EU:n yleinen tietosuoja-asetus (GDPR) on ollut sovellettava 25.5.2018 alkaen, ja silti tietosuojaselosteen puutteet ovat edelleen yksi yleisimmistä syistä, joiden takia Tietosuojavaltuutetun toimisto käynnistää valvontatoimet suomalaisissa organisaatioissa. Rikkomisesta voidaan määrätä hallinnollinen sakko enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta vuosiliikevaihdosta – kumpi on suurempi. Tässä oppaassa käymme läpi tietosuojaselosteen pakolliset osat, yleisimmät virheet ja rakenteen, jonka avulla myös pk-yritys tai yhdistys pystyy laatimaan lainmukaisen selosteen.
Mikä tietosuojaseloste on ja kenelle se kuuluu
Tietosuojaseloste – jota vanhemmassa lainsäädännössä kutsuttiin rekisteriselosteeksi – on GDPR:n 13 ja 14 artiklan mukainen informointiasiakirja. Se on tarkoitettu rekisteröidylle: asiakkaalle, työntekijälle, verkkosivun käyttäjälle tai muulle henkilölle, jonka tietoja käsittelet. Seloste on eri asia kuin seloste käsittelytoimista (GDPR:n 30 artikla), joka on organisaation sisäinen asiakirja ja jota valvontaviranomaiset voivat pyytää tarkastettavaksi.
Tietosuojavaltuutetun toimisto painottaa, että selosteelle ei ole yhtä pakollista, virallista muotoa. Viranomainen on laatinut mallipohjan vapaaehtoisesti hyödynnettäväksi tueksi – malli ei ole pakollinen lomake. Olennaista on, että selosteen tiedot ovat täsmälliset, ymmärrettävät ja helposti saatavilla, esimerkiksi verkkosivun alatunnisteessa tai lomakkeen yhteydessä.
Seloste tarvitaan käytännössä aina, kun käsittelet henkilötietoja: verkkokauppa tarvitsee asiakasrekisterin selosteen, työnantaja henkilöstörekisterin selosteen ja yhdistys jäsenrekisterin selosteen. Kukin rekisteri tai käsittelytarkoitus voi edellyttää omaa selostedokumenttiaan.
Tietosuojaselosteen rakenne: pakolliset kohdat
GDPR:n 13 ja 14 artikla määrittävät, mitä tietosuojaselosteen on sisällettävä. Artiklat eroavat toisistaan sen perusteella, onko tieto kerätty rekisteröidyltä suoraan (13 art.) vai muualta (14 art.). Seuraava rakenne kattaa molemmat tilanteet.
| Kohta | Mitä kirjataan | GDPR-artikla |
|---|---|---|
| 1. Rekisterinpitäjä | Nimi, y-tunnus, osoite, sähköposti ja puhelinnumero | 13(1)(a) |
| 2. Tietosuojavastaava | Nimi ja yhteystiedot, jos sellainen on nimetty (pakollinen tietyillä toimialoilla) | 13(1)(b) |
| 3. Käsittelyn tarkoitukset | Kukin tarkoitus erikseen, esim. tilausten toimittaminen, markkinointi, kirjanpito | 13(1)(c) |
| 4. Oikeusperuste | Sopimus, lakisääteinen velvoite, oikeutettu etu, suostumus tai elintärkeä etu | 13(1)(c) |
| 5. Vastaanottajat | Kategoriat tai nimetyt tahot, joille tietoja luovutetaan | 13(1)(e) |
| 6. Siirrot EU/ETA-alueen ulkopuolelle | Kohdemaa ja siirtoperuste (esim. riittävyyttä koskeva päätös tai vakiosopimuslausekkeet) | 13(1)(f) |
| 7. Säilytysaika | Konkreettinen aika tai kriteerit, joiden perusteella aika määräytyy | 13(2)(a) |
| 8. Rekisteröidyn oikeudet | Oikeus pääsyyn, oikaisuun, poistamiseen, käsittelyn rajoittamiseen, siirrettävyyteen ja vastustamiseen | 13(2)(b–d) |
| 9. Valitusoikeus | Tieto oikeudesta tehdä valitus Tietosuojavaltuutetulle | 13(2)(d) |
| 10. Automaattinen päätöksenteko | Onko profilointia tai automaattisia päätöksiä; niiden logiikka ja vaikutukset | 13(2)(f) |
Tietosuojavaltuutetun toimiston ohjeistuksen mukaan käsittelyn tarkoitusten kuvauksen on oltava täsmällistä. Yleisluontoinen viittaus kuten ”asiakassuhteen hoitoon” ei riitä – tarkoitukset pitää kuvata niin yksityiskohtaisesti, että rekisteröity ymmärtää, mitä hänen tiedoillaan tehdään.
