Pohjoismaiden tietosuojaviranomaiset ovat kuluneen kesän aikana ottaneet useita askeleita, jotka muuttavat GDPR-valvontaa selvästi yhtenäisemmäksi. Euroopan tietosuojaneuvosto EDPB hyväksyi 10. kesäkuuta 2026 yhteisen tietomurtoilmoitusmallin, seitsemän Pohjoismaan ja itsehallintoalueen tietosuojaviranomaiset allekirjoittivat toukokuussa Tukholman julistuksen, ja Norjan Datatilsynet määräsi heinäkuussa 1,83 miljoonan euron sakon suurelle kuluttajaelektroniikkaketjulle. Samaan aikaan yksityisyydensuojajärjestö noyb vaatii norjalaista mediakonserni Schibstediä sakotettavaksi sen “maksa tai suostu” -mallista. Yhdessä nämä tapahtumat kertovat, että GDPR-valvonta on siirtymässä kansallisista yksittäistapauksista kohti yhtenäistä, rajat ylittävää linjaa.
Suomessa GDPR-valvonta on jo kiristynyt omilla poluillaan: korkein hallinto-oikeus vahvisti heinäkuussa Verkkokauppa.comille määrätyn sakon, ja julkishallinto on ensimmäistä kertaa tulossa hallinnollisten sakkojen piiriin. Nyt näihin kotimaisiin muutoksiin kytkeytyy laajempi pohjoismainen ja EU-tason kehitys, joka vaikuttaa jokaiseen organisaatioon, joka käsittelee henkilötietoja Suomessa tai muualla Pohjoismaissa.
EDPB:n uusi tietomurtoilmoitusmalli lyhyesti
Euroopan tietosuojaneuvosto (EDPB) hyväksyi 10.6.2026 yhteisen mallipohjan henkilötietojen tietomurtuilmoituksille GDPR:n 33 artiklan nojalla. Äänestyksessä 26 EU-jäsentä kannatti hyväksymistä, yksi pidättäytyi, ja kaksi ETA-jäsentä ilmaisi tukensa, käy ilmi EDPB:n 121. täysistunnon pöytäkirjasta. Mallipohja on tarkoitettu ensisijaisesti valvontaviranomaisten omaksi IT-työkaluksi, mutta sen rakenne vaikuttaa suoraan siihen, mitä tietoja rekisterinpitäjän on kyettävä toimittamaan tietomurron sattuessa.
Malli oli avoinna julkiselle kuulemiselle 5.8.2026 saakka, eli kahdeksan viikon ajan hyväksymisestä. Kuulemisen aikana yritykset, toimialajärjestöt ja muut sidosryhmät saivat kommentoida sisältöä ennen kuin EDPB päättää käytännön käyttöönoton aikataulusta jäsenmaiden valvontaviranomaisille, Suomen tietosuojavaltuutetun toimisto mukaan lukien.
Mitä malli sisältää
Mallipohjan tarkoitus on yhtenäistää ja jäsentää ilmoitusprosessi kaikissa EU- ja ETA-maissa. Käytännössä se tarkoittaa ennalta määriteltyjä kenttiä, jotka pakottavat rekisterinpitäjän kertomaan tietomurron luonteen, siihen liittyvien rekisteröityjen ja tietueiden määrän, seuraukset sekä käytetyt lieventämistoimet. Alla on yksinkertaistettu esimerkki siitä, miten mallin tietokentät voisi jäsentää sisäisessä ilmoitusjärjestelmässä.
