GDPR-valvonta Suomessa: Ennätys 15 408 Tapausta [2026]

Suomen tietosuojavalvonta kirjasi ennätysvuoden 2025. Tietosuojavaltuutetun toimisto avasi 15 408 uutta tapausta, 2 124 enemmän kuin vuotta aiemmin, ja sai käsiteltäväkseen 7 355 ilmoitusta henkilötietojen tietoturvaloukkauksista. Luvut julkaistiin toimiston vuosikertomuksessa 14. heinäkuuta 2026, ja ne kertovat karua kieltä: GDPR ei ole enää paperinmakuinen sääntely, vaan käytännön riski, joka konkretisoituu viikoittain sekä yksityisellä että julkisella sektorilla. Elokuussa 2026 valvonnan paine näkyy Oulun yliopistollisen sairaalan urkintaskandaalissa, Vastaamo-jutun yllättävässä käänteessä ja tuoreissa sakkopäätöksissä, jotka piirtävät kuvan siitä, mihin suuntaan tietosuojan täytäntöönpano Suomessa ja koko Pohjolassa on menossa.

Ennätysvuosi tietosuojavalvonnassa: 15 408 tapausta

Tietosuojavaltuutetun toimiston 2025-vuosikertomus on selvää luettavaa: työmäärä kasvoi joka mittarilla. Vuonna 2024 toimisto avasi 13 284 uutta asiaa, vuonna 2025 luku nousi 15 408:aan. Kasvua kertyi 16,0 prosenttia yhdessä vuodessa. Samaan aikaan toimisto sai käsiteltyä 15 033 asiaa, mikä osoittaa, että resurssit ovat pysyneet suunnilleen kysynnän tahdissa, mutta puskuria ei juuri jää. Tietoturvaloukkausilmoituksia kertyi 7 355 kappaletta, hieman enemmän kuin vuoden 2024 luku 7 152. Kasvu on maltillisempi kuin kokonaistapausmäärässä, 2,8 prosenttia, mikä viittaa siihen, että yritykset ja viranomaiset ovat jo aiemmin oppineet ilmoittamaan loukkauksista järjestelmällisesti. Sen sijaan kanteluiden, tietopyyntöjen ja neuvontapyyntöjen määrä on kasvanut selvästi nopeammin.

Hallinnollisia sakkoja toimisto määräsi vuonna 2025 kolmelle yritykselle, saman verran kuin vuonna 2024. Vuoden 2024 kolmen sakon yhteissumma oli 856 000–2,4 miljoonaa euroa riippuen laskentatavasta. Vuoden 2025 sakkojen tarkkaa euromäärää toimisto ei ole vielä julkistanut kokonaisuudessaan, mutta sakkomäärä on pysynyt vakaana kahden vuoden ajan. Se on merkillepantavaa, koska samaan aikaan tapausmäärä on kasvanut kuudenneksella. Yhtälö kertoo, että toimisto priorisoi ohjausta ja korjaavia toimenpiteitä sakkojen sijaan, mutta se saattaa muuttua, kun syyskuussa 2026 voimaan tuleva lainmuutos laajentaa sakkomahdollisuuden koskemaan myös julkista sektoria.

Miksi ilmoitusten määrä kasvoi 16 prosenttia vuodessa

Kasvuluvun taustalla on useampi tekijä. Ensinnäkin tekoälyjärjestelmien käyttöönotto on tuonut uuden aallon kysymyksiä siitä, miten henkilötietoja saa käsitellä koulutusaineistoissa ja automatisoidussa päätöksenteossa. Toimisto mainitsee vuosikertomuksessaan eksplisiittisesti tekoälyn ja maailmanpolitiikan näkyneen tietosuojatyössä vuonna 2025. Toiseksi Suomen kansallinen tekoälyasetuksen täytäntöönpanolaki tuli voimaan 1. tammikuuta 2026, mikä kytki tekoälyvalvonnan entistä tiiviimmin tietosuojaviranomaisen työhön ja toi uuden tulvan tulkintapyyntöjä yrityksiltä.

