Henkilötietoja kerättäessä, talletettaessa, käytettäessä ja luovutettaessa on henkilön yksityisyyden sekä hänen etujensa ja oikeuksiensa suojelemiseksi, valtion turvallisuuden varmistamiseksi samoin kuin hyvän rekisteritavan toteuttamiseksi noudatettava, mitä tässä laissa säädetään, jollei laissa ole toisin säädetty.

Tämä laki ei koske henkilötietojen keräämistä, tallettamista tai käyttöä yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin.

Tämä laki ei aiheuta muutosta oikeuteen julkaista painokirjoituksia.

Rekisterinpitäjän on henkilötietoja kerättäessä, talletettaessa, käytettäessä ja luovutettaessa noudatettava huolellisuutta ja hyvää rekisteritapaa sekä toimittava muutoinkin niin, ettei rekisteröidyn yksityisyyden suojaa taikka hänen etujaan tai oikeuksiaan perusteettomasti loukata ja ettei valtion turvallisuutta vaaranneta. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun tai jolle rekisterinpitäjä on luovuttanut henkilötietoja.

Henkilörekisterin käytön tulee olla asiallisesti perusteltu rekisterinpitäjän toiminnan ja hallinnon kannalta. Henkilörekisterin käyttötarkoitus sekä se, mistä talletettavat henkilötiedot säännönmukaisesti hankitaan (säännönmukaiset tietolähteet) ja mihin talletettuja henkilötietoja säännönmukaisesti luovutetaan (säännönmukainen tietojen luovutus), on määriteltävä ennen rekisteriin talletettaviksi aiottujen henkilötietojen keräämistä tai, jos henkilötiedot sisältyvät rekisterinpitäjän tavanomaisen toiminnan seurauksena syntyneisiin asiakirjoihin, ennen henkilötietojen järjestämistä henkilörekisteriksi.

Rekisterin käyttötarkoitus tulee määritellä siten, että siitä ilmenee, minkälaisten rekisterinpitäjän tehtävien hoitamiseksi henkilörekisteriä pidetään. Samaan henkilörekisteriin luetaan kuuluviksi teknisesti erikseen pidetyt henkilörekisterit, jos niitä käytetään saman tehtävän hoitamiseksi.

Henkilörekisterin käyttötarkoitus sekä säännönmukaiset tietojensiirrot voidaan myöhemmin määritellä uudelleen, jos se on muuttuneiden olosuhteiden vuoksi tarpeen eikä näin määritelty käyttötarkoitus olennaisesti poikkea alkuperäisestä käyttötarkoituksesta.

Henkilörekisteriin merkittäviksi saa kerätä ja rekisteriin tallettaa ilman rekisteröidyn suostumusta tai tietosuojalautakunnan lupaa tietoja vain sellaisista henkilöistä, joilla asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi on asiallinen yhteys rekisterinpitäjän toimintaan, jollei rekisterin pitäminen johdu rekisterinpitäjälle säädetystä taikka lain tai asetuksen nojalla määrätystä tehtävästä (yhteysvaatimus).

Henkilörekisteriin saa tallettaa vain sellaisia henkilötietoja, jotka rekisterin käyttötarkoituksen kannalta ovat tarpeellisia (tarpeellisuusvaatimus). Asetuksella voidaan säätää tarkemmin, mitä henkilötietoja tietynlaisiin henkilörekistereihin saa tallettaa.

Konserni tai muu taloudellinen yhteenliittymä saa 1 momentin estämättä kerätä ja tallettaa yhteiseen henkilörekisteriin henkilötietoja yhteenliittymään kuuluvien yksiköiden asiakkaista tai työntekijöistä, jollei salassapitosäännöksistä muuta johdu.

Luottotietotoimintaa sekä suoramainontaa, puhelinmyyntiä ja muuta suoramarkkinointia, osoitepalvelua, mielipide- ja markkinatutkimusta sekä tieteellistä tutkimusta ja tilastointia varten saa 1 momentin estämättä kerätä ja tallettaa henkilötietoja henkilörekisteriin. Tällaisten henkilörekisterien käytöstä sekä niihin talletettavista tiedoista säädetään tarkemmin asetuksella.

Henkilörekisteriin merkittäviksi ei saa kerätä eikä rekisteriin tallettaa arkaluonteisia tietoja.