{
"rikkomuksen_luonne": "esim. luvaton pääsy asiakastietoihin",
"havaitsemisajankohta": "PP.KK.VVVV, klo",
"rekisteroidyt_maara": 0,
"tietueiden_maara": 0,
"todennakoiset_seuraukset": "kuvaus riskeistä",
"toteutetut_toimet": "esim. tilien lukitus, salasanojen nollaus",
"tietosuojavastaavan_yhteystiedot": "nimi, sähköposti, puhelin",
"ilmoitus_72h_kuluessa": true
}Kuulemisen aikana malli ei ollut vielä pakollinen ilmoituslomake, mutta EDPB:n viestistä käy selvästi ilmi, että siitä on tarkoitus tulla vakiomuoto. Organisaatiot, jotka alkavat sovittaa omia poikkeamavasteprosessejaan mallin mukaisiksi jo nyt, ovat paremmassa asemassa, kun valvontaviranomaiset alkavat ottaa lomaketta käyttöön vaiheittain vuoden 2027 aikana.
Tukholman julistus: Pohjoismaat lupaavat tiiviimpää yhteistyötä
Tanskan, Färsaarten, Suomen, Islannin, Norjan, Ruotsin ja Ahvenanmaan tietosuojaviranomaiset kokoontuivat 21.–22.5.2026 Tukholmassa vuotuiseen pohjoismaiseen tapaamiseensa. Kokouksessa allekirjoitettiin Tukholman julistus, jonka Norjan Datatilsynet julkisti 26.5.2026. Julistus korostaa yhteisiä pohjoismaisia arvoja ja sitoutumista tiiviimpään valvontayhteistyöhön, mukaan lukien rajat ylittävät digipalvelut, jotka koskettavat pohjoismaisia kuluttajia.
Julistus ei sisällä yksittäisiä sakkopäätöksiä tai uusia lakeja, vaan se on poliittinen ja hallinnollinen sitoumus. Käytännössä se tarkoittaa, että Pohjoismaiden tietosuojaviranomaiset jakavat entistä enemmän tietoa käynnissä olevista tutkinnoista ja pyrkivät yhtenäisempään linjaan esimerkiksi suostumuskäytäntöjen ja profiloinnin arvioinnissa. Suomen tietosuojavaltuutetun toimisto on yksi allekirjoittajista, joten julistus vaikuttaa suoraan siihen, miten suomalaisia yrityksiä valvotaan jatkossa erityisesti silloin, kun palvelu toimii useammassa Pohjoismaassa samaan aikaan.
Norjan Datatilsynet sakotti kuluttajaelektroniikkaketjua 1,83 miljoonalla eurolla
Heinäkuussa 2026 Norjan tietosuojaviranomainen Datatilsynet määräsi suurelle pohjoismaiselle kuluttajaelektroniikkaketjulle 20 miljoonan Norjan kruunun eli noin 1,83 miljoonan euron hallinnollisen sakon. Päätös perustui vuoden 2022 kesäkuussa tehtyyn tarkastukseen ketjun norjalaisista ja pohjoismaisista yksiköistä. Datatilsynet löysi useita GDPR-rikkomuksia, jotka liittyivät erityisesti yhtiön asiakasklubin henkilötietojen käsittelyyn.
Keskeisin havainto oli, että asiakasklubin henkilötietoja käsiteltiin ilman pätevää suostumusta. Sen lisäksi Datatilsynet totesi, että yhtiö ei arvioinut asianmukaisesti uusia käsittelytarkoituksia, kun asiakastietoja käytettiin alkuperäisestä tarkoituksesta poikkeavasti, eikä se tehnyt riittävää oikeutetun edun arviointia käyttäessään sitä käsittelyn oikeusperusteena. Lisäksi yhtiö ei vastannut rekisteröityjen oikeuksia koskeviin pyyntöihin GDPR:n edellyttämässä määräajassa. Tapauksen laajuus on huomattava: yli kuusi miljoonaa asiakasklubin jäsentä Pohjoismaiden alueella oli vaikutuksen piirissä.
Tapaus on havainnollinen esimerkki siitä, miten pitkä aika tarkastuksen ja lopullisen sakkopäätöksen välillä voi kulua: neljä vuotta tarkastuksesta päätökseen. Se on samalla muistutus siitä, että yksi ainoa asiakasrekisteri, jota käytetään ilman kunnollista suostumuspohjaa, voi altistaa yrityksen miljoonasakolle, kun rekisterin koko on suuri.
