GDPR kuuluu jokaisen yrityksen arkeen. EU:n yleinen tietosuoja-asetus ei ole enää uusi säädös, mutta vuonna 2026 moni yrittäjä pohtii edelleen samoja käytännön kysymyksiä: saako vanhaa sähköpostilistaa käyttää, milloin verkkosivun evästeet vaativat suostumuksen ja mitä tehdä, jos asiakasrekisteri vuotaa? Vastaukset riippuvat siitä, mitä tietoja käsitellään, mihin tarkoitukseen ja millä oikeusperusteella. Tässä oppaassa käydään läpi pienyrityksen kannalta olennaisimmat tilanteet.
GDPR eli General Data Protection Regulation on ollut sovellettavana 25.5.2018 alkaen. Se koskee muun muassa asiakasrekistereitä, työntekijätietoja, tarjouspyyntöjä, uutiskirjeitä ja verkkopalvelujen käyttäjätietoja. Suomen sähköistä suoramarkkinointia ja evästeitä koskevat myös omat erityissäännöksensä, joten pelkkä GDPR:n käsittelyperusteen valinta ei ratkaise kaikkia kysymyksiä.
Koskeeko GDPR myös pientä yritystä?
Kyllä, jos yritys käsittelee henkilötietoja asetuksen soveltamisalaan kuuluvalla tavalla. Henkilötietoja ovat esimerkiksi asiakkaan nimi, tunnistettavan henkilön työsähköpostiosoite, puhelinnumero, IP-osoite ja joissakin tilanteissa evästetunniste. GDPR voi koskea yhtä lailla yksinyrittäjää kuin suurta konsernia. Velvoitteiden toteutustapa suhteutetaan kuitenkin käsittelyn luonteeseen, laajuuteen ja riskeihin.
Asiakastietojen lisäksi yrityksellä voi olla henkilötietoja työnhakijoista, työntekijöistä, verkkokaupan tilaajista ja yritysasiakkaiden yhteyshenkilöistä. Pelkkä yrityksen nimi tai yleinen info@-osoite ei yleensä yksin tunnista luonnollista henkilöä, mutta nimetty henkilökohtainen työosoite voi tunnistaa. Siksi B2B-yrityskään ei ole automaattisesti tietosuoja-asetuksen ulkopuolella.
Millä perusteella henkilötietoja saa käsitellä?
Jokaiselle käsittelytarkoitukselle on oltava soveltuva GDPR:n mukainen oikeusperuste. Tavallisia perusteita ovat sopimuksen täytäntöönpano, lakisääteinen velvoite, suostumus ja oikeutettu etu. Asetuksessa on myös elintärkeisiin etuihin ja julkiseen tehtävään liittyvät perusteet, mutta ne eivät useimmiten ole tavallisen kaupallisen asiakasrekisterin ydin. Oikeusperustetta ei pidä valita jälkikäteen vain siksi, että tietoja on jo kerätty.
Esimerkiksi tilauksen toimittamisessa välttämättömien yhteystietojen käsittely voi perustua sopimukseen, kun taas laskujen säilyttäminen voi perustua lakisääteiseen velvoitteeseen. Oikeutettu etu edellyttää tapauskohtaista arviointia yrityksen tarpeen, käsittelyn välttämättömyyden ja henkilön oikeuksien välillä. Se ei ole yleislupa kaikkeen markkinointiin eikä korvaa evästeiden tai sähköisen suoramarkkinoinnin erillisiä suostumussääntöjä.
Saako yrityksille lähettää markkinointisähköpostia?
Yrityksille suunnattu markkinointi ja kuluttajamarkkinointi eroavat Suomessa toisistaan. Sähköisen viestinnän palveluista annetun lain 202 § sallii suoramarkkinoinnin yhteisölle, jollei yhteisö ole sitä nimenomaisesti kieltänyt, ja jokaisessa sähköisessä markkinointiviestissä on tarjottava helppo sekä maksuton kielto. Viestin on myös oltava selvästi tunnistettavissa mainonnaksi eikä lähettäjää saa peittää.
