Korkein hallinto-oikeus vahvisti 12. kesäkuuta 2026 päätöksellään KHO 2026/1604 tietosuojavaltuutetun seuraamuskollegion langettaman 792 639 euron hallinnollisen sakon Verkkokauppa.com Oyj:lle. Ratkaisu linjaa ensimmäistä kertaa selvästi, että yrityksen on määriteltävä asiakastietojen säilytysaika etukäteen, eikä säilytys saa jatkua rajattomasti pelkästään siksi, ettei asiakas ole itse pyytänyt tietojensa poistamista. Samaan aikaan eduskunnan käsittelyssä on hallituksen esitys HE 46/2026 vp, joka päättäisi julkishallinnon vuosikymmeniä kestäneen vapautuksen GDPR-sakoista. Yhdessä nämä kaksi kehityskulkua muodostavat Suomen tietosuojavalvonnan suurimman muutoksen sitten EU:n yleisen tietosuoja-asetuksen voimaantulon 2018.
Tässä artikkelissa käymme läpi, mitä KHO todella päätti, miksi tapaus koskettaa jokaista suomalaista verkkokauppaa ja viranomaista, ja mitä lakimuutos merkitsee käytännössä kuntien, sairaanhoitopiirien ja valtion virastojen kirjanpidolle. Kerromme myös, miten Suomen 19 GDPR-sakkoa asettuvat laajempaan EU:n valvontatrendiin ja mitä yritysjuristit ja tietosuoja-asiantuntijat suosittelevat seuraavaksi.
KHO:n päätös 12. kesäkuuta 2026 lyhyesti
Korkein hallinto-oikeus hylkäsi Verkkokauppa.com Oyj:n valituksen ja piti voimassa hallinto-oikeuden ja tietosuojavaltuutetun toimiston aiemmin määräämän sakon. Tietosuojavaltuutetun toimisto tiedotti ratkaisusta virallisesti, ja sen mukaan korkein hallinto-oikeus on pannut täytäntöön tietosuojavaltuutetun toimiston ja seuraamuskollegion päätöksen Verkkokauppa.com Oyj:n toiminnasta. Kyse ei ollut tietomurrosta tai vuodosta, vaan siitä, ettei yritys ollut lainkaan määritellyt, kuinka kauan se säilyttää asiakastilien tietoja.
Verkkokauppa.com edellytti asiakkailta tilin luomista verkko-ostosten tekemiseksi. Tilin tiedot, kuten nimi, osoite, ostohistoria ja yhteystiedot, säilyivät järjestelmissä toistaiseksi, kunnes asiakas itse pyysi niiden poistamista. Tietosuojavaltuutetun toimisto katsoi tämän riittämättömäksi: yhtiö rikkoi tietosuojasäännöksiä, koska se ei ollut määrittänyt asiakastilien tietojen säilytysaikoja. KHO vahvisti tämän tulkinnan ja lisäsi, ettei säilytysaika voi perustua yksin siihen, että käyttäjä itse ryhtyy toimiin.
Miksi rekisteröintipakko ja ikuinen säilytys osoittautuivat ongelmaksi
GDPR:n säilytyksen rajoittamisen periaate (tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta) edellyttää, että henkilötietoja säilytetään vain niin kauan kuin käsittelyn tarkoitus edellyttää. Verkkokauppa.com ei ollut asettanut mitään aikarajaa, vaan tiedot jäivät järjestelmiin passiivisesti vuosiksi, jopa niille asiakkaille, jotka eivät olleet asioineet kaupassa enää kertaakaan tilin luomisen jälkeen. KHO:n mukaan tämä käytäntö johti siihen, että tietoja säilytettiin pidempään kuin niiden käyttötarkoitus olisi edellyttänyt.
Yhtiö väitti valituksessaan, että asiakas voi itse pyytää tietojensa poistoa milloin tahansa, ja että tämä riittäisi täyttämään lain vaatimukset. KHO hylkäsi tämän argumentin suoraan: yhtiöllä oli velvollisuus määritellä keräämiensä henkilötietojen säilytysajat, eikä säilytysaika voi perustua yksin siihen, että henkilö itse ryhtyy toimiin. Tämä on käytännössä tärkein viesti kaikille verkkokaupoille: passiivinen “poista pyynnöstä” -malli ei enää riitä, vaan säilytysaika pitää kirjata etukäteen ja perustella.
