Tietosuojaseuraamukset Suomessa 2025–2026: päätökset ja opit

Suomen tietosuojaseuraamuksia ei voi ymmärtää pelkästä sakkojen euromääräisestä listasta. Vuoden 2025 merkittävä päätös oli Yliopiston Apteekin 1,1 miljoonan euron seuraamusmaksu verkkoapteekin seurantateknologiasta. Kesäkuussa 2026 korkein hallinto-oikeus puolestaan piti voimassa Verkkokauppa.comin seuraamusmaksun, jonka hallinto-oikeus oli alentanut alkuperäisestä 856 000 eurosta 792 639 euroon. Nämä kaksi asiaa koskevat hyvin erilaisia riskejä: ensimmäinen arkaluonteisia päätelmiä paljastavia verkkosivuston tietovirtoja, toinen asiakastilin pakollisuutta ja tietojen säilytysaikaa. Tässä katsauksessa erotan viranomaisen alkuperäisen päätöksen myöhemmästä tuomioistuimen ratkaisusta ja selitän, mitä rekisterinpitäjä voi oikeasti tehdä.

Sisältö kuvaa myös 12.6.2026 annettua KHO-ratkaisua, jotta vanha euromäärä ei jää harhaanjohtavasti voimaan. Seuraamus ei ole automaattinen aina, kun tapahtuu tietomurto, eikä suuri yritys saa aina suurta maksua. Tietosuoja-asetuksen 83 artikla edellyttää tapauskohtaista arviointia, jossa huomioidaan muun muassa rikkomuksen luonne, vakavuus, kesto, toimet vahingon lieventämiseksi ja yhteistyö valvontaviranomaisen kanssa.

Kolme tapausta, kolme erilaista kysymystä

Taulukko ei ole kaikkien Suomen päätösten ranking. Erityisesti Postin osalta tässä kuvataan viranomaisen tiedottamaa alkuperäistä päätöstä eikä esitetä euromäärää lainvoimaisena. Päätöksen tila pitää varmistaa päätös- ja muutoksenhakuasiakirjoista ennen vertailua. Samasta syystä en laske yhteen historiallisia päätöksiä ja väitä summan olevan nykyinen maksettavaksi jäänyt kokonaismäärä.

Yliopiston Apteekki: terveyteen liittyvän asioinnin tietovirta

Tietosuojavaltuutetun toimiston tiedotteen mukaan verkkoapteekin evästeet ja muut seurantateknologiat välittivät tietoja esimerkiksi Googlelle ja Metalle. Kyse oli resepti- ja itsehoitolääkkeisiin liittyvästä verkkoasioinnista. Tieto siitä, millä lääkesivulla ihminen käy, voi paljastaa terveydestä enemmän kuin tavallinen sivulataus. Seuraamuskollegio määräsi 4.6.2025 tiedotetun 1,1 miljoonan euron hallinnollisen maksun ja huomautuksen, koska henkilötietojen turvallisuutta ei ollut turvattu riittävästi. Älä päättele tiedotteesta, että jokainen analytiikkatyökalu olisi sellaisenaan lainvastainen. Arvio koskee juuri kyseistä toteutusta ja sen tietovirtoja.

Käytännön tarkastus alkaa verkkoliikenteestä. Avaa lääkkeisiin liittyviä sivuja uudessa selainprofiilissa ja katso, mille ulkoisille vastaanottajille kyselyitä lähtee ennen valintaa ja sen jälkeen. Kirjaa lähetetyt URL-osoitteet, tunnisteet, tapahtumat sekä mahdolliset hakusanat. Testaa myös kirjautunut ja kirjautumaton käyttäjä. Jos kolmannelle osapuolelle välittyy yksilöitävissä olevaan käyttäjään liittyviä lääkkeitä koskevia tietoja, pelkkä evästebannerin tekstin muuttaminen ei korjaa tietovirtaa. Tarkista, tarvitaanko työkalua lainkaan kyseisellä sivulla, ja rajoita sitä teknisesti.

