Tietosuojaseloste ja tietosuojailmoitus: malli yliopistoille ja tutkimushankkeille (2026)

Korkeakoulu informoi opiskelijoita, henkilöstöä, tutkittavia ja verkkopalvelujensa käyttäjiä henkilötietojen käsittelystä. Arkikielessä asiakirjaa kutsutaan tietosuojaselosteeksi, tutkimuksessa yleensä tietosuojailmoitukseksi. Tässä oppaassa käydään läpi, mitä tietosuoja-asetuksen 12–14 artiklassa edellytetään, miten tutkimuksen tietosuojailmoitus eroaa hallinnon selosteesta ja mitkä tieteellisen tutkimuksen poikkeukset todella koskevat informointia. Lopussa on esimerkit, yleisimmät virheet ja ladattava Word-malli.

Julkaistu 7. lokakuuta 2026 · Lähteet tarkistettu 7. lokakuuta 2026

1. Tietosuojaseloste, tietosuojailmoitus ja rekisteriseloste

Suomessa samasta asiakirjasta käytetään useaa nimeä. Tietosuojaseloste on vakiintunut nimitys verkkosivuilla ja hallinnon käsittelytoimissa. Tietosuojailmoitus on yleisin nimitys tutkimuksessa, ja esimerkiksi Tietoarkisto määrittelee sen tutkittaville annettavaksi dokumentiksi henkilötietojen käsittelystä. Oikeudellisesti kummankin tehtävä on sama: toteuttaa rekisteröidyn informointi tietosuoja-asetuksen 13 ja 14 artiklan mukaisesti.

Tietosuojavaltuutetun toimisto toteaa suoraan, ettei tietosuoja-asetuksessa säädetä tietystä muodosta, esimerkiksi selosteesta, jolla tiedot olisi annettava. Verkossa tieto kannattaa toimiston mukaan julkaista yleisesti tunnetulla nimellä, kuten "tietosuoja" tai "tietosuojaseloste", ja erillään muusta informaatiosta.

Rekisteriseloste on eri asia ja historiaa. Henkilötietolain (523/1999) 10 §:n mukaan rekisterinpitäjän oli laadittava henkilörekisteristä seloste, josta ilmeni viisi asiaa: rekisterinpitäjä, käsittelyn tarkoitus, rekisteröityjen ryhmät ja tiedot, säännönmukaiset luovutukset ja siirrot sekä kuvaus rekisterin suojauksen periaatteista. Informoinnista säädettiin erikseen lain 24 §:ssä. Tietosuojalaki (1050/2018) kumosi henkilötietolain 1.1.2019 alkaen.

Vanhasta mallista on jäänyt kaksi tapaa, jotka johtavat yhä harhaan. Ensinnäkin seloste kirjoitetaan "rekisterille" eli järjestelmälle, vaikka asetus lähtee käsittelyn tarkoituksesta. Toiseksi selosteesta puuttuu se, mitä henkilötietolaki ei vaatinut: oikeusperuste, säilytysaika, valitusoikeus ja tietosuojavastaavan yhteystiedot. Tietosuojavaltuutetun toimiston mukaan vanhaa rekisteriselostetta voi käyttää informoinnin suunnittelun pohjana, mutta se ei todennäköisesti vastaa tietosuoja-asetuksen vaatimuksia.

Tietosuojaselostetta ei pidä myöskään sekoittaa selosteeseen käsittelytoimista (30 artikla), joka on rekisterinpitäjän sisäinen kirjanpito, jota ei tarvitse julkaista. Hyvin tehty seloste käsittelytoimista on kuitenkin paras lähtötieto tietosuojaselosteelle. Englanninkielinen ROPA-malli korkeakouluille auttaa sen laatimisessa.

2. Tietosuojaselosteen sisältö: mitä 12–14 artiklassa edellytetään

Muoto ja kieli (12 artikla)

Rekisterinpitäjän on annettava tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä, erityisesti kun tiedot on tarkoitettu lapselle. Tiedot annetaan kirjallisesti tai muulla tavoin, tarvittaessa sähköisesti, ja ne ovat maksuttomia (12 artiklan 1 ja 5 kohta).