Malli: tietosuojaseloste täytettynä – esimerkkirakenne
Alla oleva malli perustuu GDPR:n 13 artiklan vaatimuksiin ja Tietosuojavaltuutetun toimiston ohjeistukseen. Korvaa hakasulkuihin merkityt tiedot organisaatiosi omilla tiedoilla.
TIETOSUOJASELOSTE – päivitetty [pvm]
1. Rekisterinpitäjä
Yritys X Oy, Y-tunnus [•], Esimerkkikatu 1, 00100 Helsinki, sähköposti: [email protected], puh. 040 000 0000.
2. Tietosuojavastaava (kirjaa vain, jos sellainen on nimetty)
[Etu- ja sukunimi], tietosuojavastaava, sähköposti: [email protected].
3. Käsittelyn tarkoitukset ja oikeusperusteet
Käsittelemme asiakasrekisterin henkilötietoja seuraaviin tarkoituksiin:
- Tilausten vastaanotto ja toimittaminen – oikeusperuste: sopimus
- Lakisääteiset kirjanpitovelvoitteet – oikeusperuste: lakisääteinen velvoite
- Sähköinen suoramarkkinointi rekisteröidyn suostumuksella – oikeusperuste: suostumus
- Asiakassuhteen hoitaminen ja kehittäminen – oikeusperuste: oikeutettu etu
4. Käsiteltävät tietoryhmät
Nimi, sähköpostiosoite, puhelinnumero, postiosoite, tilaushistoria, maksu- ja laskutustiedot.
5. Vastaanottajat
Maksupalveluntarjoaja [nimi], kirjanpitotoimisto [nimi], logistiikkakumppani [nimi]. Emme myy tietoja kolmansille osapuolille markkinointitarkoituksiin.
6. Siirrot EU/ETA:n ulkopuolelle
Sähköpostimarkkinointijärjestelmämme [nimi] käsittelee tietoja Yhdysvalloissa EU:n vakiosopimuslausekkeiden (SCC) nojalla, Euroopan komission päätöksen (2021/914) mukaisesti.
7. Säilytysaika
Asiakastietoja säilytetään asiakassuhteen ajan ja sen päättymisen jälkeen kirjanpitolain vaatiman ajan (6 vuotta tilikauden päättymisestä). Suoramarkkinointiluvan tiedot poistetaan peruutuksen yhteydessä.
8. Rekisteröidyn oikeudet
Sinulla on oikeus tarkastaa omat tietosi, vaatia virheellisten tietojen oikaisua, pyytää tietojen poistamista, rajoittaa käsittelyä, siirtää tietosi toiselle palveluntarjoajalle (siirto-oikeus) sekä vastustaa oikeutettuun etuun perustuvaa käsittelyä. Pyyntöihin vastataan 30 päivän kuluessa.
9. Valitusoikeus
Sinulla on oikeus tehdä valitus Tietosuojavaltuutetun toimistolle (Lintulahdenkuja 4, 00530 Helsinki, [email protected]) jos koet, että henkilötietojasi on käsitelty lainvastaisesti.
10. Automaattinen päätöksenteko ja profilointi
Emme tee automaattisia päätöksiä, joilla olisi oikeudellisia tai vastaavia merkittäviä vaikutuksia rekisteröidylle. / [Jos teette: kuvaile logiikka, merkittävyys ja rekisteröidyn oikeudet.]
Yleisluontoinen viittaus ”asiakassuhteen hoitoon” ei riitä – käsittelyn tarkoitukset pitää kuvata niin täsmällisesti, että rekisteröity ymmärtää, mitä hänen tiedoillaan todella tehdään.
