GDPR-valitus askel askeleelta: valmiit kirjeet ja lomakkeet
Opas näyttää askel askeleelta, miten pyydät omat tietosi, vaadit korjausta ja teet valituksen tietosuojavaltuutetulle. Mukana neljä valmista kirjepohjaa.
Jokaisella on oikeus valittaa siitä, miten hänen tietojaan käsitellään. Suomessa sen valituksen vastaanottaa tietosuojavaltuutetun toimisto, ja valituksen voi tehdä kuka tahansa ilman asianajajaa. Tämä opas käy läpi koko ketjun alusta loppuun: miten selvität, mitä tietoja sinusta on tallennettu, miten vaadit korjausta sille yritykselle tai viranomaiselle, joka tietoja käsittelee, ja miten teet valituksen, jos vastaus ei tyydytä. Mukana on neljä valmista kirjepohjaa, jotka voi kopioida sellaisinaan, sekä lista siitä, mitä valituksessa pitää kertoa. Jokainen erikoistermi selitetään heti, kun se tulee vastaan.
Milloin valitus on oikea reitti ja mitä se ei ratkaise
Valitus perustuu Euroopan unionin GDPR-asetuksen 77 artiklaan. Sen mukaan jokaisella on oikeus tehdä valitus valvontaviranomaiselle, jos hän katsoo, että hänen henkilötietojensa käsittely rikkoo asetusta. Suomessa valvontaviranomainen on tietosuojavaltuutettu, jonka toimisto sijaitsee Helsingin Lintulahdenkujalla. Valitus on maksuton, eikä siihen tarvita lakimiestä.
Kaikki riidat eivät kuitenkaan kuulu tähän reittiin. Valitus sopii tilanteisiin, joissa yritys tai viranomainen kieltäytyy antamasta sinulle tietojasi, käsittelee niitä ilman laillista perustetta, käyttää niitä suoramarkkinointiin vastustuksestasi huolimatta tai ei vastaa pyyntöösi määräajassa. Valitus ei sen sijaan ole oikeudenkäynti: tietosuojavaltuutettu ei määrää kenellekään vahingonkorvauksia eikä ratkaise sopimuksia koskevia riitoja. Rahallista korvausta henkilötietojen käsittelystä voi vaatia erikseen käräjäoikeudessa.
Kaksi asiaa on hyvä erottaa heti. Jos valitus koskee omia oikeuksiasi – esimerkiksi haluat nähdä tietosi tai saada ne poistetuiksi – toimisto edellyttää, että olet ollut ensin yhteydessä siihen tahoon, joka tietoja käsittelee. Jos taas haluat ilmoittaa yleisestä epäkohdasta, kuten siitä, ettei jollakin sivustolla ole lainkaan käsittelyperustetta, ilmoituksen voi tehdä myös nimettömänä.
Käsitteet kannattaa pitää mielessä koko prosessin ajan. Henkilötieto tarkoittaa mitä tahansa tietoa, josta sinut voi tunnistaa – nimi, sähköposti, puhelinnumero, mutta myös laitteen tunniste tai tieto siitä, millä sivulla olet käynyt. Rekisterinpitäjä on se yritys, viranomainen tai yhteisö, joka päättää, miksi ja miten tietojasi käsitellään. Valitus osoitetaan aina rekisterinpitäjän toiminnasta, ei esimerkiksi sen käyttämästä ohjelmistosta.
Askel 1: pyydä jäljennös tiedoistasi
Ensimmäinen askel on tarkastuspyyntö. Sen perusteella saat jäljennöksen kaikista itseäsi koskevista tiedoista, joita rekisterinpitäjä käsittelee, sekä tiedon siitä, mihin tarkoitukseen tietoja käytetään, mistä ne on saatu, kenelle niitä on luovutettu ja käytetäänkö niiden kanssa automaattista päätöksentekoa. Ensimmäinen jäljennös on lähtökohtaisesti maksuton.