Jos viesti lähetetään nimetylle työntekijälle, hänen yhteystietonsa ovat samalla henkilötietoja. Tällöin on arvioitava myös GDPR:n mukainen käsittelyperuste, käyttötarkoitus, kohtuullinen odotus ja henkilön vastustamisoikeus. Erityisesti yksityishenkilöihin rinnastuvassa markkinoinnissa tai työtehtävään liittymättömässä viestinnässä suostumusvaatimus voi tulla vastaan. Älä siis tulkitse B2B-poikkeusta luvaksi lähettää mitä tahansa massaviestejä mille tahansa henkilöosoitteelle.
Entä kuluttajien uutiskirjeet ja vanhat listat?
Luonnollisille henkilöille suunnattu sähköposti- ja tekstiviestimarkkinointi edellyttää Suomessa pääsääntöisesti etukäteistä suostumusta. Laissa on rajattu olemassa olevan asiakassuhteen poikkeus saman palveluntarjoajan omien samankaltaisten tuotteiden ja palvelujen markkinoinnille, kun yhteystiedot on saatu myynnin yhteydessä ja asiakkaalla on ollut helppo kielto-oikeus sekä tietojen keräämishetkellä että jokaisessa viestissä. Poikkeuksen edellytykset on tarkistettava huolellisesti.
Vuonna 2018 tai sitä aiemmin koottu uutiskirjelista ei muutu automaattisesti lainvastaiseksi pelkän ikänsä vuoksi. Yrityksen täytyy kuitenkin pystyä osoittamaan, että käytössä on pätevä käsittelyperuste ja että markkinoinnin erityissäännöksiä noudatetaan. Jos suostumuksen alkuperää ei pystytä todentamaan eikä muuta soveltuvaa perustetta ole, viestien lähettämistä ei kannata jatkaa. Rekisterin siivoaminen ja yhteystietojen tarpeellisuuden arviointi on usein turvallisempi ratkaisu kuin epäselvän listan massakäyttö.
Mitä verkkosivujen tietosuojaselosteeseen kuuluu?
Selosteen tarkoitus on kertoa ymmärrettävästi, kuka henkilötietoja käsittelee, miksi niitä kerätään ja millä perusteella. Siinä kuvataan muun muassa tietoryhmät, vastaanottajat tai vastaanottajaryhmät, mahdolliset siirrot Euroopan talousalueen ulkopuolelle, säilytysajat tai niiden määräytymisperusteet sekä rekisteröidyn oikeudet. Tietojen lähde on kerrottava silloin, kun tietoja ei ole saatu suoraan henkilöltä, sovellettavat poikkeukset huomioiden.
Hyvä tietosuojaseloste vastaa yrityksen todellista toimintaa eikä ole verkosta kopioitu yleispohja. Jos yhteydenottolomake lähettää tietoja CRM-järjestelmään, uutiskirjepalveluun tai ulkoiselle palveluntarjoajalle, järjestely on selvitettävä ja kuvattava tarpeellisilta osin. Verkkosivujen palveluita suunniteltaessa kannattaa tutustua myös ER-tuen tietosuojan perusoppaaseen.
Tarvitseeko verkkosivu evästebannerin?
Ei välttämättä, jos sivusto käyttää vain palvelun toiminnalle aidosti välttämättömiä evästeitä ja vastaavia tekniikoita. Käytännössä analytiikka, mainonnan seuranta, käyttäjäprofilointi ja ulkopuoliset upotukset voivat kuitenkin edellyttää suostumusta. Traficomin ohjeen mukaan ei-välttämättömiä evästeitä ei saa asettaa ennen pätevää suostumusta, eikä pelkkä sivuston käytön jatkaminen tarkoita hyväksyntää.
Evästehallinnassa käyttäjän pitää saada helposti myös kieltäytyä ja muuttaa aiempaa valintaansa. Hyväksynnän pyytämisessä on kerrottava selvästi evästeiden tarkoitukset, tyypit, voimassaoloajat ja mahdolliset kolmannet osapuolet. Suostumusta ei pidä hankkia harhaanjohtavilla valinnoilla tai valmiiksi rastitetuilla ei-välttämättömillä evästeillä. Myös lomakkeiden, videoiden ja chat-palvelujen lataamat ulkopuoliset seurannat on tarkistettava.