Tyypilliset virheet tietosuojaselosteessa
Tietosuojavaltuutetun toimisto ja Euroopan tietosuojaneuvosto (EDPB) ovat linjanneet toistuvasti, mitkä puutteet ovat yleisimpiä. Seuraavat virheet nousevat valvontakäytännöstä esiin erityisen usein.
| Virhe | Miksi se on ongelma | Korjaus |
|---|---|---|
| Tarkoitukset kuvattu liian yleisesti | ”Asiakassuhteen hoito” ei kerro rekisteröidylle riittävästi | Listaa jokainen tarkoitus erikseen konkreettisesti |
| Oikeusperuste puuttuu tai on väärä | Ilman perustetta käsittely on lainvastaista | Valitse jokaiselle tarkoitukselle oma oikeusperuste GDPR 6 art. mukaan |
| Säilytysaika epämääräinen | ”Tarpeen mukaan” ei täytä vaatimusta | Ilmoita konkreettinen aika tai selkeä kriteeri (esim. ”kirjanpitolain mukainen 6 v.”) |
| Vastaanottajat luettelematta | Rekisteröity ei tiedä, kenelle tietoja menee | Mainitse vastaanottajien kategoriat tai nimet |
| EU/ETA-siirrot ilmoittamatta | Pilvipalveluissa data siirtyy usein kolmansiin maihin huomaamatta | Selvitä jokaisen SaaS-toimittajan datakeskuksen sijainti ja kirjaa siirtoperuste |
| Seloste vaikea löytää | Informointivelvoite ei täyty, vaikka asiakirja olisi laadittu | Julkaise verkkosivun footerissa ja lomakkeiden yhteydessä |
| Päivämäärä ja versiointi puuttuu | Valvontaviranomainen ei pysty arvioimaan, onko seloste ajantasainen | Lisää päivämäärä ja ylläpidä versionhallintaa |
EU:n AI Act (hyväksytty 2024) on tuonut uuden ulottuvuuden: jos organisaatio käyttää tekoälyjärjestelmää henkilötietojen käsittelyyn – esimerkiksi luottopäätöksiin tai hakijoiden seulontaan – selosteessa on kuvattava automaattisen päätöksenteon logiikka ja rekisteröidyn oikeudet selkeästi. Monet organisaatiot ovat laiminlyöneet tämän vaatimuksen kokonaan.
Myös rajanylittävät tietosiirrot ovat nousseet valvonnassa keskeiseen asemaan. Pilvipalvelut kuten Google Workspace, Microsoft 365 tai Mailchimp käsittelevät tietoja Yhdysvalloissa tai muualla EU/ETA-alueen ulkopuolella. Data Act (sovellettava 12.9.2025 alkaen) korostaa entisestään sopimuksellisten järjestelyjen läpinäkyvyyttä, joten seloste on pidettävä ajan tasalla sopimusten muuttuessa.
Rekisterinpitäjä vs. henkilötietojen käsittelijä: kumpi tekee selosteen
Tietosuojaseloste on aina rekisterinpitäjän vastuulla. Rekisterinpitäjä on se taho, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot – käytännössä useimmiten yritys tai organisaatio, jonka asiakas- tai henkilöstörekisteristä on kyse.
Henkilötietojen käsittelijä on puolestaan ulkopuolinen taho, joka käsittelee tietoja rekisterinpitäjän puolesta – esimerkiksi pilvipalveluntarjoaja, kirjanpitotoimisto tai IT-kumppani. Käsittelijän ja rekisterinpitäjän välillä on oltava kirjallinen käsittelysopimus (GDPR 28 art.), mutta käsittelijä ei laadi varsinaista tietosuojaselostetta rekisteröidylle – se on rekisterinpitäjän tehtävä.
Tietosuojavaltuutetun toimisto on laatinut erillisen mallipohjan sekä rekisterinpitäjälle että henkilötietojen käsittelijälle tarkoitettuun selosteeseen käsittelytoimista (30 art.) – tämä on organisaation sisäinen dokumentti, johon valvontaviranomaisella on pyydettäessä oikeus. Monet sekoittavat nämä kaksi asiakirjaa toisiinsa.
Rekisteröidylle tarkoitettu tietosuojaseloste ja viranomaisen pyynnöstä esitettävä seloste käsittelytoimista ovat kaksi eri asiakirjaa – molemmille on oma mallipohjansa Tietosuojavaltuutetun toimiston sivuilla.
