Oikeus tulla unohdetuksi tarkoittaa tietyin edellytyksin oikeutta saada itseä koskevat henkilötiedot poistetuiksi ilman aiheetonta viivytystä. GDPR:n 17 artikla määrittelee sekä poistoperusteet että tilanteet, joissa tietoja voidaan edelleen tarvita. Rekisterinpitäjän on arvioitava pyyntö tiedoittain ja käyttötarkoituksittain. Asiakastilin sulkeminen, markkinoinnin lopettaminen ja lakisääteisen kirjanpitoaineiston säilyttäminen voivat siksi johtaa erilaisiin toimiin samassa asiakassuhteessa.
Tämä opas käsittelee poistopyynnön arviointia ja toteuttamista suomalaisessa organisaatiossa. Tavoitteena on auttaa erottamaan poistettavat tiedot tarpeellisesta säilyttämisestä sekä vastaamaan henkilölle ymmärrettävästi. Säännöt ja käytetyt viranomaislähteet on tarkistettu 29. syyskuuta 2026. Tietosuojavaltuutetun toimiston poisto-oikeusohje antaa käytännön ohjeita myös tunnistamisesta, vastaanottajille ilmoittamisesta ja varmuuskopioiden huomioimisesta.
Milloin 17 artikla edellyttää poistamista?
GDPR:n 17 artiklan 1 kohdassa on kuusi poistoperustetta. Yhden perusteen täyttyminen riittää käynnistämään arvioinnin, mutta samalla on tarkistettava 3 kohdan poikkeukset. Perusteita ei pidä käsitellä lomakkeen pakollisina valintoina, jotka jokaisen asiakkaan olisi osattava nimetä oikein. Organisaation täytyy tunnistaa pyynnön sisältö ja selvittää omien käsittelyjensä tilanne.
Ensimmäinen peruste on tarpeen päättyminen. Jos tietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä käsiteltiin, tunnistettavan aineiston säilyttämistä ei voi jatkaa vain tottumuksesta. Tämä liittyy säilytyksen rajoittamiseen: poistamisen tarve voi syntyä ilman henkilön pyyntöäkin. Pyyntö ei siis ole organisaation ainoa syy tarkistaa vanhoja tietoja.
Toinen peruste koskee suostumuksen peruuttamista, kun käsittely perustui 6 artiklan 1 kohdan a alakohtaan tai 9 artiklan 2 kohdan a alakohtaan eikä muuta laillista perustetta ole. Peruuttaminen ei tee sitä edeltäneestä käsittelystä takautuvasti laitonta. Se ei kuitenkaan anna oikeutta jatkaa samaa suostumukseen perustunutta toimintaa nimeämällä sille jälkikäteen uusi peruste ilman asianmukaista arviointia.
Kolmas peruste liittyy vastustamisoikeuteen. Kun kyse on 21 artiklan 1 kohdan mukaisesta vastustamisesta, poistamisen kannalta arvioidaan, onko käsittelyn jatkamiselle syrjäyttävää perusteltua syytä. Suoramarkkinoinnin vastustaminen on erilainen tilanne: henkilötietoja ei saa enää käsitellä kyseistä suoramarkkinointia varten. Näitä kahta haaraa ei pidä yhdistää säännöksi, jonka mukaan markkinointi voisi aina jatkua yrityksen oman etuarvion perusteella.
Neljäs peruste on henkilötietojen lainvastainen käsittely. Viides koskee poistamista rekisterinpitäjään sovellettavan unionin tai jäsenvaltion lainsäädännön mukaisen velvoitteen noudattamiseksi. Kuudes liittyy lapselta kerättyihin henkilötietoihin 8 artiklan 1 kohdassa tarkoitetun tietoyhteiskunnan palvelujen tarjoamisen yhteydessä. Se ei ole yleinen sääntö kaikkien lapsia koskevien tietojen poistamisesta jokaisessa mahdollisessa tilanteessa.
