GDPR-sakot laajenevat julkishallintoon: jopa 1 M€ [2026]

Suomen hallitus on tuomassa eduskunnalle esityksen, joka muuttaa julkishallinnon vastuuta henkilötietojen käsittelystä. Kunnat, valtion virastot ja hyvinvointialueet voisivat jatkossa saada hallinnollisia sakkoja GDPR-rikkomuksista, aivan kuten yksityiset yritykset ovat saaneet vuodesta 2020 lähtien. Tähän asti julkisyhteisöiltä on puuttunut tämä uhka lähes kokonaan. Esityksen mukaan sakkokatto olisi 500 000 euroa lievemmistä rikkomuksista ja 1 000 000 euroa vakavimmista, kertoo kansainvälinen tietosuoja-alan uutispalvelu INPLP kesäkuussa 2026 julkaistussa katsauksessaan.

Muutos tulee ajankohtaan, jossa tietosuojavaltuutetun toimisto on jo kiristänyt otettaan yksityisestä sektorista. Posti sai historian suurimman, 2,4 miljoonan euron sakon vuonna 2024. Verkkokauppa.comin 856 000 euron sakko sai puolestaan kesäkuussa 2026 lainvoiman korkeimmasta hallinto-oikeudesta, kertoo lakiasiaintoimisto Linklaters. Nyt sama valvontakoneisto ollaan ulottamassa koskemaan myös julkista sektoria, ja GDPR-sakot saavat Suomessa kokonaan uuden kohderyhmän. Vuosina 2020–2024 seuraamuskollegio ehti määrätä yksityisille yrityksille jo toistakymmentä hallinnollista sakkoa, ja sama koneisto laajenee nyt ensimmäistä kertaa koskemaan veronmaksajien rahoittamia organisaatioita.

Mitä hallituksen esitys käytännössä muuttaa

Suomen tietosuojalaki on tähän asti jättänyt viranomaiset ja muut julkisyhteisöt hallinnollisten sakkojen ulkopuolelle, vaikka GDPR koskee niitä muuten samalla tavalla kuin yrityksiä. Poikkeus on ollut voimassa siitä lähtien, kun EU:n yleinen tietosuoja-asetus tuli sovellettavaksi 25. toukokuuta 2018. Käytännössä julkisyhteisön käsittelyvirheestä on voinut seurata huomautus tai määräys korjata toimintaa, mutta ei euromääräistä sanktiota.

Hallituksen esitys purkaisi tämän poikkeuksen. Uuden mallin mukaan tietosuojavaltuutetun toimiston seuraamuskollegio voisi määrätä julkisyhteisölle enintään 500 000 euron sakon lievemmästä rikkomuksesta ja enintään 1 000 000 euron sakon vakavammasta rikkomuksesta, kertoo INPLP:n katsaus. Kattoja perustellaan sillä, että julkisyhteisöjen rahoitus ja toimintaedellytykset poikkeavat yksityisistä yrityksistä eikä liikevaihtoperusteinen malli sovi niihin suoraan. Esitys ei koske koko julkista sektoria samalla tavalla: tuomioistuimet, eduskunnan virastot, eräät eduskuntalaitokset ja kansallisen turvallisuuden viranomaiset jäisivät sakkomallin ulkopuolelle jatkossakin. Myöskään julkisuuslain eli viranomaisten toiminnan julkisuudesta annetun lain perusteella tehdyt tietoluovutukset eivät johtaisi sakkoon.

Ajoitus ei ole sattumaa. Uudistus etenee samaan aikaan, kun tietosuojavaltuutetun toimisto on vahvistanut valvontaansa yksityisellä sektorilla ja kun Pohjoismaiden viranomaiset ovat tiivistäneet keskinäistä yhteistyötään. Julkishallinnon sakkomalli täydentää kokonaisuutta, jossa Suomen tietosuojavalvonta on muutenkin kiristymässä usealla rintamalla samanaikaisesti.

Miksi julkishallinto on ollut sakkojen ulkopuolella tähän asti

Kun GDPR tuli voimaan, Suomi valitsi mallin, jossa julkisyhteisöjen vastuu toteutui lähinnä hallinnollisen ohjauksen ja korjausmääräysten kautta. Ajatuksena oli, että veronmaksajien rahoittaman toiminnan rankaiseminen sakolla siirtää kustannuksen lopulta takaisin samoille veronmaksajille. Malli on Pohjoismaissakin ollut kirjava: osa naapurimaista on voinut sakottaa julkista sektoria jo pidempään, kun taas Suomi on pitäytynyt puhtaasti hallinnollisessa ohjauksessa.