Kolmanneksi julkisuudessa käydyt suuret tapaukset, kuten Vastaamo-oikeudenkäynnit ja Oulun sairaalan urkintaskandaali, ovat todennäköisesti madaltaneet kansalaisten kynnystä tehdä kanteluita. Kun media uutisoi näkyvästi siitä, että terveydenhuollon työntekijä voi joutua syytteeseen potilastietojen luvattomasta katselusta, ihmiset alkavat kiinnittää huomiota omiin oikeuksiinsa. Neljänneksi EU:n koordinoitu täytäntöönpanotoiminta, jossa kaikki jäsenmaiden valvontaviranomaiset tutkivat samaa teemaa samanaikaisesti, on tuonut Suomeenkin lisää aktiivista valvontaa viraston oman aloitteen pohjalta, ei vain kanteluiden kautta.

Mittari	2024	2025	Muutos
Aloitetut tapaukset	13 284	15 408	+16,0 %
Ratkaistut tapaukset	Ei julkistettu erikseen	15 033	—
Tietoturvaloukkausilmoitukset	7 152	7 355	+2,8 %
Hallinnolliset sakot (kpl)	3	3	0 %
Sakkojen yhteissumma	856 000–2,4 milj. €	Ei vielä julkistettu kokonaan	—

Oulun yliopistollisen sairaalan urkintaskandaali ravisteli terveydenhuoltoa

Helmikuussa 2026 syyttäjä nosti syytteen yli 50 terveydenhuollon ammattilaista vastaan, joista noin 20 oli lääkäreitä. Syytteet liittyvät Oulun yliopistollisessa sairaalassa työskennelleiden henkilöiden epäiltyyn tapaan katsoa kollegansa potilastietoja ilman hoitosuhdetta. Tapaus on yksi Suomen laajimmista terveydenhuollon tietosuojarikkomuksista mitattuna syytettyjen määrällä, ja se avaa keskustelun siitä, kuinka hyvin sairaalajärjestelmien käyttöoikeuksia oikeasti valvotaan arjessa.

Yli 50 työntekijää syytteessä

Syytteiden laajuus kertoo, että kyse ei ollut yksittäisen työntekijän erehdyksestä vaan laajemmasta käytännöstä, jossa potilastietojärjestelmän lokitietoja ei ilmeisesti seurattu riittävän tiiviisti. Kun kymmenet työntekijät pääsevät katsomaan saman kollegan tietoja ilman kiinnijäämisen pelkoa, kyse on organisaation valvontajärjestelmän puutteesta, ei vain yksittäisestä väärinkäytöksestä.

Apulaistietosuojavaltuutettu teki 12. helmikuuta 2026 oman ratkaisunsa, jossa todettiin, että rekisterinpitäjä eli Pohjois-Pohjanmaan hyvinvointialue oli itse rikkonut GDPR:ää, koska se ei ollut toteuttanut riittäviä suojatoimia estämään luvatonta pääsyä potilastietoihin. Tämä kaksitasoinen ratkaisu, jossa sekä yksittäiset työntekijät että työnantaja joutuvat vastuuseen, on esimerkki siitä, mihin suuntaan tulkintakäytäntö on Suomessa kehittymässä. Rekisterinpitäjä ei voi vedota siihen, että vika oli yksittäisissä työntekijöissä, jos tekninen valvonta ja käyttöoikeuksien rajaus eivät ole olleet asianmukaisia.

Vastaamo-käänne: hovioikeus vapautti toimitusjohtajan

Joulukuun 18. päivänä 2025 Helsingin hovioikeus antoi ratkaisun, joka yllätti monet: se vapautti Vastaamon entisen toimitusjohtajan Ville Tapion tietosuojarikkomuksesta nostetuista syytteistä. Vastaamon tietomurto vuonna 2020 on edelleen yksi Suomen vakavimmista tietosuojatapauksista, sillä siinä paljastui kymmenien tuhansien psykoterapiapotilaiden arkaluonteisia tietoja. Käräjäoikeus oli aiemmin tuominnut toimitusjohtajan, mutta hovioikeus katsoi, että GDPR:n 33 artikla koskee nimenomaan ilmoitusvelvollisuutta tietoturvaloukkauksesta, ei itse henkilötietojen käsittelyä, eikä ilmoitusvelvollisuuden laiminlyönti täyttänyt Suomen rikoslain mukaista rikoksen tunnusmerkistöä siinä muodossa kuin syyte oli laadittu. Ratkaisua on käsitelty myös kansainvälisessä tietoturvamediassa.

