GDPR.
Käsitelkää henkilötietoja lainmukaisesti, suojatkaa oikeudet ja osoittakaa toteutus jäljitettävästi.
- Asetus (EU) 2016/679 · BDSG
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
GDPR sääntelee henkilötietojen käsittelyä eurooppalaisella soveltamisalallaan. Yritykset tarvitsevat asianmukaiset käsittelyperusteet, avoimen tiedottamisen, menettelyt rekisteröityjen oikeuksille ja riskiä vastaavat suojatoimet. GDPR:n 5 artiklan mukaan rekisterinpitäjillä on osoitusvelvollisuus: niiden on voitava osoittaa periaatteiden noudattaminen. Henkilötietojen käsittelijöillä on omat velvoitteensa, ja ne tukevat rekisterinpitäjää velvoitteiden täyttämisessä.
GDPR: tietosuoja ulottuu IT-turvallisuutta laajemmalle.
Yleinen tietosuoja-asetus on suoraan sovellettavaa EU-oikeutta luonnollisten henkilöiden suojaamiseksi heidän henkilötietojaan käsiteltäessä. Asetusta (EU) 2016/679 on sovellettu 25.5.2018 lähtien. GDPR on sen englanninkielinen lyhenne. Saksassa eurooppalaista kehystä täydentävät erityisesti liittovaltion tietosuojalaki BDSG ja alakohtaiset säännökset.
GDPR kysyy ensin, onko käsittely sallittua ja mihin tarkoitukseen. Turvallinen tietokanta ei vielä vastaa siihen, ovatko kerätyt tiedot tarpeellisia tai kuinka kauan niitä saa säilyttää. GDPR:n 5 ja 6 artikla yhdistävät periaatteet ja käsittelyperusteet. Artikla 32 koskee tässä kehyksessä käsittelyn turvallisuutta.
Tietosuoja on jatkuva tehtävä, koska tarkoitukset, tietovirrat ja käytetyt palvelut muuttuvat. Rekisterinpitäjän on GDPR:n 24 artiklan mukaan toteutettava asianmukaiset toimenpiteet, arvioitava niiden riittävyys ja tarvittaessa päivitettävä niitä. Kerran täytetty asiakirja ei korvaa tätä jatkuvaa arviointia.
Mitä yrityksiä GDPR koskee.
GDPR koskee 2 artiklan mukaista henkilötietojen käsittelyä yrityksen koosta riippumatta. Tähän kuuluvat esimerkiksi asiakastiedot, työhakemukset tai henkilötietoja sisältävät tukipyynnöt. Myös pseudonymisoidut tiedot ovat henkilötietoja, jos henkilö voidaan tunnistaa lisätietojen avulla. Aidosti anonyymit tiedot arvioidaan toisin.
Alueellinen soveltamisala määräytyy GDPR:n 3 artiklan mukaan. EU:ssa sijaitsevan toimipaikan toimintaan liittyvän käsittelyn lisäksi piiriin voivat kuulua EU:n ulkopuolisten yritysten tietyt EU:ssa oleville henkilöille suunnatut palvelut tai heidän käyttäytymisensä seuranta. Pelkkä palvelimen sijainti tai verkkosivun saavutettavuus ei ratkaise asiaa yksin.
Rooli määritetään konkreettiselle toiminnalle: rekisterinpitäjät päättävät tarkoituksista ja keinoista, henkilötietojen käsittelijät käsittelevät tietoja niiden lukuun. Organisaatiolla voi olla eri toiminnoissa eri rooleja. GDPR:n 26 ja 28 artikla edellyttävät asianmukaisia järjestelyjä yhteisrekisterinpitäjyydessä ja toimeksiantoon perustuvassa käsittelyssä. Pelkkä sopimuksen otsikko ei selvitä todellista roolia.
GDPR-vaatimukset yrityksille.
GDPR-vaatimukset yhdistävät oikeudelliset päätökset käsittelyn todelliseen toimintaan. Seitsemän työaluetta antavat yleiskuvan. Erityisvelvoitteiden soveltuminen riippuu roolista, tiedoista, toiminnasta ja rekisteröityihin kohdistuvista riskeistä.