Lopullinen tuomio ja sen sitovuus
Koska kyseessä on korkeimman hallinto-oikeuden ratkaisu, siitä ei voi enää valittaa. Tietosuojavaltuutetun toimisto tiivisti lopputuloksen napakasti: korkein hallinto-oikeus piti hallinto-oikeuden päätöksen voimassa. Ratkaisu toimii nyt ennakkotapauksena, johon valvontaviranomainen viittaa tulevissa säilytysaikaa koskevissa tapauksissa. Tietosuojavaltuutetun toimisto nosti ratkaisun esiin myös 14. heinäkuuta 2026 päivitetyllä “Ajankohtaista”-sivullaan yhtenä vuoden keskeisimmistä valvontalinjauksista.
Tietosuojavaltuutetun toimisto ja seuraamuskollegio valvojana
Suomessa GDPR-valvonnasta vastaa tietosuojavaltuutetun toimisto, ja hallinnolliset sakot määrää sen yhteydessä toimiva seuraamuskollegio. Malli poikkeaa monista muista EU-mailla, joissa valvontaviranomainen tekee sakkopäätökset yksin. Suomen kaksivaiheinen rakenne, valtuutetun esitys ja kollegion päätös, on hidastanut sakotusten määrää verrattuna esimerkiksi Ranskaan tai Espanjaan, mutta samalla se on tuottanut oikeuskäytäntöä, joka kestää muutoksenhaun korkeimpaan hallinto-oikeuteen asti.
Elokuun 2026 alussa julkaistu tietosuojan seurantakatsaus nosti esiin toisenkin ajankohtaisen linjan: valtuutettu on ryhtynyt valvomaan aiempaa tarkemmin GDPR:n 15 artiklan mukaista tarkastusoikeutta. Yksi yritys sai sakon, koska se ei antanut asiakkaalle pääsyä omiin puhelutallenteisiinsa, ja luottotietoyhtiö Dun & Bradstreet Finland Oy:n käytäntö rajoittaa maksuttoman tarkastusoikeuden käyttämisen kerran vuodessa on noussut valvonnan tarkkailuun mahdollisena lain vastaisena rajoituksena. Molemmat tapaukset kertovat samasta linjasta kuin Verkkokauppa.com-ratkaisu: valvoja puuttuu yhä useammin rakenteellisiin käytäntöihin, ei vain yksittäisiin tietovuotoihin.
Seuraamuskollegion rakenne juontaa juurensa vuoden 2018 tietosuojalakiin, jossa lainsäätäjä halusi erottaa valvonnan ja päätöksenteon toisistaan riippumattomiksi vaiheiksi. Kollegioon kuuluu tietosuojavaltuutetun lisäksi kaksi apulaistietosuojavaltuutettua, ja päätökset syntyvät kolmen jäsenen yhteisellä harkinnalla, ei yhden virkamiehen ratkaisuna. Malli on hidastanut yksittäisten sakkojen läpimenoaikaa, mutta samalla se on tehnyt Suomen sakkopäätöksistä poikkeuksellisen hyvin perusteltuja ja vaikeasti kumottavia muutoksenhaussa, mikä näkyy nyt Verkkokauppa.com-tapauksen lopputuloksessa.
Suomen GDPR-sakkotilasto 2018–2026
Suomessa on määrätty GDPR:n voimaantulon jälkeen yhteensä 19 hallinnollista sakkoa. Yhdeksän niistä on viety muutoksenhakuun, ja neljä on edelleen vireillä eri oikeusasteissa. Alla oleva taulukko kokoaa keskeiset luvut, jotka ovat julkisesti vahvistettuja.