Euroopan tietosuojaneuvoston vahvistamissa läpinäkyvyysohjeissa (WP260 rev.01) annetaan käytännön mittari: tietojen on oltava konkreettisia, ei abstrakteja tai monitulkintaisia. Ohjeiden esimerkeissä huonoksi käytännöksi mainitaan muotoilu, jonka mukaan henkilötietoja voidaan käyttää tutkimustarkoituksiin, koska siitä ei selviä, millaisesta tutkimuksesta on kyse. Sama ohje suosittaa verkossa monitasoista eli kerroksellista selostetta, jossa tärkeimmät asiat ovat ensimmäisessä kerroksessa ja yksityiskohdat linkin takana.

Sisältö: mitä on kerrottava

Ratkaiseva kysymys on, mistä tiedot saadaan. Jos ne kerätään rekisteröidyltä itseltään, sovelletaan 13 artiklaa. Jos ne saadaan muualta, sovelletaan 14 artiklaa. Läpinäkyvyysohjeiden mukaan 1 ja 2 kohdan tiedot ovat keskenään samanarvoisia, ja kaikki on annettava.

Alakohtiin kannattaa viitata myös sisällön perusteella, esimerkiksi ”13 artiklan 1 kohta (vastaanottajat)”, jotta viittaus ei mene ristiin eri kieliversioiden kanssa.

Ajankohta

Kun tiedot kerätään rekisteröidyltä, ne on annettava keruuhetkellä (13 artiklan 1 kohta). Kun tiedot saadaan muualta, ne on annettava kohtuullisessa ajassa ja viimeistään kuukauden kuluessa. Jos tietoja käytetään yhteydenottoon, informoidaan viimeistään ensimmäisen yhteydenoton yhteydessä, ja jos tietoja luovutetaan eteenpäin, viimeistään ensimmäisen luovutuksen yhteydessä (14 artiklan 3 kohta). Jos tietoja aiotaan käsitellä uuteen tarkoitukseen, siitä on kerrottava ennen jatkokäsittelyä (13 artiklan 3 kohta ja 14 artiklan 4 kohta).

Milloin informoinnista voi poiketa

Kun tiedot kerätään rekisteröidyltä, ainoa poikkeus on, että hän on jo saanut tiedot (13 artiklan 4 kohta). Tietosuojavaltuutetun toimiston mukaan rekisterinpitäjän on tällöin pystyttävä osoittamaan, että tiedot on todella annettu eivätkä ne ole sen jälkeen muuttuneet. Kun tiedot saadaan muualta, poikkeuksia on 14 artiklan 5 kohdassa enemmän: tiedot on jo annettu, informointi on mahdotonta tai vaatisi kohtuutonta vaivaa, tietojen hankinnasta säädetään laissa tai tietoja koskee lakisääteinen salassapitovelvollisuus. Lisäksi tietosuojalain 33 § sisältää kansallisia rajoitusperusteita, joista korkeakoulun arjessa merkityksellisin on 2 momentti: 14 artiklan 1–4 kohdasta voidaan poiketa, jos tiedon toimittaminen aiheuttaa rekisteröidylle olennaista vahinkoa tai haittaa eikä tietoja käytetä häntä koskevaan päätöksentekoon.

3. Tutkimuksen tietosuojailmoitus

Mitä tieteellisen tutkimuksen erityissäännöt muuttavat

Tietosuoja-asetuksen 89 artiklan 1 kohdan mukaan tieteellisessä tutkimuksessa on käytettävä asianmukaisia suojatoimia, erityisesti tietojen minimointia ja tarvittaessa pseudonymisointia. Jos tarkoitus voidaan täyttää ilman tunnistettavia tietoja, se on täytettävä niin. Artiklan 2 kohta sallii kansallisen lain säätää poikkeuksista 15, 16, 18 ja 21 artiklaan.

