Lyhyesti
- Henkilötieto on jokainen tieto, jonka voi yhdistää elävään ihmiseen suoraan tai välillisesti. IP-osoite ja sijainti kuuluvat joukkoon, osakeyhtiön y-tunnus ei.
- Käsittely tarvitsee perusteen, ja vaihtoehtoja on tietosuoja-asetuksessa kuusi. Yritykselle suostumus on niistä haurain – parempi valinta löytyy melkein aina.
- Henkilötunnusta suojaa oma kansallinen pykälä: tietosuojalain 29 § sallii käytön vain, kun ihmisen erottaminen muista on aidosti tarpeen.
- Työntekijän tiedoissa raja on tiukin: käsitellä saa vain työsuhteen kannalta välittömästi tarpeellista, eikä työntekijän oma suostumus laajenna oikeutta.
- Ylärajaltaan seuraamusmaksu on 20 miljoonaa euroa tai 4 % liikevaihdosta – ja sen rinnalla kulkee rikosvastuu.
Mikä on henkilötieto – ja mikä ei ole
Testi on lopulta yksinkertainen: jos tiedon voi yhdistää tunnistettuun tai tunnistettavissa olevaan ihmiseen, kyse on henkilötiedosta. Näin sen määrittelee tietosuoja-asetuksen 4 artiklan 1 kohta, ja samaa muotoilua käyttää tietosuojavaltuutetun toimisto. Arkaluonteisuus ei kuulu testiin lainkaan – tavallinen sähköpostiosoite on henkilötieto siinä missä terveystietokin.
Yhdistäminen lasketaan myös mutkan kautta. Kun ihminen paljastuu tietoja yhdistelemällä, kaikki palaset ovat henkilötietoa: IP-osoite, sijainti, auton rekisterikilpi, potilaskertomus. Toiminimen kohdalla raja katoaa kokonaan, sillä yrittäjä ja yritys ovat sama ihminen – siksi toiminimen nimi ja y-tunnus ovat henkilötietoa.
Vastakkaiseen suuntaan testi vapauttaa. Osakeyhtiön y-tunnus ei osoita keneenkään ihmiseen, eikä info@yritys.fi-tyyppinen yleisosoite. Aidosti anonymisoitu aineisto jää sääntelyn ulkopuolelle, mutta rima on korkealla: tunnistamisen on oltava peruuttamattomasti mahdotonta. Jos nimi on vain korvattu asiakasnumerolla, kyse on pseudonymisoinnista – ja pseudonymisoitu tieto on yhä henkilötietoa.
Oman kerroksensa muodostavat erityiset henkilötietoryhmät, kuten terveys, ammattiliiton jäsenyys, etninen tausta ja vakaumus. Niiden käsittelyn 9 artikla lähtökohtaisesti kieltää. Tietosuojalain 6 § avaa kieltoon kansallisia aukkoja – ammattiliittotieto saa kulkea palkkahallinnossa, kun työoikeudelliset velvoitteet sitä vaativat – mutta jokainen aukko maksaa: saman pykälän 2 momentti edellyttää suojatoimia, esimerkiksi pääsynhallintaa, salausta tai lokia siitä, kuka tietoja on muuttanut.
Kuusi käsittelyperustetta – mikä niistä sopii yritykselle
Mitään henkilötietoa ei saa tallentaa ”varmuuden vuoksi”. Jokaisella käyttötarkoituksella on oltava jokin 6 artiklan 1 kohdan kuudesta perusteesta: suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, yleinen etu tai oikeutettu etu.
Arjessa yritys pärjää kolmella. Kauppa ja laskutus lepäävät sopimuksen varassa. Kirjanpito säilyy, koska laki käskee. Oikeutettu etu kattaa loput tavanomaisesta: nykyasiakkaiden suoramarkkinoinnin, väärinkäytösten torjunnan ja sisäisen raportoinnin.
Entä suostumus? Siihen tartutaan useimmin ja turhimmin. Suostumuksesta on kyettävä esittämään näyttö, ja rekisteröity saa vetää sen takaisin milloin vain – silloin käsittely loppuu heti. Laskutus ei saa riippua peruutuslinkistä, ja sopimusperusteisena se ei riipukaan. Aidosti suostumusta tarvitaan uusien kontaktien markkinointiluvissa, seurantaevästeissä ja tilanteissa, joille mikään muu peruste ei anna tukea. Lapsiin kohdistuvassa verkkopalvelussa on lisäksi kansallinen ikäraja: tietosuojalain 5 §:n mukaan 13 vuotta.
