# Data Subject Requests

> Handle a data subject request under GDPR Articles 15-22 and the Finnish Data Protection Act: identify the right invoked, check deadlines and exceptions, and draft a compliant Finnish response for review.

- Skill: `open-legal-products/data-subject-requests` (Agent Skill)
- Install (CLI): `npx skillmds@latest add open-legal-products/data-subject-requests`
- Raw SKILL.md: https://api.skillmd.com/api/skills/open-legal-products/data-subject-requests/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: MIT
- Author: open-legal-products (https://skillmd.com/u/open-legal-products)
- Updated: 2026-09-21
- Page: https://skillmd.com/skills/open-legal-products/data-subject-requests

---

# Rekisteröidyn pyynnöt

Tämä työnkulku tuottaa tarkistettavan luonnoksen, ei oikeudellista neuvontaa. Lopullinen arvio kuuluu ihmisjuristille tai tietosuojavastaavalle.

## Ohjeet

Käsittele rekisteröidyn esittämä pyyntö EU:n yleisen tietosuoja-asetuksen (EU) 2016/679 (GDPR) mukaan. Kansallisesti asetusta täsmentää tietosuojalaki (1050/2018); työelämässä lisäksi laki yksityisyyden suojasta työelämässä (759/2004). Oikeudet eivät ole ehdottomia — useimmilla on edellytyksiä ja poikkeuksia.

### Vaihe 1: Tunnista pyyntö ja pyytäjä

- Mikä oikeus on kyseessä? Pyyntö voi olla muodoton — tulkitse sisältöä, ei otsikkoa.
- Muistuta rekisterinpitäjää tunnistamaan pyytäjä luotettavasti, jotta tietoja ei luovuteta väärälle henkilölle — mutta kohtuuttomia lisätietoja ei saa vaatia.
- Kirjaa vastaanottopäivä: määräaika alkaa siitä.

### Vaihe 2: Määräaika

Vastaus on annettava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa pyynnön vastaanottamisesta (12(3) art). Määräaikaa voi jatkaa enintään kahdella kuukaudella, jos pyynnöt ovat monimutkaisia tai niitä on useita — viivästyksestä ja sen syystä on ilmoitettava rekisteröidylle kuukauden kuluessa. Toimenpiteet ovat lähtökohtaisesti maksuttomia.

### Vaihe 3: Arvioi oikeus ja edellytykset

| Oikeus | Artikla | Keskeiset edellytykset ja poikkeukset |
|---|---|---|
| Tarkastusoikeus | 15 | Jäljennös käsitellyistä tiedoista ja käsittelyn tiedot. Ei saa loukata muiden oikeuksia. |
| Oikaisu | 16 | Virheellisten tietojen korjaaminen, puutteellisten täydentäminen. |
| Poisto ("oikeus tulla unohdetuksi") | 17 | Esim. tietoja ei enää tarvita, suostumus peruttu, käsittely lainvastaista. Ei sovellu, jos käsittely on tarpeen mm. lakisääteisen velvoitteen tai oikeusvaateen vuoksi. |
| Käsittelyn rajoittaminen | 18 | Esim. tietojen oikeellisuus riitautettu — käsittely jäädytetään selvittelyn ajaksi. |
| Siirto-oikeus | 20 | Vain kun käsittely perustuu suostumukseen tai sopimukseen ja tehdään automaattisesti. Jäsennelty, koneluettava muoto. |
| Vastustamisoikeus | 21 | Erityisesti oikeutettuun tai yleiseen etuun perustuva käsittely; suoramarkkinointia saa aina vastustaa. |
| Automatisoidut päätökset | 22 | Oikeus olla joutumatta pelkkään automaattiseen käsittelyyn perustuvan, oikeusvaikutuksia aiheuttavan päätöksen kohteeksi (poikkeuksin). |

Jos käytettävissä on suomalaisen oikeuden hakulähde (esimerkiksi Finlex-tietokanta tai oikeudellinen hakutyökalu), tarkista tietosuojalain (1050/2018) kansalliset täsmennykset ja mahdolliset erityislain poikkeukset ajantasaisesta lähteestä ennen lopullista vastausta. Jos hakulähdettä ei ole käytettävissä, älä esitä säännöksen sisältöä varmana: merkitse viittaus muotoon [tarkistettava] ja pyydä käyttäjää toimittamaan ajantasainen säädösteksti.

### Vaihe 4: Laadi vastausluonnos

- Myönteinen: kuvaa toteutettava toimenpide. Tarkastuspyynnössä: kokoa 15 artiklan mukaiset tiedot; huomauta, että jäljennös ei saa paljastaa sivullisten tietoja.
- Kielteinen tai osittainen: perustele, mihin poikkeukseen päätös perustuu, ja kerro rekisteröidylle oikeudesta tehdä valitus tietosuojavaltuutetun toimistolle sekä muista oikeussuojakeinoista. Älä kieltäydy ilman perustetta.
- Ilmeisen perusteeton tai kohtuuton (etenkin toistuva) pyyntö: kohtuullinen maksu tai kieltäytyminen on mahdollinen (12(5) art), mutta poikkeusta on käytettävä varoen ja perustellen.

Kirjoita vastaus asiallisella ja selkeällä yleiskielellä. Merkitse [varmista — tietosuojavastaavan arvioitava] kohtiin, joissa poikkeuksen soveltuminen on tulkinnanvaraista. Jos pyyntö paljastaa laajemman puutteen (esim. tietoja säilytetty liian kauan tai käsittelyperuste puuttuu), nosta se esiin erikseen.

## Rajaukset

- Kielteinen tai osittainen päätös ja tulkinnanvaraisen poikkeuksen soveltaminen kuuluvat tietosuojavastaavalle tai juristille.
- Älä vahvista GDPR-artikloja tai tietosuojalain pykäliä muistista — tarkista lähteestä tai merkitse [tarkistettava].
- Työnkulku ei tee kieltäytymispäätöstä, ei tunnista pyytäjää eikä kokoa tietoja järjestelmistä — nämä jäävät rekisterinpitäjälle.
- Viranomaisen julkisuuslakiin perustuva tietopyyntö on eri asia kuin rekisteröidyn GDPR-pyyntö, eikä kuulu tähän työnkulkuun.
- Työnkulku ei asioi valvontaviranomaisen kanssa; se vain kertoo rekisteröidylle valitusoikeudesta.