Tunnista pyyntö ja selvitä sen todellinen laajuus
Henkilö voi pyytää tietojensa poistamista sanomatta sanaakaan GDPR:stä. Esimerkiksi viesti siitä, ettei hän enää halua yrityksen säilyttävän asiakasprofiiliaan, voi olla poistopyyntö. Ohjaa tällainen viesti käsittelyyn, vaikka se olisi saapunut tavalliseen asiakaspalveluun. Sisäinen työnjako ei saa johtaa siihen, että vastaanotettu pyyntö jää odottamaan oikeaa lomaketta tai oikean osaston löytämistä.
Selvitä tarvittaessa, tarkoittaako henkilö kaikkia tietojaan vai tiettyä käsittelyä. Hän saattaa haluta lopettaa uutiskirjeen mutta säilyttää käyttäjätilinsä, tai sulkea tilin ja saada ennen sitä tietojensa kopion. Tarkentava kysymys voi estää väärän toimenpiteen. Sitä ei kuitenkaan pidä käyttää keinona rajata yksiselitteistä pyyntöä vastoin henkilön tahtoa tai siirtää koko selvitystyötä hänelle.
Kirjaa saapumispäivä, pyynnön sisältö, käsittelijä ja tarvittavat tehtävät. Yhdistetty pyyntö voi koskea poistamisen lisäksi tarkastusoikeutta tai tietojen siirtämistä. Oikeuksilla on omat edellytyksensä. Jos henkilö pyytää kopion ja sen jälkeen poistamista, suunnittele toteutus niin, ettei tarpeellinen aineisto katoa ennen kopion laatimista. Pelkkä tilin sulkeminen ei osoita, että kaikki pyydetyt oikeudet on käsitelty.
Vahvista henkilöllisyys oikeasuhtaisesti
Poistamista ei saa toteuttaa väärän henkilön nimissä. Jos pyynnön esittäjän henkilöllisyydestä on perusteltuja epäilyjä, 12 artiklan 6 kohta sallii tarvittavien lisätietojen pyytämisen. Valitse menetelmä olemassa olevien tietojen ja käsittelyn riskien perusteella. Jo käytössä oleva kirjautunut asiointikanava voi antaa riittävän varmuuden ilman uutta henkilöllisyystodistuksen kopiota.
Tietosuojavaltuutetun ohje korostaa tietojen minimointia ja oikeuksien käytön helpottamista. Passikopion vaatiminen jokaiselta uutiskirjeen tilaajalta voi kerätä huomattavasti enemmän tietoa kuin palvelussa muuten käsitellään. Selitä, mikä epäily on ratkaistava ja miksi pyydetty lisätieto on tarpeellinen. Huomioi myös ihmiset, joilla ei ole sähköisen tunnistautumisen välineitä tai mahdollisuutta käydä toimipisteessä.
Jos käsittelyn tarkoitukset eivät edellytä henkilön tunnistamista, 11 artikla ei velvoita hankkimaan uusia tunnistetietoja vain asetuksen noudattamiseksi. Jos henkilö kuitenkin antaa lisätietoja, joiden avulla hänen aineistonsa voidaan tunnistaa, nämä on otettava huomioon. Älä väitä tietojen olevan anonyymejä vain siksi, että niissä on nimen sijasta tunnus. Tunnuksen yhdistettävyys henkilöön voi merkitä, että kyse on edelleen henkilötiedoista.
Kuukauden määräaika koskee myös perusteltua kieltäytymistä
Vastaa pyyntöön ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa sen vastaanottamisesta. Tämä on 12 artiklan 3 kohdan mukainen määräaika, ei yleinen kolmen kuukauden käsittelylupa. Jos pyyntöjen monimutkaisuus tai määrä sitä edellyttää, aikaa voidaan jatkaa enintään kahdella kuukaudella. Jatkamisesta ja viivästymisen syistä on ilmoitettava ensimmäisen kuukauden aikana.
Jos et toteuta pyydettyä toimenpidettä, 12 artiklan 4 kohta edellyttää ilmoittamaan syyt ilman viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta. Kerro samalla mahdollisuudesta tehdä valitus valvontaviranomaiselle ja käyttää oikeussuojakeinoja tuomioistuimessa. Kieltäytymistä ei voi jättää ilmoittamatta sillä perusteella, että organisaatio pitää poistoperustetta selvästi puuttuvana.
