Appeals against data protection delays
Acts amending the Data Protection Act and the Act on the Processing of Personal Data in Criminal Matters and in Connection with Maintaining National Security
Citizens will be able to appeal to the administrative court if the Data Protection Ombudsman fails to process a case or inform them of the processing timeframe within three months. In addition, identifying a person solely by their personal identity code and name will be prohibited.
- Status
- Passed with amendments
- Submitted
- 12 Oct 2023
- Latest event
- 12 Dec 2023
- Votes
- 0
- Speeches
- 5
- Confirmed
- 21 Dec 2023
- Statute
- 1225/2023
- Source
- eduskunta.fi ↗
What is proposed
A provision for an appeal against inaction to the administrative court will be added to the Data Protection Act and the Act on the Processing of Personal Data in Criminal Matters if the Data Protection Ombudsman does not handle a complaint or provide an estimate of the date of decision within three months. At the same time, identifying a data subject solely on the basis of a personal identity code or a combination of it and a name will be prohibited, and the Data Protection Ombudsman will be enabled to delegate decision-making power to referendaries in established cases to speed up processing.
What it means
The amendment will improve legal protection for citizens filing data protection complaints and speed up case handling at the Office of the Data Protection Ombudsman. Businesses, organisations and public authorities (such as healthcare and customer service units) will have to review their identification practices, especially in telephone services, to prevent identity theft. The acts are intended to enter into force on 1 January 2024.
How Parliament voted
The bill passed without a vote – no MP proposed rejecting or amending it in plenary.
Debate in the chamber
What was argued and where each group stood, followed by MPs' speeches verbatim from the parliamentary record. Speeches are shown in their original language.
5 speeches · 4 speakers · 1 debate
Key points of the debate
The debate addressed creating a right of appeal in situations where the Data Protection Ombudsman delays the processing of a case, as well as restricting the use of the personal identity code as a sole identification tool. The proposal was completely unanimous, and speakers considered the changes important for citizens' legal protection and the prevention of identity theft. The discussion mainly considered the practical effects of the reform on the smoothness of conducting business over the telephone.
- National Coalition PartyIn favour
The group supported the proposal to strengthen public trust and data protection, while also stressing the need to safeguard the ease of everyday transactions and the operating conditions for crime prevention.
”Uskon niin, että luottamus on suomalaisen yhteiskunnan ehkäpä tärkein käyttöpääoma: kun asioimme, niin voimme luottaa siihen, että asiointi tapahtuu luotettavalla tavalla.”
— Heikki Autto - Finns PartyIn favour
The group supported the proposal because it speeds up case handling, cuts red tape and helps prevent the misuse of personal identity codes.
”Lähtökohtaisesti pidän tätä lakiesitystä siis kohtalaisen hyvänä, ja jäänkin mielenkiinnolla odottamaan, mitä lakivaliokunta lausuu ja hallintovaliokunta miettii.”
— Juho Eerola
This digest was generated by AI from 5 speeches 13 Sep 2026. Group positions are read from the speeches, not from votes; quotations were checked verbatim against the record.
Keskustelu päättyi. Asia lähetettiin hallintovaliokuntaan, jolle lakivaliokunnan on annettava lausunto.
Stages of consideration
The bill's path from the preliminary debate to the decision, as recorded by Parliament.
- 12 Oct 2023Eduskuntakäsittelyn vireilletulo · Oikeusministeriö
- 17 Oct 2023Lähetekeskustelu · Täysistunto
- 29 Nov 2023Valiokunnan mietintö tai lausunto · hallintovaliokunta
- 30 Nov 2023Ensimmäinen käsittely · Täysistunto
- 5 Dec 2023Toinen käsittely · Täysistunto
- 11 Dec 2023Eduskunnan vastaus ja kirjelmä
Decisions by law proposal2
- 1Laki tietosuojalain muuttamisestaHyväksytty muutettuna · 1225/2023 · 21 Dec 2023
- 2Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisestaHyväksytty muutettuna · 1226/2023 · 21 Dec 2023
Proposed law text
The law proposals in the bill as the Government presented them. The final act may differ after committee consideration.