Kritiikki epäsymmetriaa kohtaan on kasvanut sitä mukaa kun julkishallinnon tietomurrot ja käsittelyvirheet ovat toistuneet. Maaliskuussa 2026 tietosuojavaltuutetun toimisto liittyi EU:n laajuiseen selvitykseen henkilötietojen käsittelyn läpinäkyvyydestä, ja samalla viikolla valvoja määräsi sakon myös Suomen Numerokeskukselle puheluiden tallenteiden luovuttamatta jättämisestä. Yksityinen sektori on siis jatkanut sakkojen maksamista koko ajan, kun julkinen sektori on katsonut sivusta.

GDPR:n kahdeksan vuotta Suomessa: aikajana 2018–2026

EU:n yleinen tietosuoja-asetus tuli sovellettavaksi koko unionissa 25. toukokuuta 2018, ja Suomen kansallinen tietosuojalaki täydensi sitä vuoden 2019 alussa. Ensimmäiset suomalaiset hallinnolliset sakot annettiin vasta toukokuussa 2020, kun seuraamuskollegio määräsi samalla kertaa sakot muun muassa Postille, Taksi Helsingille ja Kymen Vedelle. Kynnys ensimmäisiin päätöksiin oli siis lähes kaksi vuotta asetuksen voimaantulosta.

Vuosi 2021 toi ParkkiPaten 75 000 euron sakon ja psykoterapiakeskus Vastaamon tapauksen, joka nosti tietosuojan koko kansan puheenaiheeksi arkaluonteisten potilastietojen jouduttua kiristäjän käsiin. Vuonna 2024 sakkojen taso hyppäsi uudelle tasolle Postin, S-Pankin ja Verkkokauppa.comin miljoonaluokan päätösten myötä. Vuosi 2026 on jatkanut samalla linjalla: korkein hallinto-oikeus vahvisti Verkkokauppa.comin sakon kesäkuussa, ja samaan aikaan valmistellaan koko julkishallintoa koskevaa sakkomallia. Kahdeksassa vuodessa Suomi on siirtynyt tilanteesta, jossa hallinnollisia sakkoja ei tunnettu juuri lainkaan, nykytilaan, jossa ne koskettavat jo miljoonasummia ja laajenevat seuraavaksi julkiselle sektorille. Sama kaari toistuu monessa muussakin EU-maassa: ensimmäiset vuodet menivät ohjeistukseen ja varoituksiin, ja vasta myöhemmin valvojat alkoivat käyttää täyttä sakkovaltaansa.

Suomen sakkohistoria: yksityinen sektori on jo maksanut miljoonia

Näin sakkosummat ovat kasvaneet vuosina 2020–2026

Tietosuojavaltuutetun toimiston seuraamuskollegio on vuodesta 2020 lähtien määrännyt yksityisille yrityksille useita hallinnollisia sakkoja, ja summat ovat kasvaneet vuosi vuodelta. Vuonna 2020 suurin yksittäinen sakko oli 100 000 euroa, kun taas vuoden 2024 ennätys nousi jo 2,4 miljoonaan euroon. Kasvu ei ole ollut suoraviivaista, vaan se on riippunut yksittäisten tapausten vakavuudesta ja siitä, kuinka moni rekisteröity on kärsinyt virheestä. Kehitys näkyy silti selvästi alla olevasta taulukosta, joka kokoaa Suomen tunnetuimmat GDPR-sakot.

Kohde	Sakko	Vuosi	Peruste
Posti Jakelu Oy	2 400 000 €	2024	OmaPosti-postilaatikot luotiin automaattisesti ilman erillistä pyyntöä
S-Pankki Oyj	1 800 000 €	2024	Tunnistautumispalvelun ohjelmistohaavoittuvuus salli kirjautumisen toisen asiakkaan tiedoilla
Verkkokauppa.com Oyj	856 000 €	2024	Asiakastilien tietojen säilytysaikaa ei ollut määritelty
ParkkiPate Oy	75 000 €	2021	Henkilötunnuksia kerättiin tarpeettomasti pysäköintivalvonnassa
Posti Oyj (vanha tapaus)	100 000 € (kumottu)	2020	Rekisteröityjen oikeudet eivät toteutuneet, hallinto-oikeus kumosi päätöksen
Taksi Helsinki Oy	72 000 €	2020	Asiakaspuheluita tallennettiin ilman riittävää tiedottamista
Kymen Vesi Oy	16 000 €	2020	Puutteita tietosuojan vaikutustenarvioinnissa