Suomessa tämä on toteutettu tietosuojalaissa näin:

• 4 §:n 3 kohta: henkilötietoja saa käsitellä yleisen edun mukaisen tehtävän perusteella (6 artiklan 1 kohdan e alakohta), kun käsittely on tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten ja oikeasuhtaista tavoitteeseen nähden.
• 6 §:n 1 momentin 7 kohta: erityisiä henkilötietoryhmiä saa käsitellä tieteellistä tutkimusta varten, kun rekisterinpitäjä toteuttaa saman pykälän 2 momentin mukaiset asianmukaiset ja erityiset suojatoimet.
• 31 §: pääsy-, oikaisu-, rajoitus- ja vastustamisoikeudesta (15, 16, 18 ja 21 artikla) voidaan tarvittaessa poiketa, jos käsittely perustuu asianmukaiseen tutkimussuunnitelmaan, tutkimuksella on vastuuhenkilö tai siitä vastaava ryhmä ja tietoja käytetään vain tutkimukseen tai muuhun yhteensopivaan tarkoitukseen niin, etteivät tiettyä henkilöä koskevat tiedot paljastu ulkopuolisille. Erityisiä henkilötietoryhmiä ja rikostietoja käsiteltäessä tarvitaan lisäksi vaikutustenarviointi tai käytännesäännöt, ja vaikutustenarviointi on toimitettava tietosuojavaltuutetulle ennen käsittelyä.

Olennaista on se, mitä luettelosta puuttuu: 31 § ei koske 13 tai 14 artiklaa. Informoinnista poikkeaminen tutkimuksessa perustuu suoraan asetuksen 14 artiklan 5 kohdan b alakohtaan, ja se on mahdollista vain, kun tietoja ei kerätä tutkittavalta itseltään. Jyväskylän yliopiston ohje sanoo saman suoraan: jos henkilötiedot kerätään tutkittavalta itseltään, informoinnista ei voi poiketa.

Tietosuojavaltuutetun toimiston ohjeen mukaan kohtuuttoman vaivan arvioinnissa punnitaan vaivaa ja informoimatta jättämisen vaikutuksia rekisteröidylle, ja arviossa on otettava huomioon rekisteröityjen määrä, tietojen ikä ja suojatoimet. Arvio on dokumentoitava. Jos rekisterinpitäjä vetoaa siihen, että informointi estäisi tutkimuksen tarkoitusten saavuttamisen tai vaikeuttaisi sitä suuresti, toimisto edellyttää vaikutustenarviointia. Kaikissa näissä tilanteissa informointivelvoitteen mukaiset tiedot on saatettava julkisesti saataville, esimerkiksi tutkimuksen verkkosivulle.

Oikeuksista poikkeaminen on puolestaan kerrottava tietosuojailmoituksessa etukäteen. Toimiston mukaan rajoitus ei saa tulla tutkittavalle yllätyksenä silloin, kun hän yrittää käyttää oikeuttaan. Vastustamisoikeus on lisäksi esitettävä selkeästi ja muusta tiedotuksesta erillään viimeistään ensimmäisen yhteydenoton yhteydessä (21 artiklan 4 kohta). Tieteellisessä tutkimuksessa vastustamisoikeutta ei 21 artiklan 6 kohdan mukaan ole, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi, mutta tietosuojavaltuutetun toimiston mukaan tietosuojalaki edellyttää tutkimuksessa 31 §:n menettelyä vastustamisoikeuden rajoittamiseen käsittelyperusteesta riippumatta.

Suostumus ja osallistumissuostumus

Tietosuojavaltuutetun toimiston mukaan tutkimuksessa pyydettävä suostumus voi liittyä tutkimusetiikkaan tai esimerkiksi näytteenottoon, eikä se silloin ole henkilötietojen käsittelyperuste. Jyväskylän yliopisto ohjeistaa, ettei tieteellisessä tutkimuksessa tulisi käyttää suostumusta käsittelyperusteena vaan yleistä etua, mutta tutkittavalta tarvitaan eettinen osallistumissuostumus. Helsingin yliopiston lääketieteellisen tiedekunnan ohjeessa todetaan samoin, että yliopiston tutkimuksessa käsittelyperuste on lähtökohtaisesti yleinen etu. Tietosuojailmoituksessa ero on tuotava selvästi esiin, jotta tutkittava ei luule voivansa perua "suostumusta" tavalla, jota käsittelyperuste ei tue.

