Opas · Tietosuoja
Miljoonasakot koskevat harvoin pienyritystä, mutta riski ei ole nolla. Suomessa tietosuojavaltuutetun toimiston seuraamuskollegio on määrännyt seuraamusmaksuja myös tavallisille yrityksille. Tässä oppaassa kerromme, kuinka suuria sakot voivat olla, miten valvonta etenee ja miten pienennät riskiä.
Respondo · Lukuaika noin 7 min · Päivitetty 2026
GDPR-sakkojen enimmäismäärä on 20 miljoonaa euroa tai 4 % yrityksen maailmanlaajuisesta vuosiliikevaihdosta, sen mukaan kumpi on suurempi. Pienyrityksessä valvonta alkaa yleensä ohjauksesta tai huomautuksesta. Suomessa seuraamusmaksuja on kuitenkin määrätty myös yrityksille, jotka eivät ole vastanneet asiakkaiden tietopyyntöihin tai kertoneet heille heidän oikeuksistaan.
Kuinka suuria GDPR-sakot voivat olla pienelle yritykselle? Laki asettaa katon, mutta todellinen seuraamus riippuu rikkeen vakavuudesta, tahallisuudesta ja siitä, kuinka yhteistyöhaluinen yritys on. Toistuva tai piittaamaton laiminlyönti voi johtaa maksuun myös pienessä yrityksessä.
GDPR-sakot: enimmäismäärät
| Rikkeen tyyppi | Enimmäissakko |
|---|---|
| Vakavat rikkeet, esim. käsittelyn perusteet ja rekisteröidyn oikeudet | 20 milj. € tai 4 % liikevaihdosta |
| Muut rikkeet, esim. tietoturva ja dokumentointi | 10 milj. € tai 2 % liikevaihdosta |
Enimmäismäärät ovat kattoja. Pienyritykselle määrätty seuraamus on käytännössä aina selvästi pienempi, ja se suhteutetaan yrityksen kokoon.
GDPR-sakot Suomessa: esimerkkejä
| Yritys | Vuosi | Seuraamus | Syy |
|---|---|---|---|
| Posti | 2020 | 100 000 € | Asiakkaille ei kerrottu oikeudesta kieltää osoitetietojen luovutus |
| Alektum | 2023 | 750 000 € | Asiakkaiden tietopyyntöihin ei vastattu |
| Suomen Yritysrekisteri | 2023 | 23 000 € | Puhelutallenteita ei annettu niitä pyytäneille |
Esimerkeistä näkyy, että seuraamukset liittyvät usein perusasioihin: asiakkaalle ei kerrota hänen oikeuksistaan tai hänen tietopyyntöönsä ei vastata. Päätökset julkaistaan tietosuojavaltuutetun toimiston verkkosivuilla.
Miten GDPR-valvonta etenee pienessä yrityksessä?
- Ohjaus ja neuvonta: yleisin seuraus, usein asiakkaan valituksen jälkeen.
- Huomautus: yritystä kehotetaan korjaamaan käytäntö.
- Määräys korjata: harvempi, annetaan määräaika.
- Seuraamusmaksu: harvinaisin, yleensä toistuvasta tai vakavasta laiminlyönnistä.
Mistä pienyritykselle yleensä huomautetaan?
- Puuttuva tai vanhentunut tietosuojaseloste.
- Evästeet latautuvat ennen suostumusta.
- Henkilötietoja säilytetään ilman määriteltyä säilytysaikaa.
- Asiakkaan tietopyyntöön ei vastata kuukauden kuluessa.
- Käsittelysopimus alihankkijan kanssa puuttuu.
Miten pienennät GDPR-sakkojen riskiä?
- Tee tietosuojaseloste ja pidä se ajan tasalla.
- Laita evästebanneri kuntoon ja estä evästeet ennen suostumusta.
- Määrittele säilytysajat ja poista vanhat tiedot. Lue asiakasrekisterin ylläpidosta.
- Sovi käsittelysopimukset työkalutoimittajien kanssa.
- Tee prosessi tietopyyntöihin vastaamiseen.
Koskeeko GDPR chatbotia ja puhelinvastaajaa?
Kyllä. Jos chat tai tekoäly puhelinvastaaja kerää asiakkaan nimen ja yhteystiedot, se käsittelee henkilötietoja. Mainitse palvelut tietosuojaselosteessa ja varmista käsittelysopimus. Lue lisää: GDPR pelottaa pienyrittäjää.
Respondon Turvallinen-paketissa 49 €/kk laitamme verkkosivujen GDPR-asiat, evästeet ja tietosuojaselosteen kuntoon.
Usein kysytyt kysymykset aiheesta GDPR-sakot
Voiko pienyritys saada GDPR-sakon?
Voi, mutta tavallisesti valvonta alkaa ohjauksesta tai huomautuksesta.
Kuka määrää GDPR-sakot Suomessa?
Tietosuojavaltuutetun toimiston seuraamuskollegio.
Mikä on suurin GDPR-sakko?
Enimmillään 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta.
Mikä on yleisin syy seuraamukseen?
Suomen esimerkeissä usein rekisteröidyn oikeuksien laiminlyönti, kuten tietopyyntöihin vastaamatta jättäminen.
Miten pienennän riskiä nopeimmin?
Tietosuojaseloste, evästebanneri ja prosessi tietopyyntöihin.
Ovatko sivustosi GDPR-asiat kunnossa?
Tarkistetaan ne maksuttomassa kartoituksessa.