EU:n tietosuoja-asetus: säännöt henkilötietojen käsittelylle ja rekisteröidyn oikeuksille.
Mikä se on GDPR eli EU:n yleinen tietosuoja-asetus (Asetus (EU) 2016/679) on ollut suoraan sovellettavaa EU-lakia 25.5.2018 lähtien, eikä sen operatiivinen teksti ole tähän mennessä muuttunut. Suomessa asetusta täydentää kansallinen tietosuojalaki (1050/2018), joka säätää muun muassa terveys- ja rikosrekisteritietojen käsittelystä sekä muista kansallisista poikkeuksista. Asetus määrittää, millä perusteilla henkilötietoja saa käsitellä, ja antaa rekisteröidylle oikeuksia omiin tietoihinsa. Ydinteksti on ennallaan, mutta sen ympärillä tapahtuu paljon. Euroopan tietosuojaneuvosto (EDPB) on julkaissut tiheään uutta ohjeistusta etenkin tekoälyn ja datan käsittelystä, EU-tuomioistuin on tarkentanut, milloin pseudonymisoitu data lakkaa olemasta henkilötietoa, ja Euroopan komissio on ehdottanut GDPR:ää muuttavaa Digital Omnibus -pakettia. Ehdotus ei ole laki, ja sen käsittely on kesken (ks. Aikajana). Koskeeko sinua Koskee lähes varmasti. GDPR koskee jokaista yritystä, kuntaa ja yhdistystä, joka käsittelee tunnistettavien henkilöiden tietoja: asiakas-, henkilöstö-, käyttäjä- tai verkkosivukävijätietoja, koosta riippumatta. Se koskee myös EU:n ulkopuolisia yrityksiä, jos ne tarjoavat palveluja EU:n alueella oleville ihmisille tai seuraavat heidän käyttäytymistään. Valvojana Suomessa toimii tietosuojavaltuutetun toimisto. Keskeiset velvoitteet Jokaiselle käsittelytoimelle (markkinointilistat, analytiikka, henkilöstödata, tekoälytyökalujen lokit) tarvitaan oikeusperuste (6 artikla). Oikeutettu etu edellyttää dokumentoitua kolmivaiheista tasapainotestia. Käsittelytoimien selostetta (ROPA, 30 artikla) ylläpidetään, jos organisaatiossa on vähintään 250 työntekijää tai käsittely on riskialtista, jatkuvaa tai koskee erityisiä tietoryhmiä. Digital Omnibus nostaisi rajan 750:een, mutta muutos ei ole vielä voimassa. Tietosuojaselosteiden ja evästeinfon on oltava selkeitä ja aidosti informatiivisia (12–14 artikla). Tämä on EDPB:n koordinoidun valvontakierroksen (CEF 2026) painopiste vuonna 2026. Tietoturvaloukkauksesta ilmoitetaan valvontaviranomaiselle 72 tunnin kuluessa. Digital Omnibus ehdottaisi 96 tuntia ja korkean riskin kynnystä, mutta muutos ei ole vielä voimassa. Korkean riskin käsittelystä, kuten laajamittaisesta profiloinnista tai tekoälypohjaisesta pisteytyksestä, tehdään vaikutustenarviointi (DPIA, 35 artikla). Rekisteröidyn oikeuksiin (pääsy, oikaisu, poisto, siirrettävyys, vastustaminen) vastataan pääsääntöisesti kuukauden kuluessa, myös silloin kun tieto on tekoälypalveluntarjoajalla. Tekoälytyökalujen käyttö vaatii kartoituksen siitä, mitä henkilötietoja ne käsittelevät, dokumentoidun oikeusperusteen sekä selvyyden siitä, onko palveluntarjoaja henkilötietojen käsittelijä (vaatii sopimuksen) vai itsenäinen rekisterinpitäjä. Näin sovellat käytännössä Pk-SaaS (parikymmentä työntekijää, EU-asiakkaita). Alle 250 työntekijän poikkeus käsittelyselosteesta pätee vielä, mutta kevyt seloste kannattaa silti pitää ajan tasalla, jos käsittely on jatkuvaa tai koskee erityisiä tietoryhmiä, kuten useimmiten SaaS-lokien kohdalla. Varmista oikeusperuste jokaiselle käsittelylle ja henkilötietojen käsittelysopimus alihankkijoiden kanssa (pilvipalvelu, analytiikka, tekoälyominaisuudet). Tarkista