GDPR-ohjelmiston hinta 2026: näin vertailet kokonaiskustannusta

GDPR-ohjelmiston hinnasta ei saa luotettavaa vastausta vertaamalla irrallisia kuukausimaksuja. Tarjous voi rajata käyttäjät, käsittelytoimet, tietopyynnöt, tuen ja viennit eri tavoin. Suomessa ostajan kannattaa laskea samaan taulukkoon kolmen vuoden lisenssit, käyttöönotto, oma työ ja poistuminen palvelusta. Alla olevat euromäärät ovat kuvitteellisia laskuesimerkkejä, eivät havaintoja toimittajien hinnoista. Jos tarvitset tuotekohtaista arviota, pyydä päivätty, kirjallinen tarjous.

Mitä hintaan kuuluu?

Yleisen tietosuoja-asetuksen 24 ja 30 artikla edellyttävät rekisterinpitäjältä vastuullisuuden osoittamista ja soveltuvin osin käsittelytoimien selostetta. Asetus ei määrää ostamaan ohjelmistoa. Organisaatio voi tehdä työn myös huolellisesti ylläpidetyillä tiedostoilla ja menettelyillä. Hankinnan tarkoitus on saada usean henkilön työ näkyväksi, ajantasaiseksi ja tarkistettavaksi. Tästä syystä kannattaa ensin kuvata tehtävät, sitten pyytää hinnat.

Jos tietosuojatyö koskee eri oikeushenkilöitä, selvitä myös mahdollinen erillinen tietojenkäsittelysopimus jokaiselle. Sama ohjelmiston tekninen ympäristö voi palvella useaa rekisterinpitäjää, mutta sopimus, pääsyoikeudet ja aineiston vienti on sovitettava asiakkaan rakenteeseen. Tämä ei ole automaattinen lisämaksu; se on tarjouksessa selvitettävä laajuus. Kysy, miten myöhemmin lisättävä yritys vaikuttaa käyttäjiin, käyttöoikeuksiin ja irtautumiseen.

Lisenssi voi olla kiinteä, käyttäjäkohtainen, organisaatiokohtainen tai moduuleihin ja käyttömäärään sidottu. Kysy lasketaanko käyttäjiksi vain ylläpitäjät vai myös käsittelytoimien omistajat ja ulkoiset neuvonantajat. Jos yritys toimii useana rekisterinpitäjänä, varmista sisältyvätkö eri oikeushenkilöt samaan hintaan. Jos palveluntarjoaja laskuttaa tapahtumista, pyydä määritelmä sille, mikä on yksi tietopyyntö, käsittelytoimi tai arviointi.

Käyttöönotto voi kattaa vain teknisen tilin avaamisen tai myös vanhan selosteen siirron, tietojen laadun arvioinnin ja työnkulkujen sopimisen. Nämä eivät ole sama toimitus. Pyydä eritelty vastuunjako: kuka puhdistaa lähtötiedot, tarkastaa oikeusperusteet, tuo käsittelijäluettelon ja hyväksyy valmiin aineiston? Ohjelmisto ei voi päättää näitä rekisterinpitäjän puolesta. Se voi auttaa löytämään puutteet, mutta laillisuuden arviointi jää ihmiselle.

Ylläpito sisältää käyttäjien koulutuksen, uusien järjestelmien kirjaamisen, sopimusten tarkistamisen ja oikeuspyyntöihin vastaamisen. Hinta ei katoa, jos ohjelmistolla on automaattisia ehdotuksia. Työ voi siirtyä tiedon kopioinnista sen arviointiin. Tämä ero on arvokas, mutta ostajan on mitattava se omassa prosessissaan.

Rakenna vertailukelpoinen tarjouspyyntö

Laadi yksi nykytilaa kuvaava tapaus kaikille toimittajille. Esimerkiksi 60 työntekijän yrityksessä on kolme liiketoimintayksikköä, 25 dokumentoitua käsittelytoimea, 15 henkilötietoja käsittelevää toimittajaa ja muutama rekisteröidyn pyyntö vuodessa. Nämä luvut ovat tarjouspyynnön esimerkki, eivät tavallisen suomalaisen yrityksen keskiarvo. Pyydä myyjää näyttämään, miten esimerkin yksi asiakaspalvelukäsittely kirjataan, miten muutos hyväksytään ja miten seloste saadaan ulos. ROPA-ohjelmiston valinta auttaa täsmentämään tätä näyttöä.