Näin yliopistot toimivat käytännössä

• Jyväskylän yliopisto julkaisee tieteellisen tutkimuksen tiedotteen ja tietosuojailmoituksen mallipohjat suomeksi, ruotsiksi ja englanniksi (tietosuojailmoituksen pohja päivitetty 04/2026) sekä yksinkertaistetun pohjan esimerkiksi lasten informointiin. Kun yliopisto on rekisterinpitäjä, yhteisrekisterinpitäjä tai käsittelijä, tiedote ja tietosuojailmoitus toimitetaan kirjaamoon ilman tutkittavien henkilötietoja, ja kirjaamo säilyttää ne 15 vuotta.
• Helsingin yliopiston lääketieteellisen tiedekunnan ohjeen mukaan jokaisesta henkilöihin kohdistuvasta yliopiston tutkimushankkeesta tehdään tietosuojailmoitus. Pohja löytyy yliopiston Flamma-palvelusta. Ilmoitus toimii sekä tutkittavien informointina että tutkimuksen dokumentaationa.
• Tietoarkisto on julkaissut opinnäytteille tietosuojailmoituksen malliluonnoksen (10/2019), joka soveltuu vain, kun kaikki henkilötiedot saadaan tutkittavilta itseltään. Aineistonhallinnan käsikirja neuvoo kerroksellista informointia: ensimmäinen kerros, kuten kyselyn saate, ja yksityiskohtainen tietosuojailmoitus linkin takana. Käsikirjan mukaan tutkittaville kerrotaan aina myös arkistoinnista ja jatkokäytöstä.

4. Tietosuojaselosteen esimerkit: neljä tilannetta korkeakoulussa

Validemicin analyysi Alla olevat esimerkit ovat havainnollistuksia, jotka perustuvat edellä mainittuihin säännöksiin ja ohjeisiin. Ne eivät kuvaa minkään yksittäisen korkeakoulun käytäntöä.

Opiskelijahallinto

Opiskeluoikeuksien, ilmoittautumisten ja opintosuoritusten käsittely perustuu pääosin lakiin, joten oikeusperusteena on lakisääteinen velvoite tai yleisen edun mukainen tehtävä, ja ilmoituksessa nimetään säädökset, joihin käsittely perustuu. Opinto- ja tutkintorekistereistä annetun lain (884/2017) 24 §:n mukaan korkeakoulut ovat valtakunnalliseen tietovarantoon tallennettujen omien tietojensa rekisterinpitäjiä. Siksi korkeakoulun selosteessa kerrotaan myös tietojen tallentamisesta valtakunnalliseen tietovarantoon, jonka kautta niitä käytetään lain 23 §:n mukaan esimerkiksi opiskelijavalintapalveluissa. Koska osa tiedoista tulee hakuvaiheesta muualta, 14 artiklan mukaiset tietolähteet on lueteltava. Säilytysajat vaihtelevat tietoryhmittäin. Esimerkiksi saman lain 22 §:n mukaan opiskelijavalintarekisterin tiedot säilytetään viisi vuotta valintapäätöksestä, mutta korkeakoulujen hakurekisteriin sisältyvät opiskelupaikan vastaanottamista koskevat tiedot pysyvästi. Kun käsittely perustuu lakisääteiseen velvoitteeseen tai yleisen edun mukaiseen tehtävään, poisto-oikeus ei 17 artiklan 3 kohdan mukaan sovellu siltä osin kuin käsittely on tähän tarpeen, ja se kannattaa kertoa selvästi.

Kyselytutkimus

Tiedot kerätään vastaajalta, joten sovelletaan 13 artiklaa, ja vastaajaa informoidaan ennen ensimmäistä kysymystä. Toimiva ratkaisu on Tietoarkiston kuvaama kerroksellinen malli: saatteessa rekisterinpitäjä, tarkoitus, oikeudet ja mahdolliset yllättävät asiat, linkin takana koko tietosuojailmoitus. Kyselyalusta on henkilötietojen käsittelijä ja siten vastaanottaja. Jyväskylän yliopiston mallipohjassa käsittelijät, kuten kyselyohjelmiston toimittaja, luetellaan nimeltä. Jos alusta tallentaa IP-osoitteita tai vastaukset voidaan yhdistää henkilökohtaiseen kutsulinkkiin, aineisto sisältää henkilötietoja, eikä kyselyä pidä ilmoituksessa kutsua anonyymiksi.

