Suomi on kahdeksan vuotta ollut EU:n harvoja maita, joissa julkinen sektori on käytännössä voinut rikkoa tietosuoja-asetusta ilman taloudellista riskiä. Se muuttuu. Huhtikuussa 2026 hallitus antoi eduskunnalle esityksen HE 46/2026 vp, joka avaisi tien hallinnollisiin sakkoihin myös viranomaisille ja kunnille. Samalla viikolla 18. elokuuta 2026 astui voimaan EU:n e-Evidence-asetus, joka antaa toisen jäsenmaan viranomaiselle oikeuden pyytää suomalaiselta palveluntarjoajalta käyttäjätietoja jopa kahdeksassa tunnissa. Kaksi erillistä säädöstä, sama viesti: tietosuojan valvonta Suomessa kiristyy nopeammin kuin moni organisaatio on ehtinyt varautua.

Mitä hallituksen esitys HE 46/2026 vp oikeasti muuttaa

Nykyinen tietosuojalaki (1050/2018) on rajannut julkisen sektorin GDPR:n hallinnollisten sakkojen ulkopuolelle. Yksityinen yritys on voinut saada seuraamusmaksun jo vuodesta 2020, mutta kunta, virasto tai ministeriö ei ole voinut. Huhtikuussa 2026 hallitus vei eduskuntaan esityksen, joka muuttaisi sekä tietosuojalakia että lakia henkilötietojen käsittelystä rikosasioissa (1054/2018). Tavoite on yksinkertainen: sama sääntö kaikille rekisterinpitäjille, riippumatta siitä ovatko ne yksityisiä vai julkisia.

Muutos ei tarkoita, että tietosuojavaltuutetun toimisto alkaisi jakaa sakkoja summittain. Esityksen mukaan viranomainen nojaa jatkossakin ensisijaisesti huomautuksiin ja korjausmääräyksiin, ja seuraamusmaksu tulee kyseeseen vasta vakavissa tai toistuvissa rikkomuksissa. Malli muistuttaa siis nykyistä käytäntöä yksityisellä sektorilla, jossa suurin osa tapauksista päättyy ohjaukseen eikä sakkoon. Ero on siinä, että nyt sakko on ylipäätään mahdollinen myös silloin kun rikkoja on kunta tai valtion virasto (INPLP:n analyysi).

Sakkokatot: 500 000 € ja 1 000 000 € selitettynä

Esitys ei aseta julkiselle sektorille samaa kattoa kuin yrityksille. GDPR:n yleinen enimmäismäärä on 20 miljoonaa euroa tai 4 prosenttia globaalista liikevaihdosta, mutta kunnalla tai virastolla ei ole liikevaihtoa siinä mielessä kuin yrityksellä. Siksi Suomen malliin on kirjattu kansalliset kiinteät katot: 500 000 euroa lievemmistä rikkomuksista ja 1 000 000 euroa vakavammista. Kummatkin ovat kertaluokkaa pienempiä kuin yritysten teoreettinen maksimi, mutta silti riittävän suuria pakottamaan kunnat ja virastot ottamaan tietosuojan vakavasti budjettisuunnittelussa.

Käytännössä tämä tarkoittaa, että esimerkiksi kaupungin sosiaali- ja terveyspalveluiden tietojärjestelmä, jossa käsitellään arkaluonteisia terveystietoja puutteellisin suojauksin, voisi jatkossa johtaa samankaltaiseen seuraamukseen kuin yksityisellä terveyspalveluyrityksellä. Se on merkittävä muutos ajatellen, että Suomen tunnetuin tietosuojakriisi, Vastaamon potilastietomurto, koski juuri yksityistä terveyspalveluntarjoajaa. Julkisen sektorin vastaava tapaus olisi tähän asti jäänyt ilman taloudellista seuraamusta.

KHO:n ratkaisu 12.6.2026: tallennusajat nousivat ydinkysymykseksi

Kaksi kuukautta ennen e-Evidence-asetuksen voimaantuloa korkein hallinto-oikeus antoi ratkaisun, joka muuttaa tulkintaa siitä, mikä lasketaan vakavaksi GDPR-rikkomukseksi. Päätöksessä 2026/1604 (12.6.2026) KHO linjasi, että henkilötietojen säilytysaikoja koskevat velvoitteet eivät ole pelkkä tekninen muodollisuus vaan osa GDPR:n ydintä eli osoitusvelvollisuutta (Avancen oikeustapausanalyysi).

