GDPR on EU:n tietosuoja-asetus, joka säätelee, miten organisaatiot keräävät, käyttävät ja säilyttävät ihmisiä koskevia tietoja. Asetusta on sovellettu Suomessa 25.5.2018 lähtien, ja sitä täydentää kansallinen tietosuojalaki. Säännöt koskevat kaikkia, jotka käsittelevät henkilötietoja: yrityksiä, lääkäriasemia, asianajotoimistoja, kuntia ja yhdistyksiä. Ydin on yksinkertainen: tarvitset käsittelylle oikeusperusteen, saat käyttää tietoja vain ilmoittamaasi tarkoitukseen, ja ihmisellä on oikeuksia. GDPR suojaa kuitenkin vain sitä, mikä voidaan yhdistää henkilöön.
Esimerkki arjesta
Tilitoimisto Esimerkki Oy (keksitty esimerkki) hoitaa 50 asiakkaan kirjanpidon. Toimisto säilyttää nimiä, henkilötunnuksia, palkkalaskelmia ja pankkitietoja. Kaikki nämä ovat henkilötietoja, ja GDPR määrää, miten toimisto saa käyttää niitä.
Eräänä päivänä työntekijä haluaa ladata asiakkaan palkkaraportin tekoälytyökaluun tiivistelmää varten. Toimiston on kysyttävä: onko meillä peruste jakaa tämä? Onko meillä palveluntarjoajan kanssa käsittelysopimus? Mihin tiedot päätyvät? GDPR vastaa kahteen ensimmäiseen kysymykseen. Kolmas on se kiinnostava, ja palaamme siihen.
GDPR käytännössä: mitä asetus vaatii
Mikä on henkilötieto? Mikä tahansa tieto, joka voidaan yhdistää tunnistettavaan henkilöön: nimi, henkilötunnus, sähköpostiosoite, IP-osoite, valokuva, mutta myös tietojen yhdistelmä, joka yhdessä osoittaa yhteen ihmiseen.
Kuka on vastuussa? GDPR erottaa kaksi roolia. Rekisterinpitäjä päättää, miksi ja miten tietoja käsitellään, esimerkiksi tilitoimisto omien asiakkaidensa tiedoista. Henkilötietojen käsittelijä käsittelee tietoja rekisterinpitäjän puolesta ja vain tämän ohjeiden mukaan, esimerkiksi pilvipalvelu tai tekoälytyökalu. Vastuu tietojen käytöstä on ensisijaisesti rekisterinpitäjällä.
Tärkeimmät säännöt:
- Oikeusperuste. Tarvitset jonkin 6 artiklan kuudesta perusteesta, esimerkiksi suostumuksen, sopimuksen, lakisääteisen velvoitteen tai oikeutetun edun.
- 5 artiklan periaatteet. Tietoja saa käyttää vain tiettyyn tarkoitukseen, niitä saa kerätä vain tarpeellisen määrän, niiden on oltava oikeita, niitä ei saa säilyttää tarpeettoman kauan ja ne on suojattava.
- Erityiset henkilötietoryhmät. Terveystietojen, geneettisten ja biometristen tietojen, uskonnon, seksuaalisen suuntautumisen, poliittisten mielipiteiden, ammattiliiton jäsenyyden ja etnisen alkuperän käsittely on lähtökohtaisesti kielletty, ellei jokin 9 artiklan poikkeus sovellu.
- Rekisteröidyn oikeudet. Oikeus saada pääsy tietoihin, oikaista ja poistaa ne, siirtää ne järjestelmästä toiseen ja vastustaa käsittelyä.
- Henkilötietojen käsittelijät. Jos palveluntarjoaja käsittelee tietoja puolestasi, tarvitset 28 artiklan mukaisen käsittelysopimuksen.
- Tietoturvaloukkaukset on pääsääntöisesti ilmoitettava tietosuojavaltuutetulle 72 tunnin kuluessa.
Kuka valvoo? Suomessa tietosuojavaltuutettu. Hallinnollisista seuraamusmaksuista päättää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen muodostama seuraamuskollegio.
Mikä on seuraamus? Seuraamusmaksu voi olla enintään 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi.
Jos haluat nähdä, mitä tämä tarkoittaa tekoälytyökaluille, kokosimme vaatimukset sivulle GDPR-yhteensopiva tekoäly.
Tämä on yleistä tietoa, ei oikeudellista neuvontaa.
Mitä GDPR ei suojaa
GDPR on vahva, mutta sillä on selvä raja: se koskee vain henkilötietoja.
- Anonyymit tiedot jäävät kokonaan ulkopuolelle. Johdanto-osan 26 kappaleen mukaan tietosuojasääntöjä ei sovelleta anonyymeihin tietoihin eli tietoihin, joita ei enää voida yhdistää tunnistettavaan henkilöön. Poista nimi, henkilötunnus ja kaikki muu henkilöön viittaava, niin jäljelle jäävää saa laillisesti yhdistellä, lisensoida ja myydä.