Suurin sakko on toistaiseksi langennut Postille marraskuussa 2024. Kyse oli 2,4 miljoonan euron sakosta OmaPosti-sovelluksesta, joka loi käyttäjille sähköisen postilaatikon automaattisesti ilman erillistä pyyntöä, kertoo lakiasiaintoimisto Waselius & Snellman. Toiseksi suurin, 1,8 miljoonan euron sakko, meni S-Pankille tunnistautumispalvelun ohjelmistohaavoittuvuudesta, joka mahdollisti kirjautumisen toisen asiakkaan tiedoilla huhti-elokuussa 2022, kertoo Linklaters. ParkkiPaten tapauksessa EDPB vahvistaa, että korkein hallinto-oikeus ei myöntänyt yhtiölle valituslupaa, joten päätös jäi voimaan. Kaikki taulukon sakot on tähän mennessä määrätty yksityisille toimijoille. Juuri tämä epäsuhta on nyt lakimuutoksen ytimessä.

Verkkokauppa.com: tuore ennakkotapaus vahvistaa linjan

Kesäkuussa 2026 korkein hallinto-oikeus vahvisti Verkkokauppa.comille maaliskuussa 2024 määrätyn 856 000 euron sakon, kertoo Linklaters tietosuojakatsauksessaan. Tausta on yksinkertainen: verkkokauppajätti ei ollut määritellyt, kuinka kauan se säilyttää asiakastilien tietoja, mikä rikkoo GDPR:n tietojen minimointi- ja säilytysaikaperiaatteita, kertoi lakitoimisto Bird & Bird jo alkuperäisen päätöksen yhteydessä.

Tapaus on merkittävä kahdesta syystä. Ensinnäkin se osoittaa, että tietosuojavaltuutetun linjaukset kestävät valitusprosessin ylimmässä hallintotuomioistuimessa saakka. Toiseksi se antaa mallin siitä, millaisista käytännön puutteista julkishallintokin voisi jatkossa saada sakon: tietojen säilytysaikojen määrittely on täsmälleen sama velvoite, joka koskee myös kuntien ja virastojen rekistereitä. Kaksi vuotta alkuperäisestä päätöksestä lainvoimaan asti kertoo myös siitä, kuinka pitkä prosessi yksittäisen sakon vahvistaminen voi Suomessa olla.

Postin vuoden 2020 tapaus on hyvä muistutus myös tulevalle julkishallinnon mallille: Helsingin hallinto-oikeus kumosi tuolloin yhtiölle määrätyn 100 000 euron sakon, mikä osoittaa, etteivät valvojan päätökset ole automaattisesti lopullisia. Sama muutoksenhakuoikeus koskisi jatkossa myös kuntia ja hyvinvointialueita, joten ensimmäiset julkishallinnon sakkopäätökset todennäköisesti testataan hallinto-oikeuksissa ennen kuin ne vakiintuvat käytännöksi.

Yksityinen vs julkinen sektori: sakkojen mittakaavaero

Mitä uusi malli tarkoittaa euroissa

Vaikka julkishallinto saisi nyt oman sakkomallinsa, ero yksityisen sektorin vastuisiin säilyy suurena. GDPR:n yleinen enimmäissakko yrityksille on 20 miljoonaa euroa tai 4 prosenttia globaalista vuosiliikevaihdosta, sen mukaan kumpi summa on suurempi, muistuttaa vaatimustenmukaisuusyhtiö EQS Group katsauksessaan. Suurelle kansainväliselle konsernille tämä voi tarkoittaa satoja miljoonia euroja, kun taas julkisyhteisön sakkokatto pysähtyisi miljoonaan euroon riippumatta organisaation koosta.

