Suomen tietosuojalakiin tuli 1. syyskuuta 2026 muutos, joka kiristää GDPR-valvonnan rakennetta ja täsmentää sakkomenettelyjä. Muutos (380/2026) nojaa suoraan GDPR:n 83 artiklan sakkokattoihin: enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta lievemmistä rikkomuksista, ja enintään 20 miljoonaa euroa tai 4 % liikevaihdosta vakavimmista. Samaan aikaan EU-tasolla GDPR-sakkojen määrä ja summa jatkavat kasvuaan: CMS:n Enforcement Tracker Report -raportin seitsemäs painos laski maaliskuussa 2026 yhteensä 2 685 sakkoa, yhteisarvoltaan noin 6,11 miljardia euroa. Kummankin luvun kasvu edellisvuoteen oli merkittävä, ja se kertoo omaa tarinaansa siitä, miten vakavasti tietosuojasääntely otetaan Euroopassa kahdeksan vuotta GDPR:n voimaantulon jälkeen.
Suomalaisyrityksille uudistus ei tarkoita uutta lakia tyhjästä, vaan olemassa olevan tietosuojalain (1050/2018) päivitystä. Muutos selkeyttää sitä, kuka Suomessa käytännössä päättää sakoista, miten ilmoitusvelvollisuudet toimivat ja ketkä on rajattu hallinnollisten sakkojen ulkopuolelle. Käymme tässä analyysissä läpi, mitä 1.9.2026 oikeasti muuttui, miten Suomi sijoittuu eurooppalaisessa vertailussa ja mitä yritysten kannattaa tehdä seuraavien kuukausien aikana.
Mitä 1.9.2026 oikeasti muuttui
Finlexin konsolidoitu versio tietosuojalaista päivittyi 22.5.2026, ja siihen merkittiin erikseen 1.9.2026 alkaen sovellettava muutos 380/2026. Se rakentuu aiempien muutosten päälle: 869/2020, 902/2020, 1112/2022, 239/2023, 1225/2023, 29/2024 ja 437/2025 ovat kaikki osa samaa säädöskokonaisuutta, jota nyt täydennettiin. Kyse ei siis ole kertaluontoisesta uudistuksesta vaan jatkumosta, jossa laki tarkentuu vuosittain EU:n tietosuoja-asetuksen soveltamiskäytännön mukana.
Keskeisin käytännön muutos koskee sakkomenettelyn läpinäkyvyyttä. Laki vahvistaa nyt suoraan pykälätasolla, että Suomessa sovelletaan GDPR:n 83 artiklan sakkokattoja sellaisenaan, ilman kansallisia lievennyksiä tai korotuksia. Tämä poistaa aiempaa tulkinnanvaraisuutta siitä, voisiko Suomi asettaa EU-tason ylittäviä tai alittavia sakkorajoja. Yrityksille tämä tarkoittaa ennustettavampaa riskikenttää: sakon ylärajat ovat samat kuin Saksassa, Ranskassa tai Ruotsissa.
Tausta: miksi laki päivittyi juuri nyt
Muutoksen taustalla on kaksi rinnakkaista painetta. Ensimmäinen tulee EU:sta: joulukuussa 2025 hyväksytty asetus (EU) 2025/2518 yhtenäistää rajat ylittävien GDPR-tapausten menettelysääntöjä, ja sen soveltaminen kansallisiin valvontaviranomaisiin alkaa huhtikuussa 2027. Suomi valmistelee omaa lainsäädäntöään vastaamaan tätä aikataulua hyvissä ajoin, jotta siirtymä ei aiheuta katkoksia käynnissä oleviin tutkintoihin.
Toinen paine tulee kotimaasta. Tietosuojavaltuutetun toimisto on käsitellyt viime vuosina kasvavan määrän ilmoituksia ja valituksia, ja käsittelyruuhka on pakottanut virastoa täsmentämään, miten päätökset syntyvät. Kun sakoista päättää kolmehenkinen seuraamuskollegio yksittäisen virkamiehen sijaan, prosessi hidastuu hieman mutta muuttuu läpinäkyvämmäksi ja vaikeammin riitautettavaksi. Se on tietoinen valinta: nopeus on uhrattu oikeusvarmuuden hyväksi.