Rekisterinpitäjän on henkilötietoja henkilörekisteriin talletettaessa säilytettävä selvitys siitä, mistä talletettava tieto on peräisin, jos sen hankinnassa on käytetty muita kuin 4 §:n mukaisesti määriteltyjä säännönmukaisia tietolähteitä.

Rekisterinpitäjän on käyttämällä luotettavia tietolähteitä sekä muutoinkin huolehdittava siitä, ettei henkilörekisteriin merkitä virheellisiä, epätäydellisiä tai vanhentuneita tietoja. Rekisterinpitäjän velvollisuutta arvioitaessa on otettava huomioon henkilörekisterin käyttötarkoitus sekä rekisterin käytön merkitys rekisteröidyn yksityisyyden suojalle sekä hänen eduilleen ja oikeuksilleen.

Rekisterinpitäjän on laadittava automaattisen tietojenkäsittelyn avulla ylläpidettävästä henkilörekisteristä rekisteriseloste, josta ilmenee rekisterin käyttötarkoitus sekä rekisterin tietosisältö. Rekisteriseloste on pidettävä jokaisen nähtävänä rekisterinpitäjän toimipaikassa.

Rekisteriseloste on laadittava ennen henkilörekisteriin talletettaviksi aiottujen tietojen keräämistä tai, jos henkilötiedot sisältyvät rekisterinpitäjän tavanomaisen toiminnan seurauksena syntyneisiin asiakirjoihin, ennen henkilötietojen järjestämistä henkilörekisteriksi.

Rekisterinpitäjän on annettava pyynnöstä tieto sellaisenkin henkilörekisterin käyttötarkoituksesta ja tietojen laadusta, josta ei ole laadittava rekisteriselostetta.

Asetuksella voidaan säätää, että 1 momentissa tarkoitetut tiedot annetaan vain tietosuojavaltuutetulle, jos rekisteriselosteen nähtävillä pito saattaa vaarantaa valtion turvallisuutta taikka suhteita toiseen valtioon tai kansainväliseen järjestöön taikka haitata rikosten ehkäisemistä tai selvittämistä.

Jokaisella on salassapitosäännösten estämättä oikeus tiedon etsimiseksi tarpeelliset seikat ilmoitettuaan saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän on samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan. Rekisterinpitäjä saa periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran sai tarkastettavakseen rekisterin tiedot, on kulunut vähemmän kuin yksi vuosi. Perittävän korvauksen tulee olla kohtuullinen eikä se saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia.

Sen, joka haluaa tarkastaa itseään koskevat tiedot 1 momentissa tarkoitetulla tavalla, on esitettävä tätä tarkoittava pyyntö henkilökohtaisesti rekisterinpitäjän luona tai omakätisesti allekirjoitetulla kirjeellä. Asetuksella säädetään tarkemmin terveydenhuollon henkilörekistereiden tarkastusoikeuden toteuttamisesta.

Jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne 1 momentin 1 ja 2 kohdan mukaan jäävät tarkastusoikeuden ulkopuolelle, on rekisteröidyllä oikeus saada tietää muut hänestä talletetut tiedot.

Asetuksella voidaan säätää, että tarkastusoikeuden ulkopuolelle jäävät sellaiset henkilörekisterit, joissa olevista itseään koskevista tiedoista rekisteröity saa tiedon laissa tai asetuksessa säädetyn menettelyn johdosta tai rekisterinpitäjän toimin.

Luottotietotoimintaa harjoittavan rekisterinpitäjän on ilmoitettava rekisteröidylle tätä koskevan ensimmäisen merkinnän tekemisestä luottotietorekisteriin.

Luottotietotoimintaa harjoittavan rekisterinpitäjän on rekisteröidyn pyynnöstä ilmoitettava, kenelle tai mihin tätä koskevia henkilöluottotietoja on kuuden viimeisen kuukauden aikana luovutettu sekä keneltä tai mistä rekisteröityä koskevat tiedot ovat peräisin. Tarkastusoikeudesta on muutoin voimassa, mitä 11 §:ssä säädetään.

Rekisterinpitäjän on ilman aiheetonta viivytystä varattava rekisteröidylle tilaisuus tutustua 11 §:ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen on annettava pyynnöstä tästä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi tarkastusoikeus on evätty.