Pyydä samaan vastaukseen: voimassa oleva hintajakso ja verokohtelu, lisenssin mittari, sisältyvät moduulit, mahdolliset rajat, käyttöönoton työnjako, jatkosopimuskauden hinnanmuutos, tuki ja palvelusta poistumisen ehdot. Merkitse jokainen epäselvä kohta lisäkysymykseksi. Eri toimittajien rivit voi vertailla vasta, kun sisältö vastaa samaa tapausta. Tietopyyntöjen moduulin nimike ei kerro, tunnistaako se pyytäjää, kokoaa tietoa, seuraa määräaikaa vai kirjaa vain pyynnön; näytä toiminto DSAR-prosessissa.

Kolmen vuoden laskuesimerkki

Kuvitellaan kaksi tarjousta samalle yritykselle. Tarjous A maksaisi esimerkissä 400 euroa kuukaudessa, sisältäisi aloituksen mutta vaatisi omalta tiimiltä 70 tuntia tietojen siirtoa. Tarjous B maksaisi 280 euroa kuukaudessa, perisi 4 000 euroa käyttöönotosta ja vaatisi 35 omaa tuntia. Oletetaan sisäisen työn laskennalliseksi kustannukseksi 50 euroa tunnilta. Luvut on valittu laskentamenetelmän havainnollistamiseksi; niistä ei voi päätellä markkinahintaa tai tietyn toimittajan tarjousta.

Esimerkissä B on 2 070 euroa halvempi ennen ylläpitotyötä. Jo yhden lisämoduulin, suuremman käyttäjäryhmän tai poikkeavan hinnankorotuksen vaikutus voi kääntää järjestyksen. Lisää siksi kolme muuttujaa omaan taulukkoon: oletettu vuosittainen päivitystyö, lisenssin kasvu organisaation kasvaessa ja vienti sopimuksen päättyessä. Älä piilota arviota tarkaksi euromääräksi, jos työhön kuluvaa aikaa ei ole mitattu.

Kustannus per käsittelytoimi voi auttaa hahmottamaan skaalaa, mutta se ei kerro hyötyä yksin. Kaksi samanlaista 25 käsittelytoimen yritystä voivat erota paljon siinä, kuinka moni käsittely muuttuu kuukausittain ja kuinka monta henkilöä tietoja täydentää. Tämän vuoksi kuukausimaksun jakaminen ROPA-rivien määrällä voi johtaa väärään päätökseen. Parempi nimittäjä on työ, jota ratkaisu todella auttaa hallitsemaan: päivitykset, hyväksynnät, tietopyynnöt ja todennettavat viennit.

Miten arvioit hyödyn ilman tekaistua ROI-lupausta?

Kirjaa kahden kuukauden ajan, paljonko työaikaa kuluu esimerkiksi selosteen muutospyyntöjen etsimiseen, tietojen kysymiseen omistajilta ja hyväksyttyjen tietojen viemiseen asiakas- tai viranomaiskäyttöön. Laske vasta sitten arvioitu säästö. Jos lähtötilanteessa yhden uuden palveluntarjoajan kirjaaminen ja sopimuksen tarkistus vie kolme tuntia ja kokeilussa kaksi, säästö on yksi tunti tätä tapausta kohden. Sitä ei saa kertoa kaikilla tietosuojatyön tunneilla. Käsittelysopimusten arviointi sisältää vielä erillisiä oikeudellisia päätöksiä, joita ohjelmiston nopeus ei poista.

Mittaa myös virheiden korjaamista. Löytyikö kokeilussa epäselviä säilytysaikoja, puuttuva vastaanottajaryhmä tai käsittely, jota kukaan ei omista? Näiden löytämisellä voi olla arvoa, vaikka sitä ei muuteta euroiksi. Vastaavasti keskeneräinen tietoaineisto voi tehdä ensimmäisestä vuodesta työlään. Jos myyjä esittää prosentuaalisen säästön, pyydä laskelman lähtötilanne, mittausjakso ja rajaus. Ilman niitä kyse on markkinointiarviosta, ei yrityksesi investointilaskelmasta.

