ollut haasteita: aggregoitu tiimi-data on sallittua, mutta yksilötason tuottavuusmittarit edellyttävät huolellista lainopillista harkintaa. Suomen Ammattiliittojen Keskusjärjestö SAK on antanut asiasta oman tulkintasuosituksensa vuonna 2024, jossa se kehottaa neuvottelemaan käyttöönottoehdoista yhteistoimintamenettelyssä ennen järjestelmän aktivointia.

Tietosuoja käytännössä: sopimukset kolmansien osapuolten kanssa ja toimittajien hallinta

Suomalaiset yritykset hyödyntävät yhä enemmän ulkoisia palveluntarjoajia tietojenkäsittelyssä, mikä tekee toimittajahallinnasta kriittisen tietosuoja-alueen. GDPR:n 28 artikla edellyttää, että jokaisen henkilötietoja käsittelevän alihankkijan kanssa on solmittava kirjallinen tietojenkäsittelysopimus (Data Processing Agreement, DPA). Tietosuojavaltuutetun toimiston vuoden 2025 valvontaraportin mukaan puuttuvat tai puutteelliset DPA-sopimukset olivat kolmanneksi yleisin rikkomuksen syy Suomessa.

Käytännön toimittajahallinnan vaiheet ovat seuraavat. Ensimmäiseksi laaditaan toimittajarekisteri, johon kirjataan jokainen taho, joka käsittelee yrityksen henkilötietoja, käsittelyn tarkoitus, käsiteltävien tietojen kategoriat sekä sopimuksen tila. Toiseksi arvioidaan jokaisen toimittajan tietoturvataso ennen sopimuksen allekirjoittamista. Käytännöllinen työkalu tähän on standardisoitu kyselylomake, kuten Cloud Security Alliancen CAIQ (Consensus Assessment Initiative Questionnaire). Kolmanneksi DPA-sopimukseen kirjataan vähintään seuraavat elementit: käsittelyn kohde ja kesto, henkilötietojen luonne ja kategoriat, rekisteröityjen ryhmät, sekä alihankkijan velvollisuudet tietoturvaloukkauksista ilmoittamisessa (GDPR 33 artikla edellyttää 72 tunnin ilmoitusaikaa valvontaviranomaiselle).

Neljänneksi sopimuksiin on sisällytettävä ns. ketjutusklausuuli, joka velvoittaa toimittajaa hankkimaan luvan ennen kuin se siirtää tietojenkäsittelyä omille alihankkijoilleen. Viidenneksi toimittajia auditoidaan säännöllisesti, vähintään vuosittain korkean riskin toimittajien osalta.

SaaS-palveluiden osalta kannattaa hyödyntää vakiomuotoisia DPA-pohjia. Microsoft, Google ja Salesforce tarjoavat omat DPA-dokumenttinsa, mutta näitä ei pidä hyväksyä sellaisenaan ilman lakimiehen tarkistusta, koska ne saattavat sisältää toimittajan eduksi kirjoitettuja vastuunrajoituksia. Suomen Lakimiesliitto suositteli vuoden 2024 ohjeistuksessaan, että DPA-sopimukset tarkistetaan vähintään kahden vuoden välein tai aina, kun toimittajan palvelurakenne muuttuu. Toimittajarekisterin ylläpitoon soveltuvat esimerkiksi OneTrust Vendor Risk Management tai Thoropass, jotka integroituvat suoraan yrityksen tiedonhallintajärjestelmiin.

Tietosuoja-asetus käytännössä: rekisteriselosteet ja seloste käsittelytoimista vaihe vaiheelta

GDPR:n 30 artikla velvoittaa organisaatioita ylläpitämään selostetta käsittelytoimista (Records of Processing Activities, RoPA). Toisin kuin vanha henkilörekisterilaki edellytti erillistä rekisteriselostetta, nykyinen vaatimus on laajempi ja kattaa kaikki käsittelytoimet organisaatiokohtaisesti. Tietosuojavaltuutetun toimiston vuonna 2025 tekemässä tarkastuksessa 41 prosentilla tarkastetuista suomalaisista yrityksistä RoPA oli joko kokonaan puuttuva tai olennaisilta osin virheellinen.

RoPA-dokumentin rakentaminen etenee seitsemässä vaiheessa. Ensimmäisessä vaiheessa kartoitetaan kaikki tietojenkäsittelyprosessit haastattelemalla liiketoimintayksiköiden vastuuhenkilöitä. Toisessa vaiheessa jokaiselle prosessille määritetään käsittelyn tarkoitus ja oikeusperusta GDPR:n 6 artiklan mukaisesti: sopimus, lakisääteinen velvollisuus, oikeutettu etu vai suostumus. Kolmannessa vaiheessa luokitellaan käsiteltävät tietokategoriat, erityisesti onko mukana erityisiä tietoryhmiä kuten terveystietoja tai ammattiliiton jäsenyystietoja (GDPR 9 artikla). Neljännessä vaiheessa kirjataan tietojen säilytysajat ja poistoaikataulu.