Tarkastusoikeuden epäämisen veroisena pidetään sitä, että rekisterinpitäjä ei ole kolmen kuukauden kuluessa pyynnön esittämisestä antanut kirjallista vastausta rekisteröidylle.

Rekisterinpitäjän on huolehdittava siitä, että henkilörekisterissä oleva, rekisterin käyttötarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto ilman aiheetonta viivytystä oikaistaan, poistetaan tai täydennetään (virheen oikaisu), jos on ilmeistä, että tällainen tieto vaarantaa rekisteröidyn yksityisyyden suojaa taikka hänen etujaan tai oikeuksiaan. Rekisteröidyn perustellusta vaatimuksesta virhe on aina oikaistava.

Jollei rekisterinpitäjä hyväksy vaatimusta virheen oikaisusta, on hänen annettava asiasta pyynnöstä kirjallinen todistus. Todistuksessa on mainittava myös ne syyt, joiden vuoksi vaatimusta ei ole hyväksytty.

Rekisterinpitäjän on ilmoitettava virheen oikaisusta sille, jolle hän on säännönmukaisessa tietojensiirrossa luovuttanut tai jolta hän on siinä saanut virheellisen henkilötiedon, jos virhe saattaa loukata rekisteröidyn etuja tai oikeuksia. Rekisteröidyn perustellusta vaatimuksesta on virheen oikaisusta aina ilmoitettava sille, jolle rekisterinpitäjä tietää todennäköisesti luovuttaneensa tai jolta hän tietää todennäköisesti saaneensa virheellisen henkilötiedon, sekä rekisteröidyn ilmoittamalle tiedon antajalle tai luovutuksensaajalle.

Henkilörekisterissä olevia henkilötietoja saa käyttää vain siihen tarkoitukseen, joka on määritelty ennen tietojen keräämistä, jollei tämän tai muun lain säännöksestä muuta johdu. Henkilörekisterissä olevia tietoja saa kuitenkin käyttää tilastollisesti rekisterinpitäjän tutkimus- ja suunnittelutoiminnassa.

Joka pyytää käytettäväkseen henkilörekisteriin talletettuja tietoja, on velvollinen antamaan rekisterinpitäjälle selvityksen siitä, mihin pyydettyjä tietoja on tarkoitus käyttää sekä miten tarvittava henkilötietojen suojaus aiotaan järjestää.

Suoramainontaa, puhelinmyyntiä ja muuta suoramarkkinointia sekä osoitepalvelua varten saa muusta kuin arkaluonteisia tietoja sisältävästä henkilörekisteristä luovuttaa henkilötietoja, jollei rekisteröity ole kieltänyt tiedon luovuttamista ja jos on ilmeistä, että rekisteröity tietää henkilötietojen tällaisesta luovuttamisesta. Luovutettavista tiedoista säädetään tarkemmin asetuksella.

Henkilöluottotiedon saa luovuttaa ainoastaan luottotietotoimintaa harjoittavalle rekisterinpitäjälle sekä sille, joka tarvitsee tietoa luoton myöntämistä tai luoton valvontaa varten taikka muuhun tähän verrattavaan tarkoitukseen.

Henkilötietojen luovuttamisena ei pidetä henkilötietojen antamista rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä, postitusta tai muita niihin verrattavia tehtäviä varten taikka henkilötietojen siirtämistä 5§:n 3 momentissa tarkoitettuun yhteiseen rekisteriin taikka sellaisten tietojen luovuttamista, joiden avulla rekisteröity ei ole tunnistettavissa.

Henkilötunnuksen saa 1 momentissa tarkoitetuissa tapauksissa luovuttaa vain, jos luovutuksensaajalla on se jo käytettävissään tai jos hänellä on oikeus saada se rekisteröidyltä itseltään tai väestörekisteristä taikka jos luovutus tapahtuu tieteellistä tutkimusta tai tilastointia tai luottotietotoimintaa varten.

Henkilörekisterien yhdistämisenä ei pidetä samalle rekisterinpitäjälle kuuluvan kahden tai useamman teknisesti erikseen pidetyn henkilörekisterin muodostamista yhdeksi rekisteriksi, jos rekisterit liittyvät saman rekisterinpitäjän ja rekisteröidyn välisen suhteen hallinnointiin ja muodostettava uusi rekisteri täyttää 4-7 §:ssä säädetyt vaatimukset.