Tietosuojaohjelmisto ja seuraamusriski

GDPR:n 83 artikla sisältää hallinnollisten seuraamusmaksujen enimmäistasot ja arviointiperusteet. Enimmäistaso ei ole todennäköinen kustannus, eikä julkisen päätöksen euromäärää voi käyttää hankinnan säästölaskelmana. Päätöksissä arvioidaan tiettyä tapahtumaa ja olosuhteita; ohjelmiston ostaminen ei osoita, että vastaava tapahtuma olisi vältetty. Suomen tietosuojavalvonnan opas auttaa erottamaan viranomaisen tehtävän ostajan riskimallista.

Hankinnan parempi riskikysymys on: pystyykö organisaatio löytämään vastuuhenkilön, käytetyn tietolähteen ja hyväksytyn päätöksen silloin, kun tietopyyntö tai poikkeama saapuu? Jos pystyy jo nykyisellä järjestelyllä, uuden työkalun hyöty täytyy näyttää muulla tavoin. Jos ei pysty, pilotissa kannattaa seurata juuri näitä puutteita. Tietoturvaloukkauksen käsittely vaatii riskin arviointia; yksikään ostos ei automaattisesti tee ilmoitusvelvollisuuden ratkaisua.

Sopimus ja tietojen sijainti vaikuttavat myös hintaan

Ohjelmiston toimittaja voi olla henkilötietojen käsittelijä, jos se käsittelee asiakkaan henkilötietoja tämän lukuun. Silloin 28 artiklan mukainen sopimus tai muu sitova oikeudellinen asiakirja on arvioitava. Kysy missä palvelu ja varmuuskopiot toimivat, ketkä voivat käyttää tukitietoja, mitä alikäsittelijöitä käytetään ja millä ehdoilla tietoja poistetaan. EU:ssa sijaitseva palvelin ei yksin ratkaise, tapahtuuko kansainvälinen siirto esimerkiksi etätuen kautta. Arvioi todellinen pääsy ja siirtoperuste ennen väitettä, että siirtoja ei synny.

Pyydä koevienti ennen sopimusta. Saako asiakas käsittelytoimien selosteen, liitteet, muutoshistorian ja avoimet tehtävät käyttökelpoisessa muodossa? Onko vienti sisällytetty hintaan myös sopimuksen päättyessä? Jos uuden järjestelmän käyttöönotto vaatii aineiston käsin uudelleenrakentamista, halpa ensimmäinen vuosi voi olla kallis kolmantena. Varmista lisäksi, kuka säilyttää aineiston sopimuksen päätyttyä ja kuinka poistosta annetaan näyttöä.

Ilmainen pohja, konsultti vai ohjelmisto?

Ilmainen taulukko voi olla toimiva lähtökohta, jos omistajat, päivitysrytmi, pääsyoikeudet ja muutosten hyväksyntä on sovittu. GDPR ei vaadi määrättyä tiedostomuotoa eikä tiettyä toimittajaa. Taulukon kustannus muodostuu henkilöstön työstä ja mahdollisista puutteista, ei pelkästä lisenssin puuttumisesta. Jos toimintoja on vähän ja ne muuttuvat harvoin, tämän työn määrä voi olla kohtuullinen. Katso pk-yrityksen ohjelmistotarpeen arviointi ennen hankintaa.

Ulkoinen asiantuntija voi auttaa oikeusperusteiden, työelämän käsittelyn tai vaikutustenarvioinnin arvioinnissa. Asiantuntijan työ ja ohjelmisto ovat eri hankintoja: toinen tekee harkintaa ja voi auttaa suunnittelussa, toinen ylläpitää sovittua tietoa ja työnkulkua. Kumpikaan ei yksin siirrä rekisterinpitäjän vastuuta. Jos tarjous niputtaa ne, pyydä erittely, jotta sisäinen vastuuhenkilö tietää, mikä päätös jää hänelle.

Näin päätät tarjousten välillä

Aseta ensin vähimmäisvaatimukset: esimerkiksi käyttökelpoinen rekisterinpitäjän seloste, omistajan hyväksyntä muutoksille, tarvittavat käyttäjäroolit, oikeuspyyntöjen kirjaaminen ja aineiston vienti. Näytä jokainen valitulla testitapauksella. Erota pakollinen oikeudellinen tietosisältö omasta toiveestasi saada muistutuksia tai valmiita näkymiä. Vertaa sen jälkeen samoilla oletuksilla laskettu kokonaiskustannus. Jos toinen vaihtoehto on halvempi mutta kriittinen näyttö puuttuu, euromäärät eivät ole vielä vertailukelpoisia.