Sektori	Lievempi rikkomus	Vakavampi rikkomus	Keskeiset poikkeukset
Yksityiset yritykset (nykyinen GDPR-malli)	Tapauskohtainen harkinta	Enintään 20 milj. € tai 4 % globaalista liikevaihdosta, kumpi suurempi	Ei sektorikohtaisia poikkeuksia
Julkishallinto (esitetty uusi malli)	Enintään 500 000 €	Enintään 1 000 000 €	Tuomioistuimet, eduskunnan virastot, eräät eduskuntalaitokset, kansallisen turvallisuuden viranomaiset, julkisuuslain mukaiset tietoluovutukset

Asetelma ei ole sattumaa. Julkisyhteisöillä ei ole osakkeenomistajia tai globaalia liikevaihtoa, joten liikevaihtosidonnainen malli ei sovi niihin samalla tavalla. Kiinteä eurokatto on hallinnollisesti yksinkertaisempi, mutta se tarkoittaa myös, että suurelle kaupungille tai hyvinvointialueelle miljoonan euron sakko on suhteessa pienempi isku kuin pienelle yritykselle sama summa suhteessa sen liikevaihtoon. Vertailu paljastaa myös toisen yksityiskohdan: Postin ja S-Pankin jo maksamat sakot, 2,4 ja 1,8 miljoonaa euroa, ylittäisivät molemmat sen miljoonan euron katon, joka julkisyhteisöille nyt kaavaillaan.

Miten Suomi vertautuu muihin Pohjoismaihin ja EU:hun

Uudistus ei synny tyhjiössä. Pohjoismaiden tietosuojaviranomaiset ovat sopineet tiivistävänsä yhteistyötään tietoturva- ja rajat ylittävissä kysymyksissä, ja yhteistyö kattaa myös tiedonvaihdon valvontakäytännöistä. Käytännöt ovat tähän asti vaihdelleet maasta toiseen, ja osassa Pohjoismaita julkisyhteisöjen sakottaminen on ollut mahdollista jo pidempään kuin Suomessa. Kun Suomi nyt yhtenäistää omaa malliaan lähemmäs muita Pohjoismaita, se vähentää myös houkutusta sijoittaa arkaluonteinen käsittely maahan, jossa valvonta on löyhintä. Yhtenäisemmät käytännöt helpottavat myös usean Pohjoismaan alueella toimivien organisaatioiden vaatimustenmukaisuustyötä, kun tulkinnat samankaltaisista rikkomuksista eivät vaihtele yhtä paljon rajan yli.

Suomen uudistus heijastelee samalla laajempaa eurooppalaista trendiä. DLA Piperin Suomen-yksikön mukaan EU:ssa määrättiin GDPR-sakkoja yhteensä noin 1,2 miljardin euron arvosta vuonna 2024, ja teknologia-alan uutissivusto Tivi raportoi samasta ajanjaksosta yli miljardin euron kokonaissummaa. Suomen oma osuus tästä on toistaiseksi ollut vaatimaton, muutamia miljoonia yksittäisiä sakkoja verrattuna esimerkiksi Irlannin tai Luxemburgin jättisakkoihin, jotka koskevat siellä päämajaansa pitäviä teknologiayhtiöitä. Julkishallinnon sakkomallin voi silti odottaa nostavan Suomen kokonaissakkosummaa lähivuosina, kun valvonnan piiriin tulee kokonaan uusi joukko organisaatioita. Ero Suomen ja suurimpien EU-sakkojen välillä selittyy pitkälti sillä, että Irlannissa ja Luxemburgissa toimii suuria teknologiakonserneja, joiden liikevaihtoon sidotut sakot nousevat automaattisesti suuremmiksi kuin Suomen kokoisessa taloudessa. Julkishallinnon sakkomalli ei muuta tätä perusasetelmaa, mutta se laajentaa valvonnan kattavuutta juuri niillä sektoreilla, joilla Suomessa käsitellään eniten arkaluonteista henkilötietoa.

Markkinavaikutus: mitä muutos tarkoittaa kunnille ja hyvinvointialueille

Käytännössä uudistus pakottaa erityisesti hyvinvointialueet ja kunnat tarkistamaan tietosuojakäytäntönsä uudella vakavuudella. Hyvinvointialueet käsittelevät suuria määriä terveystietoja, jotka kuuluvat GDPR:n erityisiin henkilötietoryhmiin ja joiden käsittelyvirheistä voi seurata erityisen ankaria arviointeja. Kunnat puolestaan hallinnoivat esimerkiksi koulujen, sosiaalitoimen ja rakennusvalvonnan rekistereitä, joissa on toistuvasti raportoitu puutteita käyttöoikeuksien hallinnassa.