Se, jolle henkilötietoja on luovutettu, ei saa käyttää saamiaan henkilötietoja muuhun kuin niitä luovutettaessa määriteltyihin käyttötarkoituksiin. Sama koskee sitä, joka on saanut henkilötiedon rekisterinpitäjän toimeksiannosta suoritettavaa tehtävää varten.

Henkilörekisterissä olevia tai sitä varten kerättyjä henkilötietoja saa massaluovutuksena tai arkaluonteisena otantana luovuttaa ilman tietosuojalautakunnan lupaa taikka rekisteröidyn suostumusta tai toimeksiantoa vain sellaiseen maahan, jonka lainsäädäntö vastaa tämän lain säännöksiä. Näistä maista säädetään tarkemmin asetuksella.

Lupa voidaan myöntää, jos on ilmeistä, että luovutus ei luovutettavien henkilötietojen määrä, laatu ja käyttötarkoitus sekä suoritettavat suojaustoimet huomioon ottaen vaaranna rekisteröidyn yksityisyyden suojaa tai loukkaa hänen etujaan tai oikeuksiaan taikka vaaranna valtion turvallisuutta.

Henkilötietoja saa luovuttaa rekisterinpitäjän toimeksiannosta tapahtuvaa tietojenkäsittelyä ja postitusta varten toiseen valtioon, jos henkilötietojen luovutus ja käyttö ei vaaranna rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan taikka valtion turvallisuutta.

Rekisteröidyllä on oikeus kieltää rekisterinpitäjää käyttämästä tai luovuttamasta häntä itseään koskevia tietoja suoramainontaan, puhelinmyyntiin ja muuhun suoramarkkinointiin, osoitepalveluun sekä markkina- ja mielipidetutkimukseen.

Sen, joka on hankkinut rekisteröidyn henkilöluottotietoja käytettäviksi rekisteröityä koskevaa päätöksentekoa varten, on ilmoitettava rekisteröidylle luottotietojen käytöstä päätöksenteossa sekä siitä, mistä rekisteristä luottotiedot ovat peräisin, jos luoton epääminen tai muu rekisteröidylle kielteinen päätös pääasiallisesti johtuu saaduista luottotiedoista.

Suoramainoksessa, puhelinmyynnissä ja muussa suoramarkkinoinnissa sekä markkina- ja mielipidetutkimuksen kyselyssä, jota varten henkilön nimi- ja osoitetiedot on hankittu henkilörekisteristä, on ilmoitettava tiedonhankinnassa käytetyn henkilörekisterin nimi, rekisterinpitäjä ja tämän osoite.

Tietojen säilyttäminen ei ole tarpeen 1 momentissa tarkoitetulla tavalla, kun tietoja luovutetaan 4 §:n mukaisesti määriteltynä säännönmukaisena tietojen luovutuksena. Tiedot luovutuksesta on kuitenkin aina säilytettävä, kun kysymys on sellaisesta henkilörekisteristä, jota ylläpidetään elinkeinona harjoitettavaa henkilötietojen edelleen luovutusta varten.

Rekisterinpitäjän on huolehdittava siitä, että henkilörekisteri ja sen tiedot on asianmukaisesti suojattu luvatonta käsittelyä, käyttöä, tuhoamista ja muuttamista sekä anastusta vastaan. Sama velvollisuus on sillä, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun tai jolle rekisterinpitäjä on luovuttanut henkilötietoja massaluovutuksena tai arkaluonteisena otantana.

Jos henkilörekisteri ei ole enää rekisterinpitäjän toiminnan kannalta tarpeellinen, rekisteri on hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei sitä siirretä arkistoitavaksi siten kuin asetuksella tarkemmin säädetään.

Arkistoviranomaisten haltuun siirrettyjen henkilörekistereiden käytöstä ja suojaamisesta sekä niissä olevien tietojen luovuttamisesta on voimassa, mitä erikseen on säädetty. Arkistoviranomaisen on kuitenkin henkilötietoja yksityisistä henkilörekistereistä luovutettaessa otettava huomioon, mitä tässä laissa on henkilötietojen luovuttamisesta säädetty, jollei se henkilörekisteriin talletettujen tietojen ikä ja laatu huomioon ottaen ole rekisteröityjen yksityisyyden suojan vuoksi ilmeisen tarpeetonta.

Tietosuojavaltuutettu valvoo henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista tämän lain tavoitteiden toteuttamiseksi.