Pyyntö kannattaa tehdä kirjallisesti, jotta siitä jää itselle kopio. Sähköposti riittää, jos aihe ei sisällä arkaluonteisia tietoja. Kerro pyynnössä nimesi ja yhteystietosi, mitkä tiedot haluat ja missä muodossa. Rekisterinpitäjän on vastattava ilman aiheetonta viivytystä ja viimeistään yhden kokonaisen kalenterikuukauden kuluessa. Jos pyyntöjä on paljon tai ne ovat monimutkaisia, määräaikaa voi jatkaa kahdella kuukaudella – mutta jatkosta on ilmoitettava sinulle, ja ilmoitus pitää tehdä ensimmäisen kuukauden aikana.
Tässä on valmis pohja. Korvaa hakasulkeissa olevat kohdat omilla tiedoillasi.
Vastaanottaja: [yrityksen tai organisaation nimi]
Asia: Tarkastuspyyntö – oikeus saada jäljennös itseäni koskevista henkilötiedoista (GDPR 15 artikla)
Olen [nimi], ja pyydän saada jäljennöksen kaikista minua koskevista henkilötiedoista, joita organisaationne käsittelee.
Pyyntöni koskee:
- kaikkia minua koskevia henkilötietoja / tietoja ajalta [alkupäivä]–[loppupäivä]
- mukaan lukien asiakasviestit, käyttö- ja lokitiedot sekä tiedot, joita on luovutettu eteenpäin
Toivon tiedot sähköisessä muodossa [esim. PDF] osoitteeseen [sähköpostiosoite].
Pyydän lisäksi tietoa siitä,
1) mihin tarkoitukseen tietojani käytetään ja millä oikeusperusteella,
2) mistä tiedot on saatu,
3) kenelle niitä on luovutettu,
4) siirretäänkö niitä EU:n ulkopuolelle ja miten ne siinä tapauksessa suojataan,
5) käytetäänkö tietojeni käsittelyssä automaattista päätöksentekoa tai profilointia.
Pyydän vastausta yhden kuukauden kuluessa tämän viestin vastaanottamisesta (GDPR 12 artikla).
Ystävällisin terveisin
[nimi]
[osoite]
[puhelin ja sähköposti]
[päivämäärä]Jos kuukausi kuluu eikä vastausta kuulu, lähetä lyhyt muistutus samaan osoitteeseen. Muistutus ei ole pakollinen, mutta se osoittaa, että olet yrittänyt saada asian hoidetuksi, ja siitä tulee valituksen liite.
Vastaanottaja: [yrityksen tai organisaation nimi]
Asia: Muistutus tarkastuspyynnöstä [päivämäärä]
Lähetin [päivämäärä] pyynnön saada jäljennös minua koskevista henkilötiedoista. En ole saanut vastausta enkä ilmoitusta käsittelyajan pidentämisestä.
Pyydän vastausta [päivämäärä, esimerkiksi viikon kuluessa]. Jos pyyntöön ei vastata, teen valituksen tietosuojavaltuutetun toimistoon.
Ystävällisin terveisin
[nimi ja yhteystiedot]
[päivämäärä]Askel 2: vaadi korjausta tai vastusta käsittelyä
Pelkkä tietojen näkeminen ei aina riitä. Jos tiedot ovat väärin, voit pyytää niiden oikaisua. Jos haluat, että tiedot poistetaan, pyydä sitä erikseen. Jos taas et halua, että tietojasi käytetään lainkaan tiettyyn tarkoitukseen, käytä vastustamisoikeutta.
Vastustaminen on tehokkain silloin, kun käsittely perustuu oikeutettuun etuun. Silloin sinun pitää kertoa henkilökohtaiseen tilanteeseesi liittyvä syy, jonka vuoksi käsittely loukkaa sinua. Suoramarkkinoinnin osalta perustelua ei tarvita: pelkkä ilmoitus riittää, ja käsittely on lopetettava. Sama koskee profilointia, jos sitä tehdään suoramarkkinointia varten.