Oikeuden käyttäminen on lähtökohtaisesti maksutonta. Ilmeisen perusteettoman tai kohtuuttoman pyynnön kohdalla voidaan 12 artiklan 5 kohdan edellytyksin periä hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai kieltäytyä. Rekisterinpitäjän on osoitettava perusteettomuus tai kohtuuttomuus. Pelkkä työn määrä, asiakkaan tyytymättömyys tai uuden pyynnön saapuminen ei yksin ratkaise asiaa.
Arvioi poikkeukset rajatusti, älä koko asiakasrekisterille
Poistovelvollisuutta ei 17 artiklan 3 kohdan mukaan sovelleta siltä osin kuin käsittely on tarpeen siinä lueteltuun tarkoitukseen. Ensimmäinen poikkeus koskee sananvapauden ja tiedonvälityksen vapauden käyttämistä. Toinen koskee sovellettavan unionin tai jäsenvaltion lain velvoitetta taikka yleisen edun mukaisen tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan suorittamista. Pelkkä organisaation oma päätös kutsua säilyttämistä pakolliseksi ei täytä lakisääteisen velvoitteen edellytystä.
Kolmas poikkeus koskee kansanterveyteen liittyviä yleisen edun syitä 9 artiklan 2 kohdan h ja i alakohdan sekä 9 artiklan 3 kohdan mukaisesti. Terveystietojen esiintyminen aineistossa ei siis itsessään poista oikeutta tulla unohdetuksi. Käsittelyn on oltava tarpeellista poikkeuksen tarkoittamassa tilanteessa ja siihen liittyvien edellytysten, myös soveltuvien salassapitoa koskevien vaatimusten, on täytyttävä.
Neljäs poikkeus koskee yleisen edun mukaista arkistointia, tieteellistä tai historiallista tutkimusta sekä tilastointia 89 artiklan 1 kohdan mukaisesti. Lisäksi poistamisen on todennäköisesti estettävä tavoitteiden saavuttaminen tai vaikeutettava sitä suuresti. Asianmukaiset suojatoimet ovat osa arviointia. Tavallisen asiakasrekisterin nimeäminen tutkimusarkistoksi ei anna lupaa säilyttää kaikkea varmuuden vuoksi.
Viides poikkeus liittyy oikeudellisen vaateen laatimiseen, esittämiseen tai puolustamiseen. Määrittele, mitä vaadetta varten tietoja tarvitaan ja mikä osa aineistosta on tarpeellinen. Konkreettinen riita voi edellyttää sopimuksen ja asiaa koskevan viestinvaihdon säilyttämistä ilman, että koko markkinointiprofiili on tarpeen. Dokumentoi myös, milloin säilyttämistä arvioidaan uudelleen. Poikkeus ei ole rajaton pysyvä säilytyslupa.
Suomen kirjanpitolaki ei edellytä koko asiakasprofiilin säilyttämistä
Kirjanpitolain 2 luvun 10 § erottaa aineistoryhmät toisistaan. Tilinpäätös, toimintakertomus, kirjanpidot, tililuettelo sekä luettelo kirjanpidoista ja aineistoista on säilytettävä vähintään kymmenen vuotta tilikauden päättymisestä. Tilikauden tositteita, liiketapahtumia koskevaa kirjeenvaihtoa ja muuta kyseisen pykälän 1 momentin ulkopuolista kirjanpitoaineistoa koskee vähintään kuuden vuoden aika sen vuoden lopusta, jonka aikana tilikausi päättyi, jollei muualla ole säädetty pidempää aikaa.
Nämä ovat erilaisia ajanjaksoja ja laskennan lähtökohtia. Niitä ei pidä muuttaa väitteeksi, että kaikki asiakkaan tiedot säilytetään kuusi tai kymmenen vuotta viimeisimmästä yhteydenotosta. Selvitä, mikä dokumentti todella kuuluu säilytettävään kirjanpitoaineistoon ja mitkä henkilötiedot siinä ovat tarpeellisia. Laskun säilyttämisestä ei seuraa, että asiakkaan kaikki tukipyynnöt, selaustiedot tai mainonnan kohdentamistiedot olisi pakko pitää samassa aktiivisessa profiilissa.