Käsittelyn oikeusperuste, salassapito, tietoturva ja päätelmä henkilön terveydestä ovat eri kysymyksiä. Tiimin on arvioitava ne yhdessä, eikä seurantapalvelun vakiosopimus anna vastausta kaikkiin. Rekisterinpitäjä vastaa myös siitä, että alihankkija saa vain tehtäväänsä tarvittavat tiedot. Tietojen minimointi ja sisäänrakennettu tietosuoja auttavat suunnittelemaan teknisen rajan jo ennen julkaisua.

Seurantateknologian testaus ilman oletuksia

Verkkopalvelun tagit muuttuvat usein nopeammin kuin tietosuojadokumentit. Testaa siksi sama sivu ainakin kolmessa tilassa: ennen käyttäjän valintaa, valinnan jälkeen sekä kirjautuneena. Käy läpi sekä yleinen etusivu että sivut, joilla hakusana tai tuotesivu voi paljastaa terveyteen liittyvän kiinnostuksen. Tarkastele myös pyyntöjen otsakkeita, polkuja ja tapahtumanimiä. Jos ulkoiselle palvelulle lähtee vain tekniseltä näyttävä tunniste, tarkista voiko vastaanottaja yhdistää sen muihin tietoihin. Pelkkä väite siitä, ettei lomakekentän sisältöä lähetetä, ei todista ettei sivun URL tai tapahtumanimi paljasta samaa asiaa.

Anna testille omistaja ja toista se, kun tagien hallintajärjestelmässä julkaistaan muutos. Palveluntarjoajan päivitys voi lisätä uuden tapahtuman ilman paikallisen sovelluskoodin muutosta. Siksi ylläpitäjän tulee tietää, kuka saa julkaista tagin ja kuka tarkistaa verkkoajon ennen julkaisua. Jos analytiikka halutaan sallia vain tietyillä sivuilla, tee tekninen estolista tai sallittujen sivujen luettelo ja testaa molemmat. Yliopiston Apteekin päätöksestä ei seuraa yleistä kieltoa kaikelle analytiikalle, mutta siitä seuraa selvä tarve tuntea jokainen todellinen tietovirta.

Verkkokauppa.com: säilytysajan päätös tuli vasta valituksen jälkeen

Viranomaisen alkuperäisessä ratkaisussa seuraamuskollegio määräsi 856 000 euroa vuonna 2024. KHO:n 12.6.2026 antama ratkaisu kertoo myöhemmän tilanteen: Helsingin hallinto-oikeus oli alentanut maksun 792 639 euroon, ja KHO hylkäsi yhtiön valituksen seuraamusmaksun osalta. Siksi julkaisu, joka kutsuu 856 000 euroa tämän asian nykyiseksi vahvistetuksi maksuksi, on vanhentunut.

Viranomainen katsoi, että yksittäisostoksen tekeminen oli edellyttänyt asiakastiliä ja että tilille kerättyjen tietojen säilytysaikaa ei ollut määritelty asianmukaisesti. Tietoja säilytettiin määräämättömästi, ellei asiakas pyytänyt poistamista. KHO:n ratkaisu painottaa säilytyksen rajoittamista: rekisterinpitäjän pitää itse määritellä, kuinka kauan tiedot ovat tarpeen, eikä jättää säilytystä asiakkaan poistopyynnön varaan. Tästä ei seuraa, että kaikki asiakastilit olisivat kiellettyjä. On erotettava kertaluonteiseen ostoon välttämättömät tiedot pitkäaikaisen tilin tiedoista ja osoitettava kummallekin tarkoitus sekä poistumissääntö.

Aloita yhdestä asiakaspolusta. Voiko asiakas tehdä kertatilauksen ilman pitkäaikaista tiliä? Jos ei, miksi tili on välttämätön? Mitä tapahtuu tilauksen, palautuksen, takuun ja lakisääteisen kirjanpidon määräaikojen jälkeen? Ovatko vanhat tilit aktiivisia vai vain teknisesti olemassa? Käytännön säilytyksen rajoittamista koskeva arvio tarvitsee järjestelmäkohtaisen säännön, ei yhtä epämääräistä lausetta tietosuojaselosteessa. Käsittelytoimien seloste auttaa yhdistämään tarkoituksen, tietoluokan ja säilytysajan.