Tietosuojaseloste käytännössä: julkaiseminen, päivittäminen ja arkistointi
Selosteen julkaiseminen verkkosivulle on useimmissa tapauksissa riittävä tapa täyttää informointivelvoite, mutta pelkkä olemassaolo ei riitä: selosteen on oltava helposti löydettävissä. Käytännön suositus on julkaista se verkkosivun alatunnisteessa (footer), yhteydenottolomakkeen tai rekisteröitymislomakkeen yhteydessä sekä mahdollisen mobiilisovelluksen asetuksissa.
Päivittäminen on yhtä tärkeää kuin alkuperäinen laadinta. Seloste on päivitettävä aina, kun käsittelyn tarkoitukset, vastaanottajat, säilytysajat tai käytetyt järjestelmät muuttuvat. Uusia pilvipalveluja tai markkinointityökaluja käyttöön otettaessa selvitä ensin, missä niiden datakeskukset sijaitsevat ja millä siirtoperusteella tiedot kulkevat EU/ETA-alueen ulkopuolelle.
Versionhallinta on suositeltavaa: säilytä vanhat versiot selosteesta aikaleiman kera. Jos valvontaviranomainen tutkii tapahtumaa, joka on sattunut aiemmalla selosteella, organisaatio voi osoittaa, mitä rekisteröidylle on kerrottu kyseisenä ajankohtana. Tämä on erityisen tärkeää, kun organisaatio on vuosien varrella muuttanut käsittelytapojaan.
Tietosuojaseloste eri rekistereille: erot ja yhtäläisyydet
Organisaatioilla on tyypillisesti useita eri rekistereitä, joista jokaisella on omat käsittelytarkoituksensa. Asiakasrekisterin, henkilöstörekisterin ja verkkosivuvierailijoiden rekisterin selosteet ovat sisällöltään erilaisia, vaikka rakenne on sama.
Asiakasrekisterissä oikeusperuste on useimmiten sopimus tai oikeutettu etu, henkilöstörekisterissä lakisääteinen velvoite (työsopimuslaki, kirjanpitolaki) ja toisinaan sopimus. Verkkosivuvierailijoiden seurannan osalta oikeusperuste on tyypillisesti suostumus – ja silloin evästeseloste liittyy tietosuojaselosteeseen läheisesti, vaikka ne ovat erillisiä asiakirjoja. Lisätietoa henkilötietojen käsittelyn oikeusperusteista löydät artikkelista Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein.
Yhdistysten jäsenrekisterit ovat erityistapaus: jäsenyystiedot voivat olla arkaluonteisia (esim. poliittinen tai uskonnollinen yhdistys), jolloin käsittelylle on oltava erityinen oikeusperuste GDPR:n 9 artiklan mukaan. Tietosuojavaltuutetun toimisto sekä Digi- ja väestötietovirasto (DVV) tarjoavat ohjeistusta myös julkishallinnon ja yhdistysten erityistarpeisiin.
Pohjoismaiset käytännöt ja kansalliset erityispiirteet
GDPR muodostaa yhteisen perustan kaikissa EU-maissa – Suomessa, Ruotsissa, Tanskassa ja Islannissa. Norja soveltaa vastaavaa sääntelyä ETA-sopimuksen kautta. Käytännön soveltamistapa kuitenkin vaihtelee jonkin verran kansallisten valvontaviranomaisten painotusten mukaan.
Suomessa Tietosuojavaltuutetun toimisto on painottanut läpinäkyvyyttä ja rekisteröidyn oikeuksien käytännön toteutumista. Ruotsissa Integritetsskyddsmyndigheten (IMY) on aktiivisesti sakkottanut erityisesti eväste- ja seurantakäytännöistä, mikä on vaikuttanut myös suomalaisten organisaatioiden tietosuojakulttuuriin. OECD:n digitaalitalousraportit osoittavat, että pohjoismainen tietosuoja on kansainvälisesti vertaillen korkean tason käytäntöä, joka korostaa riskiperusteista hallintaa ja läpinäkyvyyttä.
