Personuppgiftsansvarig för inkomstdatasystemet är Inkomstregisterenheten vid Skatteförvaltningen (Inkomstregisterenheten). Inkomstregisterenheten och Skatteförvaltningen är dock gemensamt personuppgiftsansvariga när det gäller inkomstdatasystemets underhåll, tekniska funktion och informationssäkerhet.  

Inkomstregisterenheten svarar för mottagandet, bevarandet och utlämnandet av personuppgifter och av inkomstuppgifter och andra uppgifter som har samband med dem samt för den personuppgiftsansvariges i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen, föreskrivna övriga skyldigheter samt för tillgodoseendet av de registrerades rättigheter.  

Inkomstregisterenheten ska genom beslut närmare fastställa vilka uppgifter som ska föras in i inkomstregistret med stöd av denna lag. Inkomstregisterenheten ska även fatta beslut om vilka uppgifter ur inkomstregistret som ska lämnas ut till uppgiftsanvändarna för de ändamål som avses i denna lag. 

Uppgifterna i inkomstregistret avförs ur registret tio år från ingången av året efter det år då uppgifterna fördes in. En i inkomstregistret införd uppgift om att den registrerade har krävt att behandlingen av personuppgifter begränsas med stöd av artikel 18.1 i dataskyddsförordningen eller att dataombudsmannen har utfärdat ett föreläggande om begränsning av behandlingen avförs dock när det inte längre är nödvändigt att begränsa behandlingen. 

Om en anmälningsskyldig försummar sin anmälningsskyldighet enligt 6, 8 eller 10—12 § och försummelsen inte är ringa, kan Inkomstregisterenheten vid vite ålägga den anmälningsskyldige att fullgöra sin skyldighet. Vite kan, om det finns särskilda skäl, även föreläggas en person som är anställd hos den anmälningsskyldige, eller någon annan som handlar för den anmälningsskyldiges räkning. 

Beslut om utdömande av vite fattas av Inkomstregisterenheten. 

Om inte något annat följer av denna lag, tillämpas viteslagen (1113/1990) på vitesärenden samt på sökande av ändring i beslut som gäller föreläggande och utdömande av vite. 

Uppgifterna får lämnas ut för de ändamål som anges i 13 och 13 a § trots vad som i artikel 18.1 a i dataskyddsförordningen föreskrivs om den registrerades rätt att kräva att den personuppgiftsansvarige begränsar sin behandling av personuppgifter, om den registrerade bestrider personuppgifternas korrekthet. Uppgift om att den registrerade har krävt begränsning av behandlingen av personuppgifter införs i inkomstregistret och lämnas ut för de ändamål som anges i 13 och 13 a §.