Määrittäkää periaatteet ja käsittelyperusteet.
GDPR:n 5 ja 6 artikla edellyttävät lainmukaista, käyttötarkoitussidonnaista ja jäljitettävää käsittelyä. Rajatkaa tiedot ja säilytys tarpeelliseen ja pitäkää tiedot paikkansapitävinä. Suostumus on yksi mahdollinen käsittelyperuste. Sen edellytyksiä ei saa sivuuttaa, kuten ei muidenkaan käsittelyperusteiden edellytyksiä.
Mahdollistakaa avoimuus ja rekisteröityjen oikeudet.
GDPR:n 12–22 artikla koskevat ymmärrettäviä tietoja ja oikeuksia, kuten pääsyä tietoihin, oikaisua tai poistamista. Oikeuksilla on erilaiset edellytykset ja poikkeukset. Vastuiden, tiedonhaun, henkilöllisyyden tarkistamisen ja turvallisen vastaamisen on sovittava yhteen. Pelkkä tietosuojaseloste ei vielä käsittele pyyntöä.
Järjestäkää vastuu ja palveluntarjoajat.
GDPR:n 24–30 artikla sääntelevät organisatorisia velvollisuuksia, sisäänrakennettua tietosuojaa, rooleja ja selosteita. Artiklan 28 mukainen henkilötietojen käsittely edellyttää asianmukaisen sopimusperustan lisäksi palveluntarjoajan riittäviä takeita. Arviointiin kuuluvat tosiasiallisesti käytetyt alikäsittelijät ja tietojen kulkureitit, eivät vain yleiset sopimusehdot.
Muuntakaa GDPR:n 32 artikla vaikuttaviksi suojatoimiksi.
Teknisten ja organisatoristen toimenpiteiden on luotava riskiä vastaava turvallisuustaso. GDPR:n 32 artikla huomioi käsittelyn toimintaympäristön, tekniikan tason, kustannukset sekä ihmisille mahdollisesti aiheutuvien seurausten todennäköisyyden ja vakavuuden. Riskin mukaan tähän kuuluvat käytönvalvonta, salaus, palautettavuus ja vaikuttavuuden säännöllinen arviointi. Kiinteä yleisluettelo ei riitä.
Arvioikaa erityiset riskit ja neuvonnan tarve.
GDPR:n 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi on tehtävä ennen käsittelyä, jos se todennäköisesti aiheuttaa korkean riskin oikeuksille ja vapauksille. Arvioikaa lisäksi tietosuojavastaavan nimeämisen edellytykset 37 artiklan ja täydentävän BDSG-lain 38 §:n mukaan. Neuvoa-antava tehtävä ei korvaa vastuuta käsittelystä.
Arvioikaa ja ilmoittakaa henkilötietojen tietoturvaloukkaukset.
GDPR:n 33 artikla edellyttää pääsääntöisesti ilmoitusta toimivaltaiselle valvontaviranomaiselle, ellei loukkauksesta todennäköisesti aiheudu riskiä oikeuksille ja vapauksille. Artikla 34 sääntelee erikseen rekisteröidyille ilmoittamista, kun riski on todennäköisesti korkea. Henkilötietojen käsittelijät ilmoittavat rekisterinpitäjälle ilman aiheetonta viivytystä. Loukkauksen dokumentointi on erillinen velvollisuus.
Suojatkaa kolmansiin maihin siirrot erikseen.
GDPR:n V luku asettaa lisävaatimuksia siirroille kolmansiin maihin. Arvioikaa todelliset vastaanottajat, pääsy tietoihin ja sovellettava siirtomekanismi. Sallittu siirto ei korvaa käsittelyperustetta eikä muita tietosuojavelvoitteita. Myöskään EU:ssa sijaitseva isännöinti ei vastaa kaikkiin ulkopuolista pääsyä koskeviin kysymyksiin.
GDPR:n toteutus jatkuvana prosessina.
Rajatkaa käsittelytoimet ja roolit.
Kartoittakaa käytännön aluksi konkreettisen toiminnan tarkoitukset, rekisteröidyt, tiedot, järjestelmät ja vastaanottajat sekä selvittäkää, kuka vastaa mistäkin päätöksestä.