Rekisterinpitäjän on vastattava myös tähän pyyntöön kuukauden kuluessa. Jos se kieltäytyy, sen on perusteltava kieltäytyminen. Ilman perustelua tehty kieltäytyminen on juuri se asia, jonka valvontaviranomainen voi tutkia.
Vastaanottaja: [yrityksen tai organisaation nimi]
Asia: Vastustus henkilötietojeni käsittelyä vastaan (GDPR 21 artikla)
Olen [nimi] ja asioin teillä tunnuksella [tunniste tai asiakasnumero]. Vastustan, että käsittelette henkilötietojani [tarkoitus, esimerkiksi suoramarkkinointiin, profiilin rakentamiseen tai verkkokäyttäytymisen seurantaan].
Peruste: [henkilökohtaiseen tilanteeseeni liittyvä syy]. Jos kyse on suoramarkkinoinnista, vastustus ei vaadi perustelua.
Pyydän, että
1) lopetatte tietojeni käsittelyn mainittuun tarkoitukseen,
2) poistatte tätä tarkoitusta varten muodostetut profiili- ja kohdentamistiedot,
3) vahvistatte minulle kirjallisesti, mihin toimiin olette ryhtyneet.
Pyydän vastausta yhden kuukauden kuluessa (GDPR 12 artikla). Jos ette noudata pyyntöä, kertokaa perusteet ja kertokaa oikeudestani valittaa valvontaviranomaiselle.
Ystävällisin terveisin
[nimi ja yhteystiedot]
[päivämäärä]Askel 3: tee valitus tietosuojavaltuutetulle
Jos rekisterinpitäjä kieltäytyy ilman pätevää syytä tai ei vastaa lainkaan, vuorossa on valitus. Tietosuojavaltuutetun toimisto on tehnyt verkkosivuilleen lyhyen testin, jolla voi etukäteen tarkistaa, kuuluuko oma asia viranomaisen toimivaltaan. Testi ei tallenna vastauksia, ja sen lopuksi pääsee suoraan ilmoituslomakkeelle.
Valituksen voi toimittaa neljää kautta. Kätevin on toimiston sähköinen lomake, joka toimii valtion Turvalomake-palvelussa ja kulkee suojattua yhteyttä pitkin. Voit myös lähettää sähköpostia kirjaamoon osoitteeseen tietosuoja@om.fi, postittaa kirjeen osoitteeseen PL 800, 00531 Helsinki tai viedä asiakirjat perille Lintulahdenkuja 4:ään. Jos asia sisältää arkaluonteisia tietoja – terveydentilaa, sosiaalihuollon palveluja tai taloudellista asemaa koskevia tietoja – älä lähetä niitä tavallisena sähköpostina, vaan käytä lomaketta tai oikeusministeriön Turvaviesti-palvelua.
Valituksessa pitää kertoa ainakin seuraavat asiat. Mitä tarkemmin ne kirjoitat, sitä vähemmän toimisto joutuu kysymään lisätietoja.
- Kuka valittaa: nimesi ja yhteystietosi. Voit tehdä ilmoituksen myös nimettömänä, mutta silloin et saa tietoa asian etenemisestä etkä ratkaisusta.
- Ketä valitus koskee: rekisterinpitäjän nimi, mahdollinen yritys- ja yhteisötunnus sekä verkkosivu tai asiakaspalvelun osoite.
- Mitä tapahtui ja milloin: aikajana päivämäärineen. Kerro, mitä pyysit, milloin pyysit ja mitä vastattiin – tai että vastausta ei tullut.
- Mihin sääntöön valitus perustuu: esimerkiksi oikeus saada tietoja (15 artikla), oikeus tietojen poistamiseen (17 artikla), vastustamisoikeus (21 artikla) tai käsittelyn lainmukaisuutta koskeva epäily (6 artikla).
- Mitä haluat: pyydä konkreettista toimenpidettä, kuten määräystä antaa tiedot tai lopettaa käsittely.
- Todisteet: kopiot viesteistä, kuvakaappaukset ja mahdollinen vastaus kirjattuna. Lähetä kopioita, älä alkuperäisiä asiakirjoja.
