Hen­ki­lö­tie­to­jen säi­ly­ty­sa­jat on mää­ri­tet­tä­vä etu­kä­teen – hen­ki­lö­tie­to­jen säi­lyt­tä­mi­nen ”tois­tai­sek­si” voi tul­la kal­liik­si

 Korkein hallinto-oikeus (KHO) antoi kesäkuussa merkittävän tietosuojapäätöksen, joka koskettaa henkilötietoja käsitteleviä organisaatioita ja jonka ydinviesti on selkeä: henkilötietojen säilytysaikoihin ja poistamiskäytäntöihin on kiinnitettävä huomioita jo ennakkoon – ei vasta rekisteröidyn vaatimuksesta.

Tausta: Tapaus Verkkokauppa.com ja säilytysaikarikkomus

 Korkein hallinto-oikeus antoi 12.6.2026 päätöksen (KHO 2026/1604), jossa se vahvisti Verkkokauppa.com Oyj:lle määrätyn noin 800 000 euron seuraamusmaksun. Rikkomusten taustalla oli yrityksen tapa käsitellä asiakkaiden henkilötietoja ilman ennakkoon määriteltyjä säilytysaikoja. Verkkokauppa.com edellytti asiakkailtaan rekisteröitymistä ennen yksittäisen ostoksen tekemistä. Asiakkaiden henkilötietoja säilytettiin tämän jälkeen toistaiseksi asiakkuuden perusteella – ilman mitään ennakkoon määritettyjä säilytysaikoja tai niiden määrittämiskriteereitä. Käytännössä tietoja kertyi ja niitä säilytettiin niin kauan, kunnes asiakas itse pyysi tai pyytäisi niiden poistamista. 

Mitä KHO ratkaisi?

 KHO vahvisti ratkaisussaan hallinto-oikeuden linjauksen: rekisterinpitäjällä on velvollisuus ennakkoon määritellä henkilötiedoille säilytysajat tai niiden määrittämiskriteerit. Säilytysaikoihin on kiinnitettävä huomiota jo ennen käsittelyn aloittamista. KHO vahvisti 792 639 euron seuraamusmaksun. Maksun suuruuteen vaikutti erityisesti se, että rikkomus oli ollut säännönmukaista, pitkäkestoista ja se oli koskettanut suurta joukkoa rekisteröityjä.

Mitä tämä tarkoittaa organisaatiollesi?

 Ratkaisu on tärkeä muistutus kaikille rekisterinpitäjille. Tietosuoja-asetuksen säilytysaikavelvoite ei täyty sillä, että tiedot poistetaan vasta rekisteröidyn pyynnön perusteella.

Rekisterinpitäjien on kiinnitettävä erityistä huomiota ainakin seuraaviin seikkoihin:

• Säilytysajat tai niiden määrittämisen kriteerit sekä säilyttämiseen ja/tai poistamiseen liittyvät käytännöt on kirjallisesti dokumentoitava ennen käsittelyn aloittamista.
• Asiakkuuden kesto ei yksinään riitä perusteeksi jatkaa säilyttämistä – säilyttämisessä tulee huomioida käsittelyn tarkoitukset ja tarkoituskohtaisesti määrittää säilyttämiselle takaraja.
• Säilytysaikojen noudattamista on seurattava ja tietoja on poistettava aktiivisesti, kun säilytysaika on kulunut umpeen.
• Mitä enemmän säilytettäviä henkilötietoja on, sitä isompi riski käsittelyyn liittyy.

 "Korkeimman hallinto-oikeuden ratkaisu viimeistään vahvistaa sen, että henkilötietojen säilytysaikoihin on kiinnitettävä dokumentoidusti huomiota jo ennakolta. Henkilötietojen säilyttämisen päättymistä ei voi jättää pelkästään asiakkaan vastuulle eikä säilytysaikaa voi sitoa pelkästään asiakkuuden kestoon ilman selkeää takarajaa. On rekisterinpitäjänä toimivan vastuulla määrittää säilyttämiseen liittyvät käytännöt ja säilytysajat etukäteen sekä huomioida nämä käytännöt myös prosesseissa."– Aaro Kuusikoski, tietosuojajuristi, Lecklé

Tiedättekö teidän organisaatiossanne, kuinka kauan mm. asiakkaidenne, työntekijöidenne ja työnhakijoidenne tietoja tällä hetkellä säilytetään ja miksi juuri niin kauan? Jos organisaatiossanne ei ole vielä kartoitettu säilytysaikoja tai niiden dokumentointi kaipaa päivitystä, nyt on hyvä hetki toimia.

Lecklé suorittaa tietosuojakartoituksia, joissa käymme läpi mm. organisaation keskeiset henkilötietoryhmät, nykyiset henkilötietojen säilytysajat, säilytys- ja poistokäytännöt sekä arvioimme mahdollisia tietosuojapuutteita. Annamme kartoituksen perusteella toimenpidesuositukset sekä toteutamme tarvittavat dokumentointitoimenpiteet. Jos haluatte tietää, täyttävätkö organisaationne nykyiset säilytyskäytännöt KHO:n ratkaisussa vahvistetut vaatimukset, ota yhteyttä Lecklén tietosuoja-asiantuntijoihin.

Aaro Kuusikoski 

tietosuojajuristi