Sakkokatto 10 vai 20 miljoonaa euroa – näin raja määräytyy
Tietosuojalain uusi 24 § vahvistaa GDPR:n kaksiportaisen sakkorakenteen. Lievemmistä rikkomuksista, kuten puutteellisesta dokumentaatiosta tai rekisteröidyn oikeuksien osittaisesta laiminlyönnistä, sakko voi olla enintään 10 miljoonaa euroa tai 2 % yrityksen maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi. Vakavammista rikkomuksista, kuten käsittelyn oikeusperustan puuttumisesta tai rekisteröityjen perusoikeuksien loukkaamisesta, katto nousee 20 miljoonaan euroon tai 4 %:iin liikevaihdosta.
Käytännössä tämä tarkoittaa, että pörssiyhtiölle 4 % liikevaihdosta voi tarkoittaa satoja miljoonia euroja, kun taas pienelle yritykselle kiinteä 10 tai 20 miljoonan euron katto on todellisuudessa kauempana. Seuraamuskollegio arvioi tapauskohtaisesti myös rikkomuksen kestoa, tahallisuutta ja sitä, onko yritys yrittänyt korjata tilanteen oma-aloitteisesti ennen valvojan puuttumista.
| Rikkomustyyppi | Sakon yläraja | Esimerkki soveltamisalasta |
|---|---|---|
| Lievemmät rikkomukset (mm. dokumentointi, ilmoitusvelvollisuus) | 10 M€ tai 2 % liikevaihdosta | Puutteellinen tietosuojaseloste, myöhästynyt loukkausilmoitus |
| Vakavat rikkomukset (käsittelyperiaatteet, oikeusperusta) | 20 M€ tai 4 % liikevaihdosta | Suostumuksen puute, rekisteröidyn oikeuksien systemaattinen estäminen |
| Julkishallinnon toimijat (rajattu ryhmä) | Ei hallinnollista sakkoa | Valtion virastot, kunnat, eduskunnan toimistot, tasavallan presidentin kanslia |
| Toistuva tai jatkuva rikkomus | Korotettu, tapauskohtainen | Aiemmin huomautuksen saanut yritys jatkaa samaa käytäntöä |
Seuraamuskollegio: kolme henkilöä sakkopäätösten takana
Suomessa hallinnollisista sakoista ei päätä yksittäinen tietosuojavaltuutettu, vaan kolmehenkinen seuraamuskollegio. Siihen kuuluvat tietosuojavaltuutettu ja kaksi apulaistietosuojavaltuutettua. Rakenne on ollut käytössä jo aiemmin, mutta 380/2026-muutos kirjaa sen roolin ja päätöksentekomenettelyn aiempaa yksityiskohtaisemmin lakiin. Kollegion tehtävä on tehdä sakkopäätökset kollektiivisesti, mikä vähentää yksittäisen virkamiehen harkintavallan painoarvoa.
Alan seurantapalvelujen mukaan suomalaisen valvonnan linja on kuvattu järjestelmälliseksi mutta ei otsikoita hakevaksi. Se tarkoittaa käytännössä, että Suomessa annetaan enemmän huomautuksia ja korjauskehotuksia kuin suuria, kansainvälistä huomiota herättäviä sakkoja. Tämä ei tarkoita, etteikö sakkoja tulisi, vaan sitä, että valvoja käyttää ensin lievempiä keinoja ja nostaa sakon vasta, kun yritys ei korjaa toimintaansa.
72 tunnin ilmoitusvelvollisuus tiukentuu käytännössä
Tietoturvaloukkauksesta on edelleen ilmoitettava Tietosuojavaltuutetulle 72 tunnin kuluessa sen havaitsemisesta, ja ilmoitus tehdään viraston verkkolomakkeella. Korkean riskin loukkauksista täytyy lisäksi ilmoittaa rekisteröidyille viivytyksettä. Uusi laki ei muuta itse määräaikaa, mutta se täsmentää, mitä “havaitsemisella” tarkoitetaan: kello alkaa käydä siitä hetkestä, kun organisaatio kohtuudella olisi voinut havaita loukkauksen, ei siitä hetkestä kun se virallisesti vahvistetaan.
Tämä tarkennus tekee eroa erityisesti tapauksissa, joissa yritys on viivytellyt sisäistä tutkintaa. Jos lokitiedot osoittavat, että poikkeama olisi pitänyt huomata aiemmin, 72 tunnin kello voidaan katsoa alkaneeksi jo silloin, jolloin myöhästyminen muuttuu itsenäiseksi rikkomukseksi alkuperäisen tietoturvaloukkauksen lisäksi.