Tietosuojalautakunta käyttää päätösvaltaa tietosuoja-asioissa siten kuin tässä laissa säädetään.

Tietosuojavaltuutetun toimistosta sekä tietosuojalautakunnan kokoonpanosta ja asian käsittelystä lautakunnassa säädetään tietosuojalautakunnasta ja tietosuojavaltuutetusta annetussa laissa (474/87).

Joka harjoittaa luottotietotoimintaa taikka elinkeinona harjoittaa perimistoimintaa tai markkinointi- tai mielipidetutkimusta taikka hoitaa toisen lukuun henkilöstön valintaan ja soveltuvuuden arviointiin liittyviä tehtäviä tai tietojenkäsittelytehtäviä ja tässä toiminnassa käyttää tai käsittelee henkilörekistereitä ja niissä olevia tietoja, on velvollinen tekemään ilmoituksen toiminnastaan tietosuojavaltuutetulle.

Ilmoitus on tehtävä riittävän ajoissa, kuitenkin viimeistään kuukausi ennen henkilörekisteriin talletettaviksi aiottujen henkilötietojen keräämistä taikka toiminnan aloittamista taikka muuhun ilmoitusvelvollisuuden aiheuttavaan toimenpiteeseen ryhtymistä. Jos henkilörekisteri, josta aikaisemmin ei ole ollut velvollisuutta tehdä ilmoitusta, muutetaan sellaiseksi, että siitä on tehtävä ilmoitus, ilmoitus on tehtävä kuukausi ennen muutetun rekisterin käyttöönottoa.

Asetuksella voidaan säätää sellaisia poikkeuksia ilmoitusvelvollisuudesta, jotka eivät vaaranna mahdollisuuksia ohjata rekisteritoimintaa tämän lain tavoitteiden toteuttamiseksi.

Rekisterinpitäjä on velvollinen salassapitosäännösten estämättä antamaan tietosuojavaltuutetulle tämän pyytämät henkilötietojen keräämisen, tallettamisen, tarkastamisen, käytön ja luovuttamisen lainmukaisuuden valvontaa varten tarpeelliset tiedot henkilörekisteristä ja sen käytöstä.

Rekisterinpitäjät ovat velvollisia antamaan tietosuojavaltuutetulle henkilörekistereitä koskevia selvityksiä siten kuin asetuksella tarkemmin säädetään.

Tietosuojavaltuutetulla on oikeus tarkastaa henkilörekistereitä ja käyttää tarkastuksessa tietosuojalautakunnan hyväksymiä asiantuntijoita.

Tarkastuksen toimittamista varten tietosuojavaltuutetulla ja asiantuntijalla on oikeus päästä sellaisiin rekisterinpitäjän tai hänen toimeksiannostaan toimivan hallussa oleviin huoneistoihin, joissa henkilötietoja käsitellään tai henkilörekistereitä pidetään, sekä saada käytettävikseen tarkastuksen toimittamisessa tarvittavat tiedot ja laitteet.

Tarkastus on toimitettava niin, että siitä ei aiheudu rekisterinpitäjälle tarpeettomasti haittaa ja kustannuksia.

Tietosuojavaltuutettu voi antaa tarkempia ohjeita siitä, milloin henkilötietoja voidaan 19 §:n nojalla luovuttaa ja henkilörekistereitä 20 §:n nojalla yhdistää ilman tietosuojalautakunnan lupaa, sekä siitä, miten henkilörekisterit on suojattava ulkopuoliselta käytöltä.

Havaitessaan henkilötietojen keräämisen tai tallettamisen taikka henkilörekisterissä olevien tietojen käytön tai luovuttamisen olevan lainvastaista, tietosuojavaltuutetun on pyrittävä saamaan asianomainen vapaaehtoisesti muuttamaan menettelyään. Tarvittaessa tietosuojavaltuutetun on saatettava asia tietosuojalautakunnan käsiteltäväksi taikka ilmoitettava se syytteeseenpanoa varten.

Tietosuojavaltuutettu voi rekisteröidyn hakemuksesta antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta ja rekisterissä olevan virheen oikaisusta. Määräys raukeaa, jos rekisterinpitäjä asetetussa määräajassa ilmoittaa kirjallisesti tai suullisesti tietosuoja-valtuutetun toimistoon vastustavansa määräyksen antamista. Edellä tarkoitetun määräajan tulee olla vähintään kahdeksan päivää määräyksen tiedoksi saamisesta.