Kun kaksi vaihtoehtoa täyttää kriteerit, tarkista asiakasviitteet, palvelutuen kieli, muutospolku ja irtautumisen toteutus sopimuksesta. Älä oleta tuotevertailun yleisten havaintojen kuvaavan juuri sinulle tarjottua pakettia. Allekirjoitettava tilaus ja tietojenkäsittelysopimus ratkaisevat, mitä saat. Myös kahden toimittajan dokumentoitu vertailu voi auttaa laatimaan kaikille ehdokkaille saman kysymyslistan ominaisuuksista, toimitusrajauksista ja kustannuksista; tarkista vastaukset omista päivätyistä tarjouksistasi.

Tarkista hintarajat kasvutilanteessa

Tarjous kannattaa testata kahdessa tulevaisuuden tilanteessa. Ensimmäisessä yritys perustaa uuden tytäryhtiön tai ostaa liiketoiminnan, jolla on oma rekisterinpitäjärooli. Sisältyykö uuden yksikön seloste nykyiseen sopimukseen? Saavatko konsernin yhteiset asiantuntijat nähdä molemmat aineistot ilman, että eri rekisterinpitäjien vastuut sekoittuvat? Jos ostossa syntyy uusi lisenssi, se on näkyvä kustannus. Jos sovellus yhdistää aineistot ilman erottelua, ongelma on myös hallinnollinen. Käy tilanne läpi myyjän kanssa jo pilotissa, vaikka yrityskauppa olisi vain mahdollisuus.

Toisessa tilanteessa työntekijämäärä pysyy samana mutta toimittajia ja järjestelmiä tulee lisää. Työntekijäperusteinen hinnoittelu voi silloin näyttää ennustettavalta, vaikka sisäinen ylläpitotyö kasvaa. Käsittelytoimien määrään sidottu hinnoittelu voi käyttäytyä päinvastoin: yksi laaja rivi saattaa olla huonosti hallittava, vaikka lisenssimittari suosii sitä. Siksi selosteen rakennetta ei pidä muokata vain hinnan vuoksi. Kuvaa käsittelyt todellisen tarkoituksen, roolin ja tietovirran perusteella ja laske sen jälkeen sopimusvaikutus.

Ota tarjoukseen myös vaihtoehto, jossa yksi moduuli otetaan käyttöön myöhemmin. Varmista, mitä vanhalle aineistolle tapahtuu moduulin poistossa ja mikä on moduulin vähimmäissopimuskausi. Monivuotinen alennus voi olla järkevä, jos tavoitteet ja tietorakenne ovat vakaat. Muuttuvassa organisaatiossa se voi lukita kustannuksen ennen kuin tiedät, vastaako ratkaisu prosessia. Pyydä kirjallisesti, miten käyttäjien vähennys, liiketoiminnan myynti ja sopimuksen irtisanominen vaikuttavat maksuun.

Valitse pilotin näyttö ennen hinnan arviointia

Valitse pilotille kolme tapahtumaa, jotka yrityksessä todella tapahtuvat. Ensimmäinen voi olla uusi rekrytointijärjestelmä: sen omistajan tulee kuvata tarkoitus, tietoryhmät, vastaanottajat ja säilytys. Toinen voi olla asiakkaan tarkastuspyyntö, jonka tietoja on sekä CRM:ssä että tukijärjestelmässä. Kolmas voi olla alikäsittelijän vaihdos, joka vaikuttaa sopimusketjuun. Näiden läpikäynti näyttää, mitä nykyinen työ vaatii, mitä tuote tekee ja mikä jää ihmisten väliseksi koordinoinniksi.

Aseta jokaiselle tapaukselle hyväksymisehto. Esimerkiksi uutta käsittelyä ei julkaista selosteeseen ilman nimettyä hyväksyjää; tarkastuspyynnön käsittelijä pystyy osoittamaan, mistä tietolähteistä aineisto koottiin; alikäsittelijän muutos voidaan jäljittää sitä koskeviin käsittelyihin. Ehdot ovat hankinnan omia vaatimuksia, eivät väitteitä siitä, että GDPR käskisi käyttämään tiettyä sovellusominaisuutta. Jos toimittaja esittelee vastaavan prosessin vain kalvoilla, pyydä se ajettavaksi testitiedoilla.