Vastaa henkilölle konkreettisesti: mitä ryhmiä poistetaan, mikä rajattu aineisto jää jäljelle ja mihin säännökseen sekä määräaikaan sen säilyttäminen perustuu. Rajoita jäljelle jäävien tietojen käyttö oikeaan tarkoitukseen ja käyttöoikeudet tarpeellisiin henkilöihin. Kun lakisääteinen aika päättyy, arvioi poistaminen uudelleen. Se, että jokin tieto oli aikaisemmin säilytettävä, ei yksin oikeuta säilyttämään sitä loputtomasti.
Etsi tiedot koko käsittelyketjusta
Käsittelytoimien seloste auttaa paikantamaan toimintoja, järjestelmiä ja vastaanottajia, mutta se ei yleensä sisällä jokaisen henkilön kaikkia tietueita tai kaikkia yksittäisiä luovutuksia. Yhdistä seloste järjestelmäkarttaan, toiminnan vastuuhenkilöiden tietoon ja tarvittaviin tapahtumatietoihin. Muuten sama henkilö voi jäädä löytymättä esimerkiksi vanhalla sähköpostiosoitteella tai erillisessä asiakaspalvelun järjestelmässä.
Tarkista varsinaisen tietokannan lisäksi liitteet, hakemistot, pilvipalvelut, soveltuvat lokit ja tietojen viennit. Kaikkea löydettyä ei silti poisteta automaattisesti samalla päätöksellä: rajattu turvallisuusloki voi vaatia oman tarpeellisuusarvionsa. Kirjaa, mihin käsittelyyn tieto kuuluu ja miksi se poistetaan tai säilytetään. Pelkkä käyttöliittymästä piilottaminen ei ole poistamista, jos sama tieto jää organisaation tavalliseen käyttöön muualla.
Anna henkilötietojen käsittelijöille tarpeelliset ohjeet ja selvitä, miten niiden alikäsittelijät osallistuvat toteutukseen. Rekisterinpitäjän velvollisuus vastata henkilölle ei katoa siksi, että teknisen toimen tekee palveluntarjoaja. Pyydä toteutuksesta tilanteeseen sopiva vahvistus ja käsittele poikkeamat. Jos palveluntarjoaja on jonkin käsittelyn osalta itsenäinen rekisterinpitäjä, sen velvollisuudet ja saamasi tieto eivät määräydy pelkästään käsittelijälle annettavana poistokäskynä.
Varmuuskopiot ja anonymisointi tarvitsevat oman toteutussuunnitelman
Varmuuskopiot eivät ole yleinen poikkeus poistovelvollisuudesta. Selvitä, missä henkilötietoja sisältävät kopiot ovat, miten niitä käytetään ja millaisin teknisin keinoin poistaminen voidaan toteuttaa. Normaali ylikirjoitusjakso ei sellaisenaan osoita, että mikä tahansa lisäsäilytys olisi sallittua. Arvioi ajanjakso, pääsyn rajoittaminen ja muut suojatoimet sekä dokumentoi käytännön toteutus.
Tietosuojavaltuutetun ohje käsittelee poistamista varmuuskopioista osana toimivaa prosessia. Suunnittele erityisesti palautustilanne: jos vanha kopio palautetaan häiriön jälkeen, aikaisemmin poistettuja tietoja ei pidä palauttaa tavalliseen käyttöön unohtamalla poistopyyntö. Tarvitaan menettely, jolla sovellettavat poistot ja rajoitukset toteutetaan myös palautetussa ympäristössä. Tekninen ongelma ei oikeuta antamaan henkilölle virheellistä vahvistusta täydellisestä poistosta.
Aito anonymisointi voi poistaa aineiston henkilötietoluonteen, mutta pelkkä nimen poistaminen tai tunnuksen vaihtaminen ei riitä. Arvioi myös epäsuora tunnistaminen ja tiedon yhdistäminen muihin kohtuudella käytettävissä oleviin tietoihin. Pseudonymisoitu aineisto kuuluu edelleen GDPR:n piiriin. Jos tunnisteen avain tai yksilöllinen tapahtumayhdistelmä säilyy, et voi ilmoittaa henkilölle, ettei häntä enää voida tunnistaa, ilman todellista perustetta.
