Datan sijainti Suomessa vai EU:ssa? GDPR 28 artikla, siirrot ja EU–US-tietosuojakehys

Pk-yrityksen datan ei yleensä tarvitse olla Suomessa. Tietosuoja-asetus (EU) 2016/679 sallii henkilötietojen käsittelyn EU:ssa ja ETA:ssa samoin edellytyksin kuin Suomessa, ja siirto EU:n ulkopuolelle on mahdollinen, kun sille on V luvun mukainen peruste, kuten komission tietosuojan riittävyyttä koskeva päätös tai vakiolausekkeet. Pilvi- tai hostingpalvelun tarjoaja on tavallisesti henkilötietojen käsittelijä, jonka kanssa on tehtävä 28 artiklan mukainen sopimus. Tiukempia sijaintivaatimuksia voi tulla asiakassopimuksesta, toimialan sääntelystä tai julkisen sektorin asiakkaalta. Tämä opas selittää, miten datan sijainti vaikuttaa hankintaan ja hintaan. Opas kuuluu kokonaisuuteen pilvipalvelimen ja hostingin hinta.

Rekisterinpitäjä ja käsittelijä

Kun yritys tallentaa asiakas-, henkilöstö- tai muita henkilötietoja palvelimelle, se on rekisterinpitäjä. Palvelimen tarjoaja, joka käsittelee tietoja yrityksen lukuun, on käsittelijä. Rekisterinpitäjä saa käyttää vain käsittelijöitä, jotka antavat riittävät takeet asianmukaisista teknisistä ja organisatorisista toimista (28 artiklan 1 kohta).

Käsittelijäsopimuksessa on 28 artiklan 3 kohdan mukaan määritettävä käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi, rekisteröityjen ryhmät sekä rekisterinpitäjän oikeudet ja velvollisuudet. Lisäksi sovitaan muun muassa, että käsittelijä:

• käsittelee tietoja vain kirjallisten ohjeiden mukaisesti, myös siirroissa kolmansiin maihin
• huolehtii henkilöstön salassapitovelvollisuudesta
• toteuttaa 32 artiklan turvatoimet
• käyttää alikäsittelijöitä vain rekisterinpitäjän etukäteen antamalla kirjallisella luvalla (erityinen tai yleinen lupa; yleisessä luvassa muutoksista ilmoitetaan ja niitä voi vastustaa)
• avustaa rekisteröityjen oikeuksien toteuttamisessa ja tietoturvaloukkausten ilmoittamisessa
• poistaa tai palauttaa tiedot palvelun päättyessä
• antaa tiedot, joita tarvitaan velvoitteiden noudattamisen osoittamiseen, ja sallii auditoinnit

Suurilla pilvialustoilla käsittelijäsopimus on yleensä vakiomuotoinen palveluehtojen liite. Lue se ja tallenna versio, joka oli voimassa sopimusta tehtäessä.

Siirrot EU:n ulkopuolelle (V luku)

Henkilötietoja saa siirtää EU:n ja ETA:n ulkopuolelle vain, jos jokin V luvun perusteista täyttyy:

EU–US-tietosuojakehys: komissio antoi 10.7.2023 täytäntöönpanopäätöksen (EU) 2023/1795, jonka mukaan Yhdysvallat takaa riittävän tietosuojan tason kehykseen sertifioituneille organisaatioille. Unionin yleinen tuomioistuin hylkäsi päätöksen kumoamista koskeneen kanteen 3.9.2025 (asia T-553/23). Kantaja valitti tuomiosta unionin tuomioistuimeen 31.10.2025 (asia C-703/25 P), ja valitus oli lokakuussa 2026 vielä ratkaisematta, joten seuraa tilannetta. Jos käytät yhdysvaltalaista palvelua kehyksen perusteella, tarkista, onko vastaanottaja sertifioitunut, ja varaudu vaihtoehtoiseen perusteeseen, kuten vakiolausekkeisiin.

Alueen valinta pilvessä ja mitä se maksaa

Julkisen pilven alustoilla valitset alueen (region), jossa data ja palvelimet sijaitsevat. Suomessa tai pohjoismaissa sijaitseva alue voi olla eri hintainen kuin Keski-Euroopan alue, ja hinnat vaihtelevat palveluntarjoajittain. Lisäksi on huomioitava:

• Tukipalvelut ja hallintaliikenne voivat käsitellä metatietoja tai tukipyyntöjen sisältöä EU:n ulkopuolella. Lue käsittelijäsopimuksen alikäsittelijälista.
• Varmuuskopiot ja katastrofipalautus toiselle alueelle tarkoittavat, että data on kahdessa paikassa. Valitse toinenkin alue EU:sta, jos haluat pitää datan EU:ssa.
• Globaalit palvelut, kuten osa nimipalvelu-, sisällönjakelu- ja tunnistuspalveluista, eivät välttämättä ole aluesidonnaisia.

Havainnollinen hintaesimerkki: instanssi maksaa Keski-Euroopan alueella 80 €/kk ja pohjoismaisella alueella 88 €/kk (oletus +10 %). Kolmella palvelimella ero on 3 × 8 = 24 €/kk eli 288 € vuodessa. Jos asiakkaasi edellyttää datan pysymistä Suomessa, ero on hinta vaatimuksen täyttämisestä. Luvut ovat havainnollisia; tarkista oikeat hinnat alustan hinnastosta.