| Mittari | Luku | Lähde / ajankohta |
|---|---|---|
| GDPR-sakkoja yhteensä Suomessa | 19 | Heinäkuu 2026 |
| Sakoista valitettu KHO:hun | 9 | Heinäkuu 2026 |
| Valituksista yhä vireillä | 4 | Heinäkuu 2026 |
| Verkkokauppa.comin sakko (vahvistettu) | 792 639 € | KHO 2026/1604, 12.6.2026 |
| Vastaamon sakko (aiempi tapaus) | yli 600 000 € | Tietosuojavaltuutetun päätös |
| GDPR-sakkoja koko EU:ssa 2026 | 156 | 2026, koko vuosi |
| Näistä viimeisen 6 kk aikana | 96 | Alku- ja kesäkausi 2026 |
Luvut kertovat kahta asiaa. Ensinnäkin Suomen valvonta on edelleen huomattavasti maltillisempaa kuin EU:n suurimmissa jäsenmaissa, joissa sakkoja lasketaan sadoissa vuosittain. Toiseksi sakkojen kertyminen on kiihtynyt: puolet EU:n koko vuoden 2026 sakoista on annettu vain viimeisen kuuden kuukauden aikana, mikä viittaa siihen, että myös Suomen tuleva tahti todennäköisesti nousee samaan suuntaan.
Hallituksen esitys HE 46/2026 vp: sakot myös julkishallinnolle
Huhtikuussa 2026 hallitus antoi eduskunnalle esityksen HE 46/2026 vp, jolla muutettaisiin tietosuojalakia (1050/2018) sekä rikosasioiden tietosuojalakia (1054/2018). Esityksen ydin on yksinkertainen: julkisen sektorin rekisterinpitäjät ja käsittelijät, kuten kunnat, hyvinvointialueet ja valtion virastot, voisivat ensimmäistä kertaa saada hallinnollisen sakon GDPR-rikkomuksista siinä missä yksityiset yritykset jo nyt voivat.
Nykyinen tietosuojalaki on vapauttanut julkishallinnon sakoista lähes kokonaan sen voimaantulosta lähtien vuodesta 2018. Käytännössä tämä on tarkoittanut, että esimerkiksi hyvinvointialue on voinut saada huomautuksen tai korjauskehotuksen vakavastakin tietosuojarikkomuksesta, mutta ei koskaan taloudellista seuraamusta. Elokuussa 2026 julkaistu oikeudellinen analyysi kuvaa muutosta “pitkään odotettuna käänteenä valvonnassa”, ja lakivaliokunnan käsittely etenee syksyn 2026 aikana.
Kattosakot: 500 000 € ja 1 000 000 €
Yksityisillä yrityksillä GDPR-sakon katto on sidottu liikevaihtoon (jopa 4 % vuosittaisesta globaalista liikevaihdosta tai 20 miljoonaa euroa, kumpi on suurempi). Julkishallinnolle tällaista liikevaihtopohjaista laskentaa ei voi soveltaa, joten hallituksen esitys asettaa kiinteät kattosakot: 500 000 euroa lievemmistä rikkomuksista ja 1 000 000 euroa vakavimmista. Tämä on merkittävästi pienempi summa kuin yrityksille teoriassa mahdollinen katto, mutta silti ensimmäinen kerta, kun julkinen taho voi menettää rahaa suoraan tietosuojarikkomuksen seurauksena.
| Osa-alue | Nykytila (ennen HE 46/2026 vp) | Esitetty malli |
|---|---|---|
| Julkishallinnon sakkovapaus | Kyllä, ei taloudellisia seuraamuksia | Poistuu |
| Kattosakko, lievä rikkomus | Ei sovellu | 500 000 € |
| Kattosakko, vakava rikkomus | Ei sovellu | 1 000 000 € |
| Sovellettava laki | Tietosuojalaki 1050/2018 | Muutettu 1050/2018 ja 1054/2018 |
| Käsittelyvaihe (elokuu 2026) | Ei sovellu | Eduskunnan lakivaliokunnassa |
Yksityiskohta, joka on jäänyt vähemmälle huomiolle: esitys ei koske vain uusia rikkomuksia, vaan se muuttaa koko sen kannustinrakenteen, jonka varassa julkishallinnon tietosuojatyötä on toistaiseksi tehty. Kun rahallista riskiä ei ole ollut, tietosuojavastaavien budjetit ja henkilöstöresurssit ovat monessa kunnassa jääneet yksityissektoria pienemmiksi. Lakimuutoksen jälkeen tilanne todennäköisesti kääntyy, koska johto joutuu perustelemaan tietosuojainvestoinnit paitsi lainmukaisuudella myös suoralla taloudellisella riskillä.