Ratkaisu on merkittävä tarkennus siihen, missä kulkee raja hallinnollisen GDPR-vastuun ja rikosoikeudellisen henkilökohtaisen vastuun välillä. Yritysjohto voi joutua vastuuseen yhtiön tasolla määrättävistä hallinnollisista sakoista, mutta yksittäisen johtajan rikosoikeudellinen tuomitseminen vaatii tarkasti määritellyn tunnusmerkistön täyttymisen. Tuomio herätti keskustelua siitä, tekeekö se tietosuojalainsäädännön täytäntöönpanosta hampaattomamman johtajien kohdalla, vai onko kyse vain oikeasta oikeudellisesta rajanvedosta, joka oli aiemmin tulkittu liian löyhästi.

Kun EU:n yleinen tietosuoja-asetus tuli sovellettavaksi toukokuussa 2018, Suomessa vallitsi pitkään käsitys, että täytäntöönpano jää maltilliseksi. Ensimmäiset vuodet keskittyivät ohjeistukseen ja rekisterinpitäjien opastamiseen, ei sakkoihin. Suomen ensimmäiset varsinaiset hallinnolliset sakot jaettiin vasta usean vuoden viiveellä verrattuna esimerkiksi Saksaan tai Ranskaan, joissa isot teknologiayhtiöt saivat sakkoja jo GDPR:n ensimmäisinä toimintavuosina. Postille määrätty sakko oli yksi Suomen ensimmäisistä näkyvistä tapauksista, ja se toimi merkkinä siitä, että valvonta alkoi siirtyä ohjaavasta vaiheesta täytäntöönpanovaiheeseen.

Julkinen sektori jäi tästä kehityksestä pitkälti sivuun. Kahdeksan vuoden ajan kunnat, valtion virastot ja myöhemmin hyvinvointialueet toimivat käytännössä ilman todellista sakkoriskiä, vaikka ne käsittelevät valtavia määriä arkaluonteista tietoa esimerkiksi terveydenhuollossa ja sosiaalipalveluissa. Tämä epäsymmetria yksityisen ja julkisen sektorin välillä on ollut toistuva kritiikin kohde tietosuoja-asiantuntijoiden keskuudessa, ja se on yksi syy, miksi huhtikuun 2026 lakiesitys otettiin vastaan pitkään odotettuna korjausliikkeenä. Vuoden 2025 ennätysluvut ja Oulun sairaalan tapaus osoittavat, että kahdeksan vuoden tauko sakkovastuussa ei ole tarkoittanut, että julkisella sektorilla ei olisi ollut ongelmia, vaan pikemminkin sitä, että ongelmat eivät ole näkyneet samalla tavalla tilastoissa kuin yksityisellä puolella.

Verkkokauppa.com:n 795 000 euron sakko sai vahvistuksen KHO:lta

Kesäkuun 12. päivänä 2026 korkein hallinto-oikeus vahvisti aiemmin määrätyn 795 000 euron hallinnollisen sakon Verkkokauppa.comille tietosuojarikkomuksista. Päätös on ennakkotapaus, koska KHO laajensi samalla tulkintaa siitä, millä perusteilla sakkoja voidaan mitoittaa suomalaisyrityksille. Käsittelimme päätöksen yksityiskohdat aiemmassa artikkelissa, mutta olennaista on, että ratkaisu antaa Tietosuojavaltuutetun toimistolle vahvemman selkänojan tulevissa sakkopäätöksissä. Kun ylin hallintotuomioistuin on kerran vahvistanut linjan, alempien sakkopäätösten kumoaminen valituksella käy vaikeammaksi.

Suomen Numerokeskus ja muut tuoreet sakkopäätökset

Maaliskuun 25. päivänä 2026 Tietosuojavaltuutetun toimisto määräsi sakon Suomen Numerokeskukselle, koska yhtiö ei ollut toimittanut pyydettyjä puhelutallenteita rekisteröidylle. Tapaus on tyyppiesimerkki siitä, että sakkoja ei jaeta vain suurista tietomurroista, vaan myös perusoikeuksien, kuten tietoihin pääsyoikeuden, laiminlyönnistä. Sama teema toistui maaliskuun 30. päivänä 2026, kun apulaistietosuojavaltuutettu otti kantaa siihen, että yksityishenkilöiden pitää saada omat luottotietonsa maksutta. Kannanotto koskee erityisesti luottotietorekistereitä ja niiden käytäntöjä periä maksuja tietopyynnöistä, jotka GDPR:n mukaan kuuluvat rekisteröidylle ilmaiseksi.

