Yhdessä lauseessa: Henkilötietoja saa siirtää EU:n ja ETA:n ulkopuolelle vain, jos siirrolle on GDPR:n V luvun mukainen peruste – riittävyyspäätös (45 art.), asianmukainen suoja kuten komission vakiolausekkeet tai yritystä koskevat sitovat säännöt (46–47 art.) tai poikkeuksellisesti jokin 49 artiklan poikkeus – ja vakiolausekkeita käytettäessä on Schrems II -tuomion jälkeen tehtävä lisäksi tapauskohtainen siirtovaikutustenarviointi.
Tämä on käytännön opas siihen, miten siirtoperuste valitaan, dokumentoidaan ja puolustetaan valvontaviranomaiselle. Kohderyhmänä ovat tietosuojavastaavat ja hankintapäälliköt, jotka ostavat yhdysvaltalaista SaaS-palvelua ja joutuvat perustelemaan sen. Suomen kansallinen kehys on kuvattu oppaassa tietosuoja Suomessa.
Keskeiset huomiot
- Siirto on kyseessä myös silloin, kun tiedot pysyvät EU:ssa mutta kolmannessa maassa oleva taho pääsee niihin etäyhteydellä.
- Riittävyyspäätöksen kattamaan maahan siirto on hallinnollisesti kevein – ei tarvita erillistä lupaa eikä lisätoimia.
- Vakiolausekkeet ovat komission täytäntöönpanopäätöksen (EU) 2021/914 neljä moduulia; niitä ei saa muuttaa, mutta liitteet on täytettävä.
- Siirtovaikutustenarviointi (TIA) on pakollinen 46 artiklan suojatoimia käytettäessä – ei valinnainen lisätyö.
- 49 artiklan poikkeuksia tulkitaan suppeasti, ja niiden ehdot arvioidaan poikkeuskohtaisesti. Ei-toistuvuus on viimekätisen pakottavaan oikeutettuun etuun perustuvan poikkeuksen nimenomainen ehto; kaikkia poikkeuksia ei pidä kuvata samalla yleissäännöllä.
Milloin kyse on kolmanteen maahan siirrosta?
Ensimmäinen kysymys ei ole “mikä siirtoperuste” vaan “onko tämä ylipäätään siirto”. Euroopan tietosuojaneuvoston (EDPB) suuntaviivat 05/2021 määrittelevät kolme kumulatiivista kriteeriä: viejä on GDPR:n soveltamisalassa, viejä luovuttaa tai asettaa saataville henkilötietoja toiselle rekisterinpitäjälle tai käsittelijälle, ja vastaanottaja on kolmannessa maassa tai kansainvälinen järjestö.
Kolme käytännön seurausta:
Palvelimen sijainti ei ratkaise. Jos data on Frankfurtissa mutta yhdysvaltalaisen toimittajan tukitiimi Bangaloressa pääsee siihen ylläpitotarkoituksessa, kyse on siirrosta. Tämä on yleisin puute, jonka näen suomalaisissa pilvihankinnoissa.
Konsernin sisäinen siirto on siirto. Emoyhtiölle Yhdysvaltoihin lähetetty henkilöstöraportti tarvitsee siirtoperusteen aivan kuten ulkopuoliselle toimittajalle lähetetty.
Rekisteröidyn oma toiminta ei ole siirto. Jos suomalainen käyttäjä itse syöttää tietonsa kolmannessa maassa olevalle sivustolle, kyse ei ole 44 artiklan tarkoittamasta siirrosta – vaikka GDPR voi silti soveltua 3 artiklan 2 kohdan nojalla.
Siirto on merkittävä myös käsittelytoimien selosteeseen: 30 artiklan 1 kohdan e alakohta edellyttää tiedon siirroista kolmansiin maihin ja käytetyistä suojatoimista. Sama tieto kuuluu tietosuojaselosteeseen 13 artiklan 1 kohdan f alakohdan nojalla.
Riittävyyspäätös (45 artikla): kevein reitti
Komissio voi todeta, että kolmas maa takaa riittävän tietosuojan tason. Riittävyyspäätöksen kattamaan maahan siirto ei vaadi erityistä lupaa eikä lisäsuojatoimia – se rinnastuu EU:n sisäiseen siirtoon.
Riittävyyspäätös on voimassa muun muassa seuraavien osalta: Andorra, Argentiina, Färsaaret, Guernsey, Israel, Isle of Man, Japani, Jersey, Kanada (kaupalliset organisaatiot), Korean tasavalta, Sveitsi, Uruguay, Uusi-Seelanti ja Yhdistynyt kuningaskunta. Yhdysvaltojen osalta riittävyyspäätös on rajattu: se kattaa vain EU–US Data Privacy Frameworkiin sertifioituneet organisaatiot.