Historiallinen konteksti: Vastaamosta Verkkokauppa.comiin
Suomen tietosuojavalvonnan kovin isku ennen vuotta 2026 oli psykoterapiakeskus Vastaamon tietomurto, jossa hyökkääjä varasti kymmenien tuhansien potilaiden arkaluonteiset terapiamuistiinpanot ja yritti kiristää sekä yhtiötä että yksittäisiä potilaita. Tietosuojavaltuutettu määräsi Vastaamolle yli 600 000 euron sakon puutteellisesta tietoturvasta. Tapaus muutti pysyvästi suomalaisten suhtautumista terveystietojen käsittelyyn ja nosti tietosuoja-asioiden näkyvyyden mediassa aivan uudelle tasolle.
Verkkokauppa.com-tapaus eroaa Vastaamosta olennaisesti. Kyse ei ollut rikoksesta tai ulkopuolisesta hyökkäyksestä, vaan täysin sisäisestä, arkisesta käytännöstä: tilitietojen säilyttämisestä ilman aikarajaa. Juuri tämä tekee ratkaisusta laajakantoisemman. Vastaamon kaltainen tietomurto koskettaa lähinnä yrityksiä, joilla on heikko tietoturva, mutta säilytysajan puuttuminen on käytäntö, joka löytyy tuhansista suomalaisista verkkokaupoista, asiakasrekistereistä ja jäsenpalveluista juuri nyt.
Muut merkittävät KHO:n tietosuojaratkaisut 2026
Verkkokauppa.com-ratkaisu ei ollut ainoa merkittävä KHO:n tietosuojalinjaus alkuvuonna 2026. Huhtikuussa 2026 korkein hallinto-oikeus antoi ratkaisun, jonka mukaan GDPR:n poisto- ja vastustamisoikeudet (artiklat 17 ja 21) eivät koske puhtaasti journalistisiin tarkoituksiin tehtyä käsittelyä, kun kyse oli sanomalehden verokonepalvelusta. Ratkaisu kulkee ikään kuin vastakkaiseen suuntaan Verkkokauppa.com-tapaukseen nähden: se rajaa yksilön oikeuksia, kun taas kesäkuun päätös laajentaa rekisterinpitäjän velvollisuuksia. Yhdessä ne piirtävät kuvaa korkeimmasta hallinto-oikeudesta, joka täsmentää GDPR:n rajoja molempiin suuntiin, ei vain valvojan eduksi.
Suomi verrattuna EU:n laajempaan valvontatrendiin
Kun Suomen 19 sakkoa asetetaan rinnan EU:n 156 vuoden 2026 sakon kanssa, ero on selvä: Suomi on yhä valvonnaltaan maltillinen jäsenmaa. Syitä on useita. Väestöpohja on pieni, seuraamuskollegion kaksivaiheinen käsittely hidastaa päätöksentekoa, ja suomalaiset viranomaiset ovat perinteisesti suosineet ohjausta ja korjauskehotuksia ennen sakkoa. Euroopan tietosuojaneuvosto koordinoi jäsenmaiden valvontalinjoja, mutta lopullinen sakotuspäätös ja sen taso jäävät aina kansalliselle viranomaiselle, mikä selittää suuria maakohtaisia eroja.
Silti suunta on sama kaikkialla: puolet EU:n koko vuoden 2026 sakoista on annettu vain kuluneen puolen vuoden aikana. Kun tähän lisätään Suomen oma lakimuutos, joka tuo julkishallinnon ensimmäistä kertaa sakotuksen piiriin, on perusteltua odottaa, että Suomen sakkotahti lähestyy vähitellen muun Pohjois-Euroopan tasoa seuraavien kahden kolmen vuoden aikana. Kansalaisjärjestö noyb, joka on ajanut aktiivisesti GDPR:n täytäntöönpanoa Euroopan-laajuisesti, on toistuvasti vaatinut juuri tällaista kansallisten viranomaisten tiukempaa otetta.
Vertailu naapurimaihin on kiinnostava myös rakenteellisesti. Ruotsin Integritetsskyddsmyndigheten ja Norjan Datatilsynet voivat molemmat määrätä sakon suoraan ilman erillistä seuraamuskollegiota, mikä selittää osan niiden Suomea nopeammasta käsittelyaikataulusta. Tanskassa taas malli muistuttaa enemmän Suomen kaksivaiheista rakennetta. Kun Suomen julkishallinto tulee jatkossa sakotuksen piiriin, ero Ruotsiin ja Norjaan kapenee juuri sillä osa-alueella, jossa Suomi on tähän asti ollut selvästi jäljessä: kunnat ja valtion virastot ovat molemmissa naapurimaissa jo vuosia voineet saada taloudellisia seuraamuksia tietosuojarikkomuksista.
