Henkilötietojen käsittelyä ohjaavat ja valvovat viranomaiset
Suomessa tietosuojalainsäädännön soveltamista valvova viranomainen on tietosuojavaltuutetun toimisto. Kansallisen tietosuojavaltuutetun lisäksi Euroopan unionin tasolla toimii Euroopan tietosuojaneuvosto European Data Protection Board (EDPB), jonka keskeisenä tehtävänä on varmistua tietosuoja-asetuksen harmonisoidusta täytäntöönpanosta. Tietosuojaneuvosto käyttää viimekätistä päätösvaltaa asioissa, joissa jäsenvaltioiden valvontaviranomaiset eivät ole yksimielisiä. Euroopan tietosuojaneuvoston muodostavat yksi valvontaviranomaisen johtaja kustakin jäsenvaltiosta ja Euroopan tietosuojavaltuutettu.
Henkilötietojen suojaa kansallisella tasolla valvovan tietosuojavaltuutetun tehtävänä on ylläpitää ja edistää kansalaisten perusoikeutta yksityisyyteen. Tietosuojavaltuutetun toimisto antaa kannanottoja henkilötietojen käsittelystä sekä julkaisee muun muassa ajankohtaisia uutisia ja materiaaleja, joita rekisterinpitäjä voi käyttää apuna toiminnassaan. Tietosuojavaltuutetun päätökseen saa hakea muutosta valittamalla hallinto-oikeuteen. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan.
Tietosuojavaltuutetulla on oikeus asettaa päätöstensä tehosteeksi uhkasakko. Lisäksi tietosuojavaltuutettu ja kaksi apulaistietosuojavaltuutettua muodostavat seuraamuskollegion, jolla on toimivalta määrätä hallinnollinen seuraamusmaksu. Tietosuoja-asetuksen mukaan tietosuojaviranomainen voi määrätä rekisterinpitäjälle sakon, jonka määrä voi olla enintään 20 miljoonaa euroa tai 4% yrityksen kokonaisliikevaihdosta. Sakkojen ohella on käytettävissä myös lievempiä keinoja, kuten huomautus.
Lisäksi rikoslaissa on säädetty tietosuojarikoksesta, josta tuomiona on sakko tai enintään 1 vuosi vankeutta. Kyseeseen voi tulla myös vahingonkorvausvelvollisuus kärsijöitä kohtaan. Mahdollinen negatiivinen julkisuus ja sen vaikutus liiketoimintaan on näiden lisäksi merkittävä käytännön seuraus.
Organisaatioiden on ilmoitettava tietosuojavaltuutetulle ennakkokuulemisesta, henkilötietojen tietoturvaloukkauksista sekä tietosuojavastaavasta. Tietosuojavaltuutetulle on ilmoitettava myös luottotietotoiminnan harjoittamisesta ja välitystietojen käsittelyn aloittamisesta. Näistä velvollisuuksista säädetään luottotietolaissa.