Suomen kansallinen tietosuojalaki (1050/2018) täydentää GDPR:ää esimerkiksi journalismia, tieteellistä tutkimusta ja henkilötunnuksen käsittelyä koskevissa asioissa. Nämä kansalliset erityissäännöt on syytä huomioida selosteessa, jos ne koskevat organisaation toimintaa. Lisätietoa GDPR:n vaatimuksista löydät pillarisisällöstä Tietosuoja ja GDPR: Käytännön opas.
Usein kysytyt kysymykset tietosuojaselosteesta
Onko tietosuojaseloste ja rekisteriseloste sama asia?
Ei täysin. Rekisteriseloste oli aiemman henkilötietolain (523/1999) mukainen asiakirja, joka laadittiin viranomaisrekisteröintiä varten. GDPR kumosi henkilötietolain 25.5.2018 ja samalla rekisteröintivelvollisuuden. Sen sijaan tuli informointivelvoite: rekisterinpitäjän on annettava rekisteröidylle tietosuojaseloste, joka sisältää yksityiskohtaisemmat tiedot kuin vanha rekisteriseloste. Arkikielessä termejä käytetään usein rinnakkain, mutta oikeudellisesti kyse on eri asiakirjoista. Nykyisin laaditaan tietosuojaseloste GDPR:n 13 tai 14 artiklan mukaan – rekisterinpitäjällä ei enää ole velvollisuutta ilmoittaa rekistereistä viranomaiselle etukäteen.
Mitä pakollisia kohtia tietosuojaselosteessa on oltava?
GDPR:n 13 artikla listaa vähimmäisvaatimukset tiedoille, jotka on annettava, kun tietoja kerätään suoraan rekisteröidyltä. Pakollisia ovat: rekisterinpitäjän ja mahdollisen tietosuojavastaavan yhteystiedot, käsittelyn tarkoitukset ja oikeusperusteet, vastaanottajien kategoriat, mahdolliset siirrot EU/ETA-alueen ulkopuolelle siirtoperusteineen, säilytysaika tai sen määräytymisperusteet, rekisteröidyn oikeudet (pääsy, oikaisu, poistaminen, rajoittaminen, siirrettävyys, vastustaminen), tieto oikeudesta peruuttaa suostumus, tieto valitusoikeudesta Tietosuojavaltuutetulle sekä tieto automaattisesta päätöksenteosta ja profiloinnista. Näiden kaikkien puuttuminen on puute, josta voidaan antaa huomautus tai sakko.
Voiko yritys käyttää valmista mallipohjaa sellaisenaan?
Mallipohja on hyvä lähtökohta, mutta sitä ei voi sellaisenaan julkaista. Tietosuojavaltuutetun toimiston mallipohja on vapaaehtoisesti hyödynnettävä tukirunko, ei täysin valmis asiakirja. Jokaiseen pohjaan on täytettävä organisaation omat tiedot, käsittelyn tarkoitukset, käytetyt järjestelmät ja vastaanottajat. Mallin kopiointi sellaisenaan johtaa tyypillisesti siihen, että selosteessa on hakasulkuihin jätettyjä täytettäviä kenttiä tai epärealistisia kuvauksia, jotka eivät vastaa organisaation todellista toimintaa. Tietosuojavaltuutettu voi katsoa tämän informointivelvoitteen laiminlyönniksi.
Pitääkö tietosuojaseloste kirjoittaa suomeksi?
GDPR edellyttää, että tietosuojaseloste on laadittu selkeällä ja ymmärrettävällä kielellä, jota rekisteröity ymmärtää. Suomessa toimivan organisaation, joka palvelee suomenkielisiä asiakkaita, on käytännössä laadittava seloste suomeksi. Jos organisaatio toimii myös ruotsinkielisissä palveluissa tai kaksikielisessä kunnassa, ruotsinkielinen versio on usein tarpeen. Englanninkielinen seloste voi riittää kansainvälisessä B2B-kontekstissa, mutta kuluttajapalveluissa kotimainen kieli on vahvasti suositeltava – ja joissakin tapauksissa välttämätön rekisteröidyn oikeuksien toteutumisen kannalta.
Miten kuvataan tietojen säilytysaika oikein?
