Tiedot ja tietosuoja: Suomi (2026)
EU:n jäsenvaltiona Suomi soveltaa GDPR-asetusta suoraan, ja sitä täydentää kansallinen tietosuojalaki (1050/2018), joka tuli voimaan 1. tammikuuta 2019 ja jolla kumottiin aiempi henkilötietolaki (523/1999). Riippumaton valvontaviranomainen on tietosuojavaltuutettu; valtuutetusta ja kahdesta apulaisvaltuutetusta koostuva seuraamuslautakunta määrää hallinnollisia sakkoja, joiden enimmäismäärä on 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuosiliikevaihdosta. Työsuhteisiin, sähköiseen viestintään ja terveydenhuollon tietoihin sovelletaan alakohtaisia lisävaatimuksia, ja vuonna 2025 käynnistettiin uusia muutoksia tietosuojalakiin ja siihen liittyvään lainsäädäntöön.
Peruskehys
EU:n yleinen tietosuoja-asetus (asetus (EU) 2016/679, GDPR), jota täydennetään kansallisella tasolla Suomen tietosuojalailla (Tietosuojalaki 1050/2018) ja jota valvoo Tietosuojavaltuutetun toimisto (Tietosuojavaltuutetun toimisto).
Keskeiset kohdat
Ensisijainen oikeudellinen kehys
GDPR on suoraan sovellettava, ja sitä täydentää tietosuojalaki (Tietosuojalaki 1050/2018), jossa säädetään kansallisista poikkeuksista (esim. tietoyhteiskunnan palvelujen suostumusikä on 13 vuotta) ja jolla kumottiin GDPR:ää edeltänyt henkilötietolaki (523/1999).
Valvontaviranomainen
Tietosuojavaltuutetun toimisto on Suomen riippumaton valvontaviranomainen, joka toimii yleisen tietosuoja-asetuksen 51 artiklan ja tietosuojalain 8 §:n nojalla; Anu Talus nimitettiin uudelleen tietosuojavaltuutetuksi viisivuotiskaudeksi, joka alkaa 1. marraskuuta 2025.
Täytäntöönpano ja seuraamukset
Oikeusasiamiehen ja kahden apulaisoikeusasiamiehen muodostama seuraamuslautakunta määrää hallinnollisia sakkoja, joiden suuruus on enintään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta; Viimeaikaisiin täytäntöönpanotoimiin kuuluu Verkkokauppa.comille määrätty noin 795 000 euron sakko, jonka korkein hallinto-oikeus vahvisti kesäkuussa 2026 tietojen säilytysaikojen määrittämättä jättämisen vuoksi.
Alakohtaiset säännöt
Sovelletaan myös muita alakohtaisia säädöksiä, kuten työelämän tietosuojalakia (759/2004) työntekijöiden tietojen osalta, sähköisten viestintäpalvelujen lakia (917/2014) viestinnän luottamuksellisuuden ja evästeiden osalta sekä terveydenhuolto- ja potilastietoja koskevia säädöksiä, joissa on tiukat pääsyn kirjaamis- ja säilyttämisvelvollisuudet.
Rekisteröidyn oikeudet
Rekisteröidyillä on käytettävissään kaikki GDPR:n mukaiset oikeudet (oikeus saada pääsy tietoihin, oikaisemiseen, poistamiseen, käsittelyn rajoittamiseen, tietojen siirrettävyyteen, vastustamiseen sekä suojaan yksinomaan automaattista päätöksentekoa vastaan); oikeusasiamies käsittelee myös valituksia ja hänellä on GDPR:n 58 artiklan nojalla täysimääräiset tutkinta- ja korjaustoimenpiteiden toteuttamisoikeudet.
Uudistus käynnissä (2025–2026)
Oikeusministeriö käynnisti keväällä 2025 laaja-alaisen uudistuksen, jossa ehdotettiin muutoksia tietosuojalakiin ja kymmeneen siihen liittyvään lakiin; lisäksi Suomi ottaa käyttöön Traficomin valvontavaltuudet EU:n tietosuojalain nojalla 1. tammikuuta 2026 alkaen.
Tämä sivu on käännös, joka on tarkoitettu helpottamaan lukemista; englanninkielinen versio on virallinen, eikä tämä ole oikeudellista neuvontaa.