EU:n sakkotilastot 2026: 2 685 sakkoa ja 6,11 miljardin euron potti
CMS:n Enforcement Tracker Report -raportin seitsemäs painos, jonka tiedot on katkaistu 1.3.2026, laskee EU:n alueella yhteensä 2 685 GDPR-sakkoa. Se on 440 enemmän kuin edellisessä, vuoden 2025 raportissa. Sakkojen yhteisarvo on noussut noin 6,11 miljardiin euroon, mikä on 487,6 miljoonaa euroa enemmän kuin vuosi aiemmin. Kasvu ei ole räjähdysmäistä, mutta se on tasaista ja osoittaa, että valvojat eri puolilla Eurooppaa käyttävät sakkovaltuuksiaan aiempaa aktiivisemmin.
Enforcement Trackerin ajantasainen tietokanta näyttää, että pelkästään vuonna 2026 on rekisteröity 224 uutta sakkoa, joista 123 viimeisten kuuden kuukauden aikana. Kasvuvauhti kertoo, että valvonta ei ole hidastumassa, vaikka yksittäiset kansalliset viranomaiset, Suomi mukaan lukien, painottavat sakkoja lievempiä keinoja ensisijaisesti.
| Mittari | Edellinen raportti (n. 2025) | Nykyinen raportti (1.3.2026) | Muutos |
|---|---|---|---|
| Sakkojen kokonaismäärä EU:ssa | n. 2 245 | 2 685 | +440 |
| Sakkojen yhteisarvo | n. 5,62 mrd. € | 6,11 mrd. € | +487,6 M€ |
| Vuonna 2026 rekisteröidyt sakot | – | 224 | – |
| Sakot viimeisten 6 kk aikana | – | 123 | – |
Suomi eurooppalaisessa vertailussa: 91 toimenpidettä, 15,3 miljoonaa euroa
Kansainvälisen Cookiefines-koonnin mukaan Suomessa on kirjattu 91 GDPR-toimenpidettä, ja mukana vertailussa on kymmenen eri kansallista tietosuojaviranomaista. Suomen sakkojen kokonaissumma on merkitty noin 15,3 miljoonaan euroon, ja trendi on kuvattu laskevaksi. Se on selvästi pienempi luku kuin monissa suurissa EU-maissa, joissa yksittäinen sakko voi ylittää koko Suomen historiallisen summan.
Ero ei tarkoita, että suomalaisyritykset rikkoisivat sääntöjä harvemmin kuin muualla. Se kertoo enemmän valvontakulttuurista: pienessä maassa, jossa yritysten ja valvojan välinen suhde on usein suorempi, korjauskehotus ja huomautus riittävät useammin kuin isoissa jäsenmaissa, joissa rikkomuksia on määrällisesti enemmän ja valvoja joutuu nojaamaan raskaampiin keinoihin saadakseen huomiota.
Julkishallinnon poikkeus: keitä sakot eivät koske
Suomen laki rajaa hallinnollisten GDPR-sakkojen ulkopuolelle valtion viranomaiset, kunnat, tietyt julkisoikeudelliset laitokset, eduskuntaan liittyvät toimistot, tasavallan presidentin kanslian sekä tietyt evankelis-luterilaisen ja ortodoksisen kirkon yksiköt. Tämä ei tarkoita, että nämä tahot olisivat GDPR:n ulkopuolella: niihin voidaan silti kohdistaa muita seuraamuksia, kuten korjauskehotuksia tai käsittelykieltoja. Vain rahallinen sakko on rajattu pois.
Rajaus on herättänyt kritiikkiä, koska kunnat ja valtion virastot käsittelevät valtavia määriä arkaluontoista henkilötietoa, terveystiedoista sosiaalihuollon asiakirjoihin. Lainsäätäjän perustelu on, että julkisen sektorin budjetit tulevat viime kädessä veronmaksajilta, joten rahasakko siirtäisi kustannuksen samoille kansalaisille, joita sääntely on tarkoitettu suojaamaan. Yksityiselle sektorille tällaista suojaa ei ole.