Ratkaisun ydinkohta: rekisterinpitäjän on määriteltävä säilytysaika tai vähintään sen määrittämisperusteet ennen käsittelyn aloittamista, ei jälkikäteen. KHO katsoi lisäksi, että tämän laiminlyönti on yhtä vakava rikkomus kuin muutkin GDPR-rikkomukset, vaikka konkreettista tietovuotoa tai vahinkoa ei olisi tapahtunut. Tämä nostaa käytännössä riskitasoa sadoille suomalaisille organisaatioille, joiden tietosuojaselosteissa säilytysajat on kirjattu ylimalkaisesti tyyliin “niin kauan kuin tarpeen”.

Ratkaisu tulee samaan aikaan, kun elokuussa 2026 vahvistui myös toinen suomalainen sakkotapaus: korkein hallinto-oikeus piti voimassa 795 000 euron seuraamusmaksun verkkokauppatoimijalle ja laajensi samalla GDPR:n tulkintaa. Tapaukset yhdessä viestivät, että suomalainen oikeuskäytäntö on siirtymässä tiukempaan linjaan, riippumatta siitä onko kyseessä yksityinen vai julkinen rekisterinpitäjä. Käsittelimme tätä tapausta tarkemmin aiemmassa jutussamme KHO:n linjauksesta.

EU:n e-Evidence-asetus astui voimaan 18. elokuuta

Toinen elokuun käännekohta koskettaa suoraan suomalaisia pilvi- ja hostingpalveluita. Asetus (EU) 2023/1543, tunnetuksi tullut e-Evidence-asetus, tuli sovellettavaksi 18. elokuuta 2026 kaikissa jäsenmaissa Tanskaa lukuun ottamatta. Asetus korvaa perinteisen, usein kuukausia kestäneen keskinäisen oikeusavun menettelyn suoralla yhteydellä: toisen EU-maan syyttäjä tai tuomioistuin voi lähettää eurooppalaisen esittämismääräyksen tai säilyttämismääräyksen suoraan suomalaiselle palveluntarjoajalle (Packetran analyysi Suomen hostinglainsäädännöstä).

Määräajat ovat tiukat: vakiotapauksissa palveluntarjoajalla on 10 päivää aikaa vastata, kiireellisissä tapauksissa vain kahdeksan tuntia. Kahdeksan tuntia on aika, jossa moni pieni tai keskisuuri suomalainen hosting- tai SaaS-yritys ei ole ehtinyt rakentaa edes sisäistä prosessia sen arvioimiseksi, onko pyyntö laillinen. Käytännössä tämä tarkoittaa, että yrityksen on oltava valmis reagoimaan lakiosaston ja teknisen tiimin yhteistyönä ympäri vuorokauden, jos se säilyttää minkäänlaista käyttäjädataa EU-kansalaisista.

Mitä tämä tarkoittaa käytännössä palveluntarjoajille

Ensimmäinen konkreettinen muutos on sisäinen prosessi: jokaisella datatietoja säilyttävällä yrityksellä tarvitsee olla nimetty vastuuhenkilö tai -tiimi, joka pystyy arvioimaan tulevan määräyksen laillisuuden ja toimittamaan pyydetyn tiedon määräajassa. Toinen on dokumentaatio. Koska määräys voi tulla suoraan toisesta jäsenmaasta ilman Suomen viranomaisen välikättä, yrityksen on pystyttävä osoittamaan jälkikäteen, että se tarkisti pyynnön oikeusperustan ennen tietojen luovuttamista. Kolmas, ja usein unohdettu, on GDPR:n ja e-Evidence-asetuksen yhteensovittaminen: tietojen luovuttaminen toisen maan viranomaiselle on edelleen henkilötietojen käsittelyä, ja sille tarvitaan oma käsittelyperuste.

