EU:n tietosuoja-asetus: säännöt henkilötietojen käsittelylle ja rekisteröidyn oikeuksille.
Mikä se on GDPR eli EU:n yleinen tietosuoja-asetus (Asetus (EU) 2016/679) on ollut suoraan sovellettavaa EU-lakia 25.5.2018 lähtien, eikä sen operatiivinen teksti ole tähän mennessä muuttunut. Suomessa asetusta täydentää kansallinen tietosuojalaki (1050/2018), joka säätää muun muassa terveys- ja rikosrekisteritietojen käsittelystä sekä muista kansallisista poikkeuksista. Asetus määrittää, millä perusteilla henkilötietoja saa käsitellä, ja antaa rekisteröidylle oikeuksia omiin tietoihinsa. Ydinteksti on ennallaan, mutta sen ympärillä tapahtuu paljon. Euroopan tietosuojaneuvosto (EDPB) on julkaissut tiheään uutta ohjeistusta etenkin tekoälyn ja datan käsittelystä, EU-tuomioistuin on tarkentanut, milloin pseudonymisoitu data lakkaa olemasta henkilötietoa, ja Euroopan komissio on ehdottanut GDPR:ää muuttavaa Digital Omnibus -pakettia. Ehdotus ei ole laki, ja sen käsittely on kesken (ks. Aikajana). Koskeeko sinua Koskee lähes varmasti. GDPR koskee jokaista yritystä, kuntaa ja yhdistystä, joka käsittelee tunnistettavien henkilöiden tietoja: asiakas-, henkilöstö-, käyttäjä- tai verkkosivukävijätietoja, koosta riippumatta. Se koskee myös EU:n ulkopuolisia yrityksiä, jos ne tarjoavat palveluja EU:n alueella oleville ihmisille tai seuraavat heidän käyttäytymistään. Valvojana Suomessa toimii tietosuojavaltuutetun toimisto. Keskeiset velvoitteet Jokaiselle käsittelytoimelle (markkinointilistat, analytiikka, henkilöstödata, tekoälytyökalujen lokit) tarvitaan oikeusperuste (6 artikla). Oikeutettu etu edellyttää dokumentoitua kolmivaiheista tasapainotestia. Käsittelytoimien selostetta (ROPA, 30 artikla) ylläpidetään, jos organisaatiossa on vähintään 250 työntekijää tai käsittely on riskialtista, jatkuvaa tai koskee erityisiä tietoryhmiä. Digital Omnibus nostaisi rajan 750:een, mutta muutos ei ole vielä voimassa. Tietosuojaselosteiden ja evästeinfon on oltava selkeitä ja aidosti informatiivisia (12–14 artikla). Tämä on EDPB:n koordinoidun valvontakierroksen (CEF 2026) painopiste vuonna 2026. Tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle 72 tunnin kuluessa. Ilmoitus tehdään toistaiseksi kansallisella lomakkeella, sillä EDPB:n valmistelema EU-mallipohja on yhä luonnos: sen kuuleminen päättyi 5.8.2026 eikä lopullista versiota ole julkaistu. Digital Omnibus ehdottaisi ilmoitusajaksi 96 tuntia ja korkean riskin kynnystä, mutta muutos ei ole vielä voimassa. Korkean riskin käsittelystä, kuten laajamittaisesta profiloinnista tai tekoälypohjaisesta pisteytyksestä, tehdään vaikutustenarviointi (DPIA, 35 artikla). Rekisteröidyn oikeuksiin (pääsy, oikaisu, poisto, siirrettävyys, vastustaminen) vastataan pääsääntöisesti kuukauden kuluessa, myös silloin kun tieto on tekoälypalveluntarjoajalla. Tekoälytyökalujen käyttö vaatii kartoituksen siitä, mitä henkilötietoja ne käsittelevät, dokumentoidun oikeusperusteen sekä selvyyden siitä, onko palveluntarjoaja henkilötietojen käsittelijä (vaatii sopimuksen) vai itsenäinen rekisterinpitäjä. Näin sovellat käytännössä Pk-SaaS (parikymmentä työntekijää, EU-asiakkaita) Alle 250 työntekijän poikkeus käsittelyselosteesta pätee vielä, mutta kevyt seloste kannattaa silti pitää ajan tasalla, jos käsittely on jatkuvaa tai koskee erityisiä tietoryhmiä, kuten useimmiten SaaS-lokien kohdalla. Varmista oikeusperuste jokaiselle käsittelylle ja henkilötietojen käsittelysopimus alihankkijoiden kanssa (pilvipalvelu, analytiikka, tekoälyominaisuudet). Tarkista tietosuojaseloste nyt ennen EDPB:n 2026 läpinäkyvyyskierrosta, ja jos kaavit ulkoista dataa tai koulutatte omia malleja, ottakaa EDPB:n luonnosohjeet huomioon jo ennen niiden lopullistumista. Verkkokauppa, jossa käytetään evästeitä ja markkinointipersonointia Ei-välttämättömät seurantaevästeet vaativat yhä opt-in-suostumuksen (sähköisen viestinnän palvelulaki), ja markkinointiprofiloinnille tarvitaan oikeusperuste, yleensä suostumus tai oikeutettu etu opt-out-mahdollisuudella. Digital Omnibusin evästeuudistus kannattaa pitää mielessä tulevaisuuden varalle, ei kiireenä. Verkkokauppa.comin