Säilytysaika on yksi eniten puutteita sisältävistä kohdista. Pelkkä ”tiedot poistetaan tarpeen mukaan” tai ”säilytetään niin kauan kuin tarpeellista” ei täytä GDPR:n vaatimusta. Säilytysaika on ilmoitettava joko konkreettisena aikamääränä (esim. ”asiakastietoja säilytetään enintään 2 vuotta asiakassuhteen päättymisestä”) tai selkeänä kriteerinä (esim. ”kirjanpitolain vaatiman 6 vuoden ajan tilikauden päättymisestä”). Jos tietojen säilytysaika vaihtelee rekisterin eri osien välillä, jokainen tarkoitus tai tietoryhmä voidaan kuvata erikseen omalla aikataulullaan.
Miten EU/ETA-alueen ulkopuoliset tietosiirrot ilmoitetaan?
Tietosiirrot EU/ETA-alueen ulkopuolelle on mainittava selosteessa, kun niitä tapahtuu. Käytännössä tämä koskee lähes kaikkia organisaatioita, sillä Google Workspace, Microsoft 365, Mailchimp, HubSpot ja monet muut yleisesti käytetyt SaaS-palvelut käsittelevät tietoja osittain Yhdysvalloissa tai muualla EU/ETA:n ulkopuolella. Selosteessa on mainittava siirron kohdemaa tai alue sekä siirtoperuste: tyypillisimpiä ovat Euroopan komission hyväksymät vakiosopimuslausekkeet (Standard Contractual Clauses, SCC) tai riittävyyttä koskeva päätös (esim. EU–Yhdysvallat Data Privacy Framework, jos sovellettavissa). Tarkista jokaisen palveluntarjoajan tietosuojakäytäntö ja käsittelysopimus siirtoperusteen selvittämiseksi.
Tarvitaanko eri seloste asiakkaille ja työntekijöille?
Kyllä. Asiakasrekisterin ja henkilöstörekisterin käsittelyn tarkoitukset, oikeusperusteet, vastaanottajat ja säilytysajat eroavat merkittävästi toisistaan, joten käytännössä tarvitaan erilliset selosteet. Myös hakijarekisterille – eli työnhakijoiden tiedoille – on laadittava oma seloste. Jotkut organisaatiot julkaisevat yhden laajan selosteen, jossa eri rekisterit on eritelty omiin osioihinsa. Tämä on hyväksyttävä tapa, kunhan kukin rekisteröity löytää helposti itseään koskevan osion. Lisätietoa GDPR:n yrityksille asettamista vaatimuksista löydät artikkelista GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset.
Mitä seuraamuksia puutteellisesta tietosuojaselosteesta voi tulla?
Puutteellinen tai puuttuva tietosuojaseloste on GDPR:n informointivelvoitteen laiminlyönti. Seuraamukset voivat vaihdella huomautuksesta hallinnolliseen sakkoon. Suurimmillaan sakko voi olla 20 miljoonaa euroa tai 4 % organisaation maailmanlaajuisesta vuosiliikevaihdosta – kumpi on suurempi. Pienille organisaatioille sanktio on käytännössä huomattavasti pienempi, mutta Tietosuojavaltuutettu voi myös antaa sitovia korjausmääräyksiä tai väliaikaisesti kieltää tiettyjen käsittelytoimien jatkamisen. Hallinnollisten sanktioiden lisäksi rekisteröidyllä on oikeus vaatia korvausta kärsimästään vahingosta.
Aiheeseen liittyvät artikkelit
- Tietosuoja ja GDPR: Käytännön opas
- GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset
- Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
- Tietoturvaloukkaus ja ilmoitusvelvollisuus: 72 tunnin sääntö käytännössä
Lähteet
- Tietosuojavaltuutetun toimisto: Seloste käsittelytoimista – tietosuoja.fi/seloste-kasittelytoimista
- Tietosuojavaltuutetun toimisto: etusivu – tietosuoja.fi
- Digi- ja väestötietovirasto: Tietosuoja – dvv.fi/tietosuoja
- Euroopan komissio: GDPR:n teksti – eur-lex.europa.eu
- Euroopan komissio: EU–Yhdysvallat Data Privacy Framework – commission.europa.eu
- Euroopan tietosuojaneuvosto (EDPB): ohjeet ja lausunnot – edpb.europa.eu
- OECD: digitaalitalous ja datapolitiikka – oecd.org/digital
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