Haastattelututkimus

Haastattelussa syntyy usein erityisiin henkilötietoryhmiin kuuluvia tietoja silloinkin, kun niitä ei kysytä. Tietosuojailmoitukseen kirjataan siksi myös 9 artiklan poikkeusperuste ja suojatoimet. Tietoarkiston käsikirjan mukaan ulkopuolinen litterointiyritys on henkilötietojen käsittelijä, josta tutkittavaa on informoitava, kun taas rekisterinpitäjän palveluksessa oleva litteroija ei ole. Säilytysaika kannattaa kertoa erikseen tunnisteellisille tallenteille ja pseudonymisoiduille litteraateille. Jos aineisto arkistoidaan, kerrotaan, mihin se luovutetaan, kenelle jatkokäyttöön ja mihin tarkoitukseen.

Verkkopalvelu

Korkeakoulun verkkosivuston, oppimisalustan tai hakulomakkeen seloste on usein ainoa, jonka rekisteröity todella löytää. Läpinäkyvyysohjeiden mukaan selosteeseen pitäisi olla selkeä linkki jokaiselta sivulta yleisesti tunnetulla nimellä, ja kun tietoja kerätään verkossa, linkki tai tiedot kannattaa antaa samalla sivulla, jolla tietoja kerätään. Palvelun analytiikka-, chat- ja upotuspalvelut ovat vastaanottajia, ja jos niiden kautta tietoja siirtyy ETA:n ulkopuolelle, siirroista ja niiden perusteista on kerrottava.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

5. Yleisimmät virheet tietosuojaselosteissa

Validemicin analyysi Luettelo perustuu 12–14 artiklaan, läpinäkyvyysohjeisiin ja edellä mainittuihin viranomaisten ja yliopistojen ohjeisiin. Se ei kuvaa minkään yksittäisen organisaation selostetta.

1. Rekisteriselosteen rakenne. Seloste on kirjoitettu järjestelmälle eikä tarkoitukselle, ja siitä puuttuvat oikeusperuste, säilytysaika ja valitusoikeus.
2. Yksi peruste kaikelle. Useat tarkoitukset niputetaan saman oikeusperusteen alle, tai suostumus mainitaan, vaikka käsittely perustuu yleiseen etuun.
3. Epämääräinen tarkoitus. "Tietoja voidaan käyttää tutkimukseen ja kehittämiseen" ei kerro, mihin tietoja käytetään.
4. Käsittelijät puuttuvat. Pilvipalvelut, kyselyalustat ja litterointipalvelut jätetään mainitsematta, vaikka ne ovat vastaanottajia. Ilmoitus ei silloin myöskään vastaa sitä, mitä toimittajan käsittelysopimuksessa on sovittu alikäsittelijöistä ja siirroista.
5. Säilytysaika "tarpeen mukaan". Tietoarkiston mukaan säilytysajan sitomista yleisesti tutkimushankkeen kestoon ilman tarkempia kriteereitä on syytä välttää.
6. Kaikki oikeudet luetellaan aina. Siirto-oikeus mainitaan, vaikka käsittely perustuu yleisen edun mukaiseen tehtävään, tai tutkimuksen poikkeuksia ei kerrota etukäteen.
7. 14 artikla unohtuu. Yhteystiedot saadaan yhteistyökumppanilta tai rekisteristä, mutta tietolähdettä ja tietoryhmiä ei kerrota eikä kuukauden määräaikaa suunnitella.
8. Ristiriitaiset asiakirjat. Tiedote, osallistumissuostumus ja tietosuojailmoitus kertovat arkistoinnista tai säilytyksestä eri asioita.
9. Muutokset vain verkkoon. Läpinäkyvyysohjeiden mukaan esimerkiksi tarkoituksen tai rekisterinpitäjän muutoksesta on aina ilmoitettava rekisteröidyille tavalla, jonka he todella huomaavat.