tapaus, jossa korkein hallinto-oikeus vahvisti seuraamusmaksun 12.6.2026, on konkreettinen muistutus: määrittele ja dokumentoi asiakastietojen säilytysajat kirjallisesti. Konsulttiyritys, joka rakentaa sisäistä tekoälyavustinta asiakas- tai henkilöstödatalla (Leanexin tyyppinen tilanne) Dokumentoi oikeusperuste datan syöttämiselle tekoälyjärjestelmään, selvitä onko alusta henkilötietojen käsittelijä (vaatii sopimuksen) vai erillinen rekisterinpitäjä, vältä erityisiä tietoryhmiä ilman erillistä perustetta, ja kohtele pseudonymisoitua tai "anonymisoitua" koulutusdataa yhä henkilötietona, ellet voi osoittaa juuri omilla kyvyilläsi, ettei uudelleentunnistaminen ole käytännössä mahdollista. Katso myös EU:n tekoälyasetus , joka tuo omat, osittain päällekkäiset velvoitteensa samaan tilanteeseen. Julkishallintoon liittyvä tai monimaayritys, jolla on rajat ylittävää valitusriskiä Kannattaa tiedostaa, että 2.4.2027 alkaen yhtenäistetty EU-menettely (Asetus (EU) 2025/2518) säätelee, miten sinua vastaan tehty rajat ylittävä valitus otetaan käsittelyyn, tutkitaan (tavoiteaika 12–15 kuukautta) ja ratkaistaan, mukaan lukien muodollinen oikeus tulla kuulluksi ennen päätöstä. Tätä kannattaa jo nyt huomioida pitkän aikavälin vaatimustenmukaisuus- ja kriisiviestintäsuunnittelussa, vaikkei se muuta mitään ennen kyseistä päivää. Suomessa Suomi täydentää GDPR:ää kansallisella tietosuojalailla (1050/2018), joka säätää muun muassa terveys-, rikosrekisteri- ja tietyistä toimialakohtaisista tiedoista. Valvontaviranomaisena toimii tietosuojavaltuutetun toimisto (tietosuoja.fi), joka käsittelee valituksia, antaa ohjeistusta ja voi seuraamuskollegionsa kautta määrätä hallinnollisia seuraamusmaksuja. Esimerkki on Verkkokauppa.comille asiakastietojen säilytysajan puutteista määrätty maksu, jonka korkein hallinto-oikeus piti voimassa 12.6.2026 (KHO 12.6.2026/1604). Suomen tietosuojavaltuutettu Anu Talus toimii samalla koko EDPB:n puheenjohtajana, mikä antaa Suomelle poikkeuksellisen vahvan äänen EU-tason ohjeistuksen valmistelussa. Suomen ja EDPB:n linjaukset ovat siksi juuri nyt tavallista paremmin linjassa. Tietosuojalain muutokset ovat voimassa. Oikeusministeriön esitys annettiin eduskunnalle 19.2.2026 hallituksen esityksenä HE 9/2026, eduskunnan vastaus saatiin 5.5.2026, tasavallan presidentti vahvisti lait 22.5.2026 ja ne tulivat voimaan 1.9.2026. Kyse on yhdestätoista laista, säädöskokoelman numerot 380–390/2026, joista 380/2026 on laki tietosuojalain muuttamisesta. Muutokset täsmentävät tietosuojalain 4 §:n 2 kohtaa eli viranomaisten oikeutta käsitellä henkilötietoja yleisen edun perusteella, 6 ja 7 §:ää vakuutuslaitosten oikeudesta käsitellä erityisiä henkilötietoryhmiä ja rikostietoja sekä 14 §:n 4 momenttia sertifiointielinten akkreditoinnista FINASissa. Muutokset kohdistuvat siis viranomaisten, vakuutuslaitosten ja sertifiointielinten käsittelyyn. Elokuussa 2026 tuli kaksi ratkaisua, joista kannattaa ottaa oppia. Apulaistietosuojavaltuutettu antoi 17.8.2026 SUEK ry:lle huomautuksen ja määräyksen: tieto urheilijan lievästä dopingrikkomuksesta oli yhä julkaistuna päivänä, jona toimintakielto oli jo päättynyt, ja keskeneräisestä tutkinnasta oli kerrottu ilman hyväksyttävää perustetta. Päätös ei ole lainvoimainen. Samana päivänä tietosuojavaltuutetun toimisto kertoi Norjan valvojan huomautuksesta SATS-konsernille, joka toimii Suomessa nimellä ELIXIA. Asiakkaiden valokuvia ei voinut käsitellä asiakassopimuksen perusteella, koska sisäänkirjautuminen hoituu kulkukortilla, eikä vastustamisoikeudesta kerrottu riittävän selkeästi. Yhtiön on saatettava käytäntönsä lainmukaisiksi 11.9.2026 mennessä. Myös Suomen valvoja osallistui asian käsittelyyn, koska ketjulla on liikuntakeskuksia neljässä Pohjoismaassa. Kummassakin kysymys on sama: onko juuri tämä käsittely välttämätöntä ja millä perusteella. Ajantasaisin suomenkielinen ohjeistus löytyy tietosuoja.fi:stä, joka julkaisee sekä omia oppaita että käännöksiä EDPB:n ohjeista. Traficom vastaa rinnakkaisista sähköisen viestinnän (evästeet) ja NIS2-kyberturvallisuusvelvoitteista, mutta ei ole GDPR:n valvontaviranomainen.