GDPR-sakot Euroopassa: 7,1 miljardia euroa ja nouseva käyrä

Suomen kansallinen muutos ei tapahdu tyhjiössä. CMS:n GDPR Enforcement Tracker -raportin mukaan EU:ssa oli 1. maaliskuuta 2026 mennessä kirjattu 2 685 sakkoa, mikä on 440 enemmän kuin vuotta aiemmin. Sakkojen yhteisarvo oli tuolloin noin 6,11 miljardia euroa (CMS Law). Heinäkuussa 2026 kumulatiivinen summa toukokuusta 2018 lähtien oli noussut jo 7,1 miljardiin euroon, ja GDPR on ainoa kahdeksasta suuresta EU:n sääntelykehyksestä (mukana muun muassa NIS2, DORA ja tekoälyasetus), jolla on ylipäätään vahvistettuja, julkaistuja yrityssakkoja (RegDossier).

Vauhti ei ole hidastumassa. Enforcementtracker.com-tietokannan mukaan vuonna 2026 on määrätty 160 sakkoa, joista sata vain viimeisen kuuden kuukauden aikana. Se tarkoittaa, että vuoden 2026 alkupuoliskolla sakkoja on tullut lähes yhtä nopeasti kuin koko vuoden 2025 aikana yhteensä. Kiteworksin analyysin mukaan täysimittainen valvonta korkean riskin tekoälyjärjestelmille alkoi 2. elokuuta 2026, mikä osaltaan kasvattaa valvottavien kohteiden määrää entisestään (Kiteworks).

Isoin yksittäinen esimerkki valvonnan kiristymisestä ei tosin ole GDPR-sakko vaan kilpailuoikeudellinen: 23. heinäkuuta 2026 Euroopan komissio määräsi Googlelle 890 miljoonan euron sakon EU:n kilpailusääntöjen rikkomisesta. Vaikka kyse on eri lainsäädännöstä, tapaus kuvaa samaa laajempaa trendiä, jossa EU:n sääntelyviranomaiset ovat entistä valmiimpia käyttämään taloudellisia seuraamuksia myös suuria teknologiayhtiöitä vastaan. Suomalaisille organisaatioille viesti on selvä: valvontaympäristö tiukkenee kaikilla rintamilla samaan aikaan, ei vain tietosuojan osalta.

MittariArvoAjankohta
GDPR-sakkoja yhteensä EU:ssa (CMS Enforcement Tracker)2 685 kpl (+440 v. takaa)1.3.2026
Sakkojen yhteisarvo EU:ssan. 6,11 mrd. €1.3.2026
Kumulatiivinen sakkosumma toukokuusta 2018n. 7,1 mrd. €12.7.2026
Sakkoja vuonna 2026 (Enforcementtracker.com)160 kplelokuu 2026
Sakkoja viimeisen 6 kk aikana100 kplhelmi–elokuu 2026
Julkishallinnon sakkokatto, lievä rikkomus (Suomi, esitys)500 000 €HE 46/2026 vp
Julkishallinnon sakkokatto, vakava rikkomus (Suomi, esitys)1 000 000 €HE 46/2026 vp
Yritysten yleinen GDPR-sakon enimmäismäärä20 milj. € tai 4 % liikevaihdostaGDPR 83 art.

Tietosuojavaltuutetun toimisto ja Suomen sakkohistoria

Suomen ainoa GDPR-valvontaviranomainen on tietosuojavaltuutetun toimisto, jota johtavat tietosuojavaltuutettu ja kaksi apulaistietosuojavaltuutettua. Sakoista päättää erillinen kolmihenkinen seuraamusmaksulautakunta, ei valtuutettu itse (GDPRI:n maakohtainen katsaus). Rakenne on tarkoituksella hidas ja harkitseva verrattuna esimerkiksi Irlannin tai Ranskan valvojiin, mikä näkyy myös tilastoissa: ensimmäinen suomalainen GDPR-sakko määrättiin vasta toukokuussa 2020, ja kokonaismäärä on pysynyt kymmenissä, ei sadoissa.