Näiden tapausten yhteinen nimittäjä on, että ne eivät vaadi suurta tietomurtoa täyttyäkseen. Riittää, että yritys ei vastaa tietopyyntöön ajoissa tai perii siitä maksun, jota laki ei salli. Suomalaisyrityksille tämä on käytännön muistutus: GDPR-riski ei rajoitu tietoturvaan, vaan ulottuu asiakaspalveluprosesseihin ja siihen, miten nopeasti ja täydellisesti tietopyyntöihin vastataan.

Erityisen opettavainen piirre Suomen Numerokeskuksen tapauksessa on se, että kyse oli rekisteröidyn perusoikeudesta saada omat tietonsa, ei monimutkaisesta tietoturva-arkkitehtuurista. Moni yritys panostaa palomuureihin ja salaukseen, mutta unohtaa, että GDPR:n 15 artiklan mukainen tarkastusoikeus koskee myös puhelutallenteita, chat-lokeja ja muuta dataa, joka usein makaa eri järjestelmässä kuin varsinainen asiakasrekisteri. Kun tietopyyntö koskee useaa erillistä järjestelmää, vastausajan venyminen yli lakisääteisen kuukauden määräajan on yleinen sudenkuoppa, johon myös isommat organisaatiot ovat kompastuneet.

EU:n koordinoitu tarkastus kohdistuu puolueiden tietosuojaan

Maaliskuun 19. päivänä 2026 Tietosuojavaltuutetun toimisto ilmoitti osallistuvansa Euroopan tietosuojaneuvoston koordinoituun täytäntöönpanotoimintaan vuodelle 2026. Suomessa tarkastus kohdistuu siihen, miten eduskunnassa edustettuina olevat puolueet käsittelevät henkilötietoja läpinäkyvästi. Toimisto toteuttaa kevään 2026 aikana kyselyn puolueille, ja tulokset odotetaan julkaistavaksi alkuvuonna 2027. Vastaava tarkastus tehdään samanaikaisesti muissa EU-maissa, mikä tarkoittaa, että Suomen tulokset asettuvat suoraan vertailuun muiden jäsenmaiden käytäntöjen kanssa.

Poliittisten puolueiden tietosuojakäytännöt ovat pitkään olleet valvonnan harmaata aluetta, koska puolueet käsittelevät kannattajarekistereitä, jäsenrekistereitä ja usein myös profilointiin viittaavia tietoja vaalikampanjoissa. Koordinoitu tutkimus voi tuottaa ensimmäisen selkeän kokonaiskuvan siitä, kuinka hyvin suomalaiset puolueet noudattavat samoja sääntöjä, joita ne vaativat muilta toimijoilta.

Suomi on ollut kahdeksan vuotta poikkeus muusta EU:sta siinä, että julkinen sektori on ollut käytännössä vapautettu GDPR:n hallinnollisista sakoista. Kävimme läpi hallituksen esityksen yksityiskohdat aiemmin, mutta lyhyesti: kunnat, hyvinvointialueet ja muut julkisyhteisöt voivat huhtikuussa 2026 annetun hallituksen esityksen myötä saada sakkoja, joiden yläraja on noin miljoona euroa. Julkisen sektorin oikeusperustoja koskevat tarkennukset astuvat lisäksi voimaan syyskuun 1. päivänä 2026, mikä kytkeytyy suoraan Oulun sairaalan tapaukseen: jos vastaava rikkomus tapahtuisi enää vuoden 2026 syksyn jälkeen, hyvinvointialue voisi periaatteessa joutua maksamaan hallinnollisen sakon rikkomuksesta, ei vain saada huomautusta.

Näin Suomi vertautuu Ruotsiin, Norjaan ja Tanskaan

Pohjoismaiden tietosuojaviranomaiset eivät toimi identtisesti, ja se näkyy suoraan tilastoissa. Ruotsin IMY määräsi vuonna 2025 kolme hallinnollista sakkoa: Storstockholms Lokaltrafikille ja Waxholms Ångfartygs AB:lle kummallekin 75 000 kruunua alkoholitestien tietojen käsittelystä ilman laillista perustetta, ja syrjintäasiamiehelle (DO) 100 000 kruunua puutteellisista suojatoimista verkkolomakkeen tiedoissa. Yhteensä kertyi 250 000 kruunua, noin 25 000 euroa. IMY avasi vuonna 2025 kaikkiaan 329 uutta valvonta-asiaa ja sulki 496, mikä on samaa suuruusluokkaa kuin Suomessa suhteutettuna väkilukuun.