Mitä tietosuojaviranomainen ja asiantuntijat sanovat
Tietosuojavaltuutetun toimiston viralliset kannanotot ratkaisuun ovat suoria ja käytännönläheisiä. Ne muodostavat parhaan ohjenuoran sille, mitä rekisterinpitäjien pitää tehdä muuttaakseen käytäntöjään lainmukaisiksi.
“The Supreme Administrative Court finds that the company had an obligation to specify the storage periods for the personal data it collects, and the storage period cannot be based solely on the person taking action themselves.”
Tietosuojavaltuutetun toimisto, tietosuoja.fi
Tämä on ratkaisun tärkein lause juristeille: yksin passiivinen “poista pyynnöstä” -periaate ei riitä täyttämään säilytysajan rajoittamisen vaatimusta.
“The company violated data protection provisions by failing to specify the storage periods for customer account data.”
Tietosuojavaltuutetun toimisto, tietosuoja.fi
“According to the Supreme Administrative Court, this practice had resulted in the data being retained for a longer period than would have been required for its intended use.”
Tietosuojavaltuutetun toimisto, tietosuoja.fi
Kolmas kannanotto tiivistää valvojan logiikan: mittarina ei ole se, onko yhtiö toiminut vilpillisesti, vaan se, onko tietojen elinkaari ylipäätään suunniteltu ja perusteltu etukäteen.
“The Supreme Administrative Court has enforced the decision of the Office of the Data Protection Ombudsman and the Sanctions Board of the Data Protection Ombudsman concerning the operations of Verkkokauppa.com Plc.”
Tietosuojavaltuutetun toimisto, tietosuoja.fi
“The Supreme Administrative Court upheld the decision of the Administrative Court.”
Tietosuojavaltuutetun toimisto, tietosuoja.fi
Viides ja viimeinen viranomaisen kannanotto vahvistaa, että asia on nyt lopullisesti ratkaistu kaikilla oikeusasteilla, eikä Verkkokauppa.comilla ole enää mahdollisuutta hakea muutosta kotimaisessa tuomioistuimessa.
Mitä yritysten pitää tehdä nyt
Käytännön vaikutus koskettaa kaikkia yrityksiä, joilla on asiakastilijärjestelmä, uutiskirjelista tai jäsenrekisteri. Tietosuojavastaavien ja lakiosastojen kannattaa käydä läpi ainakin neljä asiaa.
- Onko jokaiselle henkilötietoryhmälle määritelty konkreettinen säilytysaika, joka on kirjattu tietosuojaselosteeseen ja käsittelytoimien selosteeseen?
- Perustuuko poisto pelkästään asiakkaan omaan pyyntöön, vai onko järjestelmässä automaattinen poisto- tai anonymisointiprosessi passiivisille tileille?
- Onko rekisteröinti- tai tilipakko ylipäätään perusteltu, vai voisiko saman palvelun toteuttaa myös vierailijana ilman pysyvää tiliä?
- Kattaako sisäinen tietosuojan vaikutustenarviointi (DPIA) myös säilytysajan riskit, ei vain tietoturvan tai tiedonsiirron riskejä?
Erityisesti verkkokaupoille ja tilauspalveluille tapaus on suora varoitus. Moni suomalainen verkkokauppa on rakentanut asiakastilinsä juuri samalla logiikalla kuin Verkkokauppa.com: tili luodaan oston yhteydessä, ja tiedot jäävät talteen ikuisesti, ellei asiakas erikseen pyydä poistoa. Euroopan komission tietosuojaohjeistus on korostanut samaa periaatetta jo vuosia, mutta vasta konkreettinen, kuusinumeroinen sakko yleensä saa yritysjohdon todella reagoimaan.