Schibsted ja “maksa tai suostu” -malli noybin tähtäimessä
Yksityisyydensuojajärjestö noyb on jättänyt Norjan tietosuojaviranomaiselle valituksen norjalaista mediakonserni Schibstediä vastaan. Valituksen kohteena on niin kutsuttu “maksa tai suostu” -malli (pay-or-okay), jossa käyttäjä voi joko maksaa tilauksesta ilman seurantaa tai hyväksyä laajan käyttäjäseurannan ja profiloinnin saadakseen sisällön ilmaiseksi.
Noybin mukaan malli painostaa käyttäjät hyväksymään seurannan, mikä on ristiriidassa GDPR:n vaatimuksen kanssa siitä, että suostumuksen on oltava vapaaehtoinen ja aidosti valinnainen. Järjestö on pyytänyt Datatilsynetiä sekä sakottamaan Schibstediä että pysäyttämään mallin käytön. Elokuussa 2026 tapaus on yhä valitus- ja tutkintavaiheessa, eikä lopullista päätöstä tai sakkosummaa ole vielä julkaistu. Tapaus on kuitenkin merkittävä ennakkotapaus koko Pohjoismaiden mediasektorille, sillä “maksa tai suostu” -malleja käyttävät useat suuret mediatalot myös Suomessa.
Kuka on noyb ja miksi sen valitukset painavat
Noyb (lyhenne sanoista “none of your business”) on itävaltalaisen juristi Max Schremsin perustama voittoa tavoittelematon yksityisyydensuojajärjestö, joka on tunnettu useista GDPR-valituksista suuria teknologia- ja mediayhtiöitä vastaan ympäri Eurooppaa. Järjestö ei itse voi määrätä sakkoja, mutta sen valitukset käynnistävät säännönmukaisesti muodollisia tutkintoja kansallisissa valvontaviranomaisissa, ja niiden pohjalta on aiemmin syntynyt useita merkittäviä eurooppalaisia ennakkopäätöksiä suostumuskäytännöistä.
Schibsted-valitus on tästä näkökulmasta tyypillinen tapaus: noyb valitsee kohteekseen laajasti käytetyn käytännön, tässä tapauksessa “maksa tai suostu” -mallin, ja hakee sille periaatteellista ratkaisua yhden ison toimijan kautta. Jos Norjan Datatilsynet päätyy sakottamaan Schibstediä tai vaatimaan mallin muuttamista, päätöksellä on todennäköisesti vaikutusta myös muihin samaa mallia käyttäviin mediataloihin Suomessa, Ruotsissa ja Tanskassa, vaikka päätös koskisi muodollisesti vain yhtä norjalaista yhtiötä.
Suomen tilanne taustana: Verkkokauppa.com ja julkishallinnon sakot
Pohjoismainen ja EU-tason kehitys ei tapahdu tyhjiössä. Suomessa korkein hallinto-oikeus vahvisti heinäkuussa 2026 Verkkokauppa.comille aiemmin määrätyn hallinnollisen sakon, mikä loi ennakkotapauksen tietosuojavaltuutetun toimiston tulkintalinjalle (lue tarkemmin aiemmasta jutustamme). Samaan aikaan Suomen hallitus antoi eduskunnalle huhtikuussa 2026 esityksen HE 46/2026 vp, jolla GDPR-hallinnolliset sakot ulotetaan ensimmäistä kertaa myös julkisille viranomaisille (taustaa tästä uudistuksesta löydät täältä).