Taloudellinen vaikutus voi olla merkittävä pienemmille kunnille, joiden koko vuosibudjetti tietohallintoon on murto-osa miljoonan euron sakkokatosta. Suurimmille kaupungeille ja hyvinvointialueille, joiden budjetit lasketaan sadoissa miljoonissa euroissa, kiinteä eurokatto taas voi tuntua vaatimattomalta pelotteelta. Joka tapauksessa organisaatioiden on nyt varauduttava siihen, että tietosuojapoikkeama voi näkyä suoraan seuraavan vuoden budjetissa, ei vain toimintakertomuksen huomautuksena.

Käytännön tasolla muutos tarkoittaa todennäköisesti sitä, että kuntien ja hyvinvointialueiden tietosuojavastaavien rooli vahvistuu ja saa aiempaa enemmän painoarvoa organisaation sisällä. Rekisteriselosteiden ajantasaisuus, henkilöstön käyttöoikeuksien rajaaminen ja tietoturvapoikkeamien ilmoituskäytännöt nousevat todennäköisesti tarkastuslistan kärkeen, kun sakkoriski muuttuu teoreettisesta konkreettiseksi.

Vaikutus yksityiselle sektorille ja compliance-alalle

Uudistus vaikuttaa myös yksityiseen sektoriin epäsuorasti. Tietosuojakonsultointi, lakiasiaintoimistot ja compliance-ohjelmistoja tarjoavat yritykset saavat uuden asiakasryhmän: julkisyhteisöt, jotka joutuvat nyt investoimaan tietosuojan hallintajärjestelmiin, rekisteriselosteiden päivityksiin ja henkilöstön koulutukseen, aivan kuten yritykset ovat tehneet GDPR:n voimaantulosta lähtien.

Samalla julkishallinnon IT-hankkeissa mukana olevat yksityiset toimittajat, esimerkiksi terveydenhuollon tietojärjestelmien tai kuntien asiointipalvelujen kehittäjät, joutuvat todennäköisesti tarkentamaan sopimusehtojaan. Tilaajan sakkoriski voi heijastua myös alihankintaketjuun henkilötietojen käsittelijän vastuiden kautta, mikä tekee tietosuojasta entistä keskeisemmän osan julkisia hankintoja.

Kilpailuasetelma muuttuu myös tarjouskilpailuissa. Kun tilaajana toimiva kunta tai hyvinvointialue kantaa jatkossa itse taloudellisen riskin tietosuojavirheistä, se todennäköisesti painottaa toimittajavalinnoissa aiempaa enemmän tietosuojan teknistä toteutusta pelkän hinnan sijaan. Tämä voi hyödyttää tietosuoja-asiat huolellisesti hoitavia toimittajia isompien mutta huolimattomampien kilpailijoiden kustannuksella.

Onko 500 000–1 000 000 euron katto riittävä pelote?

Tähän kysymykseen esitys ei anna yksiselitteistä vastausta. Yksityisen sektorin suurimmat sakot, Postin 2,4 miljoonaa ja S-Pankin 1,8 miljoonaa euroa, ylittävät jo nyt sen miljoonan euron katon, joka julkisyhteisöille kaavaillaan vakavimmista rikkomuksista. Toisin sanoen julkishallinnolle asetettu enimmäissakko jää pienemmäksi kuin mitä yksityiset yritykset ovat tosiasiassa jo maksaneet.

Kriitikot voivat perustellusti kysyä, ohjaako kiinteä ja suhteellisen matala katto suuria organisaatioita parantamaan käytäntöjään yhtä voimakkaasti kuin liikevaihtosidonnainen malli ohjaa yrityksiä. Pelkkä sakkouhan olemassaolo, riippumatta sen tarkasta suuruudesta, todennäköisesti silti muuttaa sisäistä priorisointia. Tietosuoja siirtyy nykyistä useammin johtoryhmän asialistalle, kun sillä on konkreettinen hintalappu.

Toinen näkökulma on vastuun kohdentuminen organisaation sisällä. Yksityisellä sektorilla sakon uhka on ohjannut resursseja tietosuojatehtäviin ja nostanut tietosuojavastaavan asemaa johtoryhmätasolla. Sama dynamiikka voi toistua julkishallinnossa, vaikka euromäärät jäisivätkin pienemmiksi kuin yksityisen sektorin suurimmissa tapauksissa.