Jos joku kerää ja tallettaa tietoja henkilörekisteriin, käyttää henkilörekisteriä tai luovuttaa siitä henkilötietoja tai ryhtyy muuhun toimenpiteeseen vastoin tämän lain tai sen nojalla annettuja säännöksiä tai määräyksiä taikka laiminlyö sanottujen säännösten ja määräysten mukaisen velvollisuutensa taikka jos tietosuojavaltuutetun antama määräys on rauennut 1 momentissa tarkoitetussa tapauksessa, tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta velvoittaa asianomaisen määräajassa oikaisemaan sen, mitä oikeudettomasti on tehty tai laiminlyöty. Rekisteröity voi saattaa hakemuksella tietosuojalautakunnan käsiteltäväksi tarkastusoikeuden toteuttamista tai virheen oikaisua koskevan asian, jos tietosuojavaltuutettu on päättänyt olla antamatta rekisterinpitäjälle määräystä taikka on kieltäytynyt saattamasta asiaa tietosuojalautakunnan käsiteltäväksi.

Tietosuojalautakunta voi kieltää lainvastaisen henkilötietojen keräämisen, tallettamisen, käytön ja luovuttamisen. Jos lainvastaiset toimet tai laiminlyönnit huomattavasti vaarantavat rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan taikka vaarantavat valtion turvallisuutta, tietosuojalautakunta voi määrätä rekisteritoiminnan lopetettavaksi, jollei rekisteristä ole laissa säädetty.

Tietosuojavaltuutettu voi asettaa 31 §:n mukaisen tietojenantovelvollisuuden ja 35 §:n nojalla antamansa määräyksen tehosteeksi uhkasakon. Tietosuojalautakunta voi asettaa velvoittamis- tai kieltopäätöksen tehosteeksi uhkasakon. Uhkasakon määrää maksettavaksi tietosuojalautakunta.

Tietosuojalautakunta voi antaa 5, 7, 19 ja 20§:ssä taikka yleisten asiakirjain julkisuudesta annetun lain 18 a§:ssä tarkoitetun luvan taikka luvan poiketa tämän lain tai sen nojalla annetun asetuksen säännöksistä, jos tähän on painava syy ja rekisteröidyn yksityisyyden sekä hänen etujensa ja oikeuksiensa ja valtion turvallisuuden vaarantuminen voidaan estää.

Lupa voidaan antaa määräajaksi tai toistaiseksi ja siihen on liitettävä rekisteröidyn yksityisyyden suojan sekä hänen etujensa ja oikeuksiensa samoin kuin valtion turvallisuuden suojaamiseksi tarpeelliset määräykset.

Tietosuojalautakunta voi tietosuojavaltuutetun tai luvan saajan hakemuksesta muuttaa tai täydentää 2 momentissa tarkoitettuja määräyksiä, jos se muuttuneiden olosuhteiden vuoksi on tarpeen. Lupa voidaan peruuttaa, milloin syytä siihen harkitaan olevan.

Tietosuojalautakunnan 22 tai 35-37§:n nojalla tekemään päätökseen haetaan muutosta valittamalla korkeimpaan hallinto-oikeuteen noudattaen, mitä muutoksenhausta hallintoasioissa annetussa laissa (154/50) on säädetty. Tietosuojavaltuutettu voi hakea muutosta tietosuojalautakunnan 22 tai 37§:n nojalla tekemään päätökseen.

Tietosuojalautakunnan 35 ja 36 §:n nojalla tekemässä päätöksessä voidaan määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei valitusviranomainen toisin määrää.

Rekisterinpitäjä ei postilähetyksissä saa näkyvästi käyttää henkilön henkilötunnusta taikka vastaanottajan henkilökohtaisia oloja koskevia tai 24 §:n 2 momentissa tarkoitettuja tietoja.

Joka henkilötietoja kerättäessä, talletettaessa, käytettäessä tai luovutettaessa on saanut tietää jotakin toisen henkilökohtaisista oloista tai taloudellisesta asemasta, ei saa tämän lain vastaisesti sivulliselle ilmaista näin saamiaan tietoja.

