Kansallinen tietosuojalaki astuu voimaan 1.1.2019

EU:n tietosuoja-asetus (GDPR) koskee lähtökohtaisesti kaikenlaista henkilötietojen käsittelyä. Se sisältää säännökset rekisteröidyn oikeuksista sekä rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista. Tietosuoja-asetus on sellaisenaan sovellettavaa oikeutta. Asetus jättää kuitenkin tiettyjä mahdollisuuksia kansallisiin poikkeuksiin ja täsmennyksiin.

EU:n tietosuoja-asetusta täydentävä uusi tietosuojalaki hyväksyttiin marraskuussa eduskunnassa ja tasavallan presidentti vahvisti lain 5.12.2018. Laki tulee voimaan 1.1.2019.

Kansallista lakia sovelletaan rinnakkain EU:n tietosuoja-asetuksen kanssa. Tietosuojalaki täsmentää ja täydentää henkilötietojen käsittelyä koskevaa EU:n tietosuoja-asetusta. Laki henkilötietojen käsittelystä rikosasioissa panee täytäntöön rikosasioiden tietosuojadirektiivin.

Kansallisen lain mukaan on mahdollista poiketa tutkimus, tilastointi ja arkistointitarkoituksessa eräistä EU:n tietosuoja-asetuksen velvoitteista, jotka nähdään tarpeellisiksi esim. tutkimustoiminnan tavoitteiden kannalta. Poikkeuksilla tarkoitetaan mm. tilannetta, jossa rekisteröidyllä ei ole mahdollista tarkastella itseään koskevia tietoja. Edellytyksenä poikkeamiselle on kuitenkin henkilötietojen käsittelijän velvollisuus tehdä vaikutusarviointi tai vaihtoehtoisesti sitoutua noudattamaan käytännesääntöjä.

Tietosuojavaltuutetulle keskitetään kaikki  EU:n tietosuoja-asetus mukaiset valvontatehtävät ja sen johdosta asiamäärän kasvaessa tietosuojavaltuutetun toimistoon perustetaan lisäksi kaksi apulaisvaltuutetun virkaa. Tällä kolmen hengen seuraamuskollegiolla on toimivalta määrätä hallinnollinen seuraamusmaksu säännösten rikkomisesta.  

EU:n tietosuoja-asetukseen perustuva hallinnollinen seuraamusmaksu on suuruudeltaan lievimmissä rikkomukissa 10 MEUR tai 2 % yrityksen kokonaisliikevaihdosta ja vakavammissa 20 MEUR tai 4 % kokonaisliikevaihdosta. Tietosuojalaissa pitäydyttiin hallituksen esityksen mukaisesti kohdentamaan hallinnollinen seuraamusmaksu vain yksityisen sektorin rekisterinpitäjiin ja henkilötietojen käsittelijöihin, mutta jätettiin julkinen sektori seuraamusmaksun soveltamisalan ulkopuolelle.