Nämä kaksi kotimaista muutosta liittyvät suoraan Tukholman julistukseen ja EDPB:n tietomurtoilmoitusmalliin: molemmat viestivät samasta suunnasta, jossa valvonta tiukkenee sekä yksityisellä että julkisella sektorilla, ja jossa Suomen tietosuojavaltuutetun toimisto sitoutuu yhä tiiviimpään pohjoismaiseen ja eurooppalaiseen yhteistyöhön sen sijaan, että se toimisi yksin.
GDPR-sakkojen määrä ja kokoluokka Pohjoismaissa ja Euroopassa
Suomen tietosuojavaltuutetun toimiston seuraamuslautakunta on määrännyt vuosina 2020–2025 yhteensä 27 hallinnollista sakkoa GDPR-rikkomuksista. Pelkästään vuonna 2025 seuraamuslautakunta määräsi kolmelle organisaatiolle sakkoja yhteensä 3 765 000 euroa. Euroopan tasolla GDPR Enforcement Trackerin mukaan vuonna 2026 on kirjattu 160 tapausta viimeisen kuuden kuukauden aikana, mikä kuvaa valvonnan kiihtyvää tahtia. Alla oleva taulukko kokoaa keskeiset luvut yhteen.
| Ajanjakso / tapaus | Sakkojen määrä | Yhteissumma | Alue |
|---|---|---|---|
| 2020–2025 yhteensä | 27 sakkoa | ei julkaistu kokonaissummaa | Suomi |
| 2025 | 3 sakkoa | 3 765 000 € | Suomi |
| Heinäkuu 2026, Verkkokauppa.com (KHO vahvisti) | 1 sakko | 795 000 € | Suomi |
| Heinäkuu 2026, kuluttajaelektroniikkaketju | 1 sakko | 20 milj. NOK (n. 1,83 milj. €) | Norja |
| 2026, viimeiset 6 kuukautta | 160 tapausta | ei koostesummaa | Koko Eurooppa |
Sakkokehykset: yksityinen sektori vs. julkinen sektori Suomessa
Yksi keskeinen ero Suomen tuoreessa lakimuutoksessa on se, että julkiselle sektorille kaavaillut sakkokatot ovat selvästi matalammat kuin yksityiselle sektorille asetetut GDPR:n vakiokehykset. Tämä ero on tärkeä ymmärtää, sillä se vaikuttaa suoraan siihen, kuinka suuria taloudellisia riskejä eri toimijatyypit kohtaavat rikkomustilanteessa.
| Toimija | Vähäisempi rikkomus | Vakava rikkomus |
|---|---|---|
| Yksityinen sektori (GDPR:n vakiokehys) | 4 % maailmanlaajuisesta liikevaihdosta tai 20 milj. €, kumpi suurempi | sama kehys, korkeampi osuus liikevaihdosta |
| Julkinen sektori Suomessa (HE 46/2026 vp) | enintään 500 000 € | enintään 1 000 000 € |
| Norjan kuluttajaelektroniikkaketju (toteutunut sakko) | – | n. 1,83 milj. € (20 milj. NOK) |
Vertailu paljastaa, että vaikka julkishallinnon sakkokatto Suomessa vaikuttaa pieneltä yksityisen sektorin rajattomampaan kehykseen verrattuna, se on silti merkittävä muutos maassa, jossa julkiset viranomaiset ovat tähän asti olleet käytännössä sakkojen ulkopuolella. Yksityisen sektorin osalta Norjan tuore 1,83 miljoonan euron sakko taas osoittaa, että suuren asiakasrekisterin omaavat yritykset voivat kohdata merkittäviä summia, vaikka ne eivät lähestyisikään GDPR:n teoreettista 20 miljoonan euron kattoa.