Säilytysaikataulukon rakentaminen käytännössä

Säilytysaika ei ole yksi luku koko verkkokaupalle. Asiakastilin yhteystietoja voidaan tarvita palvelun käyttöön, tilaustietoja sopimuksen toteuttamiseen, laskutusaineistoa kirjanpitoon ja reklamaatiotietoja vaateen käsittelyyn. Tee jokaiselle ryhmälle oma rivi: käsittelyn tarkoitus, oikeusperuste, ajan alkaminen, päättymisehto, mahdollinen lakisääteinen velvoite, järjestelmä ja poistamisen vastuuhenkilö. Käytä täsmällistä tapahtumaa, kuten sopimuksen päättymistä tai tilauksen toimitusta, sen sijaan että kirjoitat vain ”asiakkuuden ajan”. Jos asiakkuus voi jatkua rajoittamattomasti ilman käyttäjän aktiivista toimintaa, määrittele myös passiivisten tilien tarkistus. Mitä tapahtuu, jos sama henkilö tekee uuden tilauksen? Uuden käsittelytarkoituksen ei pidä automaattisesti nollata kaikkien vanhojen tietojen poistokelloa.

Testaa sääntö tuotannon kaltaisessa ympäristössä. Valitse muutama vanha tili, joilla on erilainen historia: kertatilaus, palautus, takuuasia ja markkinointilupa. Tarkista, mitkä tiedot säilyvät kussakin järjestelmässä ja miksi. Jos asiakaspalvelun muistiinpanot säilyvät sen jälkeen, kun päätietokannan tili poistetaan, suunnitelma ei vielä vastaa toteutusta. Varmuuskopiot tarvitsevat oman hallitun kierron, jotta poistettujen tietojen palautuminen aktiiviseen käyttöön ei jää käsittelemättä. Dokumentoi poikkeukset ja testitulokset. Näin organisaatio voi osoittaa, että säilytyksen rajoittaminen toimii eikä ole vain tietosuojaselosteen lupaus.

Postin päätös: älä sekoita tiedotetta lainvoimaan

Tietosuojavaltuutetun toimiston Postia koskeva tiedote kertoo 2,4 miljoonan euron OmaPosti-päätöksestä. Tarkastelun kohteena oli palvelun käyttöönottoon liittyvä henkilötietojen käsittely ja käyttäjien informointi. Tässä artikkelissa summaa käytetään nimenomaan alkuperäisen viranomaisratkaisun tunnisteena. Muutoksenhaku voi muuttaa maksun määrää tai oikeudellista arviota. Sama varovaisuus on tarpeen kaikissa sakkovertailuissa: merkitse päätöksen päivämäärä, antaja, valitusvaihe ja viimeisin vahvistettu lopputulos.

Palvelun suunnittelussa keskeinen kysymys on, mitä käyttäjä tietää toiminnan alkamisesta. Saako käyttäjä ymmärrettävän tiedon siitä, mitä tietoja hänestä käsitellään, mihin tarkoitukseen ja millä perusteella? Onko valinta tai vastustaminen todellinen siellä, missä laki sitä edellyttää? Jos palvelu kytkeytyy muihin asiakkuuksiin, tietovirta on kuvattava myös niille, jotka eivät aktiivisesti avanneet uutta näkymää. Tietosuojaselosteen malli voi toimia tarkistuslistana, mutta palvelun oma käyttöliittymä ja todellinen tiedonkulku ratkaisevat, ymmärtääkö ihminen tilanteen.

Mikä erottaa hallinnollisen maksun muista toimista?

Tietosuojavaltuutetun toimisto voi käyttää useita GDPR:n 58 artiklan mukaisia korjaavia toimivaltuuksia. Huomautus, määräys muuttaa käsittelyä ja hallinnollinen seuraamusmaksu ovat eri asioita. Maksun määrää Suomessa seuraamuskollegio. Menettelyssä rekisterinpitäjää kuullaan ja päätöksestä voi hakea muutosta hallintotuomioistuimessa. Maksu ei siis ole korvaus rekisteröidylle eikä korvaa velvollisuutta korjata laitonta käsittelyä. Jos viranomainen määrää poistamaan liian vanhat tiedot, pelkkä maksun maksaminen ei täytä poistomääräystä.