Viidennessä vaiheessa dokumentoidaan tietojen vastaanottajat, mukaan lukien kolmansille osapuolille tehtävät siirrot ja EU:n ulkopuoliset siirrot. Kuudennessa vaiheessa arvioidaan kutakin käsittelytoimea koskevat tekniset ja organisatoriset suojatoimet. Seitsemännessä vaiheessa RoPA tallennetaan sähköiseen muotoon ja sen päivittämisestä sovitaan vastuuhenkilö sekä päivitysaikataulu.

RoPA-kenttä	Esimerkki: HR-tietojenkäsittely
Käsittelyn tarkoitus	Työsuhteen hallinta ja palkanmaksu
Oikeusperusta	GDPR 6(1)(b): sopimus
Tietokategoriat	Nimi, henkilötunnus, palkkatiedot, poissaolot
Säilytysaika	10 vuotta työsuhteen päättymisestä (kirjanpitolaki)
Vastaanottajat	Palkanlaskentapalvelu, Verohallinto
Suojatoimet	Kulunvalvonta, salaus, käyttöoikeusrajoitukset

Automatisoituihin työkaluihin kannattaa tutustua heti alusta. DataGrail, Privaci ja Cookiebot CMP tarjoavat RoPA-moduuleja, jotka päivittyvät osittain automaattisesti järjestelmäintegraatioiden kautta. Suomen tietosuojavaltuutetun toimisto on julkaissut maksuttoman Excel-pohjaisen RoPA-mallin, joka soveltuu erityisesti pienille organisaatioille ja on saatavilla toimiston verkkosivuilta.

Aiheeseen liittyvät artikkelit

• Tietosuoja ja GDPR: Käytännön opas
• GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset
• Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein

Usein kysytyt kysymykset tietosuojasta Suomessa

Mitä tarkoittaa tietosuoja ja miten se eroaa tietoturvasta?

Tietosuoja on lainsäädännöllinen ja oikeudellinen käsite, joka koskee luonnollisten henkilöiden oikeutta hallita omia henkilötietojaan. Se määrittelee, milloin henkilötietoja saa käsitellä, mitä oikeuksia ihmisellä on tietojensa suhteen ja miten organisaatioiden on toimittava. Tietoturva puolestaan on teknistä ja organisatorista suojaamista tietomurtoja, luvattomia pääsyjä, tietojen katoamista ja muita uhkia vastaan. Tietoturva on tietosuojan tekninen edellytys: ilman riittävää tietoturvaa henkilötietoja ei voida suojata, mutta tietoturva yksin ei riitä GDPR:n noudattamiseen. Molemmat ovat osa organisaation kokonaisvaltaista tiedonhallintaa.

Koskeeko GDPR myös pieniä yrityksiä ja yhdistyksiä?

Kyllä, GDPR koskee kaikkia organisaatioita, jotka käsittelevät EU-alueella asuvien luonnollisten henkilöiden henkilötietoja – myös pieniä yrityksiä, yhdistyksiä ja yksityisiä elinkeinonharjoittajia. Koko tai liikevaihto ei määritä sitä, sovelletaanko asetusta. Pienyritykset ja yhdistykset on osittain vapautettu velvollisuudesta ylläpitää käsittelyselosteita, mutta vain siltä osin kuin käsittely ei ole säännöllistä eikä aiheuta riskiä. Käytännössä lähes kaikki yritykset, jotka pitävät asiakasrekisteriä tai lähettävät uutiskirjeitä, ovat GDPR:n piirissä. Tietosuojavaltuutetun toimisto tarjoaa maksuttomia ohjeistuksia tietosuoja.fi-sivustolla.

Milloin tietoturvaloukkaus pitää ilmoittaa tietosuojavaltuutetulle?

Tietoturvaloukkaus on ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa siitä, kun organisaatio saa siitä tiedon, jos loukkaus todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Jos riski on epätodennäköinen, ilmoitusta ei tarvitse tehdä, mutta loukkaus on silti dokumentoitava sisäisesti. Korkean riskin tapauksissa myös asianomaisille rekisteröidyille on ilmoitettava viipymättä. Ilmoitusvelvollisuus on tiukka: 72 tuntia on hyvin lyhyt aika, joten organisaatioilla on hyvä olla valmis toimintaohje tietoturvaloukkaustilanteiden varalta.

Mitä oikeuksia minulla on omiin tietoihini?

GDPR antaa rekisteröidyille useita oikeuksia: oikeus saada pääsy omiin tietoihin (tarkastusoikeus), oikeus vaatia virheellisten tietojen oikaisemista, oikeus pyytää tietojen poistamista tietyissä tilanteissa, oikeus rajoittaa käsittelyä, oikeus siirtää tiedot toiselle rekisterinpitäjälle (tietojen siirrettävyys) sekä oikeus vastustaa käsittelyä. Rekisterinpitäjällä on lähtökohtaisesti kuukausi aikaa vastata pyyntöihin, ja vastauksen on oltava maksuton. Jos rekisterinpitäjä kieltäytyy pyynöstä, on kieltäytymiselle esitettävä perustelu. Epäselvissä tilanteissa voi kääntyä tietosuojavaltuutetun puoleen.