Suurin yksittäinen suomalainen tapaus tähän mennessä on Postin 2,3 miljoonan euron sakko läpinäkyvyyspuutteista, joka on edelleen yksi harvoista todella suurista kotimaisista seuraamuksista. Vastaamon tapaus puolestaan johti rikostuomioihin, ei hallinnolliseen sakkoon, koska kyse oli rikollisen tietomurron uhriksi joutumisesta yhdistettynä puutteelliseen tietoturvaan. Nämä kaksi tapausta ovat muokanneet suomalaista valvontakulttuuria: painopiste on ollut korjaavissa toimissa, ei rangaistuksissa. HE 46/2026 vp ei tätä kulttuuria yritä kääntää päälaelleen, mutta se poistaa julkiselta sektorilta viimeisen käytännön syyn olla huolehtimatta asiasta kunnolla.

Aikajana: Suomen tietosuojasääntelyn käännekohdat 2026

AjankohtaTapahtuma
Huhtikuu 2026Hallitus antaa eduskunnalle esityksen HE 46/2026 vp julkishallinnon sakoista
12.6.2026KHO:n ratkaisu 2026/1604 säilytysaikojen tulkinnasta
23.7.2026Euroopan komissio määrää Googlelle 890 milj. € sakon kilpailusääntöjen rikkomisesta
Elokuu 2026KHO pitää voimassa 795 000 € sakon verkkokauppatoimijalle
18.8.2026EU:n e-Evidence-asetus tulee sovellettavaksi (pl. Tanska)
Syksy 2026 (arvio)Eduskunta käsittelee HE 46/2026 vp:n valiokunnissa
2027 (arvio)Uusi laki voisi tulla voimaan, ensimmäiset julkishallinnon sakot mahdollisia

Markkinavaikutus: kenen pitää reagoida ja miksi

Kolme ryhmää joutuu tarkistamaan prosessinsa lähes välittömästi. Ensimmäinen on kunnat ja hyvinvointialueet, jotka käsittelevät suuria määriä arkaluonteista sosiaali- ja terveystietoa usein vanhoilla, hajanaisilla järjestelmillä. Toinen on valtion virastot, joiden tietojärjestelmähankkeet ovat tyypillisesti pitkiä ja joissa säilytysaikojen määrittely on saatettu jättää auki KHO:n nyt kritisoimalla tavalla. Kolmas ryhmä on suomalaiset hosting-, pilvi- ja SaaS-yritykset, joiden on rakennettava kahdeksan tunnin reagointikyky e-Evidence-pyyntöihin riippumatta yrityksen koosta.

Näiden kolmen ryhmän lisäksi muutos heijastuu myös tietosuojakonsultointiin ja lakipalveluihin. Kun sekä julkinen että yksityinen sektori joutuvat samanaikaisesti tarkistamaan säilytysaikakäytäntönsä KHO:n linjauksen ja e-Evidence-valmiuden vuoksi, kysyntä tietosuoja-auditoinneille ja ulkoistetuille tietosuojavastaavan palveluille kasvaa todennäköisesti nopeammin kuin viranomaiset ehtivät kouluttaa uutta henkilöstöä. Sama ilmiö on nähty aiemmin esimerkiksi NIS2-direktiivin voimaantulon yhteydessä, jolloin kyberturva-auditointien kysyntä ylitti tarjonnan useiksi kuukausiksi.

Taloudellinen riski ei rajoitu suoriin sakkoihin. Kunnan 1 000 000 euron seuraamusmaksu tarkoittaisi käytännössä leikkauksia muualta budjetista, koska kunnilla ei ole yritysten tapaan mahdollisuutta hinnoitella riskiä tuotteisiinsa. Samalla compliance-kustannukset nousevat kaikissa kolmessa ryhmässä: tietosuojavastaavien, lakiosastojen ja tietoturva-auditointien kysyntä kasvaa, kun sekä kansallinen lainsäädäntö että EU-tason valvonta kiristyvät samanaikaisesti. Sorainenin heinäkuun 2026 katsauksen mukaan myös Euroopan komission alustavat DSA-tutkinnat Metaa kohtaan viittaavat siihen, että koko EU:n digisääntelyn valvontapaine kasvaa laajemminkin kuin vain GDPR:n osalta (Sorainen).