The law text is shown in Finnish or Swedish from Parliament's official documents; it is not translated into English.
1.Laki tietosuojalain muuttamisesta
Eduskunnan päätöksen mukaisesti muutetaan tietosuojalain (1050/2018) 7 §, 21 §:n otsikko, 24 §:n 1 momentin suomenkielinen sanamuoto ja 29 § sekä lisätään 15 §:ään uusi 2 momentti ja 21 §:ään uusi 3 ja 4 momentti seuraavasti:
7 §Rikostuomioihin ja rikoksiin liittyvä käsittely
Tietosuoja-asetuksen 10 artiklassa tarkoitettuihin rikostuomioihin ja rikoksiin tai niihin liittyviin turvaamistoimiin liittyviä henkilötietoja saa käsitellä, jos:
1) käsittely on tarpeen oikeusvaateen selvittämiseksi, laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi; tai
2) tietoja käsitellään 6 §:n 1 momentin 1, 2 tai 7 kohdassa säädetyssä tarkoituksessa.
Mitä 6 §:n 2 momentissa säädetään toimenpiteistä rekisteröidyn oikeuksien suojaamiseksi, sovelletaan myös käsiteltäessä tämän pykälän 1 momentissa tarkoitettuja henkilötietoja.
15 §Tietosuojavaltuutetun päätöksenteko
Tietosuojavaltuutettu voi siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille työjärjestyksellä tarkemmin määrättävissä asioissa, joissa lain soveltamiskäytäntö on vakiintunut ja joissa asian ratkaiseminen ei asian oikeudellisesta luonteesta tai sisällöstä johtuen edellytä esittelyä tietosuojavaltuutetulle. Tietosuojavaltuutetulla on kuitenkin yksittäistapauksessa oikeus ottaa ratkaistavakseen asia, joka muutoin olisi esittelijän ratkaistava.
21 §Oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja passiivisuusvalitus
Tietosuojavaltuutetun on käsiteltävä tietosuoja-asetuksen 77 artiklan nojalla vireille tullut kanteluasia kolmen kuukauden kuluessa sen vireilletulosta tai, jos asia ei ole käsiteltävissä tässä ajassa, ilmoitettava rekisteröidylle tässä ajassa arvio päätöksen antamisajankohdasta.
Jos tietosuojavaltuutettu laiminlyö 3 momentissa tarkoitetun kolmen kuukauden määräajan noudattamisen, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle. Valitus on tehtävä ennen kuin tietosuojavaltuutettu on käsitellyt asian tai on antanut arvion päätöksen antamisajankohdasta. Valituksen katsotaan tässä tapauksessa kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
24 §Hallinnollinen seuraamusmaksu
Tietosuoja-asetuksen 83 artiklassa säädetyn hallinnollisen seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen yhdessä muodostama seuraamuskollegio. Tietosuojavaltuutettu toimii kollegion puheenjohtajana. Apulaistietosuojavaltuutetun ollessa estynyt voi hänen sijaisenaan seuraamuskollegiossa toimia tietosuojavaltuutetun toimiston työjärjestyksessä määrätty esittelijä. Kollegio on päätösvaltainen kolmijäsenisenä.
29 §Henkilötunnuksen käsittely
Henkilötunnusta saa käsitellä rekisteröidyn suostumuksella tai, jos käsittelystä säädetään laissa. Lisäksi henkilötunnusta saa käsitellä, jos rekisteröidyn ja hänen henkilötietojensa yksiselitteinen erottaminen muista rekisteröidyistä ja heidän henkilötiedoistaan (yksilöiminen ) on tärkeää:
1) laissa säädetyn tehtävän suorittamiseksi;
2) rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi; tai
3) historiallista tai tieteellistä tutkimusta taikka tilastointia varten.
Henkilötunnusta saa käsitellä rekisteröidyn yksiselitteiseksi yksilöimiseksi luotonannossa ja saatavan perimisessä, vakuutus-, luottolaitos-, maksupalvelu-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, terveydenhuollossa, sosiaalihuollossa ja muun sosiaaliturvan toteuttamisessa sekä virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa.
