Lyhyesti
- Tietosuoja-asetus pakottaa nimittämään tietosuojavastaavan kolmessa tilanteessa: käsittelijänä on viranomainen, ydintehtävänä on ihmisten laajamittainen ja järjestelmällinen seuranta tai ydintehtävänä on erityisten tietoryhmien laajamittainen käsittely (37 artiklan 1 kohta).
- Pelkkä henkilötietojen käsittely ei velvoita mihinkään. Portteja on kaksi – ydintehtävä ja laajamittaisuus – ja kummankin on auettava.
- Tehtävän voi hoitaa oma työntekijä tai ostettu asiantuntija palvelusopimuksella (37 artiklan 6 kohta).
- ”Varmuuden vuoksi” on huonoin syy nimittää: vapaaehtoinenkin nimitys tuo mukanaan kaikki 37–39 artiklan velvoitteet riippumattomuudesta erottamissuojaan.
- Vastuu tietosuojasta pysyy yrityksellä (24 artiklan 1 kohta). Nimitetty vastaava ei kanna sitä henkilökohtaisesti.
Milloin tietosuojavastaavan nimittäminen on pakollista
Pakko syntyy suoraan 37 artiklan 1 kohdasta, joka tuntee kolme tilannetta: käsittelyä suorittaa viranomainen tai julkishallinnon elin (lainkäyttötehtäviään hoitavia tuomioistuimia lukuun ottamatta); rekisterinpitäjän tai käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka edellyttävät rekisteröityjen laajamittaista säännöllistä ja järjestelmällistä seurantaa; taikka ydintehtävät muodostuvat 9 artiklan erityisten tietoryhmien tai 10 artiklan rikostuomiotietojen laajamittaisesta käsittelystä.
Viimeisessä kohdassa on tulkintakoukku: teksti sanoo ”ja”, mutta EU:n tietosuojatyöryhmän ohje lukee sen ”tai”-muodossa. Jompikumpi tietotyyppi riittää yksinään.
Yritystä koskevat käytännössä vain kaksi jälkimmäistä tilannetta, ja kummassakin velvollisuus vaatii kahden ehdon täyttymistä yhtä aikaa. Käsittelyn on oltava yrityksen ydintehtävä, ja sen on oltava laajamittaista. Yhden portin jääminen kiinni riittää vapauttamaan.
Mitä ydintehtävällä tarkoitetaan
Johdanto-osan 97 kappale erottaa keskeisen toiminnan oheistoiminnasta: ydintä ovat toimet, joita ilman yritys ei saavuta tavoitteitaan. Muodollinen toimialakuvaus ei kuitenkaan ratkaise. Tietosuojatyöryhmän vakioesimerkki on sairaala – sen tehtävä on hoitaa potilaita, mutta hoitaminen ei onnistu ilman potilastietoja, joten tietojen käsittely kuuluu ytimeen ja vastaava on nimitettävä. Palkkahallinto, työsuhdeasiat ja asiakasrekisteri sen sijaan tukevat liiketoimintaa lähes kaikkialla ytimeen kuulumatta.
Milloin käsittely on laajamittaista
Lukurajoja asetus ei anna. Tietosuojatyöryhmä punnitsee laajamittaisuutta neljällä mittarilla: montako ihmistä käsittely koskee tai kuinka suurta osuutta väestöstä, paljonko tietoa ja tietotyyppejä liikkuu, kauanko käsittely kestää ja kuinka laajalle alueelle se ulottuu.
Ohjeen esimerkit kertovat mittakaavan. Laajamittaista on potilastietojen käsittely sairaalassa, asiakastiedot pankissa tai vakuutusyhtiössä, joukkoliikenteen matkakorttiseuranta, käyttäytymiseen perustuva hakukonemainonta ja teleoperaattorin liikenne- ja sijaintitiedot. Vastapainoksi ohje nimeää yksittäisen lääkärin potilastyön ja yksittäisen lakimiehen rikostuomiotietojen käsittelyn – ne eivät ole laajamittaisia. Rima on siis korkealla, eikä muutaman tuhannen asiakkaan rekisteri sitä vielä ylitä.
Mitä on säännöllinen ja järjestelmällinen seuranta
Säännöllistä on toiminta, joka jatkuu tai toistuu tietyin välein; järjestelmällistä toiminta, joka on organisoitu ennalta osaksi suunnitelmaa tai strategiaa. Ohjeen esimerkkilista osuu lähelle pk-yrityksen arkea: profilointi ja pisteytys, sijainnin seuranta sovelluksella, kanta-asiakasohjelmat, sähköpostin uudelleenmarkkinointi, käyttäytymiseen perustuva mainonta, puettavien laitteiden terveysseuranta, kameravalvonta ja verkkoon kytketyt laitteet.
