Suomalaiset organisaatiot siirtävät yhä enemmän henkilötietoja pilvipalveluihin, ja samalla nousee kysymys, onko siirto lainmukainen. EU:n yleinen tietosuoja-asetus (GDPR) asettaa tiukat rajat sille, mitä tietoja saa viedä EU:n ja ETA-alueen ulkopuolelle, ja miten se tulee tehdä. Tietosuojavaltuutetun toimiston ohjeissa todetaan yksiselitteisesti: jos yksikään GDPR:n V luvun siirtoperuste ei täyty, henkilötietoja ei voida siirtää ETA-alueen ulkopuolelle lainkaan.
Miksi pilvipalvelusiirto on tietosuojakysymys?
Pilvipalvelua hankittaessa organisaatio luovuttaa henkilötietojen käsittelyn ainakin osittain ulkopuoliselle palveluntarjoajalle. GDPR:n näkökulmasta kyse on henkilötietojen käsittelystä, johon sovelletaan samoja periaatteita kuin mihin tahansa muuhun käsittelyyn: tarkoitussidonnaisuus, tietojen minimointi ja tekninen turvallisuus. Kun palveluntarjoajan konesalit sijaitsevat EU:n tai ETA:n ulkopuolella, tai kun palveluntarjoajalla on alihankintaketjuja kolmansissa maissa, tulee mukaan GDPR:n kolmannen maan siirtosääntely.
Suomen Kyberturvallisuuskeskuksen pilviohjeessa todetaan, että henkilötietoja voidaan siirtää EU:n ja ETA:n sisällä samoin perustein kuin Suomessa, mutta ETA:n ulkopuolelle siirto edellyttää aina erillisen GDPR:n V luvun siirtoperusteen. Pelkkä palveluntarjoajan lupaus GDPR-yhteensopivuudesta ei riitä, sillä rekisterinpitäjä vastaa aina oman toimintansa lainmukaisuudesta.
GDPR:n siirtoperusteet: mitä vaihtoehtoja on?
GDPR:n V luku tarjoaa useita eri mekanismeja henkilötietojen siirtoon EU:n ja ETA:n ulkopuolelle. Käytännön valinnat yritykselle tiivistyvät kolmeen pääasialliseen vaihtoehtoon: riittävyyspäätökseen, vakiosopimuslausekkeisiin (SCC) sekä sitoviin yrityssääntöihin (BCR). Lisäksi erikoistilanteisiin sopivat erityiset poikkeukset, kuten rekisteröidyn suostumus tai sopimuksen täyttäminen.
| Siirtoperuste | Miten toimii | Tyypillisin käyttötilanne | Huomioitavaa |
|---|---|---|---|
| Riittävyyspäätös (Art. 45) | EU-komissio on todennut kohdemaan suojelutason riittäväksi | USA (Data Privacy Framework), UK, Kanada, Japani, Sveitsi | Päätös voi kumoutua (ks. Schrems I & II); tarkista ajantasaisuus |
| Vakiosopimuslausekkeet SCC (Art. 46) | EU-komission hyväksymät vakiomuotoiset sopimusehdot rekisterinpitäjän ja käsittelijän välillä | Yleisin yritystason ratkaisu kolmannen maan siirroissa | Edellyttää TIA-arviointia; pelkät lausekkeet eivät riitä kaikissa tilanteissa |
| Sitovat yrityssäännöt BCR (Art. 47) | Konsernitasolla hyväksytyt säännöt, jotka sitovat kaikkia konsernin yhtiöitä | Monikansalliset suuryritykset | Vaatii tietosuojaviranomaisen hyväksynnän; pitkä prosessi |
| Suostumus (Art. 49) | Rekisteröity antaa nimenomaisen suostumuksen siirtoon | Yksittäiset poikkeustilanteet | Ei sovellu massasiirtoihin; suostumus on voitava peruuttaa |
Tietosuojavaltuutetun toimisto painottaa, että siirtoperusteen valinta ei tarkoita automaattista lainmukaisuutta. Jokaisessa siirtoarviossa on käytävä läpi kohdemaan lainsäädäntö, viranomaisilla oleva mahdollisuus päästä tietoihin sekä käytettävissä olevat oikeussuojakeinot rekisteröidyille. Tätä kokonaisarviota kutsutaan siirron vaikutustenarvioinniksi eli Transfer Impact Assessmentiksi (TIA).
