Henkilötietojen siirrot EU:n ulkopuolelle

Yhdessä lauseessa: Henkilötietoja saa siirtää EU:n ja ETA:n ulkopuolelle vain, jos siirrolle on GDPR:n V luvun mukainen peruste – riittävyyspäätös (45 art.), asianmukainen suoja kuten komission vakiolausekkeet tai yritystä koskevat sitovat säännöt (46–47 art.) tai poikkeuksellisesti jokin 49 artiklan poikkeus – ja vakiolausekkeita käytettäessä on Schrems II -tuomion jälkeen tehtävä lisäksi tapauskohtainen siirtovaikutustenarviointi.

Tämä on käytännön opas siihen, miten siirtoperuste valitaan, dokumentoidaan ja puolustetaan valvontaviranomaiselle. Kohderyhmänä ovat tietosuojavastaavat ja hankintapäälliköt, jotka ostavat yhdysvaltalaista SaaS-palvelua ja joutuvat perustelemaan sen. Suomen kansallinen kehys on kuvattu oppaassa tietosuoja Suomessa.

Keskeiset huomiot

• Siirto on kyseessä myös silloin, kun tiedot pysyvät EU:ssa mutta kolmannessa maassa oleva taho pääsee niihin etäyhteydellä.
• Riittävyyspäätöksen kattamaan maahan siirto on hallinnollisesti kevein – ei tarvita erillistä lupaa eikä lisätoimia.
• Vakiolausekkeet ovat komission täytäntöönpanopäätöksen (EU) 2021/914 neljä moduulia; niitä ei saa muuttaa, mutta liitteet on täytettävä.
• Siirtovaikutustenarviointi (TIA) on pakollinen 46 artiklan suojatoimia käytettäessä – ei valinnainen lisätyö.
• 49 artiklan poikkeukset ovat tilapäisiä ja ei-toistuvia; niitä ei saa käyttää säännöllisen siirron perusteena.

Milloin kyse on kolmanteen maahan siirrosta?

Ensimmäinen kysymys ei ole “mikä siirtoperuste” vaan “onko tämä ylipäätään siirto”. Euroopan tietosuojaneuvoston (EDPB) suuntaviivat 05/2021 määrittelevät kolme kumulatiivista kriteeriä: viejä on GDPR:n soveltamisalassa, viejä luovuttaa tai asettaa saataville henkilötietoja toiselle rekisterinpitäjälle tai käsittelijälle, ja vastaanottaja on kolmannessa maassa tai kansainvälinen järjestö.

Kolme käytännön seurausta:

Palvelimen sijainti ei ratkaise. Jos data on Frankfurtissa mutta yhdysvaltalaisen toimittajan tukitiimi Bangaloressa pääsee siihen ylläpitotarkoituksessa, kyse on siirrosta. Tämä on yleisin puute, jonka näen suomalaisissa pilvihankinnoissa.

Konsernin sisäinen siirto on siirto. Emoyhtiölle Yhdysvaltoihin lähetetty henkilöstöraportti tarvitsee siirtoperusteen aivan kuten ulkopuoliselle toimittajalle lähetetty.

Rekisteröidyn oma toiminta ei ole siirto. Jos suomalainen käyttäjä itse syöttää tietonsa kolmannessa maassa olevalle sivustolle, kyse ei ole 44 artiklan tarkoittamasta siirrosta – vaikka GDPR voi silti soveltua 3 artiklan 2 kohdan nojalla.

Siirto on merkittävä myös käsittelytoimien selosteeseen: 30 artiklan 1 kohdan e alakohta edellyttää tiedon siirroista kolmansiin maihin ja käytetyistä suojatoimista. Sama tieto kuuluu tietosuojaselosteeseen 13 artiklan 1 kohdan f alakohdan nojalla.

Riittävyyspäätös (45 artikla): kevein reitti

Komissio voi todeta, että kolmas maa takaa riittävän tietosuojan tason. Riittävyyspäätöksen kattamaan maahan siirto ei vaadi erityistä lupaa eikä lisäsuojatoimia – se rinnastuu EU:n sisäiseen siirtoon.