Yksi valitus kannattaa rajata yhteen asiaan ja yhteen rekisterinpitäjään. Jos samassa yrityksessä on kolme eri ongelmaa, tee niistä kolme valitusta tai kirjaa ne selvästi eri kohdiksi. Näin asiaa ei tarvitse pilkkoa jälkikäteen.
Vastaanottaja: Tietosuojavaltuutetun toimisto, kirjaamo, PL 800, 00531 Helsinki
Sähköposti: tietosuoja@om.fi
Asia: Valitus henkilötietojen käsittelystä
1. Valittaja
Nimi: [nimi]
Osoite: [osoite]
Puhelin: [puhelin]
Sähköposti: [sähköposti]
2. Rekisterinpitäjä
Nimi: [yritys tai organisaatio]
Y-tunnus, jos tiedossa: [tunnus]
Verkkosivu tai asiakaspalvelun osoite: [osoite]
3. Asian kuvaus ja aikajana
[päivämäärä]: [mitä pyysin ja miten]
[päivämäärä]: [mitä rekisterinpitäjä vastasi]
[päivämäärä]: [mitä tein seuraavaksi]
4. Mihin oikeuteen valitus perustuu
[esimerkiksi: Oikeus saada pääsy tietoihin, GDPR 15 artikla. Pyysin jäljennöstä, mutta sitä ei toimitettu määräajassa.]
5. Yhteydenotot rekisterinpitäjään
Pyysin [päivämäärä] [mitä]. Rekisterinpitäjä [vastasi / ei vastannut] [päivämäärä]. Vastauksessa [kieltäydyttiin, koska …].
6. Pyyntöni viranomaiselle
Pyydän, että tietosuojavaltuutettu tutkii asian ja määrää rekisterinpitäjän [toteuttamaan pyyntöni / lopettamaan käsittelyn / korjaamaan menettelynsä].
7. Liitteet
- kopio pyynnöstäni [päivämäärä]
- kopio rekisterinpitäjän vastauksesta [päivämäärä]
- kuvakaappaukset: [mitä kuvakaappaukset näyttävät]
Päiväys ja allekirjoitus: [päivämäärä, nimi]Mitä valituksen jälkeen tapahtuu
Toimisto kirjaa asian asianhallintaansa ja antaa sille diaarinumeron. Jos asia koskee omien tietojesi käsittelyä, sinulle ilmoitetaan sen etenemisestä ja ratkaisusta. Tavoitteellinen käsittelyaika on yksi vuosi, ja yksittäisen asian lopullinen kesto riippuu sen laajuudesta ja tarvittavista lisäselvityksistä. Vuosi tuntuu pitkältä, mutta se on syytä tietää etukäteen: valitus ei ole pikaväylä.
Ratkaisu voi olla erilainen kuin odotit. Toimisto voi antaa rekisterinpitäjälle huomautuksen, määrätä sen toteuttamaan pyyntösi, määrätä käsittelyn lopetettavaksi tai saattaa asian seuraamuskollegion ratkaistavaksi, jolloin seurauksena voi olla hallinnollinen seuraamusmaksu. Se voi myös päätyä siihen, ettei toimenpiteisiin ole aihetta, ja perustella ratkaisunsa. Kaikissa tapauksissa saat ratkaisusta tiedon, jos asia on ollut omien tietojesi käsittelyä koskeva.
Jos toimisto ei käsittele valitusta tai ei ilmoita sen etenemisestä kolmen kuukauden kuluessa, asetuksen 78 artikla antaa oikeuden hakea muutosta tuomioistuimelta. Myös toimiston omista päätöksistä voi valittaa hallinto-oikeuteen päätöksen mukana tulevan valitusosoituksen mukaan. Käytännössä tämä tarkoittaa, että valitus ei ole viimeinen sana vaan yksi porras.