Historiallinen konteksti: GDPR:n valvonta vuodesta 2018 tähän päivään
GDPR astui voimaan toukokuussa 2018, ja ensimmäisinä vuosina valvonta Suomessa ja monissa muissa EU-maissa oli varovaista. Yle uutisoi jo vuoden 2018 lopussa, ettei Suomen tietosuojavaltuutettu tai muutkaan eurooppalaiset viranomaiset olleet vielä määränneet yhtään sakkoa yrityksille asetuksen rikkomisesta. Kahdeksan vuotta myöhemmin tilanne on toinen: Suomessa on määrätty 27 sakkoa vuosina 2020–2025, korkein hallinto-oikeus on alkanut vahvistaa valvontaviranomaisen tulkintoja, ja julkishallinto ollaan ensimmäistä kertaa tuomassa sakkojen piiriin.
Sama kehitys näkyy koko Euroopassa: GDPR Enforcement Trackerin kaltaiset seurantapalvelut raportoivat nyt satoja tapauksia vuosittain, ja EDPB on siirtynyt yksittäisten ohjeistusten antamisesta kohti konkreettisia, yhteisiä työkaluja kuten tietomurtoilmoitusmalli. Kahdeksan vuoden aikana GDPR on muuttunut paperilla olevasta periaatteesta käytännön valvontakoneistoksi, jolla on selkeät prosessit, aikataulut ja rajat ylittävä koordinaatio.
Kilpailuasetelma: miten Pohjoismaat eroavat muusta Euroopasta
Pohjoismaiden tietosuojaviranomaisten yhteistyö erottuu muusta Euroopasta siinä, että se perustuu Tukholman julistuksen kaltaisiin poliittisiin sitoumuksiin seitsemän toimijan kesken (Tanska, Färsaaret, Suomi, Islanti, Norja, Ruotsi ja Ahvenanmaa), eikä vain EDPB:n muodollisiin äänestyksiin 27 EU-jäsenmaan kesken. Tämä tarkoittaa käytännössä nopeampaa tiedonvaihtoa ja yhtenäisempää linjaa esimerkiksi suostumuskäytäntöjen tulkinnassa kuin monella muulla EU:n alueella, jossa kansalliset viranomaiset toimivat usein erillään toisistaan.
Toisaalta Norja ei ole EU:n jäsen vaan ETA-maa, mikä tekee sen valvontaviranomaisen Datatilsynetin päätöksistä erityisen kiinnostavia: ne osoittavat, että ETA-maiden viranomaiset soveltavat GDPR:ää yhtä tiukasti kuin EU-jäsenmaiden viranomaiset, ja Schibsted-valitus etenee samojen sääntöjen mukaisesti kuin se etenisi esimerkiksi Ruotsissa tai Suomessa. Verrattuna esimerkiksi Keski-Euroopan suuriin markkinoihin, joissa yksittäiset sakot voivat nousta kymmeniin miljooniin euroihin suurten teknologiayhtiöiden kohdalla, Pohjoismaiden tapaukset ovat toistaiseksi maltillisempia mutta lukumäärältään tasaisesti kasvavia.
Toinen ero on nopeus, jolla Pohjoismaiden viranomaiset reagoivat toisiinsa. Kun Norjan Datatilsynet julkaisi sakkopäätöksensä heinäkuussa, tieto siitä levisi saman viikon aikana muiden Nordic-alueen valvojien pöydille juuri Tukholman julistuksen luoman yhteydenpitokanavan kautta. Vastaavaa nopeutta on harvoin nähty esimerkiksi Etelä-Euroopan valvontaviranomaisten välillä, joiden yhteistyö kulkee useammin muodollisten EDPB-kokousten kautta ilman samanlaista suoraa, alueellista tiedonvaihtoa. Tämä ero voi tarkoittaa, että pohjoismainen yritys jää nopeammin kiinni rajat ylittävästä rikkomuksesta kuin vastaava yritys, joka toimii vain yhdessä suuressa EU-maassa ilman naapurimaiden valvojien tiivistä yhteyttä.