Vakiosopimuslausekkeet (SCC) käytännössä
EU-komission kesäkuussa 2021 hyväksymät uudistetut SCC-lausekkeet ovat edelleen yleisin tapa järjestää kolmannen maan siirrot käytännössä. Ne on rakennettu modulaarisiksi, joten sopimuskumppanit voivat valita tilanteeseen sopivan modulekokonaisuuden: rekisterinpitäjältä rekisterinpitäjälle, rekisterinpitäjältä käsittelijälle, käsittelijältä käsittelijälle tai käsittelijältä rekisterinpitäjälle.
SCC-lausekkeiden allekirjoittaminen ei kuitenkaan automaattisesti tee siirrosta lainmukaista. Euroopan tietosuojaneuvosto (EDPB) on linjannut, että lausekkeiden lisäksi on aina tehtävä Transfer Impact Assessment eli TIA, jossa arvioidaan konkreettisesti, pystyykö palveluntarjoaja noudattamaan lausekkeita kohdemaansa lainsäädännön puitteissa. Jos kohdemaan viranomaisilla on laajat pääsyoikeudet tietoihin, saatetaan tarvita lisäsuojatoimia.
SCC-lausekkeet ovat lähtökohta, eivät päätepiste: rekisterinpitäjän on itse arvioitava, voivatko ne käytännössä toteutua kohdemaan lakiympäristössä.
Täydentävinä suojatoimina käytetään tyypillisesti vahvaa salausta (end-to-end), pseudonymisointia, pääsyoikeuksien rajoittamista sekä sopimusehtoja, jotka velvoittavat palveluntarjoajaa ilmoittamaan viranomaiskyselyistä. Digitaali- ja väestötietoviraston VAHTI-materiaali korostaa erityisesti tiedon salausta siirron aikana tehokkaana lisäsuojana.
Transfer Impact Assessment (TIA): Käytännön vaiheet
TIA-arviointi on prosessi, jossa organisaatio selvittää systemaattisesti, onko valittu siirtoperuste tosiasiallisesti riittävä kohdemaan lainsäädäntö huomioiden. Vaikka TIA ei ole GDPR:ssä nimellisesti mainittu, Euroopan tietosuojaneuvosto ja Tietosuojavaltuutetun toimisto pitävät sitä SCC-prosessin välttämättömänä osana.
| TIA-vaihe | Mitä selvitetään | Keskeinen kysymys |
|---|---|---|
| 1. Siirron kartoitus | Mitä tietoja siirretään, kenelle ja millä perusteella | Onko tieto todella henkilötietoa ja onko siirrolle tarve? |
| 2. Kohdemaan arviointi | Kohdemaan tietosuojalaki, viranomaisvaltaoikeudet, oikeussuojakeinot | Pystyykö vastaanottaja noudattamaan SCC-lausekkeita? |
| 3. Lisäsuojatoimien arviointi | Salaus, pseudonymisointi, pääsyrajoitukset | Vähentävätkö lisätoimet riskin hyväksyttävälle tasolle? |
| 4. Dokumentointi | Arvioinnin kirjaaminen ja siirtoperusteen perustelu | Onko organisaatio valmis osoittamaan lainmukaisuuden? |
| 5. Seuranta | Muutosten seuraaminen (lainsäädäntö, sopimukset, riittävyyspäätökset) | Onko arviointi edelleen ajantasainen? |
Käytännössä TIA-prosessin suurin haaste on kohdemaan lainsäädännön tulkinta. Yhdysvaltojen osalta keskeisiä ovat FISA Section 702 ja Executive Order 12333, jotka mahdollistavat laajan tiedusteluviranomaisten pääsyn dataan. EU–U.S. Data Privacy Framework ja sen täydentävä Executive Order 14086 ovat parantaneet tilannetta merkittävästi, mutta eivät poista tarvetta tapauskohtaiselle arviolle.