Arvioi pilotissa myös vaikea poikkeus: selosteen omistaja on poissa, rekisteröidyn pyyntö on epäselvä tai tietoa tulee toimittajalta viiveellä. Hyvä prosessi kertoo, kuka ottaa vastuun ja miten odottava päätös näkyy. Ohjelmiston arvo ei synny vain siitä, että se tuottaa asiakirjan onnistuneessa perustapauksessa. Se syntyy myös siitä, että keskeneräisyys näkyy oikealle henkilölle ennen kuin tieto annetaan asiakkaalle tai viranomaiselle.

Vuosittainen tarkistus sopimuskaudella

Kun päätös on tehty, vertaa kerran vuodessa ostossa oletettuja määriä toteutuneisiin: aktiiviset käyttäjät, päivitetyt käsittelyt, ratkaistut pyynnöt, avoimet sopimuspoikkeamat ja käytetyt tukitunnit. Jos toiminto jää käyttämättä, syy voi olla tarpeeton moduuli, väärin suunniteltu työnkulku tai puutteellinen koulutus. Näitä ei voi erottaa toisistaan pelkän kirjautumismäärän perusteella. Haastattele muutosten omistajia ja tarkista yksi valmis tapahtuma aineistosta.

Sopimuksen uusiminen on myös hetki tarkistaa tiedonsiirrot ja alikäsittelijälista. Toimittajan palvelurakenne voi muuttua, vaikka hinnasto pysyisi samana. Tietosuoja Suomessa kokoaa kansallisen toimintaympäristön; itse ostopäätöksessä pidä erillään lain vaatimus, yrityksen oma riskivalinta ja myyjän tuotteen tämänhetkinen ominaisuus. Jos nämä sekoittuvat, saatat maksaa ominaisuudesta, jota et tarvitse, tai luottaa ominaisuuteen, jota tilaus ei sisällä.

Selvitä käyttöoikeuksien kustannus etukäteen

Moni tarjous erottaa pääkäyttäjän ja satunnaisen tietojen omistajan, mutta yrityksen prosessi ei välttämättä noudata tätä rajaa. Jos jokaisen muutoksen hyväksyy yksi lisensoitu pääkäyttäjä, hänestä voi tulla pullonkaula. Jos taas jokaiselle tiimille ostetaan täysi lisenssi, kustannus kasvaa vaikka käyttö olisi harvaa. Kysy, voiko käsittelyn omistaja täydentää tietoa ilman hallintaoikeutta, kuka voi hyväksyä muutoksen ja miten ulkoinen neuvonantaja saa rajatun pääsyn. Laske näiden roolien määrä nykytilan mukaan ja tee toinen laskelma kasvutilanteelle.

Käyttöoikeuksia koskeva vastaus on samalla tietoturvatieto. Henkilöstökäsittelyn aineisto ei kuulu kaikille myynnin omistajille, vaikka he työskentelevät samassa tietosuojaohjelmassa. Kokeile demossa kahta roolia ja pyydä näyttämään, mitä toinen näkee. Jos toimittaja sanoo roolirajauksen olevan mahdollinen vain kalliimmassa paketissa, lisää se vertailuun. Halpa lisenssi voi olla käyttökelvoton, jos tarpeellinen erottelu puuttuu; kallis lisenssi voi olla tarpeeton, jos nykyinen prosessi voidaan rajata muutamaan käyttäjään.

Jos organisaation tietosuojatyö tehdään osittain ulkoisen asiantuntijan avulla, sovi myös pääsyn päättymisestä. Saako asiantuntija nähdä vain ne käsittelyt, joita hän arvioi, vai koko rekisterin? Voiko hän tehdä ehdotuksen ilman julkaisuoikeutta? Tarkista, tallentuuko hänen työnsä asiakkaan omistamaan aineistoon siten, että seuraava asiantuntija voi jatkaa. Jos nämä toiminnot edellyttävät erillistä palvelutasoa, kustannus kuuluu hankinnan laskelmaan. Yksi halpa käyttäjätunnus ei auta, jos sen jakaminen rikkoisi järkevän käyttöoikeusmallin.

