4.1 Dataombudsmannens korrigerande befogenheter

4.2 Straffrättsligt tjänsteansvar

4.3 Skadeståndsansvar

4.4 Avtalsbaserat ansvar

4.5 Den högsta laglighetsövervakningen

4.6 Övriga ansvar och påföljder

Behandling av personuppgifter medför olika ansvarsområden och påföljder som särskilt förknippas med rollen som personuppgiftsansvarig.

4.1 Dataombudsmannens korrigerande befogenheter

Om dataombudsmannen konstaterar att kraven enligt dataskyddslagstiftningen inte iakttas vid behandlingen av personuppgifter kan dataombudsmannen utöva de korrigerande befogenheter som föreskrivs i artikel 58 i dataskyddsförordningen. Sådana är till exempel 

• varning
• reprimand
• föreläggande om att se till att behandlingen av personuppgifter sker i enlighet med dataskyddslagstiftningen
• förbud mot eller begränsning av behandling
• föreläggande om att tillmötesgå den registrerades rättigheter
• föreläggande om att meddela den registrerade om en personuppgiftsincident
• administrativ påföljdsavgift

Enligt 24 § i dataskyddslagen (1050/2018) kan påföljdsavgifter inte påföras myndigheter, såsom kommuner. Administrativa påföljdsavgifter grundar sig på den direkt tillämpliga dataskyddsförordningen, men förordningen ger medlemsstaterna prövningsrätt i fråga om huruvida ansvaret för påföljdsavgifter ska omfatta myndigheter. I Finland har detta nationella handlingsutrymme använts så att myndigheterna inte omfattas av ansvaret för påföljdsavgifter. I regeringens proposition 46/2026 med förslag till ändring av påföljdsbestämmelserna i dataskyddslagen och lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten har det dock föreslagits att påföljdsavgifter ska kunna påföras myndigheter. Behandlingen av regeringens proposition pågår i riksdagen när denna anvisning skrivs.

4.2 Straffrättsligt tjänsteansvar

Enligt 2 § 3 mom. i grundlagen ska all utövning av offentlig makt bygga på lag och lag ska iakttas noggrant i all offentlig verksamhet. Denna princip om förvaltningens lagenlighet är kopplad till det ansvar för ämbetsåtgärder som föreskrivs i 118 § i grundlagen. I en kommun sköter tjänsteinnehavare och förtroendevalda sina uppgifter under tjänsteansvar och ansvarar för att verksamheten är lagenlig. Tjänsteinnehavare ska känna till regleringen som gäller deras område. Chefer har i allmänhet ett bredare ansvarsområde, eftersom de på grund av sin ställning har större möjligheter att påverka att skyldigheterna enligt dataskyddslagstiftningen iakttas.  

Mera information: 

• Justitieministeriet: Viranomaisia koskevat seuraamukset tietosuojalainsäädännön rikkomisesta, Oikeusministeriön julkaisuja, Selvityksiä ja ohjeita 2024:28
• Statsrådet: Virkavastuu julkishallinnon muuttuvassa toimintaympäristössä, Valtioneuvoston selvitys- ja tutkimustoiminnan julkaisusarja 2022:14

4.3 Skadeståndsansvar

Enligt artikel 82.1 i dataskyddsförordningen har en person som har lidit materiell eller immateriell skada till följd av en överträdelse rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet (som kan vara en annan instans än kommunen som juridisk person) för den uppkomna skadan. Enligt artikel 82.5 i dataskyddsförordningen har en personuppgiftsansvarig eller ett personuppgiftsbiträde rätt att från de andra personuppgiftsansvariga eller personuppgiftsbiträdena som medverkat vid samma behandling återkräva den del av ersättningen som motsvarar deras del av ansvaret för skadan.

Även enligt 118 § 3 mom. i grundlagen har var och en som har lidit rättskränkning eller skada till följd av en lagstridig åtgärd eller försummelse av en tjänsteman eller någon som sköter ett offentligt uppdrag, enligt vad som bestäms genom lag, rätt att kräva skadestånd av det offentliga samfundet eller av tjänstemannen eller den som sköter det offentliga uppdraget. Enligt 3 kap. i skadeståndslagen (412/1974) är ett offentligt samfund (kommunen som juridisk person) som arbetsgivare skyldigt att ersätta en skada, oberoende av vilken kommunal myndighet som orsakat skadan. Dessutom kan enskilda ledamöter eller tjänsteinnehavare i ett organ även vara personligen ansvariga för skador som de har orsakat i den omfattning som närmare föreskrivs i skadeståndslagen.

4.4 Avtalsbaserat ansvar

Vid fastställandet av vilka skador som ska ersättas på avtalsbasis är det väsentligt vad som har avtalats mellan parterna (såsom kommunen och dess tjänsteleverantör) om skyldigheten att ersätta skador. I kommunen ska avtalsvillkor för behandling av personuppgifter (t.ex. fastställande av ansvar, eventuella ansvarsbegränsningar) också noggrant gås igenom ur detta perspektiv. 

4.5 Den högsta laglighetsövervakningen

Riksdagens justitieombudsman och justitiekanslern i statsrådet övervakar lagenligheten i myndigheternas verksamhet. Till följd av klagomål kan laglighetsövervakarna ge myndigheten en anmärkning, informera myndigheten om sin uppfattning om lagenligt förfarande och uppmärksamma myndigheten på kraven på god förvaltning eller om aspekter som främjar genomförandet av de grundläggande fri- och rättigheterna och de mänskliga rättigheterna, göra en framställan till myndigheten om att rätta ett fel eller korrigera och kompensera en brist samt väcka åtal om det är fråga om en allvarlig lagöverträdelse. 

4.6 Övriga ansvar och påföljder

Ansvarsfull och transparent behandling av personuppgifter skapar förtroende för kommunens verksamhet och förebygger rättsliga olägenheter och skadat anseende. Det är särskilt viktigt att bevara förtroendet, eftersom enskilda personer inom myndighetsverksamheten inte i regel har möjlighet att påverka hur deras personuppgifter behandlas. Försummelser i fråga om dataskyddet kan leda till betydande konsekvenser för enskilda personer, såsom röjande av känsliga uppgifter eller ekonomiska förluster. På så sätt förknippas dataskyddet också med ett etiskt och moraliskt ansvar.