Asetuksen 83 artiklassa on kaksi enimmäismääräluokkaa rikotun velvoitteen mukaan: 10 miljoonaa euroa tai kaksi prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta sekä 20 miljoonaa euroa tai neljä prosenttia. Sovellettava luokka ja laskentatapa riippuvat rikkomuksesta ja toimijasta. Nämä ovat kattoja, eivät lähtöhintoja. Vakavuuden lisäksi arvioidaan muun muassa tahallisuutta, huolimattomuutta, toteutettuja suojatoimia ja yhteistyötä. Dokumentoitu korjaaminen on tärkeää, mutta kukaan ei voi luvata tiettyä prosenttialennusta sakosta ohjelmiston, sertifikaatin tai yhden koulutuksen perusteella.

Tulkitse lukuja varovaisesti

Kun sakkoja vertaillaan maiden välillä, kokonaismäärä ei kerro suoraan valvonnan ankaruudesta. Suuri kansainvälinen alusta voi saada suuren maksun jo liikevaihdon vuoksi, vaikka toisessa maassa pienempi organisaatio olisi tehnyt vakavan rikkomuksen. Vertailussa pitäisi huomioida ainakin rekisteröityjen määrä, tietojen arkaluonteisuus, rikkomuksen kesto, päätöksen vuosi ja se, onko maksu muuttunut tuomioistuimessa. Vältä ”ennätyssakko”-otsikkoa, ellei vertailujoukko ja muutoksenhaun tila ole määritelty.

Sama koskee organisaation omaa riskilaskelmaa. Ei ole mielekästä kertoa kuvitteellista sakon todennäköisyyttä yhdellä yleisellä euromäärällä. Parempi on tunnistaa käsittely, jossa suuri joukko ihmisiä altistuu tarpeettomalle tiedon luovutukselle tai pitkäaikaiselle säilytykselle, ja tehdä siihen kohdennettu korjaus. Kirjaa, mitä riskiä toimenpide pienentää ja miten tulos tarkistetaan. Tällä tavalla vuoden 2025 ja 2026 ratkaisut tukevat päätöksentekoa, eivät pelkkää pelottelua.

Tapauspohjainen tarkistuslista verkkopalvelulle

Ensin kartoita mitä verkkopalvelu lähettää ulkopuolelle. Kehittäjän näkymä ja verkkoanalyysi kertovat usein enemmän kuin toimittajan markkinointikuvaus. Tarkista sivut, joilla käyttäjä antaa arkaluonteisia tietoja, sekä sivut, joiden pelkkä osoite paljastaa kiinnostuksen tiettyyn hoitoon tai palveluun. Estä tarpeettomat kutsut jo sovelluksessa. Jos päätät käyttää seurantaa, dokumentoi sen tarkoitus, vastaanottajat, tunnisteet ja säilytysaika. Tee testi uudestaan uuden tagin, analytiikkaversion tai kampanjan jälkeen. Näin Yliopiston Apteekin tapaus muuttuu käytännön suunnittelukysymykseksi.

Seuraavaksi käy läpi tilin elinkaari. Erota tilauksen toteuttamiseen, laskutukseen, asiakaspalveluun ja pitkäaikaiseen asiakassuhteeseen tarvittavat tiedot. Jos tarkoitukset päättyvät eri aikaan, myös säilytyssäännöt voivat erota. Varmista, että poistotyö todella poistaa tai anonymisoi tiedot kaikista käytössä olevista järjestelmistä, joissa sama tarkoitus on päättynyt. Poikkeus esimerkiksi lakisääteisen säilytysvelvollisuuden vuoksi on kirjattava täsmällisesti, ei yleisenä lupana säilyttää koko asiakasprofiili ikuisesti. Tämä on Verkkokauppa.com-ratkaisun käytännöllinen testi. Verkkokaupan tietosuojaopas auttaa sovittamaan tilauspolun ja säilytyksen yhteen.

Kolmanneksi tarkista informointi. Asiakas tarvitsee ymmärrettävän tiedon ennen kuin hänen tietojaan ryhdytään käyttämään uuteen tarkoitukseen. Selosteessa pitää kertoa oikeusperuste, vastaanottajat, säilytys ja oikeudet, mutta se ei yksin riitä, jos käyttöliittymän toiminta antaa toisen kuvan. Vertaa asiakaspalvelun ohjeita, rekisteriselostetta ja todellisia asetuksia. Jos palvelu ottaa käyttöön uuden toimituskanavan tai profiilin, harkitse erillistä ilmoitusta käyttäjälle. Postin alkuperäinen päätös muistuttaa siitä, että käyttäjän odotukset on otettava vakavasti jo suunnittelussa.