Arvioikaa lainmukaisuus ja tiedottaminen.
Arvioikaa käsittelyperusteet, tarpeellisuus ja säilytys sekä verratkaa todellista käsittelyä rekisteröidyille annettuihin tietoihin.
Arvioikaa riskit ja erityisvelvoitteet.
Arvioikaa ihmisiin kohdistuvat riskit sekä vaikutustenarvioinnin, tietosuojavastaavan, toimeksiantoon perustuvan käsittelyn ja kolmansiin maihin siirtojen edellytykset ennen käsittelyn käyttöönottoa tai olennaista muuttamista.
Toteuttakaa ja arvioikaa toimenpiteet.
Yhdistäkää oikeudelliset ja organisatoriset päätökset sopiviin teknisiin toimenpiteisiin ja arvioikaa esimerkiksi käyttöoikeussääntöjen, poistamisen ja palauttamisen toimivuus tarkasteltavassa palvelussa.
Valmistelkaa oikeuksien ja loukkausten käsittely käytännössä.
Harjoitelkaa pyyntöjen ja henkilötietojen tietoturvaloukkausten tunnistamista, eskalointia, arviointia ja määräaikaista käsittelyä sekä yritysten ja palveluntarjoajien välisiä siirtoja.
Päivittäkää dokumentaatio muutosten yhteydessä.
Päivittäkää päätökset ja todisteet tarkoitusten, vastaanottajien tai riskien muuttuessa sekä määrittäkää, kuka seuraa avoimia toimenpiteitä ja käynnistää seuraavan arvioinnin.
GDPR-näyttö ja vapaaehtoinen sertifiointi.
GDPR:n 5 artiklan 2 kohdan osoitusvelvollisuus tarkoittaa kykyä selittää ja todentaa periaatteiden noudattaminen. Sopivia asiakirjoja voivat olla käsittelyselosteet, perustellut käsittelyperusteet, sopimukset, tietosuojatiedot, vaikutustenarvioinnit ja suojatoimien arvioinnit. Ratkaisevaa on, kuvaavatko ne todellista käsittelyä ja osoittavatko ne, mikä päätös tehtiin millä perusteella.
Tietosuojaviranomaisella on GDPR:n 58 artiklan mukaiset tutkinta- ja korjaavat toimivaltuudet. Dokumentaation on siksi hyvä olla löydettävissä, ymmärrettävää ja ajantasaista. Asetus ei luo yleistä sertifikaattipakkoa, jolla yritys voisi hoitaa koko tietosuojatyönsä lopullisesti. Vastuu säilyy rekisterinpitäjällä ja kulloinkin velvoitetuilla osapuolilla.
GDPR:n 42 artiklan sertifiointi on vapaaehtoista ja koskee käsittelytoimia hyväksyttyjen kriteerien perusteella. Artiklan 4 kohdan mukaan se ei vähennä lakisääteistä vastuuta. Kohta 7 rajoittaa voimassaolon enintään kolmeen vuoteen ja mahdollistaa uusimisen. Tietoturvasertifikaatti ei automaattisesti ole tällainen tietosuoja-asetuksen mukainen sertifiointi.
Päätös henkilötietojen tietoturvaloukkauksen ilmoittamisesta on osoitettava erikseen. Artikla 33 edellyttää ilmoitusta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa tiedon saamisesta, ellei riskipoikkeusta sovelleta. Artiklan 5 kohdan dokumentointi kattaa myös ilmoittamatta jätetyt loukkaukset. Artiklan 34 mukaisella ilmoittamisella on oma riskikynnyksensä ja siinä säädetyt poikkeukset.
Lue lisää blogista.
- GDPR ja turvallisuusYhdistäkää käsittelytoimet, oikeudellinen arvio ja suojatoimet käytännön toiminnassa.
- Henkilötietojen käsittelyn arviointiVerratkaa sopimussitoumuksia palveluntarjoajan todellisiin tietojen kulkureitteihin.
- Henkilötietojen tietoturvaloukkauksen ilmoittaminenValmistelkaa loukkauksen arviointi, ilmoituspäätös ja dokumentointi tarkemmin.