Miten tehdä valitus tietosuojavaltuutetulle?

Valituksen voi tehdä tietosuojavaltuutetun toimistolle, jos epäilee, että omia henkilötietoja on käsitelty laittomasti tai että rekisterinpitäjä ei ole noudattanut GDPR:n tai tietosuojalain vaatimuksia. Valitus tehdään kirjallisesti, ja sen voi toimittaa tietosuojavaltuutetun toimiston verkkosivuilla olevan lomakkeen kautta tai sähköpostitse osoitteeseen [email protected]. Valitus on maksuton, eikä sen tekemiseen tarvita lakimiestä. Ennen valituksen tekemistä kannattaa yrittää ratkaista asia suoraan rekisterinpitäjän kanssa. Valituksen käsittelyaika vaihtelee asian monimutkaisuuden mukaan.

Miten pitkään yritys saa säilyttää asiakastietoja?

Säilytysaika riippuu käsittelyn tarkoituksesta ja mahdollisesta lakisääteisestä velvoitteesta. GDPR:n säilytyksen rajoittamisen periaate edellyttää, että tietoja ei säilytetä pidempään kuin on tarpeen. Yleinen vastaus on, että asiakassuhteiden aikana kerättyjen tietojen säilyttäminen on perusteltua asiakassuhteen ajan, minkä jälkeen tiedot tulisi poistaa tai anonymisoida, ellei lainsäädäntö – kuten kirjanpitolaki tai kuluttajansuojalaki – edellytä pidempää säilytystä. Joillekin tiedoille, kuten kauppalaskuille, kirjanpitolaki edellyttää kuuden vuoden säilytystä. Markkinointirekisterit on yleensä siivottava säännöllisemmin.

Voinko siirtää henkilötietoja EU:n ulkopuolelle?

Henkilötietoja voidaan siirtää EU:n tai ETA:n ulkopuolelle vain, jos siirrolle on lainmukainen peruste. Helpointa on siirtää tietoja maihin, joiden Euroopan komissio on todennut tarjoavan riittävän tietosuojan tason (riittävyyttä koskeva päätös). Muuten siirto edellyttää asianmukaisia suojatoimia, kuten vakiosopimuslausekkeita (SCCs) tai sitovia yrityssääntöjä (BCRs). Yhdysvalloissa sijaitsevien pilvipalveluiden, kuten AWS:n tai Google Cloudin, käyttö edellyttää näitä mekanismeja. Lisäksi rekisteröidyn nimenomaisella suostumuksella voidaan tehdä yksittäisiä siirtoja. Siirtojen laillisuus on syytä tarkistaa erityisesti, kun kyse on laajamittaisesta tai jatkuvasta siirrosta.

Mitä tapahtuu, jos yritys rikkoo GDPR:ää?

GDPR-rikkomuksista voidaan määrätä hallinnollisia seuraamusmaksuja kahdessa portaassa. Lievemmistä rikkomuksista, kuten rekisterinpitäjän velvollisuuksien laiminlyönnistä, enimmäissumma on 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta. Vakavammista, kuten lainmukaisen käsittelyperusteen puuttumisesta, enimmäissumma on 20 miljoonaa euroa tai 4 % liikevaihdosta. Lisäksi tietosuojavaltuutettu voi antaa varoituksia, huomautuksia ja käsittelykieltoja. Rekisteröityjen vahingonkorvausvaatimukset ovat myös mahdollisia, ja rikkomus voi aiheuttaa merkittävää mainevahinkoa. Sakkojen suuruuteen vaikuttaa muun muassa rikkomuksen vakavuus, tahallisuus ja organisaation yhteistyöhalu viranomaisen kanssa.

Lähteet

• Tietosuojavaltuutetun toimisto – Toimintakertomus 2025: https://tietosuoja.fi/toimintakertomus-2025
• Tietosuojavaltuutetun toimisto ja oikeusministeriö – Tulossopimus 2026–2029: https://tietosuoja.fi/documents/6927448/257808963/
• Digi- ja väestötietovirasto – Digiturvabarometri 2025: https://dvv.fi/documents/16079645/
• Valtioneuvosto – Digiturvabarometri 2025 tiedote: https://valtioneuvosto.fi/-/16079645/
• Valtioneuvosto – Tietosuojalainsäädäntöön esitetään muutoksia (HE 46/2026): https://valtioneuvosto.fi/-/1410853/
• Finlex – Hallituksen esitys HE 46/2026: https://www.finlex.fi/fi/hallituksen-esitykset/2026/46
• Tilastokeskus – Tietosuoja: https://stat.fi/fi/tietoa-meista/tutustu-tilastokeskukseen/tietosuoja
• Euroopan tietosuojaneuvosto (EDPB) – Työohjelma 2026–2027: https://www.edpb.europa.eu/news/news/2026/
• Traficom – Kyberturvallisuustilanne 2026: https://traficom.fi/fi/uutiset/kyberturvallisuuden-ensimmainen-vuosipuolisko-2026
• DNA – Digitaalinen elämä -tutkimus 2026: https://corporate.dna.fi/digitaalinen-elama-2026

IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025