EU–U.S. Data Privacy Framework: Muuttunut tilanne USA-siirroissa
EU-komissio hyväksyi EU–U.S. Data Privacy Frameworkin 10.7.2023. Päätös tarkoittaa, että yhdysvaltalaisille yrityksille, jotka ovat rekisteröityneet kehykseen, voidaan siirtää henkilötietoja ilman erillisiä SCC-lausekkeita tai muita lisäsuojatoimia. Kehys on GDPR:n 45 artiklan mukainen riittävyyspäätös Yhdysvalloille ensimmäistä kertaa sen jälkeen, kun Schrems II -tuomio kaatoi Privacy Shield -järjestelmän vuonna 2020.
Rekisteröityneet yritykset löytyvät Data Privacy Framework -listalta, jonka ylläpitää Yhdysvaltojen kauppaministeriö (U.S. Department of Commerce). Ennen kuin siirto kohdistetaan yhdysvaltalaiseen palveluntarjoajaan kehyksen nojalla, organisaation on varmistettava, että kyseinen yritys todella on listalla. Suurimmat pilvialustat, kuten Amazon Web Services (AWS), Microsoft Azure ja Google Cloud, ovat olleet kehyksen piirissä sen hyväksynnästä lähtien.
Data Privacy Framework paransi USA-siirtojen oikeusvarmuutta merkittävästi, mutta rekisterinpitäjän on silti varmistettava kehyksen ajantasaisuus ja palveluntarjoajan rekisteröinti ennen jokaista sopimusta.
Kehyksen kestävyyttä seurataan tarkasti. Max Schrems ja Privacy International ovat ilmoittaneet tarkastelevansa mahdollisuuksia haastaa kehys Euroopan unionin tuomioistuimessa. Organisaatioiden kannattaa ottaa tämä epävarmuus huomioon riskienhallinnassaan ja varmistaa, että SCC-lausekkeet ovat tarvittaessa nopeasti käyttöön otettavissa.
Julkinen sektori ja pilvipalvelut: Erityiset vaatimukset
Julkisella sektorilla pilvipalveluiden käyttöön liittyy yksityistä sektoria tiukempia vaatimuksia. Tietosuojavaltuutetun toimiston ohjeet julkishallinnon pilvipalveluiden käytöstä korostavat, että rekisterinpitäjän vastuu ei siirry palveluntarjoajalle missään vaiheessa. Julkisella sektorilla käsitellään usein erityisen arkaluonteisia tietoja kuten potilastietoja, verohallinnon tietoja tai poliisin tietokantoja, joissa tietosuojavaatimukset ovat erityisen korkeat.
Suomessa Tietosuojavaltuutettu Anu Talus on todennut, että julkisen sektorin on arvioitava pilvipalvelun käyttö tietosuojanäkökulmasta aina tapauskohtaisesti. Pelkkä sopimus pilvipalveluntarjoajan kanssa ei riitä, vaan organisaation on pystyttävä osoittamaan, että käsittely täyttää GDPR:n ja erityislakien vaatimukset. Tietosuoja Suomessa 2026 -artikkelissamme käymme läpi laajemmin suomalaisen sääntely-ympäristön nykytilaa.
NIS 2 -direktiivin kansallinen toimeenpano Suomessa on tuonut julkisen sektorin pilvipalveluhankinnat entistä tiiviimmin johdon ja hallituksen valvonnan piiriin. Kyberturvallisuus ei ole enää pelkästään IT-osaston asia, vaan osa organisaation ylimmän johdon vastuulla olevaa riskienhallintaa. Tämä koskee suoraan myös pilvipalveluihin tehtäviä henkilötietojen siirtoja.
Data Act ja palvelun vaihtaminen: Uudet säännöt 2027
EU:n Data Act toi mukanaan merkittäviä muutoksia pilvipalveluiden vaihtamisen säätelyyn. Traficomin ohjeistuksen mukaan datankäsittelypalveluiden vaihtamisesta saa periä alennetun maksun 12.9.2027 asti, minkä jälkeen vaihtamisen tulee olla täysin maksutonta. Alennettu vaihtomaksu ei saa ylittää palveluntarjoajalle vaihtoprosessista tosiasiallisesti aiheutuvia kustannuksia.