- Tietopyyntöjen käsittelyJärjestäkää tietojen etsintä, arviointi ja turvallinen toimittaminen.
GDPR ja muut viitekehykset.
ISO 27001 tukee tietoturvan organisointia, mutta ei korvaa käsittelyperusteiden ja rekisteröityjen oikeuksien arviointia. NIS2:lla on omat kohderyhmänsä ja ilmoitusvelvollisuutensa. Poikkeama voi edellyttää erillisiä arvioita molempien oikeuskehysten mukaan. EU:n tekoälysäädös täydentää tiettyjen tekoälyjärjestelmien vaatimuksia korvaamatta henkilötietojen käsittelyn tietosuoja-arviointia.
Secanissa.
Secani tarjoaa tietosuojaprofiilin rooleille, käsittely-ympäristölle ja siirroille sekä toimituksellisen GDPR-tarkastusluettelon. Profiili dokumentoi yrityksen tiedot ja tukee jäsenneltyä nykytilakartoitusta. Todellisen käsittelyn ja sen lainmukaisuuden asiantunteva arviointi on itsenäinen tehtävä. Profiili ei ole viranomaisen hyväksyntä eikä automaattinen oikeudellinen tarkastus.
Seuraava vaihe.
Aloittakaa selkeästi rajatusta käsittelytoimesta, kuten tukipyyntöjen käsittelystä. Kuvatkaa tarkoitus, tiedot, rekisteröidyt, osallistuvat palvelut ja vastaanottajat sekä arvioikaa sopiva käsittelyperuste vastuullisten asiantuntijoiden kanssa. Kirjatkaa sitten, mitä suojatoimia sekä oikeuksia ja loukkauksia koskevia menettelyjä todella tarvitaan.
Lähteet.
- Asetus (EU) 2016/679: yleinen tietosuoja-asetus
- BfDI: GDPR – BDSG, Info 1, tilanne maaliskuussa 2026
- Euroopan komissio: GDPR:n soveltamisala ja roolit
- Euroopan komissio: käsittelyn periaatteet
- Euroopan komissio: yritysten velvoitteet
- Euroopan tietosuojaneuvosto: henkilötietojen turvallisuus
- Euroopan tietosuojaneuvosto: henkilötietojen tietoturvaloukkaukset
- Euroopan tietosuojaneuvosto: rekisteröityjen oikeudet
- BDSG 38 §: yksityisten toimijoiden tietosuojavastaavat
Usein kysytyt kysymykset.
Ei. GDPR:n 6 artiklassa on erilaisia käsittelyperusteita omine edellytyksineen. Soveltuva peruste riippuu konkreettisesta tarkoituksesta ja olosuhteista. Lisävaatimukset, esimerkiksi erityisille henkilötietoryhmille, on arvioitava erikseen.
Ei. GDPR:n 33 artiklan mukainen ilmoitus valvontaviranomaiselle voidaan jättää tekemättä, jos loukkaus ei todennäköisesti aiheuta riskiä oikeuksille ja vapauksille. Loukkaus on silti dokumentoitava. Rekisteröidyille ilmoittaminen 34 artiklan mukaisesti arvioidaan erikseen.
Ei. Tietoturvan hallintajärjestelmä voi tukea käsittelyn turvallisuutta, mutta ei vastaa automaattisesti käsittelyperustetta, avoimuutta tai rekisteröityjen oikeuksia koskeviin kysymyksiin. Sen soveltamisala ja todellinen käsittely on arvioitava erikseen.
Kyllä, jos niiden käsittely kuuluu aineelliseen ja alueelliseen soveltamisalaan. Pelkkä yrityksen koko ei luo yleistä poikkeusta. Yksittäiset velvoitteet riippuvat lisäedellytyksistä.
Järjestäkää tietosuojatyö jäljitettävästi.
Tutustukaa Secanin tietosuojaprofiiliin ja toimitukselliseen GDPR-luetteloon.
Tämä sivu antaa yleiskuvan eikä korvaa yksittäistapauksen oikeudellista arviointia. Ratkaisevia ovat voimassa olevat säännökset ja konkreettinen käsittely.