6. Tietosuojaselosteen malli (Word)

Mallissa on kaksi osaa. Osa A on yleinen tietosuojailmoitus, joka kattaa 13 ja 14 artiklan tiedot hallinnon käsittelytoimille, verkkopalveluille ja tutkimukselle. Osa B sisältää tieteellisen tutkimuksen lisäkohdat: vastuullinen johtaja, oikeusperuste, erityiset henkilötietoryhmät, arkistointi ja jatkokäyttö sekä mahdollinen poikkeaminen oikeuksista. Lopussa on tarkistuslista. Täytettävät kohdat on merkitty hakasulkeisiin.

Lataa tietosuojaselosteen malli (Word, .docx)

Malli ei ole oikeudellista neuvontaa. Jos korkeakoulullanne on oma tietosuojailmoituksen pohja, kuten monilla yliopistoilla tutkimukseen, käyttäkää ensisijaisesti sitä ja tätä mallia tarkistuslistana. Erityislainsäädäntöä, kuten lääketieteellistä tutkimusta tai sosiaali- ja terveystietojen toissijaista käyttöä koskevia säännöksiä, malli ei kata. Tarkistuttakaa ilmoitus tietosuojavastaavalla ennen käyttöä.

7. Lähteet

1. Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus), johdanto-osan 60–62 kappale sekä 6, 9, 12–14, 17, 20, 21, 77 ja 89 artikla. EUR-Lex, suomenkielinen teksti (haettu 7.10.2026).
2. Tietosuojalaki (1050/2018), 4, 6, 31 ja 33 § sekä voimaantulosäännös. Finlex (haettu 7.10.2026).
3. Henkilötietolaki (523/1999), 10 ja 24 §, kumottu 1.1.2019. Finlex (haettu 7.10.2026).
4. Laki valtakunnallisista opinto- ja tutkintorekistereistä (884/2017), 22–24 §. Finlex (haettu 7.10.2026).
5. Tietosuojavaltuutetun toimisto: Kerro käsittelystä rekisteröidylle (haettu 7.10.2026).
6. Tietosuojavaltuutetun toimisto: Tieteellinen tutkimus ja tietosuoja (haettu 7.10.2026).
7. Tietosuojavaltuutetun toimisto: Rekisteröidyn oikeudet tieteellisessä tutkimuksessa (haettu 7.10.2026).
8. Tietosuojavaltuutetun toimisto: Henkilötietojen käsittelyperusteen valinta ja lainmukaisuuden varmistaminen tieteellisessä tutkimuksessa ja Usein kysyttyä tieteellisestä tutkimuksesta (haettu 7.10.2026).
9. Tietosuojatyöryhmä: Läpinäkyvyyttä koskevat suuntaviivat asetuksen 2016/679 mukaisesti, WP260 rev.01, erit. kohdat 11, 12, 23, 29 ja 35–37, suomenkielinen versio. Euroopan tietosuojaneuvoston vahvistus: Endorsed WP29 Guidelines (haettu 7.10.2026).
10. Tietoarkisto: Informointi henkilötietojen käsittelystä, Aineistonhallinnan käsikirja (haettu 7.10.2026).
11. Tietoarkisto: Tietosuojailmoituksen malliluonnos opinnäytteille (10/2019) (haettu 7.10.2026).
12. Jyväskylän yliopisto: Rekisteröidyn informointi henkilötietojen käsittelystä ja tieteellisen tutkimuksen tietosuojailmoituksen mallipohja (04/2026) (haettu 7.10.2026).
13. Helsingin yliopisto, lääketieteellinen tiedekunta: Tutkimuksen tietosuoja (haettu 7.10.2026).

Tietoa oppaasta

Opas on julkaistu 7.10.2026, ja kaikki lähteet on haettu ja luettu samana päivänä. Lainsäädäntö on luettu EUR-Lexin suomenkielisestä versiosta ja Finlexistä. Viranomaisten, Tietoarkiston ja yliopistojen käytännöt on tiivistetty niiden omista julkaisuista, ja Validemicin oma tulkinta on merkitty erikseen. Opas kuvaa julkisia lähteitä eikä ole oikeudellista neuvontaa.

Jos huomaat oppaassa virheen tai vanhentuneen tiedon, ota yhteyttä, niin korjaamme sen. Validemicin on rakentanut ruotsalainen Avidemic AB.