Mitä muutos tarkoittaa tavalliselle kuluttajalle
Uutisessa puhutaan paljon yrityksistä ja lainsäädännöstä, mutta ratkaisulla on suora vaikutus myös tavalliseen kuluttajaan. Jos sinulla on tili jossain suomalaisessa verkkokaupassa, jota et ole käyttänyt vuosiin, tietosi ovat todennäköisesti yhä tallessa jossain palvelimella, valmiina joko myyntiin, tietomurron kohteeksi tai markkinoinnin materiaaliksi. KHO:n ratkaisun jälkeen kuluttajalla on entistä vahvempi peruste vaatia yritykseltä selvää vastausta kysymykseen: kuinka kauan minun tietojani säilytetään ja millä perusteella?
Käytännön vinkki suomalaiselle kuluttajalle on yksinkertainen. Tarkista muutaman kerran vuodessa, missä palveluissa sinulla on vielä aktiivinen tili, ja pyydä tarpeettomien tilien poisto suoraan. Yrityksellä on GDPR:n mukaan velvollisuus vastata poistopyyntöön kuukauden kuluessa. Jos vastausta ei tule tai se on puutteellinen, valitusoikeus tietosuojavaltuutetun toimistolle on maksuton ja avoinna jokaiselle. Verkkokauppa.com-tapaus osoittaa, että yksittäinenkin kantelu voi vuosien kuluessa johtaa merkittävään ennakkopäätökseen.
Markkinavaikutukset: compliance- ja lakipalveluala kasvaa
Suomen tietosuojakonsultointi- ja lakipalvelumarkkina reagoi tyypillisesti nopeasti näkyviin, suuriin sakkoihin. Vastaamon tapauksen jälkeen 2020-luvun alussa nähtiin selvä piikki tietosuojakoulutusten ja DPIA-konsultoinnin kysynnässä, ja sama toistuu todennäköisesti nyt. Verkkokauppa.com-ratkaisu antaa lakitoimistoille konkreettisen, korkeimman oikeusasteen vahvistaman esimerkin, jota ne voivat käyttää asiakkaidensa vakuuttamiseen säilytysaikapolitiikkojen päivittämisen tarpeellisuudesta.
Julkishallinnon budjettipaine kasvaa
HE 46/2026 vp:n eteneminen luo erillisen, ehkä vieläkin suoremman markkinavaikutuksen: kunnat ja hyvinvointialueet joutuvat arvioimaan uudelleen tietosuojaresurssinsa. Kun taloudellinen riski muuttuu abstraktista konkreettiseksi (500 000–1 000 000 euron kattosakoiksi), monessa organisaatiossa tietosuojavastaavan rooli siirtyy sivutoimesta kokopäiväiseksi tehtäväksi. Tämä avaa kysyntää sekä sisäisille rekrytoinneille että ulkoistetuille tietosuoja-asiantuntijapalveluille, erityisesti pienemmissä kunnissa, joilla ei ole omaa lakiosastoa.
Reaktiot: elinkeinoelämä ja Verkkokauppa.com
Verkkokauppa.com on Suomen suurimpia verkkokauppoja, ja sakko koskettaa siksi suoraan yhtä maan tunnetuimmista kuluttajabrändeistä. Koska KHO:n päätös on lopullinen, yhtiölle jää käytännössä vain yksi vaihtoehto: maksaa sakko ja päivittää tietojen säilytyskäytäntönsä vastaamaan ratkaisun linjauksia. Laajemmin kaupan alan etujärjestöt ovat seuranneet tapausta tarkasti, sillä vastaava tilijärjestelmä on käytössä valtaosassa suomalaisia verkkokauppoja kokoluokasta riippumatta.
Julkishallinnon puolella reaktiot lakiesitykseen ovat olleet varovaisen myönteisiä, mutta huolestuneita resurssien riittävyydestä. Kuntaliiton ja hyvinvointialueiden edustajat ovat lausunnoissaan todenneet, että periaate on oikea, mutta sen toimeenpanoon tarvitaan siirtymäaikaa ja rahoitusta, jotta pienemmätkin organisaatiot ehtivät päivittää tietosuojakäytäntönsä ennen lain voimaantuloa.
Ennusteet: mitä tapahtuu seuraavaksi
Seuraavat kehityskulut ovat toimituksen arvio nykyisen tiedon pohjalta, ei virallisia vahvistuksia.
- HE 46/2026 vp etenee eduskunnassa syksyllä 2026. Lakivaliokunnan käsittely jatkuu, ja hyväksytyn lain voimaantulo siirtyy todennäköisesti vuoden 2027 puolelle, koska julkishallinnolle halutaan antaa siirtymäaikaa.