Moni verkkokauppa tekee listalta kahtakin asiaa – kanta-asiakasohjelmaa ja retargeting-mainontaa. Velvollisuutta ei silti synny, ellei seuranta ole juuri sen ydintehtävä ja laajamittaista. Verkkokaupan ydin on myynti, ei ihmisten tarkkailu.
Useimman yrityksen ei tarvitse nimittää – mutta arvio kannattaa kirjata
Suora vastaus ensin: kun yritys myy ohjelmistoa, palvelua, koneita tai konsultointia ja henkilötietoja kertyy lähinnä työnantajan, myyjän ja markkinoijan rooleissa, tietosuojavastaavaa ei tarvita. Valtaosa suomalaisista pk-yrityksistä kuuluu tähän joukkoon.
Arvio kannattaa silti tehdä kerran huolella ja panna paperille. Tietosuojatyöryhmä suosittaa dokumentointia aina, kun tilanne ei ole päivänselvä, ja tuki löytyy 24 artiklan 1 kohdan osoitusvelvollisuudesta – valvoja saa pyytää arvion nähtäväkseen.
- Listaa käsiteltävät henkilötiedot käyttötarkoituksineen – työntekijät, asiakkaat, verkkosivukävijät, kameravalvonta.
- Ratkaise jokaisen toimen kohdalla, onko se liiketoiminnan ydintä vai sen tukea.
- Punnitse laajamittaisuus neljällä mittarilla: ihmismäärä, tietomäärä, kesto ja maantieteellinen ulottuvuus.
- Kirjaa johtopäätös perusteluineen ja päivämäärineen – sivu riittää.
- Palaa arvioon, kun avaat uuden palvelun tai liiketoiminta-alueen.
Varo myös toista sudenkuoppaa: nimitystä ”kaiken varalta”. Vapaaehtoisesti nimitetty vastaava nauttii täyttä 37–39 artiklan suojaa ja vaatii täydet resurssit – riippumattomuus, erottamissuoja ja raportointi johdolle koskevat häntäkin. Jollei näihin ole valmiutta, titteli kannattaa jättää antamatta. Tietosuoja-asioita saa silti hoitaa työntekijä tai konsultti ilman tietosuojavastaavan nimikettä, kunhan nimikettä ei käytetä sisäisesti, verkkosivuilla eikä viranomaisten suuntaan. Velvoitteet seuraavat nimikkeestä, eivät työtehtävistä.
Alihankkijana voit joutua nimittämään, vaikka asiakkaasi ei
Artikla 37 velvoittaa rekisterinpitäjän lisäksi henkilötietojen käsittelijää, ja kummankin tilanne punnitaan itsenäisesti. Tietosuojatyöryhmän esimerkki havainnollistaa: perheyrityksen ostama verkkoanalytiikka ja kohdennettu mainonta eivät tee perheyrityksestä velvollista, mutta palveluntarjoaja hoitaa samaa seurantaa sadoille asiakkaille – sen mittakaavassa käsittely on laajamittaista, ja nimitys kuuluu sille. Toinen esimerkki on työterveystoimija: terveystiedot ovat erityinen tietoryhmä, joten velvollisuus voi syntyä palveluntarjoajalle, vaikka yksikään asiakasyritys ei sitä kanna.
Suomessa tämä koskettaa HR-järjestelmien toimittajia, työterveystaloja, rekrytointialustoja ja markkinointiautomaation tarjoajia. Sama kysymys putkahtaa esiin yrityskaupoissa: ostajan due diligence -tarkastuksessa kysytään vakiona, onko nimittämisvelvollisuus arvioitu ja arvio dokumentoitu.
Mitä Suomen tietosuojalaki sanoo
Kansallista yleisvelvoitetta ei ole – tietosuojalaki nojaa asetukseen ja täydentää sitä yhdestä kulmasta. Lain 6 §:n 2 momentti luettelee yksitoista suojatoimea, joita erityisten tietoryhmien poikkeuskäsittely edellyttää, ja tietosuojavastaavan nimittäminen on luettelossa kolmantena. Se on siis yksi valittavista keinoista esimerkiksi vakuutustoiminnassa ja terveydenhuollossa, ei erillinen pakko.
Asetuksen 37 artiklan 4 kohta jättää jäsenvaltioille oikeuden säätää nimityspakkoja lisää, joten säännellyllä toimialalla oma erityislainsäädäntö kannattaa tarkistaa. Valvonnasta vastaa tietosuojalain 8 §:n mukaan tietosuojavaltuutettu, ja seuraamusmaksut määrää 24 §:n seuraamuskollegio. Nimityksen laiminlyönti asettuu 83 artiklan 4 kohdan lievempään luokkaan: enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta sen mukaan, kumpi on suurempi.