Perusteet eivät ole nippu, josta poimitaan sopivin jälkikäteen. Valinta tehdään käyttötarkoitus kerrallaan etukäteen, ja valittu peruste pysyy. Näen toimeksiannoissa yhä uudelleen selosteen, jossa koko toiminta on kuitattu yhdellä perusteella – varmin merkki siitä, ettei markkinointirekisterin oikeudellista pohjaa ole mietitty loppuun.
Henkilötunnus on Suomessa oma lukunsa
Kansallisen tunnisteen sääntely jäi asetuksessa jäsenvaltioille, ja Suomi käytti tilaisuuden. Tietosuojalain 29 § päästää henkilötunnuksen käsittelyyn kolmea reittiä: rekisteröidyn suostumuksella, lain nojalla tai silloin, kun ihmisen yksiselitteinen erottaminen muista on tärkeää – laissa säädetyn tehtävän hoitamiseksi, osapuolten oikeuksien ja velvollisuuksien toteuttamiseksi taikka tutkimusta tai tilastointia varten.
Toinen momentti nimeää alat, joilla yksilöintitarve on valmiiksi tunnustettu: luotonanto ja perintä, vakuutus-, luottolaitos-, maksupalvelu-, vuokraus- ja lainaustoiminta, luottotietotoiminta, terveydenhuolto, sosiaalihuolto sekä virka- ja työsuhteet asioineen. Listan ulkopuolella peruste on löydettävä muualta – verkkokaupalla, joka kysyy henkilötunnusta tilauslomakkeella ilman luotonantoa, sitä ei yleensä ole.
Pykälän loppuun on kirjoitettu kaksi arkista kieltoa, jotka rikkoutuvat useimmin. Tulosteisiin ja asiakirjoihin henkilötunnusta ei tule merkitä tarpeettomasti – osoitetarra on klassikko. Ja pelkkä henkilötunnus tai hetu–nimi-pari ei kelpaa tunnistamiseen: puhelinpalvelu, joka avaa asiakkuuden näillä tiedoilla, toimii suoraan lain vastaisesti.
Työntekijöiden tiedoille pätee tiukempi sääntö
Työsuhteessa yleissääntely väistyy: tietosuojalain 30 § osoittaa työntekijätiedot lakiin yksityisyyden suojasta työelämässä. Sen 3 § korottaa riman asetuksen minimointiperiaatteen yläpuolelle – käsitellä saa ainoastaan tietoja, jotka ovat välittömästi tarpeen työsuhteen oikeuksien ja velvollisuuksien hoitamisessa, työnantajan tarjoamissa etuuksissa tai työtehtävien erityisluonteen vuoksi. Pykälän 2 momentti sinetöi rajan: työntekijän suostumus ei laajenna sitä milliäkään.
Hakulomakkeen ylimääräinen kenttä ei siis muutu lailliseksi sillä, että hakija täyttää sen mielellään. Tiedonhankinnalle 4 § antaa suunnan: ensisijainen lähde on työntekijä itse. Muualta hankituista tiedoista on kerrottava hänelle ennen kuin ne vaikuttavat mihinkään päätökseen, ja henkilöluottotietojen kohdalla on nimettävä myös rekisteri, josta tiedot haetaan.
Terveystiedoille 5 § rakentaa kolmiportaisen suojan. Ensin rajataan ihmiset: käsittelijät nimetään tai käsittelyä sisältävät tehtävät määritellään. Sitten rajataan sijainti: aineisto pidetään erillään kaikesta muusta. Lopuksi rajataan aika: tiedot poistetaan heti perusteen kadottua, ja peruste punnitaan uudelleen vähintään viiden vuoden välein. HR-mappiin muiden papereiden väliin unohtunut sairauslomatodistus rikkoo näistä keskimmäistä.
Mitä yrityksen on dokumentoitava
Tietosuojan kova ydin on osoitusvelvollisuus: ei riitä, että toimii oikein – se on myös kyettävä näyttämään. Ilman dokumenttia hyväkin käytäntö on viranomaisen silmissä pelkkä väite.
Papereita on kaksi, ja ne sekoitetaan toisiinsa jatkuvasti. Sisäinen kartta on seloste käsittelytoimista: mitä tietoja liikkuu, miksi ja missä. Ulospäin puhuu tietosuojaseloste, jonka sisällön sanelevat 13 ja 14 artikla – tietosuojaselosteen pakolliset kohdat ja niiden tavalliset aukot löytyvät omasta artikkelistaan.