Posti ja Vastaamo: Suomen määrittävimmät yksityisyystapaukset
Kaksi tapausta nousee toistuvasti esiin, kun suomalaista GDPR-valvontaa arvioidaan. Postille määrättiin 2,3 miljoonan euron sakko läpinäkyvyys- ja informointivelvoitteiden laiminlyönnistä, mikä on yksi Suomen suurimmista yksittäisistä GDPR-sakoista (ks. GDPRhubin Suomi-kokoelma). Toinen, vielä painavampi tapaus on psykoterapiayritys Vastaamon tietomurto, josta seuranneet rikostuomiot kuvataan alan seurantapalveluissa Suomen määrittävimmäksi yksityisyystapaukseksi.
Vastaamo-tapaus ei ollut suoraan GDPR-sakkoasia, vaan rikosoikeudellinen prosessi, mutta se muutti pysyvästi sitä, miten suomalaiset organisaatiot suhtautuvat arkaluontoisen terveys- ja mielenterveystiedon suojaamiseen. Tapaus toimii edelleen vertailukohtana, kun uutta lainsäädäntöä ja sen tiukennuksia perustellaan julkisuudessa.
EU:n uudet menettelysäännöt 2027 – rajat ylittävät tapaukset nopeutuvat
Joulukuussa 2025 hyväksytty asetus (EU) 2025/2518 yhtenäistää menettelysääntöjä, joita kansalliset valvontaviranomaiset noudattavat rajat ylittävissä GDPR-tapauksissa. Sen soveltaminen alkaa huhtikuussa 2027. Tähän asti ongelmana on ollut, että eri jäsenmaiden valvojat ovat noudattaneet osittain erilaisia menettelyjä, kun esimerkiksi teknologiayhtiön päätoimipaikka on yhdessä maassa mutta rikkomuksen vaikutukset ulottuvat kaikkialle unioniin.
Uudistus ei muuta sakkojen ylärajoja, mutta se nopeuttaa yhteistyömenettelyä ja vähentää tapauksia, joissa käsittely venyy vuosien mittaiseksi, koska valvojat eivät pääse yhteisymmärrykseen menettelytavoista. Suomalaisille yrityksille, jotka toimivat useassa EU-maassa, tämä tarkoittaa todennäköisesti nopeampia mutta myös ennustettavampia päätöksiä vuodesta 2027 alkaen.
Data Act ja päällekkäinen sääntely yrityksille
Samaan aikaan tietosuojalain kanssa yritysten pitää sopeutua myös EU:n Data Actiin, jonka raportointivelvoite (14 artikla) alkoi soveltua 11.9.2026. Data Act ja GDPR koskettavat osittain samaa dataa, mutta eri näkökulmista: GDPR suojaa henkilötietoja, Data Act säätelee datan saatavuutta ja jakamista laajemmin, myös esineiden internetin ja teollisten laitteiden tuottamaa dataa koskien. Lainsäätäjä on vahvistanut nimenomaisesti, että GDPR:llä on etusija tilanteissa, joissa säädökset ovat ristiriidassa.
Käytännössä tämä tarkoittaa, että tietosuojavastaavan ja lakiosaston pitää nyt seurata kahta rinnakkaista sääntelykehystä yhden sijaan. Yrityksille, jotka ovat jo rakentaneet GDPR-yhteensopivat prosessit, Data Act tuo lähinnä lisää dokumentointia, ei kokonaan uusia periaatteita.
Markkinavaikutus: mitä yritysten pitää tehdä nyt
Konsulttitalot ja lakitoimistot raportoivat kasvavaa kysyntää GDPR-auditoinneille syksyllä 2026, kun 380/2026-muutos on tuoretta ja yritykset haluavat varmistaa, ettei niiden dokumentaatio jää jälkeen. Käytännön toimenpiteet, joita moni organisaatio käy nyt läpi: rekisteriselosteiden päivitys vastaamaan uutta pykälänumerointia, tietoturvaloukkausten havaitsemisprosessin tarkistus 72 tunnin määräajan valossa ja käsittelysopimusten läpikäynti alihankkijoiden kanssa.
Erityisesti terveys-, finanssi- ja telealan yritykset, jotka käsittelevät suuria määriä arkaluontoista dataa, ovat nostaneet sisäisten auditointien tahtia. Moni yritys on myös alkanut kartoittaa, kuuluuko se Data Actin raportointivelvoitteen piiriin, koska kahden päällekkäisen sääntelykehyksen yhtäaikainen voimaantulo syksyllä 2026 on lisännyt compliance-tiimien työkuormaa merkittävästi.