Rekisterinpitäjä on velvollinen korvaamaan sen taloudellisen vahingon, joka rekisteröidylle on aiheutunut virheellisen tiedon käytöstä tai luovutuksesta taikka siitä, että tiedon käyttö tai luovutus on ollut lainvastaista. Korvaus on tällöin suoritettava myös kärsimyksistä, jollei niitä ole pidettävä vähäisinä. Muutoin vahingonkorvausvelvollisuudesta on voimassa, mitä vahingonkorvauslain (412/74) 2 luvun 2 ja 3 §:ssä, 3 luvun 4 ja 6 §:ssä sekä 4, 6 ja 7 luvussa säädetään.

ja siten loukkaa rekisteröidyn yksityisyyden suojaa taikka aiheuttaa hänelle muuta vahinkoa tai olennaista haittaa, on tuomittava henkilörekisteririkoksesta sakkoon tai vankeuteen enintään yhdeksi vuodeksi.

ja siten vaarantaa rekisteröidyn yksityisyyden suojaa tai hänen oikeuksiaan, on tuomittava, jollei rikkomuksesta ole muualla laissa säädetty ankarampaa rangaistusta, henkilörekisteririkkomuksesta sakkoon.

Henkilörekisteririkkomuksesta on tuomittava myös se, joka törkeästä huolimattomuudesta syyllistyy 43 §:ssä tarkoitettuun tekoon.

Joka käyttämällä hänelle kuulumatonta käyttäjätunnusta tai muulla petollisella toimella läpäisee tunnistuskontrollin tai vastaavan turvajärjestelyn ja siten oikeudettomasti tunkeutuu automaattisen tietojenkäsittelyn avulla ylläpidettyyn henkilörekisteriin, on tuomittava henkilörekisteriin tunkeutumisesta sakkoon tai vankeuteen enintään kuudeksi kuukaudeksi.

Joka 41 §:n vastaisesti ilmaisee sivulliselle henkilörekisteriin talletettuja tai sitä varten kerättyjä henkilötietoja, on tuomittava henkilörekisteriä koskevan salassapitovelvollisuuden rikkomisesta sakkoon tai vankeuteen enintään kuudeksi kuukaudeksi.

Virallisen syyttäjän on ennen 43-46§:ssä tarkoitettua tekoa koskevan syytteen nostamista kuultava tietosuojavaltuutettua. Tuomioistuimen on tällaista asiaa käsitellessään varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi.

Tarkemmat säännökset tämän lain täytäntöönpanosta annetaan asetuksella.

Tämä laki tulee voimaan 1 päivänä tammikuuta 1988.

Ennen tämän lain voimaantuloa annetussa asetuksessa olevia säännöksiä henkilötietojen keräämisestä, tallettamisesta, käytöstä ja luovuttamisesta noudatetaan kuitenkin tämän lain vastaavien säännösten sijasta.

Tämän lain 42 §:n säännöksiä on sovellettava sellaisiin vahinkoihin, jotka ovat sattuneet lain voimaantulon jälkeen.

Henkilörekisteri, joka on otettu käyttöön ennen tämän lain voimaantuloa, on saatettava tämän lain mukaiseen kuntoon vuoden kuluessa lain voimaantulosta, jollei jäljempänä ole toisin säädetty. Jos tällaisen henkilörekisterin pitäminen edellyttää tämän lain mukaista lupaa, lupahakemus on tehtävä kuuden kuukauden kuluessa lain voimaantulosta.

Lain 30 §:n 1 momentin 3 kohdassa ja 2 momentissa tarkoitettu ilmoitus on tehtävä kuuden kuukauden kuluessa lain voimaantulosta ja lain 30 §:n 1 momentin 1 ja 2 kohdassa tarkoitettu ilmoitus vuoden kuluessa lain voimaantulosta.

Luottotietotoimintaa harjoittavan rekisterinpitäjän on tehtävä 13§:n 1 momentissa tarkoitettu ilmoitus rekisterissä olevista henkilötiedoista kahden vuoden kuluessa lain voimaantulosta. Jos luottotietotoimintaa varten aikaisemmin manuaalisesti ylläpidetty henkilörekisteri järjestetään automaattisen tietojenkäsittelyn avulla ylläpidettäväksi, saadaan ilmoitus tehdä yksinomaan automaattisen tietojenkäsittelyn avulla ylläpidettyyn rekisteriin otetuista henkilötiedoista, jollei aikaisemman rekisterin perusteella luovuteta henkilöluottotietoja.