Tulotietojärjestelmän rekisterinpitäjänä toimii Verohallinnon Tulorekisteriyksikkö (Tulorekisteriyksikkö). Tulorekisteriyksikkö ja Verohallinto ovat kuitenkin yhteisrekisterinpitäjiä tulotietojärjestelmän ylläpidon, teknisen toimivuuden ja tietoturvallisuuden osalta.

Tulorekisteriyksikkö vastaa henkilötietojen ja niihin liittyvien tulotietojen ja muiden tietojen vastaanottamisesta, säilyttämisestä ja luovuttamisesta sekä muista luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus), jäljempänä tietosuoja-asetus, rekisterinpitäjälle säädetyistä velvollisuuksista ja rekisteröidyn oikeuksien toteuttamisesta.

Tulorekisteriyksikkö määrittelee päätöksellään tarkemmin tulorekisteriin tämän lain nojalla talletettavat tiedot. Tulorekisteriyksikkö päättää myös siitä, mitkä tulorekisterin tiedot tiedon käyttäjille tässä laissa tarkoitettuihin käyttötarkoituksiin luovutetaan.

Tulorekisteriin talletetut tiedot poistetaan kymmenen vuoden kuluttua tiedon tallettamisvuotta seuraavan vuoden alusta. Tulorekisteriin talletettu tieto siitä, että rekisteröity on vaatinut henkilötietojen käsittelyn rajoittamista tietosuoja-asetuksen 18 artiklan 1 kohdan nojalla tai että tietosuojavaltuutettu on antanut määräyksen käsittelyn rajoittamisesta, poistetaan kuitenkin, kun käsittelyn rajoittaminen ei ole enää tarpeen.

Jos ilmoitusvelvollinen laiminlyö 6, 8 ja 10–12 §:ssä säädetyn ilmoitusvelvollisuuden eikä laiminlyönti ole vähäinen, Tulorekisteriyksikkö voi velvoittaa ilmoitusvelvollisen täyttämään velvollisuutensa sakon uhalla. Uhkasakko voidaan, jos siihen on erityistä syytä, kohdistaa myös ilmoitusvelvollisen palveluksessa olevaan tai muuhun, joka toimii ilmoitusvelvollisen lukuun.

Uhkasakon tuomitsemisesta päättää Tulorekisteriyksikkö.

Jollei tästä laista muuta johdu, uhkasakkoa koskevaan asiaan sekä muutoksenhakuun uhkasakon asettamista ja maksettavaksi tuomitsemista koskevaan päätökseen sovelletaan uhkasakkolakia (1113/1990).

Tiedot voidaan luovuttaa 13 ja 13 a §:ssä säädettyihin tarkoituksiin sen estämättä, mitä tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohdassa säädetään rekisteröidyn oikeudesta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tieto rekisteröidyn tekemästä vaatimuksesta henkilötietojen käsittelyn rajoittamiseksi talletetaan tulorekisteriin ja luovutetaan 13 ja 13 a §:ssä säädettyihin tarkoituksiin.