Kilpailukenttä: GDPR muihin sääntelykehyksiin verrattuna

Suomalaisille ja pohjoismaisille organisaatioille GDPR ei ole enää ainoa sääntelykehys pöydällä. NIS2-direktiivi koskee kyberturvallisuutta, DORA finanssisektorin digitaalista häiriönsietokykyä ja tekoälyasetus korkean riskin AI-järjestelmiä, joiden täysimittainen valvonta alkoi elokuussa 2026. RegDossierin heinäkuun 2026 seurannan mukaan GDPR on kuitenkin edelleen ainoa kahdeksasta suuresta EU:n sääntelykehyksestä, jolla on todellisia, julkaistuja yrityssakkoja. NIS2, DORA, tekoälyasetus, CSRD, CBAM ja EUDR ovat vasta valvonnan alkuvaiheessa, eikä niistä ole vielä vertailukelpoista sakkodataa.

Tämä tekee GDPR:stä käytännössä testilaboratorion sille, miltä EU:n digisääntelyn täytäntöönpano tulee näyttämään laajemmin. Kun Suomi nyt poistaa julkisen sektorin poikkeuksen GDPR:stä, se on todennäköisesti ensimmäinen askel kohti samanlaista yhdenvertaista kohtelua myös muissa kehyksissä. Kunnat ja virastot, jotka rakentavat nyt compliance-prosesseja GDPR:ää varten, tekevät samalla pohjatyötä NIS2:n ja tulevien AI-asetuksen vaatimusten varalle.

Pohjoismainen vertailu: miksi Suomi jäi jälkeen

Suomen julkisen sektorin poikkeus on ollut poikkeuksellinen myös Pohjoismaiden sisällä. Ruotsissa, Norjassa ja Tanskassa valtion virastot, kunnat ja alueelliset toimijat ovat jo vuosien ajan kuuluneet samojen GDPR-sääntöjen piiriin kuin yritykset, eikä niiden valvontaviranomaisilla ole ollut vastaavaa kansallista poikkeussäädöstä kuin Suomessa. Käytännössä tämä tarkoittaa, että esimerkiksi ruotsalainen kunta on jo pitkään voinut saada seuraamusmaksun tietosuojarikkomuksesta samalla tavalla kuin yksityinen yritys, kun taas suomalainen kunta on ollut siitä vapautettu.

Ero selittyy osin Suomen perustuslaillisesta perinteestä, jossa viranomaisten taloudellista vastuuta on perinteisesti säädelty muilla keinoilla kuin ulkopuolisilla sakoilla, ja osin siitä, että tietosuojalain 1050/2018 säätämisen aikaan vuonna 2018 poikkeus nähtiin väliaikaisena ratkaisuna, ei pysyvänä linjana. Kahdeksan vuotta myöhemmin hallitus toteaa esityksessään suoraan, että poikkeus on tullut tiensä päähän: se aiheuttaa epäyhdenvertaisuutta rekisteröityjen suojan tasossa riippuen siitä, käsitteleekö heidän tietojaan yksityinen vai julkinen toimija. HE 46/2026 vp tuo Suomen näiltä osin lähemmäs muita Pohjoismaita ja suurinta osaa muusta EU:sta, joissa vastaava yhdenvertaisuusperiaate on ollut voimassa jo GDPR:n alusta lähtien.

Yhdenmukaistuminen muun Pohjoismaiden kanssa on merkittävää myös rajat ylittävän datankäsittelyn kannalta. Yhä useampi kunta ja hyvinvointialue käyttää yhteispohjoismaisia pilvipalveluita ja alihankkijoita, jotka toimivat useassa maassa samanaikaisesti. Kun sääntely on ollut epäyhdenmukaista, palveluntarjoajien on pitänyt rakentaa maakohtaisia poikkeuksia sopimuksiinsa. HE 46/2026 vp:n myötä tämä tarve vähenee, mikä helpottaa myös yhteispohjoismaisten IT-hankintojen kilpailutusta jatkossa.