Markkinavaikutukset: mitä yritysten pitää tehdä nyt
Yrityksille, jotka toimivat Suomessa tai muualla Pohjoismaissa, kesän 2026 kehitys tarkoittaa kolmea konkreettista toimenpidettä. Ensinnäkin tietosuojavastaavien ja tietoturvatiimien kannattaa käydä läpi oma tietomurtoilmoitusprosessinsa ja verrata sitä EDPB:n mallipohjan kenttiin, vaikka malli ei vielä ole pakollinen. Toiseksi asiakasrekistereitä ja suostumuksen keräämistä käyttäviä markkinointi- ja kanta-asiakasohjelmia kannattaa tarkistaa Norjan tuoreen sakkopäätöksen valossa, sillä puutteellinen suostumuspohja tai vanhentunut oikeutetun edun arviointi voi altistaa vastaavalle sakkoriskille.
Kolmanneksi mediayhtiöiden ja muiden “maksa tai suostu” -malleja käyttävien palveluiden kannattaa seurata Schibsted-tapauksen etenemistä tarkasti, sillä Datatilsynetin päätös vaikuttaa todennäköisesti koko Pohjoismaiden mediasektorin käytäntöihin riippumatta siitä, missä maassa palvelu virallisesti toimii. Julkishallinnon organisaatioiden Suomessa taas kannattaa valmistautua HE 46/2026 vp:n voimaantuloon päivittämällä omat tietosuojaprosessinsa vastaamaan tasoa, jota yksityiseltä sektorilta on jo vuosia vaadittu.
Käytännön tasolla tämä tarkoittaa myös sisäisen vastuunjaon selkeyttämistä: kuka organisaatiossa vastaa siitä, että tietomurtoilmoitus lähtee valvontaviranomaiselle 72 tunnin kuluessa, kuka päivittää suostumuslomakkeet vastaamaan tuoreinta oikeuskäytäntöä, ja kuka seuraa Schibsted-tapauksen kaltaisia ennakkopäätöksiä muissa Pohjoismaissa. Monessa pk-yrityksessä nämä vastuut ovat tähän asti olleet hajallaan lakiosaston, markkinoinnin ja IT:n välillä, mikä on juuri se asetelma, jossa Norjan tapauksen kaltaiset puutteet pääsevät syntymään vuosien ajaksi ennen kuin valvontaviranomainen puuttuu asiaan.
Ennusteet: näin GDPR-valvonta kehittyy seuraavaksi
- EDPB:n mallista tulee vaiheittain pakollinen. Julkisen kuulemisen päätyttyä 5.8.2026 EDPB:n odotetaan asettavan käyttöönottoaikataulun, joka todennäköisesti ulottuu vuoden 2027 puolelle useimmissa jäsenmaissa.
- Suomen julkishallinto saa ensimmäisen sakkonsa vuoden 2027 aikana. HE 46/2026 vp:n tultua voimaan on todennäköistä, että tietosuojavaltuutetun toimisto käyttää uutta toimivaltaansa ensimmäisen kerran seuraavan vuoden sisällä.
- Schibsted-tapaus johtaa Pohjoismaiden ensimmäiseen “maksa tai suostu” -sakkoon. Noybin valitus Norjassa toimii todennäköisesti ennakkotapauksena, joka vaikuttaa myös muiden Pohjoismaiden mediayhtiöiden käytäntöihin.
- GDPR-sakkojen kokonaismäärä Euroopassa jatkaa kasvuaan. Kun vuoden 2026 alkupuoliskolla kirjattiin jo 160 tapausta, koko vuoden lukema ylittää todennäköisesti selvästi edellisvuoden tason.
- Pohjoismainen yhteistyö syvenee yhteisiin valvontaoperaatioihin. Tukholman julistuksen pohjalta on odotettavissa, että Pohjoismaiden viranomaiset käynnistävät yhteisiä tarkastuksia erityisesti rajat ylittäviä kuluttajapalveluita ja mediakonserneja kohtaan.