Compliance-kustannukset eivät jää pelkäksi paperityöksi. Kun sakon yläraja on sidottu liikevaihtoon eikä kiinteään summaan, hallitusten ja johtoryhmien on pakko käsitellä tietosuojaa taloudellisena riskinä siinä missä valuuttariskiä tai korkoriskiäkin. Moni pörssiyhtiö on jo lisännyt tietosuojariskin osaksi vuosikertomuksensa riskitaulukkoa, ja sisäinen tarkastus käy GDPR-prosessit läpi samalla säännöllisyydellä kuin taloudellisen raportoinnin kontrollit. Tämä muutos ajattelutavassa on tapahtunut vähitellen, mutta 380/2026-päivitys toimii monelle yritykselle konkreettisena muistutuksena siitä, että sääntely ei ole pysähtynyt vuoteen 2018.
Käytännön tarkistuslista: näin varaudut lokakuuhun mennessä
Tietosuoja-asiantuntijat suosittelevat, että yritykset käyvät läpi vähintään seuraavat kohdat ennen kuin syksyn 2026 muutokset ehtivät vaikuttaa käytännön valvontatyöhön. Lista ei ole tyhjentävä, mutta se kattaa ne osa-alueet, joihin 380/2026-muutos ja Data Actin raportointivelvoite koskettavat suoraan.
- Päivitä tietoturvaloukkausten havaitsemisprosessi vastaamaan täsmennettyä 72 tunnin tulkintaa, jossa kello voi alkaa käydä ennen virallista vahvistusta.
- Tarkista, kuuluuko organisaatio niiden toimijoiden joukkoon, joilla on velvollisuus raportoida Data Actin 14 artiklan mukaisesti 11.9.2026 alkaen.
- Käy läpi käsittelysopimukset alihankkijoiden ja pilvipalveluntarjoajien kanssa, erityisesti jos data liikkuu EU:n ulkopuolelle.
- Varmista, että rekisteriselosteet ja tietosuojaselosteet viittaavat ajantasaiseen pykälänumerointiin eivätkä vanhentuneisiin säädösviittauksiin.
- Kouluta henkilöstö tunnistamaan tietoturvapoikkeamat nopeammin, koska “kohtuudella olisi voinut havaita” -tulkinta siirtää vastuuta aiempaa varhaisempaan vaiheeseen.
Kansainvälinen vertailu: GDPR ja Yhdysvaltain osavaltiotason sääntely
Suomen ja EU:n mallia kannattaa peilata myös Atlantin toiselle puolelle, koska monet suomalaisyritykset toimivat kansainvälisesti ja kohtaavat useita rinnakkaisia sääntelykehyksiä samanaikaisesti. Yhdysvalloissa ei ole yhtä liittovaltion tason tietosuojalakia, vaan sääntely rakentuu osavaltiokohtaisesti, joista Kalifornian CCPA on tunnetuin. Rakenteellinen ero GDPR:ään on selvä: EU:n malli lähtee siitä, että henkilötietojen käsittely vaatii aina oikeusperustan, kun taas monet yhdysvaltalaismallit nojaavat enemmän kuluttajan oikeuteen kieltäytyä tietojen myynnistä jälkikäteen.
Käytännön vaikutus suomalaisyritykselle on kaksijakoinen. Jos yritys palvelee sekä EU:n että Yhdysvaltain markkinoita, se joutuu rakentamaan kaksi osittain päällekkäistä mutta periaatteiltaan erilaista compliance-ohjelmaa. GDPR:n tiukempi lähtökohta tarkoittaa yleensä, että EU-tason vaatimusten täyttäminen kattaa suurimman osan myös Yhdysvaltain osavaltiovaatimuksista, mutta ei automaattisesti kaikkia, koska esimerkiksi ilmoitusaikataulut ja rekisteröityjen oikeuksien laajuus poikkeavat toisistaan maakohtaisesti.