Aikataulu: milloin muutos etenee eduskunnassa

Hallituksen esitys etenee normaalia lainsäädäntöprosessia lausuntokierroksen, valiokuntakäsittelyn ja lopulta täysistuntoäänestyksen kautta. Tarkkaa voimaantulopäivää ei ole vielä lyöty lukkoon. Muutos ei kuitenkaan edellytä uutta EU-tason sääntelyä, koska kyse on kansallisesta täytäntöönpanosta jo olemassa olevan GDPR:n puitteissa, mikä tyypillisesti nopeuttaa käsittelyä verrattuna kokonaan uuteen sääntelyyn.

Samaan aikaan tietosuojavaltuutetun toimisto jatkaa nykyisen lainsäädännön valvontaa aktiivisesti. Maaliskuussa 2026 toimisto vahvisti liittyvänsä EU:n laajuiseen selvitykseen henkilötietojen käsittelyn läpinäkyvyydestä, ja varatietosuojavaltuutettu linjasi samaan aikaan muun muassa kuluttajien oikeudesta saada omat luottotietonsa maksutta. Organisaatio siis sekä valvoo nykyistä lakia että valmistautuu uuteen toimivaltaan samanaikaisesti.

Organisaatioiden ei kannata odottaa lain lopullista voimaantuloa ennen valmistautumista. Tietosuojan nykytilan kartoittaminen, rekisteriselosteiden päivittäminen ja henkilöstön koulutus vievät aikaa, ja samat toimet ovat tarpeen riippumatta siitä, päätyykö lopullinen sakko lähemmäs 500 000 vai 1 000 000 euron kattoa.

Tietosuojavaltuutetun toimisto kasvavan tehtävän edessä

Uusi toimivalta ei tarkoita pelkkää lakitekstin muutosta, vaan myös tietosuojavaltuutetun toimistolle lisää käsiteltäviä tapauksia entuudestaan mittavan yksityisen sektorin valvonnan päälle. Varatietosuojavaltuutettu Heljä-Tuulia Pihamaa jatkoi tehtävässään tammikuussa 2026, mikä viittaa siihen, että organisaatio pyrkii säilyttämään jatkuvuuden juuri silloin, kun sen vastuulle ollaan lisäämässä kokonaan uusi valvottavien joukko.

Valvottavaa riittää myös muualla taloudessa. Huhtikuussa 2026 uutistoimisto Reuters kertoi TikTokin rakentavan Suomeen jo toisen miljardin euron arvoisen konesalinsa, mikä kuvaa hyvin sitä, kuinka paljon arkaluonteista datankäsittelyä maahan on kertymässä. Kun sekä yksityisen sektorin datamäärät että julkishallinnon valvottavien joukko kasvavat samaan aikaan, tietosuojavaltuutetun toimiston resurssit nousevat väistämättä puheenaiheeksi, vaikka esitys itsessään ei suoraan käsittele toimiston rahoitusta.

Ennusteet: mitä seuraavaksi vuosina 2026–2027

Toimituksen analyysin perusteella seuraavat kehityskulut ovat todennäköisimpiä lähivuosina, kun uudistus etenee ja aiempi sakkohistoria toistaa itseään uudessa kohderyhmässä.

Ensimmäinen sakko julkisyhteisölle langetetaan todennäköisesti noin puolen vuoden kuluessa lain voimaantulosta, koska valvontakoneisto ja ilmoituskäytännöt ovat jo olemassa yksityisen sektorin kautta.
Hyvinvointialueet ja suuret kunnat ovat todennäköisimpiä ensimmäisiä kohteita, koska ne käsittelevät laajimmin terveys- ja sosiaalidataa.
Ensimmäiset sakot asettuvat lähemmäs 500 000 euron alarajaa kuin miljoonan euron kattoa, samaan tapaan kuin Verkkokauppa.com-tapauksessa kesti vuosia ennen lopullista vahvistusta.
Muut Pohjoismaat tiivistävät omaa julkishallinnon valvontaansa jo sovitun yhteistyön puitteissa, mikä voi johtaa vastaaviin lakimuutoksiin naapurimaissa.
Suomen kokonaissakkosumma kasvaa vuositasolla, kun valvonnan piiriin tulee kokonaan uusi toimijajoukko yksityisen sektorin rinnalle.