Todisteet ennen valvontaa

Tietosuojatyössä päätösten jäljitettävyys on yhtä tärkeä kuin yksittäinen valmis dokumentti. Säilytä versio riskiarviosta, tieto siitä kuka hyväksyi uuden seurantatyökalun, testin havainto ja korjausmerkintä. Säilytysaikataulukossa pitäisi näkyä tietoluokka, tarkoitus, aloitushetki, päättymisehto ja järjestelmän toteutus. Jos poistotyö epäonnistui, kirjaa vika ja uusi testitulos. Ilman tällaista ketjua organisaatio voi sanoa suunnitelleensa suojatoimen, mutta ei osoittaa sen toimineen tapahtuma-aikana.

Tietoturvaloukkauksen yhteydessä dokumentoi tapahtuman alku, havaitseminen, vaikutus henkilötietoihin sekä päätös ilmoittamisesta. GDPR:n 33 artiklan mukaan valvontaviranomaiselle ilmoittamisen kynnys riippuu henkilöille aiheutuvasta riskistä; 34 artikla koskee viestintää henkilöille korkean riskin tilanteessa. Jokainen kyberhäiriö ei ole ilmoitettava henkilötietojen tietoturvaloukkaus, mutta saatavuuden menetys voi olla loukkaus ilman vahvistettua tietojen ulosvientiä. Tietoturvaloukkauksen ilmoittamisen opas ja tietopyyntöjen hallinta auttavat pitämään erilliset määräajat näkyvissä.

Mitä tehdä, kun valvontakysely saapuu?

Vastaa ensin siihen, mitä viranomainen todella pyytää, ja säilytä alkuperäinen kysely sekä kaikki toimitetut versiot. Nimeä yksi henkilö kokoamaan tekniset lokit, toinen selvittämään käsittelyn tarkoitukset ja kolmas tarkistamaan oikeudelliset perusteet. Jos tietoa ei vielä ole, kerro mitä et tiedä ja milloin pystyt täydentämään; älä täytä aukkoa oletuksella. Säilytä myös tieto siitä, milloin puute havaittiin, milloin se korjattiin ja miten korjauksen toimivuus testattiin. Rehellinen aikajana auttaa arvioimaan rikkomuksen kestoa ja osoittaa, ettei myöhäistä korjausta esitetä virheellisesti alkuperäisenä suojatoimena.

Samalla on huolehdittava rekisteröityjen oikeuksista. Jos käyttäjä pyytää pääsyä tietoihin tai niiden poistamista, pyyntöä ei pidä pysäyttää siksi, että valvonta on käynnissä. Tutki erikseen, mihin tietoihin pyyntö kohdistuu ja onko säilyttämiselle edelleen laillinen peruste. Viranomaiskysely, henkilön pyyntö ja tekninen korjaus voivat edetä rinnakkain. Yksi yhteinen tapahtumaloki auttaa pitämään päivämäärät ja päätökset johdonmukaisina. Osoitusvelvollisuuden opas kuvaa, miten tällaisista toimista jää tarkistettava jälki.

Miten pieni organisaatio aloittaa?

Aloita kahdesta tärkeimmästä prosessista, esimerkiksi asiakastilistä ja markkinoinnin verkkoseurannasta. Nimeä kummallekin vastuuhenkilö, listaa järjestelmät ja ulkoiset vastaanottajat. Määrittele, milloin tietoa ei enää tarvita ja kuka varmistaa poistamisen. Tee tekninen testi selaimessa ja tietokannassa. Varmista myös, että vaikutustenarviointi tehdään silloin, kun suunniteltu käsittely todennäköisesti aiheuttaa korkean riskin. Kaikki pienet yritykset eivät tarvitse samanlaista työkalupinoa, mutta jokainen henkilötietoja käsittelevä organisaatio tarvitsee uskottavan vastauksen siihen, miksi tietoja kerätään ja kuinka kauan niitä säilytetään.