Moni pk-yritys luottaa alle 250 työntekijän vapautukseen, mutta luotto on katteeton. Vapautus kaatuu jo siihen, että käsittely on muuta kuin satunnaista – ja palkat maksetaan joka kuukausi, asiakasrekisteri elää joka päivä. Sama kaatuminen seuraa todennäköisestä riskistä ja erityisistä tietoryhmistä.
Ulkopuoliset käsittelijät tuovat kolmannen paperin. Palkanlaskija, CRM-toimittaja ja pilvipalvelu käsittelevät tietoja yrityksen lukuun, joten kunkin kanssa tarvitaan kirjallinen käsittelysopimus – yhtä lailla osa yrityksen sopimuskokonaisuutta kuin muutkin toimittajasopimukset.
Tietosuojavastaavan nimittää julkishallinto sekä yritys, jonka ydintehtäviin kuuluu ihmisten laajamittainen ja järjestelmällinen seuranta tai erityisten tietoryhmien laajamittainen käsittely. Sana ”ydintehtävä” pelastaa tavallisen pk-yrityksen: oman henkilöstön sairauspoissaolot eivät tee tietosuojasta liiketoiminnan ydintä. Korkean riskin käsittelyyn kytkeytyy vielä 35 artiklan vaikutustenarviointi.
Rekisteröidyn oikeudet ja kuukauden määräaika
Asetus antaa rekisteröidylle kahdeksan työkalua: tiedonsaannin, pääsyn omiin tietoihin, oikaisun, poiston, käsittelyn rajoittamisen, siirron järjestelmästä toiseen, vastustamisen ja suojan pelkkää automaattista päätöksentekoa vastaan.
Kello käynnistyy pyynnön saapuessa: vastaus on annettava viimeistään kuukaudessa, ja tarpeetonta odotuttamista asetus ei salli silloinkaan. Ruuhka tai poikkeuksellisen monimutkainen pyyntö oikeuttaa kahden lisäkuukauden jatkoon, kunhan jatkosta ilmoitetaan jo ensimmäisen kuukauden sisällä. Kielteinenkin vastaus on annettava samassa ajassa, ja siihen on liitettävä tieto oikeudesta kannella tietosuojavaltuutetulle.
Vastausputki kannattaa rakentaa ennen ensimmäistä pyyntöä. Kuukausi hupenee hetkessä, jos alkuun kuluu viikko sen selvittämiseen, mistä järjestelmistä ihmisen tiedot ylipäätään löytyvät. Omassa työssäni tyypillisin ongelma ei ole ollut vaikea pyyntö vaan pyyntö, jota kukaan ei huomannut – se makasi jonkun sähköpostilaatikossa, kunnes määräaika oli ohi.
Mitä laiminlyönnistä seuraa
Seuraamusmaksusta päättää tietosuojalain 24 §:n mukainen kollegio, jonka muodostavat tietosuojavaltuutettu ja apulaisvaltuutetut ja joka on päätösvaltainen kolmijäsenisenä. Katto on korkea: 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta. Julkinen sektori on rajattu maksun ulkopuolelle – valtion ja kuntien viranomaiset, valtion liikelaitokset, itsenäiset julkisoikeudelliset laitokset, eduskunnan virastot, tasavallan presidentin kanslia ja kansankirkot seurakuntineen – mutta yksityinen yritys ei tähän joukkoon kuulu. Ajallinen takaraja on kymmenen vuotta rikkomuksesta; jatkuvassa rikkomuksessa laskenta alkaa vasta sen päättymisestä.
Raha ei ole ainoa uhka. Tietosuojalain 26 § kytkee vakavimmat teot rikoslain 38 luvun 9 §:n tietosuojarikokseen, ja määräystensä tueksi valtuutettu voi asettaa uhkasakon.
Erikseen juoksee tietoturvaloukkausten kello: ilmoitus valtuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa ilmitulosta, korkean riskin tilanteissa lisäksi ilmoitus rekisteröidyille. Kolme vuorokautta on lyhyt aika kriisin keskellä, joten 72 tunnin toimintajärjestys kannattaa opetella etukäteen.
Mistä aloittaa
Ensimmäinen askel on kartta. Käy käyttötarkoitus kerrallaan läpi, mitä tietoja yritykseen kertyy, mistä ne saapuvat, mihin järjestelmiin ne asettuvat, kuka niihin pääsee ja milloin ne poistuvat. Vaihe vie eniten aikaa – ja lähes aina se nostaa esiin järjestelmän, jonka olemassaolon kaikki olivat unohtaneet.