Tämä muutos on merkittävä tietosuojan ja riskienhallinnan kannalta. Vendor lock-in eli toimittajalukittuminen on ollut yksi keskeisimmistä esteistä sille, että organisaatiot pystyvät reagoimaan muuttuneisiin tietosuojavaatimuksiin joustamalla. Kun palveluntarjoajaa on helpompi vaihtaa ilman kohtuuttomia kuluja, organisaatiot voivat tehdä tietoisempia päätöksiä myös tietosuojanäkökulmasta. GDPR-vaatimukset yrityksille 2026 -tarkistuslistastamme löydät konkreettiset askeleet käytännön toteutukseen.
Riskienhallinta käytännössä: Tarkistuslista pilvipalvelusiirtoon
Ennen pilvipalvelusopimuksen allekirjoittamista organisaation on käytävä läpi useita keskeisiä kysymyksiä. Tässä on käytännönläheinen tarkistuslista, joka auttaa arvioimaan siirron tietosuojavaikutukset systemaattisesti. Tietosuojavaltuutetun toimiston ohjeet korostavat erityisesti dokumentoinnin merkitystä: organisaation on pystyttävä osoittamaan lainmukaisuus jälkikäteen tarvittaessa.
- Kartoita käsiteltävät tiedot: Mitkä henkilötiedot siirretään, mihin tarkoitukseen ja keille ne ovat käytettävissä?
- Selvitä palveluntarjoajan konesalien sijainnit ja mahdolliset alihankintaketjut kolmansiin maihin.
- Tarkista siirtoperuste: Onko kohdemaalle riittävyyspäätös tai tarvitaanko SCC-lausekkeet?
- Tee TIA-arviointi: Arvioi kohdemaan lainsäädäntö ja viranomaisvaltuudet dokumentoidusti.
- Arvioi täydentävät suojatoimet: Salaus, pseudonymisointi ja pääsyrajoitukset.
- Tarkista sopimukset: Onko tietojenkäsittelysopimus (DPA) laadittu GDPR:n 28 artiklan mukaisesti?
- Dokumentoi kaikki: Sisällytä siirtoarviointi rekisterin käsittelytoimiin.
- Suunnittele seuranta: Milloin ja miten arvioit siirron lainmukaisuuden uudelleen?
Digitaali- ja väestötietoviraston VAHTI-ohjeistus painottaa lisäksi, että tiedon salaus siirron aikana on perustedellytys, ei lisäoptio. Organisaation on myös huolehdittava siitä, että sopimuksiin kirjataan velvoite ilmoittaa viranomaiskyselyistä, joilla palveluntarjoaja voi joutua luovuttamaan tietoja kolmannen maan viranomaisille. Tietoturvaloukkauksen ilmoitusvelvollisuus on erillinen, mutta läheisesti liittyvä velvoite, johon on syytä varautua samanaikaisesti.
Pilvipalvelun hankinnan yhteydessä kannattaa myös arvioida, sopiiko palvelu yhteen organisaation tietoturva-arkkitehtuurin kanssa. SASE-ratkaisujen vertailussamme käymme läpi, miten tietoturvan verkkoarkkitehtuuri vaikuttaa pilvipalveluiden käyttöön suomalaisessa yritysympäristössä.
FAQ: Usein kysytyt kysymykset pilvipalvelusta ja tietosuojasta
Voiko henkilötietoja siirtää pilveen EU:n ulkopuolelle?
Kyllä, mutta siirtoon tarvitaan aina GDPR:n V luvun mukainen siirtoperuste. Yleisimmin käytetään EU-komission riittävyyspäätöstä (jos kohdemaalle on sellainen) tai vakiosopimuslausekkeita (SCC). Lisäksi on tehtävä Transfer Impact Assessment eli TIA-arviointi, jossa selvitetään kohdemaan lainsäädäntö ja viranomaisvaltuudet. Jos yksikään siirtoperuste ei täyty, siirto ei ole lainmukainen. Tietosuojavaltuutetun toimisto korostaa, että vastuu arvioinnista on aina rekisterinpitäjällä, eli organisaatiolla itsellään, ei palveluntarjoajalla. Pelkkä palveluntarjoajan vakuutus GDPR-yhteensopivuudesta ei riitä täyttämään lain vaatimuksia.
Riittääkö, että pilvipalveluntarjoaja sanoo olevansa GDPR-yhteensopiva?