- Pseudonymisoitu on yhä suojattua. Jos vain vaihdat nimen koodiin, kyse on edelleen henkilötiedoista. Rajan selitämme artikkelissa Pseudonymisointi ja anonymisointi. Vuonna 2026 Ranskan tietosuojaviranomainen määräsi terveysdatayritykselle useista rikkomuksista 5 miljoonan euron seuraamusmaksun. Yritys väitti reseptitietojaan anonyymeiksi, mutta viranomainen katsoi niiden olevan vain pseudonymisoituja.
- Olet ehkä itse antanut oikeuden pois. Monet käyttöehdot antavat palveluntarjoajalle lisenssin käyttää lataamaasi sisältöä omiin tarkoituksiinsa. Lisenssin ja anonymisoinnin jälkeen kaikki on laillista.
- Anonyymi on harvoin niin anonyymi. Nature Communications -lehden tutkimus (2019) osoitti, että 99,98 prosenttia amerikkalaisista voitiin tunnistaa uudelleen 15 ominaisuuden perusteella. Tekoäly tekee tällaisesta yhdistelystä halpaa.
Esimerkki Oy:lle tämä tarkoittaa, että vaikka GDPR:ää noudatettaisiin pilkuntarkasti, palkkaraportti ilman nimeä voi päätyä rivin verran datajoukkoon. Mekanismi näytetään vaihe vaiheelta Data Trail -sivulla, ja lähteet ovat sivulla Laillista myydä.
Mitä tämä tarkoittaa, kun käytät tekoälytyökaluja
Tarkistuslista, jota voit käyttää mihin tahansa työkaluun:
- Käsittelysopimus: onko 28 artiklan mukainen sopimus olemassa, ja toimiiko palveluntarjoaja vain käsittelijänä?
- Lisenssi: antavatko käyttöehdot oikeuden käyttää sisältöäsi uudelleen, myös anonymisoituna?
- Koulutus: käytetäänkö kirjoittamaasi mallien koulutukseen?
- Säilytys: missä tietoja säilytetään, ja kuinka kauan tekoälymallien palveluntarjoajat pitävät niitä?
- Omistajanvaihdos: päteekö lupaus myös, jos yritys myydään?
Wysor on rakennettu läpäisemään tämä lista. Wysor on 28 artiklan mukainen henkilötietojen käsittelijä ja toimii vain ohjeidesi mukaan. Emme ota lisenssiä sisältösi uudelleenkäyttöön, emme koskaan kouluta malleja sillä emmekä koskaan myy sitä, anonymisoituna tai ei. Sitoumukset on kirjattu sopimukseen, ja ne sitovat myös ketä tahansa, joka joskus omistaisi Wysorin. Kaikki salataan siirron ja tallennuksen aikana, käsittely tapahtuu EU:ssa, ja kaikilla liitetyillä tekoälymallien palveluntarjoajilla on nollasäilytys. Yhdessä työtilassa käytät GPT:tä, Claudea, Geminiä ja muita malleja.
Usein kysytyt kysymykset
Mitä GDPR tarkoittaa? GDPR tulee sanoista General Data Protection Regulation. Suomeksi se on EU:n yleinen tietosuoja-asetus, lyhyemmin tietosuoja-asetus.
Milloin GDPR tuli voimaan? Asetus annettiin vuonna 2016, ja sitä on sovellettu koko EU:ssa 25.5.2018 lähtien. Suomen kansallinen tietosuojalaki tuli voimaan 1.1.2019.
Ketä GDPR koskee? Kaikkia yrityksiä ja organisaatioita, jotka käsittelevät henkilötietoja, koosta riippumatta. Puhtaasti henkilökohtainen toiminta, kuten oma osoitekirja, on rajattu ulkopuolelle.
Mitä tapahtuu, jos GDPR:ää rikotaan? Tietosuojavaltuutettu voi antaa määräyksiä, kieltää käsittelyn ja seuraamuskollegio voi määrätä seuraamusmaksun, joka voi olla enintään 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta liikevaihdosta. Rekisteröidyt voivat lisäksi vaatia vahingonkorvausta.
Onko GDPR sama asia kuin tietosuojalaki? Ei aivan. GDPR on EU:n asetus, jota sovelletaan Suomessa suoraan. Suomen tietosuojalaki täydentää asetusta niissä kohdissa, joissa asetus antaa jäsenvaltioille liikkumavaraa, ja säätää esimerkiksi tietosuojavaltuutetun tehtävistä.
Saako tekoälytyökaluja käyttää GDPR:n mukaan? Kyllä, kunhan sinulla on oikeusperuste, käsittelysopimus palveluntarjoajan kanssa ja asianmukainen tietoturva. GDPR ei kuitenkaan säätele sitä, mitä tiedoille tapahtuu anonymisoinnin jälkeen. Se on tarkistettava käyttöehdoista.
Lue lisää
- GDPR-yhteensopiva tekoäly: mitä vaatia
- Vaitiolovelvollisuus selitettynä yksinkertaisesti
- Pseudonymisointi ja anonymisointi
- Laillista myydä: lähteet
Onko sinulla kysyttävää GDPR:stä ja Wysorista? Kirjoita osoitteeseen [email protected] tai käytä sovelluksen yhteydenottolomaketta.