Kuinka kauan asiakastietoja saa säilyttää?
GDPR ei määrää yhtä yleistä säilytysaikaa kaikille asiakastiedoille. Tietoja saa säilyttää vain niin kauan kuin niiden käsittelytarkoitus ja mahdolliset lakisääteiset velvoitteet edellyttävät. Markkinointilistan vanhentunut yhteystieto, päättyneen asiakkuuden laskutusaineisto ja kesken oleva reklamaatio voivat siksi kuulua eri säilytysaikojen piiriin.
Yrityksen kannattaa määritellä säilytysajat tai niiden arviointiperusteet tietoryhmittäin sekä sopia automaattisesta tai säännöllisestä poistamisesta. Poisto koskee myös tarpeettomiksi käyneitä kopioita, mutta varmuuskopioiden käytännöt edellyttävät omaa teknistä suunnitelmaansa. Jos laki velvoittaa säilyttämään aineistoa, rekisteröidyn poistopyyntö ei yleensä syrjäytä tätä velvoitetta.
Mitä oikeuksia asiakkaalla on tietoihinsa?
Henkilö voi pyytää pääsyä tietoihinsa, virheellisten tietojen korjaamista ja tietyin edellytyksin tietojen poistamista tai käsittelyn rajoittamista. Hänellä voi olla myös oikeus tietojen siirtämiseen ja oikeus vastustaa käsittelyä. Erityisesti suoramarkkinoinnin vastustaminen on otettava huomioon: markkinointia varten tapahtuva käsittely on lopetettava vastustamisen jälkeen.
Pyyntöön on vastattava ilman aiheetonta viivytystä, yleensä viimeistään kuukauden kuluessa. Monimutkaisissa tapauksissa määräaikaa voidaan pidentää enintään kahdella kuukaudella, mutta pidennyksestä ja sen syistä on ilmoitettava ensimmäisen kuukauden aikana. Henkilöllisyys pitää varmistaa suhteellisesti, jotta tietoja ei luovuteta väärälle henkilölle. Pyyntöjen käsittelystä ja ratkaisuista kannattaa pitää kirjaa.
Kuka vastaa ulkoisista ohjelmistoista?
Kun yritys päättää, miksi ja miten asiakkaan tietoja käsitellään, se on tavallisesti rekisterinpitäjä. Jos tilitoimisto, verkkosivujen ylläpitäjä, uutiskirjepalvelu tai pilvipalvelu käsittelee henkilötietoja yrityksen puolesta, palveluntarjoaja voi olla henkilötietojen käsittelijä. Roolit arvioidaan todellisen toiminnan mukaan, eikä jokainen yhteistyökumppani ole automaattisesti käsittelijä.
Rekisterinpitäjän ja käsittelijän välille tarvitaan GDPR:n 28 artiklan mukainen käsittelysopimus silloin, kun käsittelijäsuhde on olemassa. Sopimuksessa käsitellään muun muassa ohjeiden noudattaminen, suojaustoimet, alihankkijat, tietoturvaloukkauksista ilmoittaminen ja tietojen poistaminen tai palauttaminen. Yrityksen pitää lisäksi selvittää, siirtyvätkö tiedot Euroopan talousalueen ulkopuolelle ja onko siirroille asianmukainen oikeudellinen mekanismi.
Mitä tehdä tietoturvaloukkauksessa?
Henkilötietojen tietoturvaloukkaus voi olla esimerkiksi väärälle vastaanottajalle lähetetty asiakastiedosto, luvaton pääsy rekisteriin tai kiristyshaittaohjelma, joka estää pääsyn henkilötietoihin. Tapahtuma pitää selvittää, rajata ja dokumentoida, vaikka siitä ei lopulta syntyisi viranomaisilmoitusta. Riskinarvio ratkaisee, edellyttääkö tilanne ilmoittamista.
Jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa riskin ihmisille, rekisterinpitäjän on tehtävä ilmoitus toimivaltaiselle tietosuojaviranomaiselle mahdollisuuksien mukaan 72 tunnin kuluessa loukkauksen ilmi tulosta. Jos riski on korkea, myös asianosaisille on pääsääntöisesti ilmoitettava viivytyksettä. Jos kaikkia tietoja ei vielä ole saatavilla, viranomaisilmoitusta voidaan täydentää myöhemmin. Palveluntarjoajana toimivan käsittelijän on ilmoitettava loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä.