Ei riitä. Vaikka monet suuret pilvipalveluntarjoajat, kuten Amazon Web Services, Microsoft Azure ja Google Cloud, tarjoavat laajoja GDPR-vaatimustenmukaisuusdokumentteja ja tietojenkäsittelysopimusmalleja, rekisterinpitäjä on silti itse vastuussa siitä, että käsittely on lainmukaista. Tämä tarkoittaa, että organisaation on itse arvioitava siirtoperuste, tehtävä TIA-arviointi ja varmistettava, että sopimukset täyttävät GDPR:n 28 artiklan vaatimukset. Palveluntarjoajan lupaukset ja sertifikaatit ovat hyödyllinen lähtökohta, mutta ne eivät korvaa omaa arviointia. Tietosuojavaltuutetun toimiston linjauksen mukaan rekisterinpitäjän vastuuta ei voi ulkoistaa palveluntarjoajalle.
Mitä tarkoittaa Transfer Impact Assessment (TIA)?
Transfer Impact Assessment on dokumentoitu arviointi, jossa organisaatio selvittää, voivatko SCC-lausekkeet käytännössä toteutua kohdemaassa. Arvioinnissa käydään läpi kohdemaan lainsäädäntö, erityisesti viranomaisilla olevat valtuudet päästä tietoihin ilman oikeusprosessia, rekisteröidyille tarjolla olevat oikeussuojakeinot sekä mahdollisesti tarvittavat lisäsuojatoimet. Euroopan tietosuojaneuvosto (EDPB) on julkaissut ohjeistuksen siitä, miten TIA tulee toteuttaa. Vaikka TIA ei ole GDPR:ssä nimeltä mainittu, sitä pidetään välttämättömänä osana SCC-perusteista siirtoprosessia.
Mitä EU–U.S. Data Privacy Framework tarkoittaa käytännössä?
EU–U.S. Data Privacy Framework on EU-komission 10.7.2023 hyväksymä riittävyyspäätös, joka mahdollistaa henkilötietojen siirron yhdysvaltalaisille yrityksille, jotka ovat rekisteröityneet kehykseen. Käytännössä tämä tarkoittaa, että rekisteröityneen palveluntarjoajan kanssa ei tarvita erillisiä SCC-lausekkeita. Rekisteröityminen tarkistetaan U.S. Department of Commercen ylläpitämästä listasta. AWS, Microsoft Azure ja Google Cloud ovat kehyksen piirissä. On kuitenkin tärkeää huomata, että kehyksen kestävyyttä on haastettu oikeudellisesti, joten organisaatioiden kannattaa pitää SCC-lausekkeet valmiina varavaihtoehtona.
Saako julkinen sektori käyttää yhdysvaltalaista pilveä?
Voi käyttää, mutta arviointi on aina tapauskohtaista. Julkisella sektorilla on otettava huomioon tietosuojavaatimusten lisäksi mahdolliset erityislait ja arkaluonteisten tietojen suojausvaatimukset. Tietosuojavaltuutetun toimisto ja Kyberturvallisuuskeskus ohjeistavat julkista sektoria arvioimaan pilvipalvelun käytön tietosuoja- ja tietoturvanäkökulmat yhdessä. Lisäksi julkisella sektorilla on noudatettava tiedonhallintalakia sekä hankintalakia, mikä asettaa lisävaatimuksia palveluntarjoajan valinnalle ja sopimusehdoille. Käytettäessä yhdysvaltalaista pilveä tulee varmistaa, että siirtoperuste on voimassa ja täydentävät suojatoimet on toteutettu.
Mitä eroa on tietosuojalla ja tietoturvalla pilviympäristössä?