Norjan Datatilsynet on toiminut euromääräisesti näkyvämmin: käsittelimme aiemmin Norjan noin 1,83 miljoonan euron sakkopäätöksen, joka on moninkertainen verrattuna Ruotsin tai Suomen vastaaviin summiin. Tanska puolestaan poikkeaa rakenteellisesti muista: Tanskan Datatilsynet ei voi itse määrätä hallinnollisia sakkoja, vaan se tekee poliisi-ilmoituksen ja esittää sakkoa, minkä jälkeen tuomioistuin päättää lopullisesta seuraamuksesta. Vuonna 2025 Tanska teki kaksi tällaista poliisi-ilmoitusta sakkoesityksellä. Rakenteellinen ero selittää, miksi Tanskan tilastot näyttävät suoraan verrattuna pieniltä, vaikka valvonta on yhtä aktiivista.

Maa / alue	Valvontaviranomainen	Sakot 2025–2026	Muuta huomioitavaa
Suomi	Tietosuojavaltuutetun toimisto	3 sakkoa (summa ei täysin julkistettu)	15 408 uutta tapausta, +16 % vuodessa
Ruotsi	IMY	3 sakkoa, yhteensä n. 25 000 €	329 uutta asiaa, 496 suljettua
Norja	Datatilsynet	n. 1,83 milj. € (yksittäinen merkittävä sakko)	Euromääräisesti aktiivisin Pohjoismaista
Tanska	Datatilsynet	2 poliisi-ilmoitusta sakkoesityksellä	Tuomioistuin päättää lopullisesta sakosta
EU kokonaisuudessaan	30+ valvontaviranomaista	n. 1,2 mrd. €	Lähes sama taso kuin 2024

EU:n laajuinen tilanne: 1,2 miljardia euroa sakkoja vuonna 2025

Laajemmassa mittakaavassa DLA Piperin GDPR Fines and Data Breach Survey 2026 -selvitys arvioi, että eurooppalaiset valvontaviranomaiset määräsivät vuonna 2025 sakkoja yhteensä noin 1,2 miljardia euroa, mikä on lähes sama taso kuin vuonna 2024. Selvityksen mukaan tietoturvaloukkauksia ilmoitettiin Euroopassa keskimäärin 443 päivässä, mikä on 22 prosenttia enemmän kuin edellisenä vuonna. Suomen 7 355 vuosittaista ilmoitusta tarkoittaa noin 20 ilmoitusta päivässä, mikä on linjassa EU:n keskimääräisen kasvuvauhdin kanssa, vaikka Suomen absoluuttinen taso on väkilukuun suhteutettuna maltillinen verrattuna moniin Keski-Euroopan maihin. Kansainvälistä sakkokäytäntöä voi seurata reaaliaikaisesti myös CMS:n GDPR Enforcement Trackerista.

EU-tason kokonaissumma on pysynyt lähes ennallaan, mutta se peittää alleen suuria vaihteluita: yksittäiset jättisakot esimerkiksi teknologiajäteille voivat yksinään vastata suurta osaa koko vuoden summasta, kun taas Pohjoismaiden kaltaisilla markkinoilla sakot jakautuvat useisiin pieniin ja keskisuuriin tapauksiin. Tämä ero selittää osittain, miksi Suomen ja Ruotsin euromääräiset sakkosummat näyttävät pieniltä verrattuna esimerkiksi Irlantiin tai Saksaan, vaikka tapausmäärät ja valvonnan intensiteetti ovat molemmissa kasvaneet.

Tekoälyasetus kietoutuu tietosuojavalvontaan

Suomen kansallinen laki EU:n tekoälyasetuksen täytäntöönpanosta tuli voimaan 1. tammikuuta 2026, ja Tietosuojavaltuutetun toimisto ilmoitti asiasta 7. tammikuuta 2026. Käytännössä tämä tarkoittaa, että sama viranomainen, joka valvoo henkilötietojen käsittelyä, valvoo nyt myös osaa tekoälyjärjestelmien vaatimustenmukaisuudesta silloin, kun järjestelmät käsittelevät henkilötietoja. Yhdistelmä on looginen, koska suurin osa korkean riskin tekoälysovelluksista, kuten rekrytointityökalut, luottopäätösjärjestelmät ja terveydenhuollon diagnostiikka-avustimet, käsittelee juuri henkilötietoja.

