Eduskunta on 13.11. hyväksynyt uuden tietosuojalain sekä lain henkilötietojen käsittelystä rikosasioissa. Tietosuojalailla täydennetään ja täsmennetään Euroopan unionin toukokuussa voimaan tullutta yleistä tietosuoja-asetusta (GDPR) ja henkilötietojen käsittelystä rikosasioissa annetulla lailla pannaan puolestaan täytäntöön niin sanottu rikosasioiden tietosuojadirektiivi. Tietosuojalakia sovelletaan rinnakkain tietosuoja-asetuksen kanssa, ja tietyiltä osin sillä myös täydennetään sekä täsmennetään asetuksen sääntelyä.

Keskeisimmät tietosuojalain pykälät koskevat menettelysääntöjä hallinnollisten seuraamusmaksujen määräämisestä, tarkennuksia henkilötietojen käsittelyn lainmukaisuusperusteisiin sekä ikärajaa lapsille tarjottavien palveluiden osalta. Tietosuojalain mukaan seuraamusmaksut tulee Suomessa määräämään tietosuojavaltuutetusta ja vähintään kahdesta apulaistietosuojavaltuutetusta muodostuva seuraamuskollegio. Viranomaisille tai julkishallinnon elimille tietosuoja-asetuksen mukaista hallinnollista seuraamusmaksua ei voida määrätä.

Tietosuoja-asetuksen lähtökohtana on, että henkilötietojen käsittely on sallittua vain tiettyjen edellytysten täyttyessä. Tietosuojalaissa täsmennetään asetuksen jättämän kansallisen liikkumavaran puitteissa käsittelyn lainmukaisuutta tilanteissa, joissa henkilötietojen käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Kansallista liikkumavaraa on käytetty säädettäessä tietosuoja-asetuksesta poikkeavasta 16 vuoden ikärajasta tarjottaessa tietoyhteiskunnan palveluita suoraan lapselle ja henkilötietojen käsittelyn perustuessa suostumukseen. Jäsenvaltioilla on mahdollisuus säätää tätä tarkoitusta koskevasta alemmasta, alimmillaan 13 vuoden ikärajasta, ja tietosuojalaissa ikärajaksi kyseisissä tilanteissa säädetään 13 vuotta, mikä vastaa Pohjoismaihin muodostumassa olevaa linjaa.

Yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle on rajattu henkilötietojen käsittely rikosasioissa, josta on puolestaan säädetty rikosasioiden tietosuojadirektiivi. Direktiivin toimeenpanevaa lakia henkilötietojen käsittelystä rikosasioissa sovelletaan esimerkiksi rikoksen ennalta ehkäisemistä, selvittämistä tai syyteharkintaan saattamista, rikosasian käsittelemistä tuomioistuimessa, seuraamuksen täytäntöönpanemista tai yleiseen turvallisuuteen kohdistuvan uhan estämistä koskevissa tilanteissa.

Henkilötietojen käsittelystä työsuhteen yhteydessä säädetään uuden tietosuojalain mukaan yksityisyyden suojasta työelämässä annetussa laissa. Myös tätä ns. työelämän tietosuojalakia ollaan muuttamassa tietosuoja-asetuksen edellytyksiä vastaavaksi, mutta tällä hetkellä lakiehdotus on eduskunnan valiokunnissa käsiteltävänä.

Tietosuojalaki ja laki henkilötietojen käsittelystä rikosasioissa saatetaan voimaan samanaikaisesti, mutta voimaantulosäännökset on jätetty vielä avoimiksi, eli lakien tarkka voimaantulopäivämäärä ei ole vielä tiedossa.