Historiallinen konteksti: kahdeksan vuotta GDPR:ää Suomessa

GDPR tuli sovellettavaksi 25. toukokuuta 2018, ja Suomen kansallinen tietosuojalaki astui voimaan samana päivänä. Kahdeksan vuoden aikana suomalainen linja on ollut Euroopan mittakaavassa poikkeuksellisen maltillinen: siinä missä Irlanti on määrännyt satojen miljoonien eurojen sakkoja yksittäisille teknologiajäteille, Suomen suurin sakko on pysynyt muutamissa miljoonissa. Tämä on osittain seurausta maan koosta ja valvottavien määrästä, mutta osittain myös tietoisesta linjasta suosia ohjausta rangaistuksen sijaan.

Julkisen sektorin poikkeus on ollut osa tätä samaa maltillista linjaa, mutta se on samalla erottanut Suomen useimmista muista EU-maista, joissa julkinen sektori on jo pitkään ollut sakkojen piirissä. HE 46/2026 vp ei siis ole radikaali käänne vaan pikemminkin viimeistely: Suomi tuo oman lainsäädäntönsä linjaan sen kanssa, mitä GDPR alun perin tarkoitti, kun se säädettiin vuonna 2016 ja tuli voimaan 2018.

Kahdeksan vuoden takautuma on hyödyllinen myös siksi, että se muistuttaa, kuinka nopeasti sääntely-ympäristö voi muuttua uudelleen. Vuonna 2018 moni suomalainen organisaatio piti GDPR:ää kertaluonteisena projektina: dokumentit päivitettiin, tietosuojaseloste julkaistiin, ja asia unohdettiin. Kahdeksan vuotta myöhemmin käy ilmi, että sääntely elää jatkuvasti, uusia tulkintoja tulee oikeuskäytännöstä ja uusia velvoitteita lainsäädännöstä. HE 46/2026 vp ja e-Evidence-asetus ovat tuorein muistutus siitä, että tietosuojatyö on jatkuvaa ylläpitoa, ei kertaprojekti.

Ennusteet: mitä seuraavaksi tapahtuu

  • Eduskuntakäsittely venyy syksyyn. HE 46/2026 vp etenee valiokuntiin syksyllä 2026, ja laki todennäköisesti tulee voimaan aikaisintaan vuoden 2027 alussa, koska kuntien ja virastojen on saatava siirtymäaikaa.
  • Ensimmäiset julkishallinnon sakot näkyvät vasta 2027 jälkipuoliskolla. Seuraamusmaksulautakunnan käsittelyajat ja tietosuojavaltuutetun toimiston ohjauspainotteinen linja tarkoittavat, että ensimmäiset todelliset sakkopäätökset viipyvät vielä kauan lain voimaantulon jälkeenkin.
  • e-Evidence-pyynnöt kasvattavat compliance-kysyntää nopeasti. Kahdeksan tunnin kiireellinen määräaika pakottaa erityisesti pienet ja keskisuuret suomalaiset pilvipalveluyritykset ulkoistamaan tai automatisoimaan lakipyyntöjen käsittelyn jo loppuvuoden 2026 aikana.
  • KHO:n säilytysaikalinjaus lisää valitusten määrää. Kun tallennusaikojen puute on nyt virallisesti vakava rikkomus, yhä useampi rekisteröity ja tietosuojavaltuutetun toimisto alkaa kiinnittää siihen huomiota, mikä nostaa valitusmääriä vuoden 2027 aikana.
  • EU:n kokonaissakkosumma ylittää 8 miljardia euroa vuoden 2027 alkuun mennessä. Nykyisellä kasvuvauhdilla, jossa puoli vuotta tuo 100 uutta sakkoa, kumulatiivinen 7,1 miljardin euron summa kasvaa merkittävästi ennen ensi vuotta.

Näin organisaatiot valmistautuvat käytännössä

Ensimmäinen käytännön askel jokaiselle kunnalle, virastolle ja palveluntarjoajalle on tietosuojaselosteiden läpikäynti: onko säilytysajat kirjattu konkreettisesti, vai lukeeko niissä yhä ylimalkaisia muotoiluja, joita KHO nyt piti riittämättöminä. Toinen on vastuunjaon selkeyttäminen e-Evidence-pyyntöjä varten, eli kuka organisaatiossa arvioi pyynnön laillisuuden ja kuka vastaa kahdeksan tunnin kuluessa, jos pyyntö tulee viikonloppuna tai yöllä. Kolmas on budjetointi: kunnilla ja virastoilla kannattaa varata resursseja tietosuoja-auditointeihin ennen kuin HE 46/2026 vp:n mukainen laki astuu voimaan, ei sen jälkeen.