Kaksi asiaa, jotka riittävyyspäätöksestä on ymmärrettävä. Ensinnäkin komissio tarkastelee päätöksiä määräajoin uudelleen (45 art. 3 ja 4 kohta) ja voi kumota tai muuttaa niitä. Toiseksi riittävyyspäätöksen kaatuminen ei ole teoriaa: unionin tuomioistuin kumosi Safe Harbor -päätöksen asiassa C-362/14 (Schrems I) ja Privacy Shield -päätöksen asiassa C-311/18 (Schrems II) 16.7.2020. EU–US Data Privacy Frameworkin pätevyys on riitautettu unionin yleisessä tuomioistuimessa, ja kehys on poliittisesti herkkä.
Käytännön ohje: jos nojaat DPF-sertifiointiin, tarkista sertifioinnin voimassaolo ja kattavuus Yhdysvaltain kauppaministeriön Data Privacy Framework -luettelosta ja kirjaa tarkistuspäivä. Sertifiointi on toimittajakohtainen ja se voi raueta. Lisäksi kannattaa pitää varasuunnitelma – vakiolausekkeet valmiiksi neuvoteltuina – siltä varalta että kehys kaatuu kolmannen kerran. Ajantasainen lista päätöksistä on komission tietosuojasivustolla.
Vakiolausekkeet (SCC) ja muut 46 artiklan suojatoimet
Jos riittävyyspäätöstä ei ole, siirto edellyttää 46 artiklan mukaisia asianmukaisia suojatoimia. Vaihtoehdot ovat:
| Suojatoimi | Peruste | Kenelle sopii |
|---|---|---|
| Vakiolausekkeet (SCC) | 46 art. 2 c, päätös (EU) 2021/914 | Valtaosa tapauksista, erityisesti toimittajasuhteet |
| Yritystä koskevat sitovat säännöt (BCR) | 46–47 art. | Monikansalliset konsernit, konsernin sisäiset siirrot |
| Hyväksytyt käytännesäännöt | 46 art. 2 e + 40 art. | Toimialakohtaiset ratkaisut |
| Sertifiointimekanismi | 46 art. 2 f + 42 art. | Harvinainen käytännössä |
| Viranomaisten väliset järjestelyt | 46 art. 2 a ja 3 b | Julkinen sektori |
Vakiolausekkeet ovat käytännössä oletusratkaisu. Komission täytäntöönpanopäätös (EU) 2021/914, annettu 4.6.2021, sisältää neljä moduulia:
- Moduuli 1: rekisterinpitäjältä rekisterinpitäjälle
- Moduuli 2: rekisterinpitäjältä käsittelijälle
- Moduuli 3: käsittelijältä käsittelijälle
- Moduuli 4: käsittelijältä rekisterinpitäjälle
Lausekkeiden tekstiä ei saa muuttaa – muutokset poistavat niiden pätevyyden. Sen sijaan liitteet on täytettävä huolellisesti: osapuolet, siirron kuvaus, tietoryhmät, käsittelyn tarkoitukset, säilytysaika ja tekniset ja organisatoriset toimenpiteet. Tyhjä tai geneerinen liite II on tavallisin virhe, jonka näen sopimuskatselmoinneissa: siihen on kirjattava konkreettiset toimenpiteet, ei “toimittaja soveltaa alan parhaita käytäntöjä”.
Vakiolausekkeiden moduulit 2 ja 3 sisältävät myös soveltuvat 28 artiklan vaatimukset, joten niitä käyttävässä suhteessa ei tarvita erillistä käsittelysopimusta vain saman velvoitteen toistamiseksi. Täytä silti osapuolet, ohjeet, käsittelyn kuvaus ja turvatoimet sekä tarkista koko sopimusrakenne. Jos käytät muuta sopimusliitettä, vertaa sitä käsittelysopimuksen malliin ja vältä vakiolausekkeiden kanssa ristiriitaisia ehtoja.
Yritystä koskevat sitovat säännöt (BCR) ovat konsernin sisäinen, valvontaviranomaisen hyväksymä säännöstö. 47 artikla luettelee pakolliset osat: sitovuus konsernin jäseniin, rekisteröityjen täytäntöönpanokelpoiset oikeudet, tietosuojaperiaatteiden soveltaminen, valitusmekanismit ja tietosuojavastaavan rooli. Hyväksyntä kulkee yhdenmukaisuusmekanismin kautta ja kestää tyypillisesti vuosia. BCR kannattaa vain, jos konsernin sisäiset siirrot ovat mittavia ja pysyviä.