Sen lisäksi, mitä henkilötunnuksen käsittelystä 1 ja 2 momentissa säädetään, henkilötunnuksen saa luovuttaa osoitetietojen päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi suoritettavaa tietojenkäsittelyä varten, jos henkilötunnus jo on luovutuksensaajan käytettävissä.
Henkilötunnusta ei tule tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.
Rekisteröidyn henkilöllisyyden selvittämiseen hänen ilmoittamiensa tai toimittamiensa tietojen taikka esittämiensä asiakirjojen avulla (tunnistaminen ) ei saa käyttää yksinomaan henkilötunnusta tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmää.
§
Tämä laki tulee voimaan päivänä kuuta 20 .
Tämän lain 21 §:n 3 ja 4 momenttia ei sovelleta lain voimaan tullessa tietosuojavaltuutetun käsiteltävinä oleviin asioihin.
2.Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta
Eduskunnan päätöksen mukaisesti muutetaan henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018) 12 §, 13 §:n 1 momentti ja 57 § seuraavasti:
12 §Henkilötunnuksen käsittely
Henkilötunnusta saa käsitellä, jos rekisteröidyn ja hänen henkilötietojensa yksiselitteinen erottaminen muista rekisteröidyistä ja heidän henkilötiedoistaan (yksilöiminen ) on tärkeää:
1) toimivaltaisen viranomaisen laissa säädetyn tehtävän suorittamiseksi;
2) rekisteröidyn tai rekisterinpitäjän oikeuksien tai velvollisuuksien toteuttamiseksi; tai
3) 5 §:n 3 momentin mukaista historiallista tai tieteellistä tutkimusta taikka tilastointia varten.
Henkilötunnusta ei saa tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.
Rekisteröidyn henkilöllisyyden selvittämiseen hänen ilmoittamiensa tai toimittamiensa tietojen taikka esittämiensä asiakirjojen avulla (tunnistaminen ) ei saa käyttää yksinomaan henkilötunnusta tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmää.
13 §Automatisoidut yksittäispäätökset
Jollei laissa toisin säädetä, päätöstä ei saa tehdä pelkästään automatisoidun henkilötietojen käsittelyn, kuten profiloinnin perusteella, jos päätöksellä on rekisteröityä koskevia kielteisiä oikeusvaikutuksia tai se on muutoin hänen kannaltaan merkittävä.
57 §Toimenpidepyynnön käsitteleminen ja passiivisuusvalitus
Tietosuojavaltuutetun on käsiteltävä 56 §:n nojalla vireille tullut asia kolmen kuukauden kuluessa sen vireilletulosta tai, jos asia ei ole käsiteltävissä tässä ajassa, ilmoitettava tässä ajassa rekisteröidylle arvio päätöksen antamisajankohdasta. Valtuutetun on myös ilmoitettava asian vireillepanijalle, jos asian käsittely viivästyy tarvittavasta lisäselvityksestä tai muusta syystä johtuen.
Tietosuojavaltuutettu voi keskeyttää asian käsittelyn, jos siihen liittyvä asia on vireillä tuomioistuimessa.
Jos tietosuojavaltuutettu laiminlyö 1 momentissa tarkoitetun kolmen kuukauden määräajan noudattamisen, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle. Valitus on tehtävä ennen kuin tietosuojavaltuutettu on käsitellyt asian tai on antanut arvion päätöksen antamisajankohdasta. Valituksen katsotaan tässä tapauksessa kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
§
Tämä laki tulee voimaan päivänä kuuta 20 .
Tämän lain voimaan tullessa tietosuojavaltuutetun käsiteltävinä oleviin asioihin sovelletaan 57 §:ää sellaisena kuin se oli tämän lain voimaan tullessa.
Main content of the bill (official)
The summary and title were produced with AI on 13 Sep 2026. They are not official documents – check the details in the original bill. The title and summaries are machine translations of the Finnish AI summaries. Speeches and quotations are always shown in their original language.