Yksityisen sektorin organisaatioille viesti on erilainen mutta yhtä konkreettinen: KHO:n linjaus säilytysajoista koskee kaikkia rekisterinpitäjiä, ei vain julkista sektoria. Sama pätee e-Evidence-asetukseen, joka koskettaa jokaista EU-alueella toimivaa hosting- tai pilvipalveluyritystä koosta riippumatta. Kahden erillisen säädöksen samanaikainen voimaantulo elokuussa 2026 kannattaa lukea yhtenä kokonaisuutena: EU ja Suomi kiristävät valvontaa sekä kansallisella että rajat ylittävällä tasolla samaan aikaan.

Neljäs käytännön askel koskee erityisesti IT-hankintoja. Kun kunta tai virasto kilpailuttaa uutta tietojärjestelmää, sopimukseen kannattaa jatkossa kirjata selkeästi, kuka vastaa e-Evidence-pyyntöihin reagoimisesta, jos järjestelmää ylläpitää ulkopuolinen toimittaja. Moni nykyinen IT-sopimus on laadittu aikana, jolloin kahdeksan tunnin määräaikaa ei ollut olemassa, eikä vastuunjako ole selvä. Sama koskee tietojenkäsittelysopimuksia (DPA), joihin monilla organisaatioilla on edelleen kirjattuna ylimalkaisia säilytysaikamääreitä, joita KHO:n kesäkuun 2026 ratkaisu ei enää hyväksy.

Usein kysytyt kysymykset

Milloin HE 46/2026 vp tulee voimaan?
Esitys on eduskunnan käsittelyssä syksyllä 2026. Tarkkaa voimaantulopäivää ei ole vahvistettu, mutta aikaisin realistinen ajankohta on vuoden 2027 alku.

Kuinka suuri sakko kunnalle voi tulla?
Esityksen mukaiset katot ovat 500 000 euroa lievemmistä ja 1 000 000 euroa vakavammista rikkomuksista, eli selvästi pienempi kuin yritysten 20 miljoonan euron tai 4 prosentin liikevaihtokatto.

Koskeeko e-Evidence-asetus myös Suomea?
Kyllä. Asetus koskee kaikkia EU-jäsenmaita Tanskaa lukuun ottamatta, ja se tuli sovellettavaksi 18. elokuuta 2026.

Mitä KHO:n ratkaisu 2026/1604 tarkoittaa käytännössä?
Rekisterinpitäjän on määriteltävä henkilötietojen säilytysaika tai sen perusteet jo ennen käsittelyn aloittamista. Laiminlyönti katsotaan vakavaksi GDPR-rikkomukseksi, vaikka konkreettista vahinkoa ei olisi tapahtunut.

Onko Suomi ollut poikkeus muihin EU-maihin verrattuna?
Kyllä. Useimmissa muissa jäsenmaissa julkinen sektori on jo ollut GDPR-sakkojen piirissä vuosien ajan. Suomi on ollut yksi harvoista maista, joissa poikkeus on säilynyt tähän asti.

Kuka päättää GDPR-sakoista Suomessa?
Päätöksen tekee tietosuojavaltuutetun toimiston yhteydessä toimiva kolmihenkinen seuraamusmaksulautakunta, ei tietosuojavaltuutettu itse.

Kuinka paljon GDPR-sakkoja on määrätty koko EU:ssa?
CMS:n Enforcement Tracker -raportin mukaan sakkoja oli maaliskuussa 2026 yhteensä 2 685 kappaletta, ja kumulatiivinen summa toukokuusta 2018 lähtien oli heinäkuussa 2026 noin 7,1 miljardia euroa.

Vaikuttaako muutos myös pieniin kuntiin, ei vain suuriin kaupunkeihin?
Kyllä, laki koskisi kaikkia julkisen sektorin rekisterinpitäjiä koosta riippumatta, vaikka käytännön valvontaresurssit todennäköisesti kohdistuvat aluksi suurimpiin ja riskialttiimpiin toimijoihin, kuten hyvinvointialueisiin.