Siirtovaikutustenarviointi Schrems II:n jälkeen
Unionin tuomioistuin totesi asiassa C-311/18 (Schrems II, 16.7.2020), että vakiolausekkeet ovat sinänsä päteviä, mutta viejän on tapauskohtaisesti varmistettava, että kohdemaan lainsäädäntö ei estä lausekkeiden noudattamista. Käytännössä syntyi uusi asiakirja: siirtovaikutustenarviointi (transfer impact assessment, TIA).
EDPB:n suositus 01/2020 lisäsuojatoimista antaa kuusivaiheisen menetelmän:
- Kartoita siirrot. Et voi arvioida sitä, mitä et tiedä. Lähde käsittelytoimien selosteesta.
- Tunnista siirtoväline. Riittävyyspäätös, 46 artiklan suojatoimi vai 49 artiklan poikkeus.
- Arvioi kohdemaan lainsäädäntö ja käytäntö. Erityisesti viranomaisten pääsyoikeudet: onko pääsy rajattua, tarpeellista ja oikeasuhtaista, ja onko rekisteröidyllä tehokkaita oikeussuojakeinoja.
- Tunnista lisäsuojatoimet, jos arvio osoittaa puutteita.
- Toteuta muodolliset vaiheet, esimerkiksi sopimusmuutokset.
- Arvioi uudelleen säännöllisin väliajoin.
Lisäsuojatoimet jaetaan kolmeen: teknisiin (vahva salaus, jonka avaimet ovat viejän hallussa; pseudonymisointi; hajautettu käsittely), sopimusperusteisiin (läpinäkyvyysvelvoitteet, ilmoitus viranomaispyynnöistä, auditointioikeudet) ja organisatorisiin (sisäiset menettelyt viranomaispyyntöihin, dokumentoitu vastauspolitiikka, säännölliset läpinäkyvyysraportit).
Arvion rakenne kannattaa pitää samana kuin vaikutustenarvioinnissa: kuvaus, riski, todennäköisyys, toimenpide, jäännösriski, hyväksyjä. Jos siirto liittyy korkean riskin käsittelyyn, TIA kannattaa liittää DPIA:n osaksi eikä tehdä erillisenä.
49 artiklan poikkeukset: kapea hätäuloskäynti
Jos riittävyyspäätöstä eikä 46 artiklan suojatoimia ole, siirto on mahdollinen vain 49 artiklan poikkeuksen nojalla:
- rekisteröidyn nimenomainen suostumus sen jälkeen, kun hänelle on kerrottu siirron riskeistä (49 art. 1 a);
- siirto on tarpeen sopimuksen täyttämiseksi rekisteröidyn kanssa tai hänen pyynnöstään toteutettujen toimenpiteiden vuoksi (b);
- siirto on tarpeen rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täyttämiseksi kolmannen kanssa ©;
- tärkeä yleinen etu (d);
- oikeusvaateen laatiminen, esittäminen tai puolustaminen (e);
- elintärkeiden etujen suojaaminen, kun rekisteröity ei voi antaa suostumustaan (f);
- siirto julkisesta rekisteristä laissa säädetyin edellytyksin (g).
EDPB:n suuntaviivat 2/2018 tulkitsevat poikkeuksia suppeasti: ne on tarkoitettu tilapäisiin ja ei-toistuviin tilanteisiin. Pysyvää palvelinsiirtoa ei voi perustaa suostumukseen, koska suostumuksen on oltava vapaaehtoinen ja peruutettavissa – ja palvelun käyttö romahtaisi jokaisen peruutuksen myötä. Suostumuksen pätevyysehdot on käsitelty artikkelissa suostumus (7 art.).
49 artiklan 1 kohdan toinen alakohta sisältää viimesijaisen perusteen: pakottava oikeutettu etu, kun siirto ei ole toistuvaa, koskee rajoitettua määrää rekisteröityjä, on tarpeen rekisterinpitäjän pakottavien oikeutettujen etujen vuoksi eivätkä rekisteröidyn edut syrjäytä niitä. Tämä edellyttää lisäksi ilmoitusta valvontaviranomaiselle ja rekisteröidyille. Se on tarkoitettu poikkeukselliseksi, ja käytännössä siihen nojaaminen kannattaa vain kertaluonteisissa tilanteissa. Punninta tehdään samalla logiikalla kuin tavanomaisessa oikeutetun edun tasapainotestissä.
Näin dokumentoit siirron
- Kartoita. Listaa kaikki toimittajat, järjestelmät ja konserniyhtiöt, joilla on pääsy henkilötietoihin. Muista alihankkijat ja tukiorganisaatiot.
- Luokittele. Riittävyyspäätös, SCC, BCR vai 49 artiklan poikkeus – siirtokohtaisesti.