Ilmoita vastaanottajille ja erota julkaistut tiedot hakutuloksista
Artikla 19 edellyttää ilmoittamaan poistamisesta jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu, ellei ilmoittaminen osoittaudu mahdottomaksi tai vaadi kohtuutonta vaivaa. Kerro nämä vastaanottajat rekisteröidylle hänen pyynnöstään. Jos vetoat poikkeukseen ilmoittamisesta, dokumentoi peruste konkreettisesti. Organisaation puutteellinen tieto omista luovutuksistaan ei itsessään ole valmis oikeudellinen perustelu.
Jos rekisterinpitäjä on julkistanut tiedot ja sillä on velvollisuus poistaa ne, 17 artiklan 2 kohta edellyttää kohtuullisia toimia muiden kyseisiä henkilötietoja käsittelevien rekisterinpitäjien informoimiseksi poistopyynnöstä. Toimiin kuuluvat tekniset toimet, ja arvioinnissa huomioidaan käytettävissä oleva teknologia sekä kustannukset. Velvollisuus koskee pyyntöä poistaa linkit sekä jäljennökset tai kopiot; se ei ole lupaus siitä, että yksi toimija voi taata koko internetin tyhjentymisen.
Hakukoneen hakutuloksen poistaminen ja alkuperäisen verkkosivun poistaminen ovat eri toimenpiteitä. Tieto voi jäädä alkuperäiseen julkaisuun, vaikka tietty hakutulos poistettaisiin. Toisaalta alkuperäisen julkaisun poistaminen voi edellyttää erillisiä toimia hakukoneen vanhentuneen tuloksen suhteen. Sananvapaus ja tiedonsaanti voivat vaikuttaa arviointiin, joten henkilön toive ja tiedon julkisuus eivät yksin ratkaise kumpaakaan päätöstä.
Esimerkki: verkkokaupan asiakas pyytää kaiken poistamista
Asiakas sulkee verkkokaupan tilinsä ja pyytää poistamaan kaikki tietonsa. Organisaatio selvittää ensin, onko tilillä kesken oleva toimitus, palautus tai riita, sekä mitä tietoja käytetään markkinointiin. Tilin sulkeminen voi lopettaa yhden palvelun, mutta esimerkiksi keskeneräisen asian hoitamiseen tarpeellisia tietoja on arvioitava erikseen. Niiden säilyttämistä ei voi perustella vain sillä, että samassa järjestelmässä sattuu olemaan myös kirjanpidollisesti tarpeellinen lasku.
Markkinointiprofiili voidaan joutua poistamaan ja markkinointi lopettamaan, vaikka rajattu laskutusaineisto jää säilytettäväksi. Jos tarvitaan vähimmäistieto markkinointikiellon noudattamiseksi, määrittele sen oma tarkoitus, oikeusperuste ja säilytystarve. Kieltoa koskeva tieto ei saa muuttua tekosyyksi vanhan kohdentamisprofiilin säilyttämiselle. Asiakaspalvelun liitteistä tarkistetaan erikseen, tarvitaanko niitä enää avoimen asian ratkaisemiseen.
Lopuksi organisaatio tarkistaa toteutuksen, ilmoittaa tarvittaessa vastaanottajille ja antaa asiakkaalle eritellyn vastauksen. Se kertoo toteutetut poistot, jäljelle jäävät kategoriat ja niiden perustelut sekä mahdolliset muutoksenhakukeinot kielteisen osan osalta. Jos kaikki toimenpiteet eivät ole valmiita, vastaus ei saa esittää niitä tehdyiksi. Selkeä tilannekuva auttaa henkilöä arvioimaan, onko hänen oikeutensa toteutunut.
Miten henkilö voi tehdä selkeän poistopyynnön?
Osoita pyyntö sille organisaatiolle, jonka käsittelyä se koskee, ja käytä sen ilmoittamaa asiointi- tai tietosuojayhteystietoa. Kerro, että pyydät henkilötietojesi poistamista, sekä yksilöi palvelu tai asiakassuhde, johon pyyntö liittyy. Jos sinulla on useita tilejä tai vanha yhteystieto, mainitse tarvittava tunniste turvallisessa kanavassa. Älä lähetä varmuuden vuoksi asiakirjoja, joita organisaatio ei tarvitse tietojesi löytämiseen tai henkilöllisyyden varmistamiseen.