Tietosuoja viittaa henkilötietojen lainmukaiseen käsittelyyn ja rekisteröidyn oikeuksiin. Tietoturva puolestaan tarkoittaa teknisiä ja organisatorisia suojaustoimia, joilla estetään luvaton pääsy, tietojen menetys tai muuttaminen. Pilviympäristössä nämä kaksi ovat tiiviisti yhteydessä: hyvä tietoturva on edellytys tietosuojan toteutumiselle, mutta tietoturva yksin ei takaa lainmukaista henkilötietojen käsittelyä. Esimerkiksi vahva salaus on tietoturvatoimi, mutta se voi myös toimia täydentävänä suojatoimena GDPR:n siirtoperusteen yhteydessä. Tietosuoja-arviointi kattaa laajemman kokonaisuuden, johon kuuluvat käsittelyn lainperuste, tarkoitussidonnaisuus ja rekisteröidyn oikeudet. Henkilötietojen käsittelyn lakivelvoitteet -artikkelissamme käsitellään tätä kokonaisuutta tarkemmin.
Mitä tapahtuu, jos organisaatio ei täytä GDPR:n siirtovaatimuksia?
Lainvastainen siirto voi johtaa merkittäviin seuraamuksiin. GDPR:n 83 artiklan mukaan vakavimmista rikkomuksista voidaan määrätä hallinnollinen sakko jopa 20 miljoonaa euroa tai 4 % yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan, kumpi on suurempi. Tietosuojavaltuutettu voi myös kieltää tietojenkäsittelyn tilapäisesti tai pysyvästi. Lisäksi rekisteröidyillä on oikeus vaatia korvausta vahingoista. Suomessa tietosuojavaltuutetun toimisto valvoo GDPR:n noudattamista ja voi aloittaa tutkimuksen joko omasta aloitteestaan tai rekisteröidyn kantelun perusteella. Tietosuoja ja GDPR: Käytännön opas tarjoaa yleiskuvan sanktioiden rakenteesta.
Miten pilvipalvelun vaihtaminen sujuu tietosuojanäkökulmasta?
Pilvipalvelun vaihtaminen on sekä tekninen että tietosuojaan liittyvä prosessi. Tietosuojanäkökulmasta on varmistettava, että henkilötiedot siirtyvät uuteen ympäristöön hallitusti, alkuperäinen palveluntarjoaja poistaa tiedot sovitusti ja uuden palveluntarjoajan kanssa on laadittu asianmukainen tietojenkäsittelysopimus. EU:n Data Act on helpottanut teknistä siirtämistä velvoittamalla palveluntarjoajia tukemaan datan siirrettävyyttä standardoitujen rajapintojen kautta. Traficomin ohjeistuksen mukaan vaihtomaksut ovat alennettu 12.9.2027 asti, jonka jälkeen vaihto on palveluntarjoajalle maksutonta. Käytännössä tietosuojavelvoitteet koskevat myös siirtovaiheen tietoja ja niiden suojausta prosessin aikana.
Aiheeseen liittyvät artikkelit
- Tietosuoja ja GDPR: Käytännön opas
- GDPR-vaatimukset yrityksille 2026: tarkistuslista ja yleisimmät rikkomukset
- Henkilötietojen käsittely: mitä laki velvoittaa ja miten toteutat sen oikein
- Tietosuoja Suomessa 2026: GDPR:n käytännön vaikutukset
- Tietosuojaseloste 2026: malli, rakenne ja tyypilliset virheet
- Tietoturvaloukkaus ja ilmoitusvelvollisuus: 72 tunnin sääntö käytännössä
Lähteet
- Tietosuojavaltuutetun toimisto – Julkishallinnon pilvipalveluohje: https://tietosuoja.fi/pilvipalvelut
- Traficom / Kyberturvallisuuskeskus – Pilvipalveluohje: https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/ohjeet-ja-oppaat/pilvipalvelut
- Traficom – Data Act ja datankäsittelypalveluiden vaihto: https://www.traficom.fi/fi/viestinta/digitaaliset-palvelut/data-act
- EU-komissio – EU–U.S. Data Privacy Framework, riittävyyspäätös 10.7.2023: https://commission.europa.eu/document/fa09cbad-dd7d-4684-ae60-be03fcb0fddf_en
- EUR-Lex – GDPR (EU) 2016/679, V luku (artiklat 44–49): https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX%3A32016R0679
- Euroopan tietosuojaneuvosto (EDPB) – Ohjeet 01/2020 täydentävistä siirtosuojatoimista: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_fi
- DVV / VAHTI – Tietoturvaohjeistus: https://dvv.fi/vahti
IT-insinööri palkka: palkkatasot ja vaikuttavat tekijät 2025