Historiallinen konteksti: kahdeksan vuotta GDPR:ää
GDPR tuli voimaan toukokuussa 2018, ja Suomen kansallinen tietosuojalaki (1050/2018) seurasi perässä samana vuonna. Kahdeksan vuoden aikana laki on saanut lukuisia täsmennyksiä: 869/2020 ja 902/2020 koskivat koronapandemian aikaisia erityistilanteita, 1112/2022 ja 239/2023 täsmensivät valvontamenettelyjä, 1225/2023 ja 29/2024 liittyivät EU:n digisääntelypaketin yhteensovittamiseen, ja 437/2025 valmisteli tietä nyt voimaan tulleelle 380/2026-muutokselle.
Tämä jatkuva päivitystahti erottaa GDPR:n monista muista sääntelykehyksistä. Sen sijaan että laki jäisi kiveen hakatuksi, se elää mukana teknologian ja valvontakäytännön kehityksen kanssa, keskimäärin useamman kerran vuodessa tehtyjen tarkennusten kautta. Yrityksille tämä tarkoittaa, että GDPR-compliance ei ole kertaprojekti vaan jatkuva prosessi.
Ennusteet: mitä seuraavaksi tapahtuu
- Sakkojen määrä Suomessa pysyy todennäköisesti maltillisena suhteessa EU:n keskiarvoon, koska seuraamuskollegio on osoittanut suosivansa huomautuksia ja korjauskehotuksia ennen rahasakkoja.
- EU:n kokonaissakkosumma ylittää todennäköisesti 7 miljardin euron rajan seuraavassa Enforcement Tracker -raportissa, jos nykyinen kasvuvauhti (n. 487 M€ vuodessa) jatkuu.
- Huhtikuun 2027 menettelyuudistus (Regulation 2025/2518) nopeuttaa erityisesti suuria teknologiayhtiöitä koskevia rajat ylittäviä tutkintoja, joissa Irlannin ja Luxemburgin valvojilla on ollut keskeinen rooli.
- Terveys- ja hyvinvointidataa käsittelevät yritykset joutuvat todennäköisesti tiukimman valvonnan kohteeksi, koska Vastaamo-tapaus on yhä tuore vertailukohta valvojan päätöksenteossa.
- Data Actin ja GDPR:n päällekkäisyys synnyttää vuoden 2027 aikana uusia tulkintaohjeita, kun ensimmäiset raportointivelvoitteen piiriin kuuluvat yritykset kohtaavat käytännön ristiriitatilanteita.
Miten Suomi eroaa muista Pohjoismaista
Pohjoismaiden tietosuojaviranomaiset noudattavat kaikki samaa GDPR-kehystä, mutta valvontakulttuurissa on eroja. Suomen linja, jossa huomautus edeltää sakkoa, muistuttaa Ruotsin ja Tanskan käytäntöä, kun taas jotkin muut EU-maat nojaavat useammin suoraan taloudellisiin sanktioihin. Yhteistä pohjoismaiselle mallille on se, että valvojat tekevät tiivistä yhteistyötä keskenään erityisesti tapauksissa, jotka koskevat useampaa Pohjoismaata samanaikaisesti, esimerkiksi yhteispohjoismaisia verkkopalveluita tai pilvipalveluntarjoajia.
Ero näkyy myös siinä, miten nopeasti kansallista lainsäädäntöä päivitetään vastaamaan EU-tason muutoksia. Suomen tapa tehdä pieniä, vuosittaisia tarkennuksia ison kertauudistuksen sijaan on tehnyt sopeutumisesta yrityksille helpompaa, koska muutokset ovat kerrallaan pieniä eivätkä vaadi koko compliance-ohjelman uudelleenrakentamista.
Mitä muutos tarkoittaa tavalliselle kuluttajalle
Suurin osa uutisoinnista 380/2026-muutoksesta keskittyy yrityksiin ja sakkoihin, mutta tavallisen kuluttajan kannalta olennaisin muutos on käytännössä epäsuora. Kun seuraamuskollegion rooli ja päätöksentekomenettely on kirjattu lakiin aiempaa täsmällisemmin, myös rekisteröidyn oikeus vaatia asian käsittelyä ja saada siitä perusteltu päätös vahvistuu. Käytännössä tämä tarkoittaa, että jos kuluttaja tekee valituksen Tietosuojavaltuutetulle esimerkiksi siitä, että yritys ei ole vastannut tietopyyntöön kuukauden kuluessa, käsittelyprosessi on nyt läpinäkyvämpi ja päätöksen perustelut kirjataan yksityiskohtaisemmin.
