4 Seuraamukset tietosuojalainsäädännön rikkomisesta
4.1 Tietosuojavaltuutetun korjaavat toimivaltuudet
4.2 Rikosoikeudellinen virkavastuu
4.6 Muut vastuut ja seuraamukset
Henkilötietojen käsittelyyn liittyy erilaisia vastuita ja seuraamuksia, jotka yhdistetään erityisesti rekisterinpitäjänä toimimiseen.
4.1 Tietosuojavaltuutetun korjaavat toimivaltuudet
Jos tietosuojavaltuutettu havaitsee, ettei henkilötietojen käsittelyssä noudateta tietosuojalainsäädännön vaatimuksia, se voi käyttää tietosuoja-asetuksen 58 artiklassa säädettyjä korjaavia toimivaltuuksia. Tällaisia ovat esimerkiksi
- varoitus
- huomautus
- määräys saattaa henkilötietojen käsittely tietosuojalainsäädännön mukaiseksi
- käsittelykielto tai -rajoitus
- määräys toteuttaa rekisteröidyn oikeudet
- määräys ilmoittaa rekisteröidylle tietoturvaloukkauksesta
- hallinnollinen seuraamusmaksu
Tietosuojalain (1050/2018) 24 §:n mukaan hallinnollista seuraamusmaksua ei voida määrätä viranomaisille, kuten kunnille. Hallinnolliset seuraamusmaksut perustuvat suoraan sovellettavaan tietosuoja-asetukseen, mutta asetuksessa on jätetty jäsenvaltioille harkintavaltaa sen suhteen, ulotetaanko seuraamusmaksuvastuu viranomaisiin. Suomessa tätä kansallista liikkumavaraa on käytetty siten, että viranomaiset on rajattu seuraamusmaksuvastuun ulkopuolelle. Seuraamusmaksujen ulottamista viranomaisiin on kuitenkin esitetty hallituksen esityksessä 46/2026 tietosuojalain ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta. Hallituksen esityksen käsittely on tämän ohjeen kirjoitushetkellä kesken eduskunnassa.
4.2 Rikosoikeudellinen virkavastuu
Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin ja kaikessa julkisessa toiminnassa on noudatettava tarkoin lakia. Tähän hallinnon lainalaisuuden periaatteeseen liittyy perustuslain 118 §:ssä säädetty vastuu virkatoimista. Kunnassa viranhaltijat ja luottamushenkilöt toimivat virkavastuulla ja vastaavat toimiensa lainmukaisuudesta. Viranhaltijan on tunnettava omaa alaansa koskeva sääntely. Esihenkilöillä on yleensä laajempi vastuun sisältö, koska heillä on asemansa vuoksi suurempi mahdollisuus vaikuttaa siihen, että tietosuojalainsäädännön velvoitteista huolehditaan.
Lisätietoa:
- Oikeusministeriö: Viranomaisia koskevat seuraamukset tietosuojalainsäädännön rikkomisesta, Oikeusministeriön julkaisuja, Selvityksiä ja ohjeita 2024:28
- Valtioneuvosto: Virkavastuu julkishallinnon muuttuvassa toimintaympäristössä, Valtioneuvoston selvitys- ja tutkimustoiminnan julkaisusarja 2022:14
4.3 Vahingonkorvausvastuu
Tietosuoja-asetuksen 82 artiklan 1 kohdan mukaan henkilöllä, jolle rikkomuksesta aiheutuu aineellista tai aineetonta vahinkoa, on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä (joka voi olla eri taho kuin kunta oikeushenkilönä) korvaus vahingosta. Tietosuoja-asetuksen 82 artiklan 5 kohdan mukaan rekisterinpitäjällä tai henkilötietojen käsittelijällä on oikeus periä muilta samaan tietojenkäsittelyyn osallistuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä se osuus korvauksesta, joka vastaa niiden vastuuta aiheutuneesta vahingosta.
Myös perustuslain 118 §:n 3 momentin mukaan jokaisella, joka on kärsinyt oikeudenloukkauksen tai vahinkoa virkamiehen tai muun julkista tehtävää hoitavan henkilön lainvastaisen toimenpiteen tai laiminlyönnin vuoksi, on oikeus vaatia vahingonkorvausta julkisyhteisöltä taikka virkamieheltä tai muulta julkista tehtävää hoitavalta sen mukaan kuin lailla säädetään. Vahingonkorvauslain (412/1974) 3 luvun mukaan julkisyhteisö (kunta oikeushenkilönä) on työnantajana velvollinen korvaamaan vahingon riippumatta siitä, mikä kunnan viranomainen on aiheuttanut vahingon. Tämän lisäksi yksittäiset toimielimen jäsenet tai viranhaltijat voivat olla myös henkilökohtaisessa vastuussa aiheuttamistaan vahingoista vahingonkorvauslaissa tarkemmin säädetyssä laajuudessa.
4.4 Sopimusperusteinen vastuu
Sopimusperusteisesti korvattavien vahinkojen määrittelyssä keskeistä on se, mitä osapuolten (kuten kunnan ja sen palveluntuottajan) välillä on sovittu vahinkojen korvaamisvelvollisuudesta. Kunnassa henkilötietojen käsittelyä koskevat sopimusehdot (esim. vastuiden määrittely, mahdolliset vastuunrajoitukset) on käytävä tarkasti läpi myös tästä näkökulmasta.
4.5 Ylin laillisuusvalvonta
Eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri valvovat viranomaisten toiminnan lainmukaisuutta. Laillisuusvalvojat voivat niille tehdyn kantelun seurauksena antaa viranomaiselle huomautuksen, saattaa viranomaisen tietoon käsityksensä lainmukaisesta menettelystä sekä kiinnittää viranomaisten huomiota hyvän hallinnon vaatimuksiin tai näkökohtiin, jotka edistävät perus- ja ihmisoikeuksien toteutumista, tehdä viranomaiselle esityksen virheen oikaisemiseksi tai epäkohdan korjaamiseksi ja hyvittämiseksi sekä nostaa syytteen, jos kyse on vakavasta lainvastaisuudesta.
4.6 Muut vastuut ja seuraamukset
Vastuullinen ja läpinäkyvä henkilötietojen käsittely rakentaa luottamusta kunnan toimintaan ja ehkäisee oikeudellisia ja mainehaittoja. Luottamuksen säilyttäminen on erityisen tärkeää, koska viranomaistoiminnassa yksilöillä ei lähtökohtaisesti ole vaikutusmahdollisuuksia siihen, kuinka heidän henkilötietojaan käsitellään. Laiminlyönnit tietosuojassa voivat johtaa yksilöiden kannalta merkittäviin seurauksiin, kuten arkaluonteisten tietojen paljastumiseen tai taloudellisiin menetyksiin. Näin tietosuojaan liittyy myös eettistä ja moraalista vastuuta.