Miten pk-yritys valmistautuu ilman omaa lakiosastoa
Suuri osa Suomen yrityskentästä ei ole Verkkokauppa.comin tai suuren kuluttajaelektroniikkaketjun kokoinen, eikä niillä ole omaa lakiosastoa seuraamassa EDPB:n pöytäkirjoja tai Norjan Datatilsynetin päätöksiä. Silti sama valvontalinja koskee niitäkin heti, kun ne keräävät asiakastietoja kanta-asiakasohjelmaan, markkinointirekisteriin tai verkkokaupan tilausjärjestelmään. Käytännön nyrkkisääntö on yksinkertainen: jos organisaatio ei pysty osoittamaan, mihin oikeusperusteeseen tietyn tiedon käsittely nojaa, ja milloin suostumus on viimeksi kerätty tai päivitetty, riski on olemassa riippumatta yrityksen koosta.
Norjan sakkopäätös on tästä hyvä muistutus: kyse ei ollut monimutkaisesta teknisestä tietomurrosta, vaan tavallisesta asiakasklubista, jonka suostumuspohja oli vanhentunut. Vastaava tilanne on tuttu monelle suomalaiselle verkkokaupalle tai kanta-asiakasohjelmalle, joka on kerännyt suostumukset vuosia sitten eikä ole sen jälkeen tarkistanut, vastaako käsittely edelleen alkuperäistä tarkoitusta. Pienelle yritykselle konkreettinen ensimmäinen askel on käydä läpi oma asiakasrekisteri ja kysyä kolme kysymystä: mihin tarkoitukseen tieto alun perin kerättiin, käytetäänkö sitä nyt johonkin muuhun, ja löytyykö jokaiselle käsittelylle edelleen voimassa oleva oikeusperuste.
Mitä tämä tarkoittaa suomalaisille yrityksille käytännössä
Kokonaiskuva elokuussa 2026 on selvä: GDPR-valvonta ei ole enää vain kansallinen asia, jossa jokainen maa tulkitsee asetusta omalla tavallaan. EDPB:n yhteinen tietomurtoilmoitusmalli, Tukholman julistuksen pohjoismainen yhteistyö ja Norjan tuore miljoonasakko kertovat samasta suunnasta: valvonta yhtenäistyy, tiedonvaihto viranomaisten välillä nopeutuu, ja rikkomuksista seuraa entistä todennäköisemmin todellinen taloudellinen sanktio riippumatta siitä, missä Pohjoismaassa yritys virallisesti toimii.
Suomalaisille yrityksille tämä tarkoittaa, että kotimaisten tapausten (Verkkokauppa.com, julkishallinnon sakkouudistus) seuraaminen ei enää riitä. Sama valvontalinja, joka johti Norjan 1,83 miljoonan euron sakkoon ja Schibsted-valitukseen, koskee yhtä lailla suomalaisia toimijoita heti, kun ne käsittelevät henkilötietoja useammassa Pohjoismaassa tai käyttävät vastaavia suostumus- ja kanta-asiakasmalleja.
Usein kysytyt kysymykset
Mikä on EDPB:n tietomurtoilmoitusmalli ja milloin se tulee voimaan?
Se on Euroopan tietosuojaneuvoston 10.6.2026 hyväksymä yhteinen mallipohja, jolla yritysten tietomurtoilmoitukset yhtenäistetään kaikissa EU- ja ETA-maissa. Julkinen kuuleminen päättyi 5.8.2026, minkä jälkeen EDPB päättää käyttöönoton aikataulun jäsenmaiden valvontaviranomaisille.
Koskeeko julkishallinnon uusi sakkomahdollisuus myös Suomea?
Kyllä. Suomen hallitus antoi huhtikuussa 2026 esityksen HE 46/2026 vp, jolla GDPR-hallinnolliset sakot ulotetaan ensimmäistä kertaa julkisille viranomaisille ja muille julkisen sektorin rekisterinpitäjille, enintään 500 000 eurosta 1 000 000 euroon rikkomuksen vakavuudesta riippuen.