Kartan päälle rakentuu loppu: peruste jokaiselle tarkoitukselle, seloste käsittelytoimista, todellisuutta vastaava tietosuojaseloste, käsittelysopimus jokaisen palveluntarjoajan kanssa ja nimetty vastaanottaja rekisteröityjen pyynnöille aikatauluineen. Henkilöstöhallinnon aineisto käydään läpi omana kierroksenaan tarpeellisuusvaatimuksen takia.
Valtaosa tästä on huolellista perustyötä, joka hoituu omin voimin. Juristia kannattaa käyttää siellä, missä väärä valinta tulee kalliiksi: perusteen valinnassa, oikeutetun edun punninnassa, käsittelysopimuksissa ja EU:n ulkopuolisissa siirroissa. Koko tietosuoja ja GDPR -kokonaisuuden saa kuntoon kerralla.
Epäselvä käsittelyperuste kannattaa selvittää ennen kuin joku kysyy
Kerro tilanteestasi lyhyesti, niin kerron suoraan, mikä on kunnossa ja mikä ei – ja missä järjestyksessä puutteet kannattaa korjata. Maksuton alkuarvio ei sido toimeksiantoon.
Usein kysyttyä henkilötietojen käsittelystä
Onko pienyrityksen tehtävä seloste käsittelytoimista?
Lähes aina on. Alle 250 työntekijän vapautus väistyy, kun käsittely on muuta kuin satunnaista, aiheuttaa todennäköisesti riskin tai koskee erityisiä tietoryhmiä. Kuukausittainen palkanmaksu ja elävä asiakasrekisteri riittävät viemään vapautuksen.
Riittääkö asiakkaan suostumus käsittelyperusteeksi?
Kelpaa laillisesti, mutta kantaa huonosti. Peruutus lopettaa käsittelyn heti, joten laskutusta tai toimitusta ei pidä rakentaa suostumuksen varaan – niiden peruste on sopimus. Suostumuksen paikka on markkinointiluvissa ja seurantaevästeissä.
Saako asiakkaan henkilötunnuksen tallentaa?
Vain tietosuojalain 29 §:n reiteillä: suostumus, laki tai aito yksilöintitarve. Pykälä nimeää alat, kuten luotonannon, perinnän, vakuutustoiminnan ja työsuhteet. Tavallisen verkkokaupan tilauslomakkeelle henkilötunnus ei kuulu, eikä hetu–nimi-paria saa käyttää tunnistamiseen.
Milloin yrityksen on nimitettävä tietosuojavastaava?
Kun kyseessä on julkishallinnon toimija tai kun ydintehtäviin kuuluu ihmisten laajamittainen järjestelmällinen seuranta taikka erityisten tietoryhmien laajamittainen käsittely. Tavallinen pk-yritys jää yleensä ulkopuolelle, mutta sisäinen vastuuhenkilö kannattaa nimetä silti.
Kuinka nopeasti rekisteröidyn pyyntöön on vastattava?
Viimeistään kuukaudessa, tarpeetonta viivyttelyä välttäen. Monimutkainen pyyntö tai ruuhka antaa enintään kaksi lisäkuukautta, ja jatkosta on ilmoitettava ensimmäisen kuukauden aikana. Kielteinen vastaus perustellaan samassa ajassa.
Lähteet
- Tietosuojalaki (1050/2018) – 5 § lapsen suostumuksen ikäraja 13 vuotta; 6 § erityisten tietoryhmien poikkeukset ja suojatoimet; 24 § seuraamuskollegio, maksun ulkopuolelle jäävät tahot ja kymmenen vuoden takaraja; 26 § viittaus rikoslain 38 luvun 9 §:n tietosuojarikokseen; 29 § henkilötunnuksen käsittelyn rajat; 30 § ohjaus työelämän tietosuojalakiin.
- Laki yksityisyyden suojasta työelämässä (759/2004) – 3 §:n tarpeellisuusvaatimuksesta ei voida poiketa suostumuksella; 4 § tietojen kerääminen ensi sijassa työntekijältä itseltään; 5 § terveystietojen erillään säilyttäminen, käsittelijöiden nimeäminen ja perusteen arviointi viiden vuoden välein.
- Tietosuojavaltuutetun toimisto: Mikä on henkilötieto · Käsittelyperusteet · Seloste käsittelytoimista · Tietoturvaloukkaukset · Korjaavat toimivaltuudet
Viimeksi päivitetty: elokuu 2026