Toinen kuluttajalle näkyvä muutos liittyy tietoturvaloukkausilmoituksiin. Kun “havaitsemisen” tulkinta on tiukentunut, yritysten pitää ilmoittaa loukkauksista aiempaa nopeammin myös silloin, kun ne olisivat voineet huomata ongelman jo aiemmin lokitietojensa perusteella. Tämä vähentää tilanteita, joissa kuluttaja saa tiedon oman datansa vuotamisesta vasta viikkoja tai kuukausia myöhässä. Vastaamo-tapaus on edelleen se esimerkki, johon moni suomalainen peilaa, kun arvioi, kuinka vakavasti henkilötietojen suojaa pitäisi ottaa, ja se on osaltaan vaikuttanut siihen, miksi ilmoitusvelvollisuuden tulkintaa on nyt tiukennettu.
Kuluttajan kannattaa myös tietää, että sakon suuruus ei suoraan hyödytä häntä itseään. Hallinnolliset sakot menevät valtiolle, eivät vahinkoa kärsineelle rekisteröidylle. Korvausta omasta vahingosta pitää hakea erikseen, joko yrityksen kanssa sovittuna tai tuomioistuimen kautta. Tietosuojavaltuutetun tekemä sakkopäätös voi kuitenkin toimia vahvana näyttönä, jos kuluttaja päättää myöhemmin viedä korvausvaatimuksensa oikeuteen.
Usein kysytyt kysymykset
Mikä on tietosuojalain muutos 380/2026?
Se on Suomen tietosuojalakiin (1050/2018) tehty päivitys, joka tuli voimaan 1.9.2026. Se vahvistaa lakitasolla GDPR:n 83 artiklan sakkokattojen suoran soveltamisen ja täsmentää seuraamuskollegion roolia sakkopäätöksissä.
Kuinka suuria GDPR-sakkoja Suomessa voidaan määrätä?
Enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta lievemmistä rikkomuksista, ja enintään 20 miljoonaa euroa tai 4 % liikevaihdosta vakavimmista, sen mukaan kumpi summa on suurempi.
Kuka Suomessa päättää GDPR-sakoista?
Kolmehenkinen seuraamuskollegio, johon kuuluvat tietosuojavaltuutettu ja kaksi apulaistietosuojavaltuutettua. Päätökset tehdään kollektiivisesti, ei yksittäisen virkamiehen toimesta.
Koskeeko uusi laki kuntia ja valtion virastoja?
Valtion viranomaiset, kunnat, tietyt julkisoikeudelliset laitokset, eduskunnan toimistot, tasavallan presidentin kanslia sekä tietyt kirkolliset yksiköt on rajattu hallinnollisten sakkojen ulkopuolelle, mutta muita seuraamuksia, kuten korjauskehotuksia, voidaan silti käyttää.
Montako GDPR-sakkoa EU:ssa on annettu vuonna 2026?
Enforcement Trackerin tietokannan mukaan vuonna 2026 on rekisteröity 224 uutta sakkoa, joista 123 viimeisten kuuden kuukauden aikana. Koko EU:n kaikkien aikojen sakkomäärä on 2 685 kappaletta, yhteisarvoltaan noin 6,11 miljardia euroa.
Missä ajassa tietoturvaloukkauksesta pitää ilmoittaa?
72 tunnin kuluessa siitä, kun organisaatio on havainnut loukkauksen tai olisi kohtuudella voinut sen havaita. Korkean riskin loukkauksista on lisäksi ilmoitettava rekisteröidyille viivytyksettä.
Mikä on EU:n asetus 2025/2518 ja milloin se astuu voimaan?
Se on joulukuussa 2025 hyväksytty EU-asetus, joka yhtenäistää rajat ylittävien GDPR-tapausten menettelysääntöjä kansallisten valvontaviranomaisten välillä. Sen soveltaminen alkaa huhtikuussa 2027.
Miten Data Act liittyy tietosuojalain muutokseen?
Data Actin raportointivelvoite (14 artikla) alkoi soveltua 11.9.2026, lähes samaan aikaan tietosuojalain muutoksen kanssa. Säädökset koskettavat osittain samaa dataa, mutta GDPR:llä on vahvistettu etusija ristiriitatilanteissa.