Yhteinen nimittäjä näissä ennusteissa on se, että Suomen tietosuojavalvonta on siirtymässä kokeiluvaiheesta rutiiniksi. Kun sakkokoneisto on kerran rakennettu yhdelle sektorille, sen laajentaminen toiselle on lähinnä poliittinen ja hallinnollinen päätös, ei tekninen este.

Mitä tämä tarkoittaa kansalaisille ja yrityksille

Kansalaiselle muutos näkyy todennäköisesti epäsuorasti. Kunnan tai hyvinvointialueen tietosuojaselosteet päivittyvät, ja käsittelyvirheistä tehdyt kantelut voivat johtaa aiempaa konkreettisempiin seurauksiin viranomaiselle itselleen. Se voi myös tarkoittaa, että viranomaiset reagoivat nopeammin tietoturvapoikkeamiin ja tietopyyntöihin, koska laiminlyönnistä voi seurata suora taloudellinen sanktio organisaatiolle.

Yrityksille, jotka toimivat julkishallinnon kumppaneina tai kilpailevat samoilla markkinoilla vaikkapa terveys- tai koulutusteknologiassa, muutos tasoittaa pelikenttää. Aiemmin vain yksityinen toimija saattoi joutua sakon uhan alle samasta virheestä, jonka julkinen toimija teki ilman taloudellisia seurauksia. Lisää yksityisyydensuojan kehitystä Suomessa ja muualla voi seurata shattered.io:n yksityisyys-osiosta.

Pidemmällä aikavälillä uudistus voi myös lisätä kansalaisten luottamusta julkisiin digipalveluihin. Kun viranomaisella on taloudellinen kannustin välttää käsittelyvirheitä, se todennäköisesti näkyy huolellisempana suunnitteluna uusissa tietojärjestelmissä jo ennen käyttöönottoa, ei vasta ongelmien ilmettyä käyttäjien arjessa.

Usein kysytyt kysymykset

Mikä Suomen tietosuojalaissa muuttuu?
Hallituksen esitys antaisi tietosuojavaltuutetun toimistolle oikeuden määrätä hallinnollisia sakkoja myös julkisyhteisöille, ei enää pelkästään yrityksille.

Kuinka suuria uudet sakot voisivat olla?
Enintään 500 000 euroa lievemmistä rikkomuksista ja enintään 1 000 000 euroa vakavammista, INPLP:n katsauksen mukaan.

Keitä uusi sakkomalli ei koske?
Tuomioistuimia, eduskunnan virastoja, eräitä eduskuntalaitoksia ja kansallisen turvallisuuden viranomaisia. Myöskään julkisuuslain mukaiset tietoluovutukset eivät johtaisi sakkoon.

Mikä on ollut Suomen suurin GDPR-sakko tähän mennessä?
Postin 2,4 miljoonan euron sakko vuodelta 2024 OmaPosti-palvelun automaattisesti luoduista postilaatikoista. Toiseksi suurin on S-Pankin 1,8 miljoonan euron sakko samalta vuodelta.

Mikä on GDPR:n enimmäissakko yrityksille?
20 miljoonaa euroa tai 4 prosenttia globaalista vuosiliikevaihdosta, sen mukaan kumpi summa on suurempi.

Miten Verkkokauppa.com-tapaus liittyy uudistukseen?
Korkein hallinto-oikeus vahvisti kesäkuussa 2026 yhtiön 856 000 euron sakon. Se osoittaa valvontalinjan kestävän myös oikeudellisen tarkastelun, ja samaa linjaa sovellettaisiin jatkossa julkishallintoon.

Voiko oma kuntani saada GDPR-sakon?
Periaatteessa kyllä, jos esitys hyväksytään sellaisenaan ja kunta rikkoo GDPR:ää, poikkeuksena erikseen rajatut tahot kuten tuomioistuimet. Kunnalla olisi käytössään samat muutoksenhakukeinot hallinto-oikeuksissa kuin yrityksillä on tänä päivänä.

Milloin laki todennäköisesti tulee voimaan?
Tarkkaa päivämäärää ei ole vielä vahvistettu. Esitys etenee tavanomaista eduskuntakäsittelyä, eikä se edellytä uutta EU-tason sääntelyä.