Data Actin avoimuusvelvoite ja kolmannen maan viranomaiset

Datasäädöksen 28 artiklan mukaan pilvipalvelun tarjoajien on julkaistava verkkosivuillaan, minkä maan lainkäyttövaltaa niiden palvelujen infrastruktuuri koskee, ja kuvattava toimet, joilla ne estävät kolmannen maan viranomaisten lainvastaisen pääsyn unionissa olevaan muuhun kuin henkilötietoon. Jos tarjoajan emoyhtiö on EU:n ulkopuolella, sen kotimaan lainsäädäntö voi koskea myös EU:ssa säilytettyä dataa. Lue tarjoajan julkaisema selvitys ja arvioi riski oman datasi luonteen mukaan. Vaihto-oikeuksista kerrotaan oppaassa Data Act ja pilvipalvelun vaihto.

Muut sijaintiin vaikuttavat säännöt

• Kirjanpitoaineisto: kirjanpitolain (1336/1997) 2 luvun 9 §:n mukaan aineisto on säilytettävä niin, että sen tarkastelu Suomesta käsin on viranomaiselle ja tilintarkastajalle mahdollista ilman aiheetonta viivettä. Laki ei edellytä, että palvelin on Suomessa. Lue kirjanpitoaineisto pilvessä.
• Julkinen sektori: jos asiakkaasi on viranomainen, sitä koskee laki julkisen hallinnon tiedonhallinnasta (906/2019) ja viranomaisen omat tietoturvavaatimukset, jotka voivat rajoittaa käsittelypaikkaa ja palveluntarjoajan valintaa. Tarkista vaatimukset asiakkaalta.
• Toimialasääntely: esimerkiksi finanssi- ja terveysala voivat edellyttää lisäselvityksiä ulkoistuksesta.

Muistilista sijainnin varmistamiseen

1. Valitse alue ja kirjaa se ylös palvelukohtaisesti.
2. Pyydä käsittelijäsopimus ja alikäsittelijälista; selvitä, missä tuki ja ylläpito toimivat.
3. Selvitä siirtoperuste jokaiselle EU:n ulkopuoliselle käsittelylle.
4. Varmista, että varmuuskopiot ja katastrofipalautus pysyvät valitsemallasi alueella.
5. Tarkista asiakassopimuksista mahdolliset sijaintivaatimukset ennen hankintaa.

Muut laskun osat on koottu oppaisiin webhotelli, VPS, dedikoitu vai pilvi ja vCPU, muisti ja tallennusluokat.

Tietoturvaloukkaus pilvessä: kuka ilmoittaa

Jos pilvipalvelussa sattuu henkilötietojen tietoturvaloukkaus, käsittelijän on ilmoitettava siitä rekisterinpitäjälle ilman aiheetonta viivytystä (33 artiklan 2 kohta). Rekisterinpitäjä eli asiakasyritys ilmoittaa tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus tuli sen tietoon, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä rekisteröityjen oikeuksille. Siksi käsittelijäsopimukseen kannattaa kirjata, kenelle ja miten palveluntarjoaja ilmoittaa ja mitä tietoja ilmoitus sisältää.

Milloin kysyä asiantuntijalta

Käänny tietosuojajuristin tai tietosuojavastaavan puoleen, jos käsittelet erityisiä henkilötietoja (esim. terveystietoja), siirrät tietoja säännöllisesti EU:n ulkopuolelle vakiolausekkeiden perusteella tai toimit julkisen sektorin toimeksiannossa.

Usein kysyttyä

Riittääkö, että palvelin on EU:ssa?

Usein se on hyvä lähtökohta, mutta tarkista myös tuki-, ylläpito- ja varmuuskopiointikäsittely sekä alikäsittelijät. Jos joku niistä käsittelee tietoja EU:n ulkopuolella, tarvitaan siirtoperuste.

Onko yhdysvaltalaisen pilven käyttö sallittua?

Se voi olla sallittua esimerkiksi EU–US-tietosuojakehyksen perusteella, jos vastaanottaja on sertifioitunut, tai vakiolausekkeiden perusteella. Arvioi riski ja dokumentoi peruste.

Pitääkö käsittelijäsopimus allekirjoittaa erikseen?

Sopimuksen on oltava kirjallinen, ja se voi olla myös sähköisessä muodossa (28 artiklan 9 kohta). Pilvialustoilla se on yleensä osa palveluehtoja.

Kuka valvoo tietosuojaa Suomessa?

Tietosuojavaltuutettu on kansallinen valvontaviranomainen (tietosuojalaki 1050/2018).

Lähteet

• Tietosuojavaltuutetun toimisto — käsittelijät, siirrot EU:n ulkopuolelle
• EUR-Lex — tietosuoja-asetus (EU) 2016/679, päätös (EU) 2023/1795, datasäädös (EU) 2023/2854
• Euroopan tietosuojaneuvosto EDPB — suositukset siirtojen lisäsuojatoimista
• Data Privacy Framework -lista — sertifioituneet yhdysvaltalaiset organisaatiot
• Finlex — tietosuojalaki 1050/2018, kirjanpitolaki 1336/1997, laki julkisen hallinnon tiedonhallinnasta 906/2019