Mitä tietosuojavastaava tekee
Tehtäväluettelo on 39 artiklan 1 kohdassa. Vastaava neuvoo johtoa, käsittelijöitä ja henkilötietoja käsitteleviä työntekijöitä, valvoo tietosuojasäännösten noudattamista – vastuunjakoa, koulutusta ja auditointeja myöten – tukee pyydettäessä 35 artiklan vaikutustenarviointia ja valvoo sen toteutusta sekä hoitaa yhteydet valvontaviranomaiseen, 36 artiklan ennakkokuuleminen mukaan lukien.
Kaikkea ei valvota yhtä tiheällä kammalla. Artiklan 2 kohta sitoo työn riskiin: painopiste kuuluu suuririskisiin käsittelytoimiin. Rekisteröidyille 38 artiklan 4 kohta avaa suoran väylän vastaavaan kaikissa omia tietoja koskevissa asioissa, joten tarkastus- ja poistopyynnöt päätyvät tyypillisesti hänen pöydälleen.
Yksi asia ei pöydälle siirry: vastuu. Asetuksen 24 artiklan 1 kohta pitää sen rekisterinpitäjällä, ja tietosuojatyöryhmä sanoo saman suoraan – vastaava ei ole henkilökohtaisessa vastuussa siitä, että sääntöjä rikotaan.
Asema, riippumattomuus ja eturistiriita
Asetuksen 38 artikla vaatii enemmän kuin moni organisaatio arvaa. Vastaava on kytkettävä mukaan kaikkiin tietosuojakysymyksiin ajoissa. Hänelle kuuluvat riittävät resurssit, pääsy tietoihin ja käsittelytoimiin sekä tilaisuus pitää osaamistaan yllä – osa-aikaiselle suositellaan kirjattavaksi prosenttiosuus työajasta. Ohjeita hänelle ei saa antaa tehtävien hoidosta, erottaa tai rangaista tehtävien hoitamisen takia ei saa, ja raportointilinja kulkee ylimpään johtoon. Rangaistukseksi lasketaan ohjeissa myös ylennyksen jarruttaminen tai etujen epääminen, jopa pelkkä uhkaus – tavallisin perustein, vaikkapa vakavasta rikkomuksesta, erottaminen onnistuu normaalisti.
Pienessä organisaatiossa kompastuskivi on 38 artiklan 6 kohdan eturistiriitakielto: vastaava ei saa istua tuolissa, jossa hän itse päättää käsittelyn tarkoituksista ja keinoista. Riskilistalla ovat toimitusjohtaja, operatiivinen johtaja, talousjohtaja, henkilöstöpäällikkö, markkinointipäällikkö ja IT-päällikkö. Kymmenen hengen yrityksessä tuo lista syö käytännössä kaikki, jotka tuntevat järjestelmät – siksi neuvon valitsemaan ulkopuolisen aina, kun velvollisuus pienessä organisaatiossa ylipäätään herää.
Voiko tietosuojavastaava olla ulkopuolinen
Voi, ja 37 artiklan 6 kohta sanoo sen suoraan: tehtävää hoitaa henkilöstön jäsen tai palvelusopimuksella toimiva ulkopuolinen. Organisaation kanssa tehdyssä sopimuksessa jokaisen tehtävää hoitavan on täytettävä samat vaatimukset eturistiriidattomuutta myöten, ja työryhmä suosittaa nimeämään asiakkaalle yhden vastuuhenkilön sekä kirjaamaan työnjaon sopimukseen. Erottamissuoja seuraa mukana: sopimusta ei saa katkaista siksi, että vastaava teki työnsä.
Sijainniksi työryhmä suosittaa EU:ta. Konsernille riittää yksi yhteinen vastaava, kunhan jokainen toimipaikka tavoittaa hänet vaivatta (37 artiklan 2 kohta) – ja tavoitettavuus kattaa myös kielen, jolla rekisteröidyt ja valvoja asioivat. Tutkintovaatimuksia ei ole: 37 artiklan 5 kohta edellyttää ammattipätevyyttä, tietosuojaosaamista ja kykyä hoitaa 39 artiklan tehtävät, ja vaadittu taso nousee käsittelyn monimutkaisuuden mukana.
Yhteystiedot julkisiksi ja ilmoitus tietosuojavaltuutetulle
Nimityksestä seuraa 37 artiklan 7 kohdan kaksoisvelvoite: yhteystiedot julki ja ilmoitus valvontaviranomaiselle, jolle tietosuojavaltuutetun toimisto tarjoaa oman lomakkeen.