Yrityksille tämä tarkoittaa kaksinkertaista vaatimustenmukaisuustaakkaa: sama tekoälyjärjestelmä pitää arvioida sekä GDPR:n että tekoälyasetuksen näkökulmasta, ja molemmat arvioinnit voivat päätyä samalle valvontaviranomaiselle. Käytännössä tämä nopeuttaa tapausten käsittelyä silloin, kun ongelma on yhteinen molemmille säädöksille, mutta se myös kasvattaa toimiston työmäärää entisestään, mikä osaltaan selittää tapausmäärän kasvua vuonna 2025 ja todennäköisesti myös 2026. Sääntelyn taustalla oleva GDPR:n alkuperäinen teksti ei tuntenut tekoälyjärjestelmiä samalla tavalla kuin nykyinen tulkintakäytäntö, joten viranomaisten on rakennettava uutta ohjeistusta liikkeellä ollessaan.

Markkinavaikutukset: mitä tämä tarkoittaa yrityksille ja julkishallinnolle

Tiukentuva valvonta näkyy jo suomalaisessa lakipalvelumarkkinassa. Tietosuojaan erikoistuneiden juristien ja konsulttien kysyntä on kasvanut, kun yritykset haluavat varmistaa tietopyyntöprosessinsa ennen kuin ne joutuvat Suomen Numerokeskuksen kaltaiseen tilanteeseen. Hyvinvointialueet ovat Oulun tapauksen jälkeen alkaneet tarkistaa potilastietojärjestelmiensä lokivalvontaa laajemmin, mikä tarkoittaa investointeja käyttöoikeuksien hallintaan ja automaattiseen poikkeamien tunnistukseen. Kun sakkoriski laajenee syyskuussa julkiselle sektorille, kunnilla ja hyvinvointialueilla on taloudellinen kannustin tehdä nämä investoinnit etukäteen sen sijaan, että ne maksaisivat sakkoja jälkikäteen.

Toisaalta vakaana pysynyt sakkomäärä, kolme vuodessa kahtena peräkkäisenä vuotena, viestii, että Tietosuojavaltuutetun toimisto käyttää sakkoa viimeisenä keinona eikä ensisijaisena työkaluna. Tämä antaa suomalaisyrityksille tilaa korjata puutteita ilman välitöntä taloudellista rangaistusta, kunhan ne reagoivat toimiston huomautuksiin. Riski kasvaa erityisesti niille, jotka jättävät reagoimatta tai jotka joutuvat KHO:n kaltaisen ennakkotapauksen kohteeksi, jolloin valituksen läpimeno käy vaikeammaksi.

Vakuutusyhtiöt ovat huomanneet kehityksen. Kyberriskivakuutuksiin liittyvät ehdot ovat tiukentuneet, ja moni vakuuttaja edellyttää nyt dokumentoitua tietosuojaprosessia ennen kuin se hinnoittelee suomalaisen yrityksen kyberriskin. Sama koskee yritysostoja: due diligence -prosesseissa GDPR-vaatimustenmukaisuus on noussut erilliseksi tarkastuskohteeksi, kun ostaja haluaa varmistaa, ettei kohdeyhtiöllä ole piilossa olevaa sakkoriskiä. Julkisella sektorilla vaikutus näkyy budjettikeskusteluissa: kun sakkokatto on noin miljoona euroa, se on summa, joka pienelle kunnalle voi tarkoittaa merkittävää lovea vuosibudjettiin, mikä painostaa kuntia ja hyvinvointialueita varaamaan resursseja tietosuojaosaamiseen jo ennen kuin yksikään sakko on langennut.

Ennusteet: mitä tietosuojavalvonnassa tapahtuu seuraavaksi

Ensimmäinen julkisen sektorin sakko vuoden 2027 aikana. Kun sakkovaltuudet astuvat voimaan syyskuussa 2026, ensimmäinen konkreettinen sakko kunnalle tai hyvinvointialueelle on todennäköinen vuoden 2027 puolella, kun ensimmäiset tutkinnat ehtivät valmistua.
Tapausmäärän kasvu jatkuu vuonna 2026. Tekoälyasetuksen ja GDPR:n yhteisvalvonnan takia 2026 vuosikertomus todennäköisesti ylittää jälleen 15 408 tapauksen rajan, mahdollisesti nousten lähelle 17 000:ta.
EDPB:n puoluetutkinnan tulokset alkuvuonna 2027 nostavat esiin uusia vaatimuksia. Puolueiden tietosuojakäytännöt tulevat todennäköisesti julkisen keskustelun kohteeksi ennen seuraavia vaaleja.
Terveydenhuollon lokivalvonta tiukkenee koko maassa. Oulun tapaus toimii varoittavana esimerkkinä muille hyvinvointialueille, jotka todennäköisesti käynnistävät omia sisäisiä auditointejaan vuoden 2026 loppuun mennessä.
Pohjoismainen sakkotaso lähenee toisiaan. Kun Suomi ja Ruotsi saavat lisää ennakkotapauksia KHO:n Verkkokauppa.com-linjan kaltaisista päätöksistä, sakkosummat todennäköisesti nousevat lähemmäs Norjan tasoa seuraavien vuosien aikana.