Voiko tekoälypalveluun syöttää asiakastietoja?
Tekoälytyökaluun kirjoitetut henkilötiedot ovat edelleen henkilötietoja, vaikka käyttöliittymä näyttäisi tavalliselta chatilta. Ennen asiakkaan tietojen lähettämistä palveluun on tarkistettava käsittelyn tarkoitus, oikeusperuste, palveluntarjoajan rooli ja sopimusehdot sekä mahdolliset kansainväliset tietojen siirrot. Asiakkaan nimiä, terveystietoja, henkilötunnuksia tai muuta arkaluonteista aineistoa ei pidä syöttää yleiseen palveluun vain siksi, että se nopeuttaisi työtä.
Käytännöllinen lähtökohta on anonymisoida esimerkit silloin, kun henkilön tunnistaminen ei ole välttämätöntä. Yrityksen sisäiseen käyttöön tarkoitettujen työkalujen käyttöoikeudet, tallennusasetukset ja sopimukset on syytä arvioida ennen käyttöönottoa. Tekoäly ei poista rekisterinpitäjän vastuuta siitä, mitä tietoja käsitellään ja mihin niitä käytetään.
Näin yritys hoitaa tietosuojan käytännössä
Toimiva tietosuoja alkaa pienestä, ylläpidettävästä kokonaisuudesta: tiedät, mitä järjestelmiä käytetään, kuka niitä hallinnoi ja milloin tiedot poistetaan. Pienessäkin yrityksessä kannattaa sopia, kuka vastaa asiakkaiden tietopyyntöihin ja miten poikkeamat raportoidaan. Näin GDPR ei jää pelkäksi verkkosivun selosteeksi, vaan näkyy toimintatavoissa.
- Luetteloi asiakas-, henkilöstö-, markkinointi- ja verkkolomaketiedot sekä niiden käsittelytarkoitukset.
- Kirjaa kunkin käsittelyn oikeusperuste, tarvittavat säilytysajat ja käyttöoikeudet.
- Varmista, että tietosuojaseloste ja mahdollinen evästehallinta vastaavat sivuston todellista toimintaa.
- Tarkista uutiskirjelistojen perusteet ja tee markkinoinnista kieltäytyminen helpoksi.
- Selvitä pilvipalvelujen käsittelysopimukset ja mahdolliset ETA-alueen ulkopuoliset siirrot.
- Päivitä salasanat, monivaiheinen tunnistautuminen, varmuuskopiot ja tietoturvapäivitykset.
- Suunnittele tietopyyntöjen ja henkilötietojen tietoturvaloukkausten käsittely etukäteen.
Tietosuoja kannattaa tarkistaa erityisesti silloin, kun yrityksen verkkosivut uudistetaan, otetaan käyttöön uusia mainos- tai analytiikkatyökaluja tai asiakasrekisteri siirretään toiseen palveluun. ER-tuen kotisivuprojekteissa ja markkinointipalveluissa voidaan huomioida myös verkkosivun tekniset valinnat ja käyttäjille annettavat tiedot. Yksittäisen yrityksen oikeudelliset erityiskysymykset on kuitenkin arvioitava erikseen.
Lähteet ja lisätiedot
Euroopan tietosuojaneuvosto: Tietosuojan perusperiaatteet, rekisteröidyn oikeudet ja tietoturvaloukkaukset.
Traficom: Evästeet ja niiden suostumusvaatimukset. Finlex: Laki sähköisen viestinnän palveluista (917/2014), erityisesti 200, 202, 203 ja 205 §.
Euroopan tietosuojaneuvosto: Rekisterinpitäjän ja käsittelijän vastuut sekä kansainväliset henkilötietojen siirrot.
Artikkeli päivitetty 30.10.2026. Opas tarjoaa yleistä tietoa, ei tapauskohtaista oikeudellista neuvontaa. Tarkista erityistilanteet toimivaltaiselta viranomaiselta tai tietosuoja-asiantuntijalta.