Voit kertoa, miksi katsot tietojen poistamisen olevan aiheellista, esimerkiksi palvelun päättymisen tai suostumuksen peruuttamisen vuoksi. Sinun ei tarvitse tietää kaikkia yrityksen järjestelmiä tai osata nimetä oikeaa artiklan alakohtaa. Jos pyydät vain tietyn tiedon poistamista, kuvaa se riittävän tarkasti. Jos haluat ensin nähdä tiedot, erota kopion saamista koskeva pyyntö poistopyynnöstä ja kerro toivomasi järjestys.
Säilytä lähettämäsi viesti ja mahdollinen vastaanottokuittaus. Niistä ilmenee pyynnön sisältö ja ajankohta, jos käsittelystä myöhemmin syntyy epäselvyyttä. Jos saat vain osittain myönteisen vastauksen, tarkista, yksilöikö organisaatio säilytettävät tietoryhmät, tarpeen ja sovelletun perusteen. Pelkkä ilmoitus siitä, että yrityksellä on oikeutettu etu, ei vielä selitä, miksi jokainen pyydetty tieto tarvitaan ja miten juuri sinun pyyntösi on arvioitu.
Varmista poistaminen ennen onnistumisilmoitusta
Organisaation kannattaa tarkistaa toteutuksen tulos eikä luottaa yksin siihen, että poistotehtävä lähetettiin järjestelmään. Tarkistuksen kohde riippuu tietojen kulusta. Asiakasprofiilin poistuminen ei esimerkiksi osoita, että sen liitteet katosivat toisesta palvelusta tai että viikoittainen tuonti ei luo profiilia uudelleen vanhasta lähdeluettelosta. Selvitä virhetilanteen omistaja ja varmista, että epäonnistunut työ tulee käsiteltäväksi eikä jää huomaamatta tekniseen lokiin.
Myös organisaation sisäinen viestintä vaikuttaa tulokseen. Jos asiakaspalvelu saa vahvistuksen vain pääjärjestelmästä, sen on tiedettävä, onko kyse koko pyynnön valmistumisesta vai yhdestä osatehtävästä. Sama koskee ulkoisen palveluntarjoajan ilmoitusta: mistä ympäristöstä ja mistä aineistosta se kertoo? Selkeä kuittausketju auttaa välttämään tilanteen, jossa henkilölle luvataan kaikkien tietojen poistuneen, vaikka oikeudellinen arvio tai osa käytännön toteutuksesta on edelleen kesken.
Dokumentoi päätös säilyttämättä uutta tarpeetonta tietokantaa
Säilytä riittävä selvitys pyynnöstä, arvioinnista, toimenpiteistä ja vastauksesta, jotta voit osoittaa toimineesi asianmukaisesti. Tämä ei tarkoita, että poistettujen tietojen täydellinen kopio pitäisi tallentaa pyyntörekisteriin. Määrittele myös käsittelymerkintöjen käyttöoikeudet, käyttötarkoitus ja säilytysaika. Poistoprosessi voi muuten luoda uuden tarpeettoman arkiston samoista henkilötiedoista.
Jos poistamisen edellytykset eivät täyty, tarkista erikseen mahdollinen oikaisu tai 18 artiklan mukainen käsittelyn rajoittaminen. Esimerkiksi tietojen paikkansapitävyyden riitauttaminen voi johtaa rajoittamiseen tarkistuksen ajaksi. Rajoittamisen omat edellytykset ja sallitun käsittelyn rajat on arvioitava; se ei ole vapaasti valittava korvike poistamiselle silloin, kun poistovelvollisuus on olemassa.
Tarvittaessa henkilö voi saattaa asian tietosuojavaltuutetun käsiteltäväksi ja käyttää tuomioistuimen oikeussuojaa. Organisaation kannalta hyvä vastaus kertoo olennaiset tosiseikat ja sovelletut perusteet niin, ettei henkilön tarvitse päätellä niitä irrallisista artiklanumeroista. Tietopyyntöjen avoin käsittelymenettely yhdistää määräajat, ymmärrettävän viestinnän ja todellisen toteutuksen samaan prosessiin.