tietosuojaseloste nyt ennen EDPB:n 2026 läpinäkyvyyskierrosta, ja jos kaavit ulkoista dataa tai koulutatte omia malleja, ottakaa EDPB:n luonnosohjeet huomioon jo ennen niiden lopullistumista. Verkkokauppa, jossa käytetään evästeitä ja markkinointipersonointia. Ei-välttämättömät seurantaevästeet vaativat yhä opt-in-suostumuksen (sähköisen viestinnän palvelulaki), ja markkinointiprofiloinnille tarvitaan oikeusperuste, yleensä suostumus tai oikeutettu etu opt-out-mahdollisuudella. Digital Omnibusin evästeuudistus kannattaa pitää mielessä tulevaisuuden varalle, ei kiireenä. Verkkokauppa.comin tapaus, jossa korkein hallinto-oikeus vahvisti seuraamusmaksun 12.6.2026, on konkreettinen muistutus: määrittele ja dokumentoi asiakastietojen säilytysajat kirjallisesti. Konsulttiyritys, joka rakentaa sisäistä tekoälyavustinta asiakas- tai henkilöstödatalla (Leanexin tyyppinen tilanne). Dokumentoi oikeusperuste datan syöttämiselle tekoälyjärjestelmään, selvitä onko alusta henkilötietojen käsittelijä (vaatii sopimuksen) vai erillinen rekisterinpitäjä, vältä erityisiä tietoryhmiä ilman erillistä perustetta, ja kohtele pseudonymisoitua tai "anonymisoitua" koulutusdataa yhä henkilötietona, ellet voi osoittaa juuri omilla kyvyilläsi, ettei uudelleentunnistaminen ole käytännössä mahdollista. Katso myös EU:n tekoälyasetus , joka tuo omat, osittain päällekkäiset velvoitteensa samaan tilanteeseen. Julkishallintoon liittyvä tai monimaayritys, jolla on rajat ylittävää valitusriskiä. Kannattaa tiedostaa, että 2.4.2027 alkaen yhtenäistetty EU-menettely (Asetus (EU) 2025/2518) säätelee, miten sinua vastaan tehty rajat ylittävä valitus otetaan käsittelyyn, tutkitaan (tavoiteaika 12–15 kuukautta) ja ratkaistaan, mukaan lukien muodollinen oikeus tulla kuulluksi ennen päätöstä. Tätä kannattaa jo nyt huomioida pitkän aikavälin vaatimustenmukaisuus- ja kriisiviestintäsuunnittelussa, vaikkei se muuta mitään ennen kyseistä päivää. Suomessa Suomi täydentää GDPR:ää kansallisella tietosuojalailla (1050/2018), joka säätää muun muassa terveys-, rikosrekisteri- ja tietyistä toimialakohtaisista tiedoista. Valvontaviranomaisena toimii tietosuojavaltuutetun toimisto (tietosuoja.fi), joka käsittelee valituksia, antaa ohjeistusta ja voi seuraamuskollegionsa kautta määrätä hallinnollisia seuraamusmaksuja. Esimerkki on Verkkokauppa.comille asiakastietojen säilytysajan puutteista määrätty maksu, jonka korkein hallinto-oikeus piti voimassa 12.6.2026 (KHO 12.6.2026/1604). Suomen tietosuojavaltuutettu Anu Talus toimii samalla koko EDPB:n puheenjohtajana, mikä antaa Suomelle poikkeuksellisen vahvan äänen EU-tason ohjeistuksen valmistelussa. Suomen ja EDPB:n linjaukset ovat siksi juuri nyt tavallista paremmin linjassa. Oikeusministeriö julkaisi 19.2.2026 esityksen, joka muuttaisi tietosuojalakia ja kymmentä muuta lakia: täsmentäisi viranomaisten käsittelyoikeuksia ja siirtäisi sertifiointielinten akkreditoinnin FINASille. Tavoiteaikataulu on syyskuu 2026, mutta ehdotus on yhä eduskunnan käsittelyssä eikä tarkkaa voimaantulopäivää ole vielä julkaistu. Ajantasaisin suomenkielinen ohjeistus löytyy tietosuoja.fi:stä, joka julkaisee sekä omia oppaita että käännöksiä EDPB:n ohjeista. Traficom vastaa rinnakkaisista sähköisen viestinnän (evästeet) ja NIS2-kyberturvallisuusvelvoitteista, mutta ei ole GDPR:n valvontaviranomainen.