Usein kysytyt kysymykset

Mikä on Tietosuojavaltuutetun toimisto?

Se on Suomen kansallinen valvontaviranomainen, joka vastaa GDPR:n noudattamisen valvonnasta. Toimisto käsittelee kanteluita, antaa ohjeistusta ja voi määrätä hallinnollisia sakkoja rikkomuksista.

Vuosina 2024 ja 2025 toimisto määräsi kumpanakin vuonna kolme hallinnollista sakkoa. Vuoden 2024 sakkojen yhteissumma oli 856 000–2,4 miljoonaa euroa. Vuoden 2025 sakkojen tarkkaa kokonaissummaa ei ole vielä julkistettu kokonaisuudessaan.

Miksi Oulun yliopistollisen sairaalan tapaus on merkittävä?

Yli 50 työntekijää, joista noin 20 lääkäriä, sai syytteen luvattomasta potilastietojen katselusta helmikuussa 2026. Samalla apulaistietosuojavaltuutettu totesi, että myös rekisterinpitäjä eli hyvinvointialue oli rikkonut GDPR:ää riittämättömän valvonnan vuoksi. Tapaus osoittaa, että sekä yksittäiset työntekijät että organisaatio voivat joutua vastuuseen samasta tapahtumaketjusta.

Vapautettiinko Vastaamon toimitusjohtaja lopullisesti syytteistä?

Helsingin hovioikeus vapautti entisen toimitusjohtajan Ville Tapion tietosuojarikkomussyytteistä 18. joulukuuta 2025. Ratkaisu koski nimenomaan rikosoikeudellista vastuuta, ei sitä, tapahtuiko alkuperäinen tietomurto tai oliko yhtiön toiminnassa puutteita.

Hallituksen huhtikuussa 2026 antaman esityksen myötä kunnat, hyvinvointialueet ja muut julkisyhteisöt voivat jatkossa saada hallinnollisia sakkoja, joiden yläraja on noin miljoona euroa. Julkisen sektorin oikeusperustoja koskevat tarkennukset tulevat voimaan 1. syyskuuta 2026.

Suomen ja Ruotsin sakkosummat ovat euromääräisesti pieniä verrattuna Norjaan, jonka Datatilsynet on määrännyt merkittävästi suurempia yksittäisiä sakkoja. Tanska poikkeaa rakenteellisesti, koska sen valvontaviranomainen ei itse määrää sakkoja vaan tekee poliisi-ilmoituksen, jonka jälkeen tuomioistuin päättää seuraamuksesta.

Miten yritys voi valmistautua tiukentuvaan tietosuojavalvontaan?

Käytännön askeleita ovat tietopyyntöprosessien nopeuttaminen, käyttöoikeuksien säännöllinen tarkistaminen, tietoturvaloukkausten ilmoitusprosessin testaaminen etukäteen ja tekoälyjärjestelmien arviointi sekä GDPR:n että tekoälyasetuksen näkökulmasta. KHO:n Verkkokauppa.com-ratkaisun jälkeen valitusten läpimeno on vaikeutunut, joten ennaltaehkäisy kannattaa nyt aiempaa enemmän.

Onko tietoturvaloukkauksesta aina ilmoitettava Tietosuojavaltuutetun toimistolle?

Ilmoitusvelvollisuus koskee tapauksia, joissa loukkaus todennäköisesti aiheuttaa riskin rekisteröityjen oikeuksille ja vapauksille. Vastaamo-tapauksen hovioikeuden ratkaisu muistutti, että itse ilmoitusvelvollisuuden laiminlyönti on eri asia kuin tietojen käsittelyn lainmukaisuus, ja niitä arvioidaan osin eri perustein.