Erottele tiedon siirron työ ja oikeudellinen arvio

Vanhan aineiston tuonti ei ole sama asia kuin sen oikeellisuuden tarkistaminen. Tyypillinen lähtöaineisto voi sisältää vanhoja järjestelmänimiä, epäselviä säilytysaikoja ja toimittajia, joiden roolia ei ole ratkaistu. Toimittaja voi teknisesti siirtää kaikki rivit, mutta se ei tiedä, onko tietosuojailmoitus ajan tasalla tai mikä sopimus on voimassa. Pyydä tarjoukseen kaksi riviä: tekninen muunnos ja asiantuntijoiden tai oman henkilöstön tekemä sisällöllinen tarkistus. Varmista, kuka hyväksyy lopputuloksen.

Jos tarjous sisältää valmiin oikeudellisen tarkistuksen, kysy, mitä aineistoa arvioija käyttää ja mistä päätöksistä hän antaa lausunnon. Esimerkiksi käsittelyperusteen ja säilytyksen arviointi voi vaatia tietoa sopimuksesta ja suomalaisesta erityissääntelystä, jota taulukko ei sisällä. Jos tällaista tietoa ei kerätä, palvelu voi olla vain kenttien täydennystarkistus. Näiden erottaminen estää sekä budjetin aliarvioinnin että perusteettoman luottamuksen ”valmiiseen” dokumentaatioon.

Päätös, jos tarjoukset ovat lähes yhtä kalliit

Kun kokonaiskustannuksen ero on pieni suhteessa omaan laskennan epävarmuuteen, älä tee valintaa näennäisen tarkalla euromäärällä. Painota koeviennin laatua, omistajien kykyä tehdä muutokset, käytettävissä olevaa tukea ja sopimuksen joustavuutta. Merkitse päätösmuistioon, mitä oletit omaksi työksi ja mitä kokeilu osoitti. Jos oletus muuttuu, voit myöhemmin ymmärtää miksi valitsit tietyn ratkaisun. Tämä on paljon hyödyllisempää kuin jälkikäteen todeta, että listahinta oli hieman alempi.

Usein kysytyt kysymykset

Paljonko GDPR-ohjelmisto maksaa?

Yhtä Suomen markkinahintaa ei ole. Pyydä päivätyt tarjoukset samasta käyttötapauksesta ja laske lisenssi, käyttöönotto, oma työ, moduulit ja palvelusta poistuminen. Tämän artikkelin summat ovat kuvitteellisia laskuesimerkkejä.

Voiko ohjelmiston hinnan perustella vältetyllä sakolla?

Seuraamusmaksu riippuu todetusta rikkomuksesta ja 83 artiklan arvioinnista. Et voi osoittaa yksittäisen ohjelmiston välttävän tiettyä maksua. Perustele hankinta mieluummin mitatulla työmäärällä, paremmin saatavilla olevalla aineistolla ja osoitetuilla hallintapuutteilla.

Onko käyttöönotto yleensä osa kuukausimaksua?

Sopimukset eroavat. Tarkista erikseen lähtötietojen valmistelu, siirto, koulutus, oikeudellinen tarkastus ja hyväksyminen. Sama sana ”käyttöönotto” voi tarkoittaa eri toimituksia.

Riittääkö halvin lisenssi pienelle yritykselle?

Voi riittää, jos tarvittava työ ja aineisto mahtuvat sopimukseen ja yritys hoitaa päivitykset luotettavasti. Tarvittavaa toimintoa ei voi päätellä yrityksen koosta yksin.

Yhteenveto

GDPR-ohjelmiston hinta on hankintapäätöksessä kokonaiskustannus, ei verkkosivun aloitusluku. Tee oma käsittely- ja työnkulkukuvaus, pyydä sama esittely kaikilta toimittajilta ja merkitse oletukset laskelmaan. Varmista erityisesti, että tiedät kuka tekee oikeudelliset päätökset ja miten aineisto saadaan ulos myöhemmin. Näin myös ilman julkisia markkinahintoja voi tehdä vertailun, jonka voi tarkistaa uudelleen sopimuskauden aikana.

Lähteet tarkistettu 27.9.2026.