Miksi Norjan Datatilsynet sakotti kuluttajaelektroniikkaketjua?
Datatilsynet totesi vuoden 2022 tarkastuksen pohjalta, että ketju käsitteli asiakasklubinsa henkilötietoja ilman pätevää suostumusta, ei arvioinut asianmukaisesti uusia käsittelytarkoituksia eikä vastannut rekisteröityjen oikeuksia koskeviin pyyntöihin määräajassa. Sakko oli 20 miljoonaa Norjan kruunua eli noin 1,83 miljoonaa euroa, ja se koski yli kuutta miljoonaa asiakasta.
Mikä on “maksa tai suostu” -malli ja miksi Schibsted on valituksen kohteena?
Mallissa käyttäjä voi joko maksaa palvelusta ilman seurantaa tai hyväksyä laajan käyttäjäseurannan saadakseen sisällön ilmaiseksi. Yksityisyydensuojajärjestö noyb katsoo, että malli painostaa käyttäjät hyväksymään seurannan, mikä ei täytä GDPR:n vaatimusta vapaaehtoisesta suostumuksesta, ja on vaatinut Norjan Datatilsynetiä sakottamaan Schibstediä ja pysäyttämään mallin käytön.
Mikä on GDPR-sakon enimmäismäärä Suomessa?
Yksityisellä sektorilla GDPR:n vakiokehys on voimassa: enintään 4 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta tai 20 miljoonaa euroa, kumpi näistä on suurempi. Julkiselle sektorille kaavaillut sakkokatot ovat matalammat, enintään 500 000–1 000 000 euroa.
Mitä Tukholman julistus tarkoittaa käytännössä?
Se on Tanskan, Färsaarten, Suomen, Islannin, Norjan, Ruotsin ja Ahvenanmaan tietosuojaviranomaisten toukokuussa 2026 allekirjoittama sitoumus tiiviimpään yhteistyöhön ja tiedonvaihtoon, erityisesti rajat ylittävien digipalveluiden valvonnassa. Se ei ole uusi laki, mutta se ohjaa viranomaisten yhteistä linjaa.
Miten yritysten pitäisi valmistautua uuteen ilmoitusmalliin?
Kannattaa käydä läpi oma tietomurron havainnointi- ja ilmoitusprosessi ja verrata sitä EDPB:n mallipohjan kenttiin: rikkomuksen luonne, rekisteröityjen ja tietueiden määrä, seuraukset, lieventämistoimet ja tietosuojavastaavan yhteystiedot. Mitä valmiimpi prosessi on nyt, sitä vähemmän työtä mallin virallinen käyttöönotto vuonna 2027 vaatii.
Kuinka paljon GDPR-sakkoja Euroopassa on määrätty vuonna 2026?
GDPR Enforcement Trackerin mukaan Euroopassa on kirjattu 160 tapausta vuoden 2026 viimeisen kuuden kuukauden aikana. Suomessa taas on määrätty yhteensä 27 hallinnollista sakkoa vuosina 2020–2025, joista kolme, yhteensä 3 765 000 euroa, langetettiin pelkästään vuonna 2025.
Related Coverage
- GDPR-sakko 795 000€ Pysyy: KHO Laajentaa Tulkintaa [2026]
- Julkishallinto GDPR-sakkojen Piiriin: 1M€ Katto [2026]
- EU e-Evidence Voimaan 18.8.: 8h Määräaika, 2% Sakko [2026]
- Signal-sovellus käyttöön: 12 Vaihetta, 40 Min [2026]
- Tor Browser 15.0.19: Asennus 12 Vaiheessa [2026]
- Lisää yksityisyysuutisia
Lähteet: EDPB, EDPB:n julkinen kuuleminen, DataGuidance, Ruotsin IMY, Gibson Dunn, EuroCloud Europe.