Seuraava askel on sopia muutoksenhallinnasta. Uusi analytiikkatyökalu, uusi maksunvälittäjä tai uusi asiakastilin ominaisuus muuttaa tietovirtaa. Muutosta ei pitäisi julkaista ilman lyhyttä tietosuojatarkistusta. Tuoteomistaja kertoo tarkoituksen, tekninen vastuuhenkilö näyttää tietovirran ja tietosuojasta vastaava arvioi oikeusperusteen sekä riskin. Päätös kirjataan niin, että se voidaan myöhemmin tarkistaa. Tämä on kevyempi ja vaikuttavampi menettely kuin jälkikäteen kirjoitettu yleinen vakuutus vaatimustenmukaisuudesta.

Usein kysytyt kysymykset

Mikä on Verkkokauppa.comin maksun oikea summa nyt?

Seuraamuskollegio määräsi alun perin 856 000 euroa vuonna 2024. Hallinto-oikeus alensi maksun 792 639 euroon, ja KHO piti tämän lopputuloksen voimassa 12.6.2026. Jos vertailet tämän asian nykyistä tuomioistuimessa vahvistettua summaa, käytä 792 639 euroa ja mainitse alkuperäisen päätöksen määrä erikseen.

Osoittaako tietomurto aina, että 32 artiklaa rikottiin?

Ei automaattisesti. Tietoturvatoimet arvioidaan sen perusteella, olivatko ne asianmukaisia riskin, teknisen tason ja käsittelyn luonteen kannalta. Onnistunut hyökkäys on tärkeä tosiseikka tutkinnassa, mutta yksinään se ei osoita kaikkien aiempien toimien puuttumista. Organisaation on pystyttävä näyttämään myös, miten se havaitsi tapahtuman, rajoitti vahinkoa ja arvioi ilmoitusvelvollisuuden.

Voiko seuraamusmaksun kumota valituksella?

Viranomaispäätöksestä voi hakea muutosta hallintotuomioistuimessa. Lopputulos voi pysyä samana, muuttua euromäärältään tai kumoutua. Siksi päätösluetteloon kannattaa merkitä erikseen alkuperäinen summa ja myöhempi tuomioistuinvaihe. Verkkokauppa.comin asia osoittaa, että pelkkä 2024 uutinen ei kuvaa enää 2026 lopputulosta.

Saavatko julkiset viranomaiset Suomessa samanlaisia maksuja?

Tietosuojalaki sisältää kansallisen rajauksen hallinnollisista seuraamusmaksuista julkisen sektorin toimijoille. Hallitus on vuonna 2026 esittänyt muutosta. Lakiesitys ei sellaisenaan ole jo voimaan tullut muutos. Tarkista ajantasainen lain tila ennen kuin teet johtopäätöksen yksittäisen viranomaisen mahdollisesta seuraamusmaksusta.

Riittääkö ohjelmiston hankkiminen välttämään maksun?

Ei. Ohjelma voi ylläpitää käsittelytoimien selostetta, määräaikoja ja poikkeamien dokumentointia, mutta se ei yksin määritä lainmukaista tarkoitusta tai estä seurantakoodia lähettämästä tietoja väärälle vastaanottajalle. Ihmisen on tehtävä päätös ja testattava järjestelmän toiminta. Jos harkitset työkalua, arvioi sen käyttöä myös tietosuojaohjelmiston hinnan ja pk-yrityksen GDPR-ohjelmiston näkökulmasta: toimiva prosessi on tärkeämpi kuin lisenssi.

Päätelmät

Vuoden 2025 apteekkipäätös ja vuoden 2026 KHO-ratkaisu osoittavat kaksi perusasiaa: tieto ei saa siirtyä ulkopuolelle ilman harkittua perustetta eikä sitä saa säilyttää määräämättömästi vain siksi, että asiakas ei pyytänyt poistamista. Valvonnassa ratkaisevat todellinen tietovirta, dokumentoitu säilytysaika sekä todisteet niiden toiminnasta. Suomen yleistä sääntelyä käsittelee tietosuoja Suomessa, ja viranomaisen toimivallasta kertoo tietosuojavaltuutetun opas.

Viimeksi tarkistettu: lokakuu 2026.