- Täytä liitteet. SCC:n liitteet konkreettisesti, ei geneerisesti.
- Tee TIA jokaisesta 46 artiklan suojatoimeen perustuvasta siirrosta.
- Kirjaa selosteeseen 30 artiklan 1 kohdan e alakohdan mukaisesti ja tietosuojaselosteeseen 13 artiklan mukaisesti.
- Katselmoi vuosittain ja aina kun riittävyyspäätös, toimittajan sertifiointi tai alihankintaketju muuttuu.
Kun toimittajia on kymmeniä, tämä ei ole taulukkotyötä vaan rekisterinhallintaa: siirtoperusteet, sopimusversiot, TIA:t ja katselmointipäivät kannattaa pitää samassa järjestelmässä kuin käsittelytoimien seloste – juuri tähän ROPA-ohjelmistot on rakennettu. Valvontaviranomaisen toimivalta ja seuraamuskäytäntö Suomessa on kuvattu artikkelissa tietosuojavaltuutettu. GDPR:n V luku on luettavissa EUR-Lexissä ja EDPB:n suositukset tietosuojaneuvoston sivustolla.
Usein kysytyt kysymykset
Saako henkilötietoja siirtää Yhdysvaltoihin?
Saa, jos siirrolle on peruste. Kevein reitti on vastaanottajan sertifiointi EU–US Data Privacy Frameworkiin, jolloin komission riittävyyspäätös kattaa siirron. Muussa tapauksessa tarvitaan vakiolausekkeet ja siirtovaikutustenarviointi. Tarkista sertifioinnin voimassaolo toimittajakohtaisesti ja dokumentoi tarkistus.
Onko pilvipalvelun käyttö aina kolmanteen maahan siirto?
Ei. Jos palvelu isännöidään EU:ssa eikä kolmannessa maassa oleva taho pääse tietoihin, siirtoa ei tapahdu. Ratkaisevaa on pääsy, ei palvelimen sijainti: yhdysvaltalaisen emoyhtiön tukitiimin etäkäyttö tekee siitä siirron.
Riittävätkö vakiolausekkeet yksinään?
Eivät automaattisesti. Schrems II -tuomion (C-311/18) mukaan viejän on arvioitava, estääkö kohdemaan lainsäädäntö lausekkeiden noudattamisen, ja tarvittaessa toteutettava lisäsuojatoimia. Ilman dokumentoitua siirtovaikutustenarviointia vakiolausekkeisiin nojaaminen on puutteellista.
Voiko siirron perustaa rekisteröidyn suostumukseen?
Yksittäistapauksessa kyllä, säännöllisessä toiminnassa ei. 49 artiklan 1 kohdan a alakohta edellyttää nimenomaista suostumusta, joka on annettu siirron riskeistä informoituna, ja EDPB tulkitsee poikkeuksia tilapäisiksi ja ei-toistuviksi. Suostumus on lisäksi milloin tahansa peruutettavissa.
Mitä siirroista on kerrottava rekisteröidylle?
13 artiklan 1 kohdan f alakohta edellyttää tiedon siitä, että tietoja siirretään kolmanteen maahan, mihin siirtoperusteeseen siirto nojaa ja miten suojatoimien jäljennös on saatavissa. Sama tieto kuuluu käsittelytoimien selosteeseen 30 artiklan 1 kohdan e alakohdan nojalla.
Kuka valvoo siirtoja Suomessa?
Tietosuojavaltuutetun toimisto. Sillä on 58 artiklan mukaiset tutkinta- ja korjaustoimivaltuudet, joihin kuuluu myös siirron väliaikainen tai lopullinen rajoittaminen sekä kielto siirtää tietoja vastaanottajalle kolmanteen maahan.
Yhteenveto
Kolmanteen maahan siirto edellyttää sekä oikeudellista että teknistä arviointia. Tunnista ensin viejä, erillinen vastaanottaja, tietovirta ja todelliset pääsyt. Valitse siirtoperuste ja tarkista sen kattavuus; 49 artiklan poikkeusten ehdot arvioidaan erikseen. Vakiolausekkeita käytettäessä arvioi, voidaanko niitä noudattaa ja tarvitaanko tehokkaita lisäsuojatoimia. Jos riittävää suojaa ei voida saavuttaa, siirto on jätettävä aloittamatta tai keskeytettävä. Pelkkä eurooppalainen palvelin ei ratkaise asiaa, jos kolmannen maan vastaanottajalla säilyy pääsy tietoihin. Kirjaa päätös, perustelut ja tarkistuksen ajankohta sekä päivitä käsittelytoimien seloste ja rekisteröidyille annettavat tiedot.
Viimeksi tarkistettu: heinäkuu 2026.