Kun valitus koskee tekoälyä
Tekoälylle ei ole omaa tietosuojasääntöä: sama asetus koskee myös tekoälyä käyttävää palvelua. Kolme tilannetta toistuu. Ensimmäinen on se, että palvelu on kerännyt sinusta tietoja ja käyttää niitä koulutusdatana tai mallin hienosäätöön. Toinen on se, että palvelu rakentaa käyttäytymisestäsi profiilin ja käyttää sitä sisällön tai mainosten kohdentamiseen. Kolmas on se, että palvelu tekee sinua koskevan päätöksen automaattisesti – esimerkiksi luottohakemuksen tai työhakemuksen seulonnassa.
Automaattinen päätöksenteko on sallittua vain tietyin edellytyksin: päätös on välttämätön sopimuksen tekemiseksi tai toteuttamiseksi, siitä säädetään laissa tai olet antanut siihen nimenomaisen suostumuksen. Näissäkin tapauksissa sinulla on oikeus vaatia, että päätöksen tekee ihminen, ja oikeus esittää oma kantasi ja riitauttaa päätös. Pyyntö tehdään ensin palvelun tarjoajalle, ja jos se ei vastaa tai kieltäytyy ilman perustetta, asia voi edetä valitukseksi.
Kaksi käytännön neuvoa auttaa tekoälyä koskevassa valituksessa. Kirjoita mahdollisimman konkreettisesti, mistä ominaisuudesta on kyse: palvelun nimi, toiminto, päivä ja se, mitä sinulle tehtiin tai näytettiin. Ja jos palvelu väittää, että tiedot on muutettu tunnistamattomiksi, tarkista väite. Pseudonymisointi eli tietojen korvaaminen koodeilla ei tee tiedoista anonymeja: jos koodiavain on olemassa, kyse on edelleen henkilötiedosta, ja asetus koskee sitä.
Kuusi virhettä, jotka hidastavat valitusta
- Arkaluonteiset tiedot tavallisena sähköpostina. Terveydentilaa tai taloutta koskevat tiedot kuuluvat lomakkeeseen tai Turvaviesti-palveluun, eivät tavalliseen sähköpostiin.
- Valitus ilman yhteydenottoa rekisterinpitäjään. Omia oikeuksia koskevassa asiassa ensimmäinen askel on aina pyyntö suoraan rekisterinpitäjälle.
- Ei päivämääriä. Ilman aikajanaa toimisto ei voi arvioida, ylitettiinkö määräaika. Merkitse ylös, milloin lähetit ja milloin sait vastauksen.
- Monta asiaa samassa valituksessa. Rajaa yksi asia ja yksi rekisterinpitäjä per valitus.
- Rahallisen korvauksen vaatiminen viranomaiselta. Tietosuojavaltuutettu ei määrää vahingonkorvauksia. Sen vaatiminen kuuluu käräjäoikeuteen.
- Todisteiden puuttuminen. Tallenna viestit ja kuvakaappaukset heti, kun ongelma ilmenee. Palvelu voi muuttua tai sulkeutua ennen kuin asiaa käsitellään.
Lähteet
- Euroopan unioni: Yleinen tietosuoja-asetus (EU) 2016/679, 15, 21 ja 77–78 artikla.
- Tietosuojavaltuutetun toimisto: Ilmoitus tietosuojavaltuutetulle, haettu 28.10.2026.
- Tietosuojavaltuutetun toimisto: Kun haluat tarkastaa tietosi, haettu 28.10.2026.
- Tietosuojavaltuutetun toimisto: Kun et halua, että tietojasi käsitellään, haettu 28.10.2026.
- Tietosuojavaltuutetun toimisto: Oletko joutunut automaattisen päätöksenteon kohteeksi?, haettu 28.10.2026.
- Tietosuojavaltuutetun toimisto: Sähköinen asiointi, haettu 28.10.2026.
- Tietosuojavaltuutetun toimisto: Yhteystiedot, haettu 28.10.2026.
- Suomen laki: Tietosuojalaki 1050/2018.
- Kuva: TheDigitalArtist, Gdpr Regulation Laptop, CC0, Wikimedia Commons.
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: alla on kumppanimainoksia ja mainoslinkkejä.