Nimen julkaisemista ei vaadita – riittää, että ihmiset ja viranomainen saavat yhteyden vaikkapa sähköpostin, puhelinnumeron tai lomakkeen kautta. Yksi poikkeus on: tietoturvaloukkausilmoituksessa nimi ja yhteystiedot on kerrottava (33 artiklan 3 kohdan b alakohta). Yhteystietojen paikka on myös tietosuojaselosteessa silloin, kun vastaava on nimitetty – ja vain silloin. Nimitystarpeen arviointi ja vastaavan tehtävien järjestäminen kuuluvat tietosuojapalveluihin, samoin kuin se, mitä henkilötietojen käsittely yritykseltä muuten vaatii.
Selvitetään kerralla, koskeeko velvollisuus sinua
Nimittämisarvio vie tavallisesti yhden palaverin, ja johtopäätös mahtuu sivulle. Samalla näet, mitä muuta tietosuojadokumentaatiostasi puuttuu. Maksuton alkuarvio ei sido toimeksiantoon.
Usein kysyttyä tietosuojavastaavasta
Onko pienyrityksellä oltava tietosuojavastaava?
Ei lähtökohtaisesti. Pakko syntyy vasta, kun ydintehtävänä on ihmisten laajamittainen ja järjestelmällinen seuranta tai erityisten tietoryhmien laajamittainen käsittely. Työntekijöiden ja asiakkaiden tavanomainen tietojen käsittely on tukitoimintaa, joka jää 37 artiklan kriteerien alle.
Mitä eroa on tietosuojavastaavalla ja tietosuojavaltuutetulla?
Valtuutettu on valtion viranomainen – tietosuojalain 8 §:n mukainen valvoja, jonka piiriin kuuluvat kaikki Suomessa toimivat organisaatiot. Vastaava taas on yrityksen oma tai ulkoistettu rooli, joka neuvoo taloa sisältä ja toimii yhteyshenkilönä valtuutetun suuntaan.
Voiko toimitusjohtaja toimia tietosuojavastaavana?
Käytännössä ei. Eturistiriitakielto (38 artiklan 6 kohta) estää yhdistämästä vastaavan roolia asemaan, jossa päätetään käsittelyn tarkoituksista ja keinoista, ja työryhmän ohjeissa toimitusjohtaja on riskilistan kärjessä talousjohtajan, henkilöstöpäällikön, markkinointipäällikön ja IT-päällikön rinnalla.
Pitääkö tietosuojavastaavalla olla juridinen koulutus?
Tutkintopakkoa ei ole. Vaatimuksena on 37 artiklan 5 kohdan mukainen ammattipätevyys, tietosuojalainsäädännön ja -käytäntöjen tuntemus sekä kyky hoitaa 39 artiklan tehtävät – ja rima nousee sitä mukaa, mitä monimutkaisempaa tai arkaluonteisempaa käsittely on.
Mitä tapahtuu, jos tietosuojavastaavaa ei nimitetä vaikka pitäisi?
Laiminlyönti kuuluu 83 artiklan 4 kohdan seuraamusluokkaan: enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta. Maksun määrää tietosuojalain 24 §:n seuraamuskollegio. Tyypillisesti puute paljastuu tietoturvaloukkauksen tai kantelun yhteydessä.
Lähteet
- Yleinen tietosuoja-asetus (EU) 2016/679 37–39 artikla – 37 artiklan 1 kohta luettelee pakollisen nimittämisen kolme tilannetta, 6 kohta sallii palvelusopimuksella toimivan ulkopuolisen ja 7 kohta vaatii yhteystietojen julkistamisen ja ilmoittamisen valvojalle; 38 artikla sääntelee asemaa ja eturistiriitoja, 39 artikla tehtäviä; 83 artiklan 4 kohdan seuraamusluokka.
- Tietosuojalaki (1050/2018) 6 § ja 8 § – yleistä nimitysvelvoitetta ei ole; 6 §:n 2 momentin 3 kohta mainitsee nimittämisen yhtenä yhdestätoista suojatoimesta erityisten tietoryhmien käsittelyssä, ja 8 § osoittaa valvonnan tietosuojavaltuutetulle.
- Tietosuojatyöryhmän ohjeet tietosuojavastaavista (WP 243 rev.01) – ydintehtävän ja laajamittaisuuden arviointitekijät, esimerkit molempiin suuntiin, eturistiriitojen riskilista sekä toteamus, ettei vastaava ole henkilökohtaisessa vastuussa laiminlyönneistä.
- Tietosuojavaltuutetun toimisto: tietosuojavastaavan nimittäminen – yhteystiedot ilmoitetaan toimiston lomakkeella ja pidetään yleisön saatavilla; vapaaehtoista nimitystä koskevat samat vaatimukset kuin pakollista.
Viimeksi päivitetty: elokuu 2026