- Säilytysaikavalitukset yleistyvät. KHO:n linjaus antaa tietosuojavaltuutetulle selvän ennakkotapauksen, jota se todennäköisesti soveltaa useisiin vireillä oleviin ja uusiin valituksiin seuraavan 12 kuukauden aikana.
- Suomen sakkotahti nousee lähemmäs EU:n keskitasoa. Kun julkishallinto tulee sakotuksen piiriin ja säilytysaikalinja on nyt selvä, sakkojen kokonaismäärä Suomessa todennäköisesti kasvaa nykyisestä 19:sta selvästi seuraavien kahden kolmen vuoden aikana.
- Verkkokaupat päivittävät tilipolitiikkansa ennakoivasti. Odotettavissa on, että useat suuret suomalaiset verkkokaupat julkaisevat päivitetyt tietosuojaselosteet ja automaattiset poistoprosessit ilman, että niitä erikseen sakotetaan, pelkästään ratkaisun varoittavan vaikutuksen takia.
- Muut Pohjoismaat seuraavat kehitystä. Koska Suomen ratkaisu koskee laajalti käytettyä tilirekisteröintimallia, on todennäköistä, että Ruotsin, Norjan ja Tanskan tietosuojaviranomaiset viittaavat siihen omissa tulevissa ratkaisuissaan, vaikka niillä ei ole muodollista sitovuutta rajan yli.
Usein kysytyt kysymykset
Kuinka suuri sakko Verkkokauppa.com sai lopulta?
Korkein hallinto-oikeus vahvisti 792 639 euron (noin 795 000 euron) hallinnollisen sakon 12. kesäkuuta 2026 antamallaan päätöksellä KHO 2026/1604.
Voiko Verkkokauppa.com vielä valittaa päätöksestä?
Ei. KHO on Suomen ylin hallintotuomioistuin, joten sen ratkaisu on lopullinen kotimaisessa oikeusjärjestelmässä.
Mistä rikkomuksessa oikeastaan oli kyse?
Yhtiö ei ollut määritellyt, kuinka kauan se säilyttää pakollisten asiakastilien henkilötietoja, vaan tiedot jäivät järjestelmiin toistaiseksi, kunnes asiakas erikseen pyysi niiden poistamista.
Mikä on HE 46/2026 vp?
Se on huhtikuussa 2026 annettu hallituksen esitys, joka muuttaisi tietosuojalakia (1050/2018) ja rikosasioiden tietosuojalakia (1054/2018) siten, että myös julkishallinto voisi saada GDPR-sakon.
Kuinka suuria sakkoja julkishallinto voisi jatkossa saada?
Esityksen mukaan katto olisi 500 000 euroa lievemmistä rikkomuksista ja 1 000 000 euroa vakavimmista, eli kiinteä summa liikevaihtoon sidotun mallin sijaan.
Kuinka monta GDPR-sakkoa Suomessa on annettu tähän mennessä?
Heinäkuuhun 2026 mennessä Suomessa oli annettu yhteensä 19 hallinnollista sakkoa, joista yhdeksän on viety muutoksenhakuun ja neljä on yhä vireillä.
Miten tämä eroaa Vastaamo-tapauksesta?
Vastaamon sakko liittyi tietomurtoon ja puutteelliseen tietoturvaan, kun taas Verkkokauppa.com-tapaus koski sisäistä käytäntöä eli säilytysajan puuttumista ilman ulkopuolista hyökkäystä.
Mitä yrityksen kannattaa tehdä välttääkseen vastaavan sakon?
Määritellä ja dokumentoida jokaiselle henkilötietoryhmälle konkreettinen säilytysaika, rakentaa automaattinen poisto- tai anonymisointiprosessi ja päivittää tietosuojaseloste vastaamaan todellista käytäntöä.
Aiheeseen liittyvät artikkelit
- Lisää yksityisyysaiheisia artikkeleita kategoriasta Yksityisyys
- Salattu sähköposti 12 vaiheessa: Outlook, Gmail
- DNS over HTTPS -asennus: 12 vaihetta, 45 min
- Firefoxin yksityisyysasetukset: 14 vaihetta, 30 min
- Tails OS Asennus USB-tikulle: 12 Vaihetta, 45 Min
- Tor Browser 15.0.19: Asennus 12 Vaiheessa