Riittävyyspäätös on voimassa muun muassa seuraavien osalta: Andorra, Argentiina, Färsaaret, Guernsey, Israel, Isle of Man, Japani, Jersey, Kanada (kaupalliset organisaatiot), Korean tasavalta, Sveitsi, Uruguay, Uusi-Seelanti ja Yhdistynyt kuningaskunta. Yhdysvaltojen osalta riittävyyspäätös on rajattu: se kattaa vain EU–US Data Privacy Frameworkiin sertifioituneet organisaatiot.

Kaksi asiaa, jotka riittävyyspäätöksestä on ymmärrettävä. Ensinnäkin komissio tarkastelee päätöksiä määräajoin uudelleen (45 art. 3 ja 4 kohta) ja voi kumota tai muuttaa niitä. Toiseksi riittävyyspäätöksen kaatuminen ei ole teoriaa: unionin tuomioistuin kumosi Safe Harbor -päätöksen asiassa C-362/14 (Schrems I) ja Privacy Shield -päätöksen asiassa C-311/18 (Schrems II) 16.7.2020. EU–US Data Privacy Frameworkin pätevyys on riitautettu unionin yleisessä tuomioistuimessa, ja kehys on poliittisesti herkkä.

Käytännön ohje: jos nojaat DPF-sertifiointiin, tarkista sertifioinnin voimassaolo komission ylläpitämästä listasta ja kirjaa tarkistuspäivä. Sertifiointi on toimittajakohtainen ja se voi raueta. Lisäksi kannattaa pitää varasuunnitelma – vakiolausekkeet valmiiksi neuvoteltuina – siltä varalta että kehys kaatuu kolmannen kerran. Ajantasainen lista päätöksistä on komission tietosuojasivustolla.

Vakiolausekkeet (SCC) ja muut 46 artiklan suojatoimet

Jos riittävyyspäätöstä ei ole, siirto edellyttää 46 artiklan mukaisia asianmukaisia suojatoimia. Vaihtoehdot ovat:

Suojatoimi	Peruste	Kenelle sopii
Vakiolausekkeet (SCC)	46 art. 2 c, päätös (EU) 2021/914	Valtaosa tapauksista, erityisesti toimittajasuhteet
Yritystä koskevat sitovat säännöt (BCR)	46–47 art.	Monikansalliset konsernit, konsernin sisäiset siirrot
Hyväksytyt käytännesäännöt	46 art. 2 e + 40 art.	Toimialakohtaiset ratkaisut
Sertifiointimekanismi	46 art. 2 f + 42 art.	Harvinainen käytännössä
Viranomaisten väliset järjestelyt	46 art. 2 a ja 3 b	Julkinen sektori

Vakiolausekkeet ovat käytännössä oletusratkaisu. Komission täytäntöönpanopäätös (EU) 2021/914, annettu 4.6.2021, sisältää neljä moduulia:

• Moduuli 1: rekisterinpitäjältä rekisterinpitäjälle
• Moduuli 2: rekisterinpitäjältä käsittelijälle
• Moduuli 3: käsittelijältä käsittelijälle
• Moduuli 4: käsittelijältä rekisterinpitäjälle

Lausekkeiden tekstiä ei saa muuttaa – muutokset poistavat niiden pätevyyden. Sen sijaan liitteet on täytettävä huolellisesti: osapuolet, siirron kuvaus, tietoryhmät, käsittelyn tarkoitukset, säilytysaika ja tekniset ja organisatoriset toimenpiteet. Tyhjä tai geneerinen liite II on tavallisin virhe, jonka näen sopimuskatselmoinneissa: siihen on kirjattava konkreettiset toimenpiteet, ei “toimittaja soveltaa alan parhaita käytäntöjä”.

Käsittelijäsuhteessa vakiolausekkeet eivät korvaa 28 artiklan mukaista käsittelysopimusta, vaikka moduuli 2 sisältääkin 28 artiklan pakolliset ehdot. Selkein rakenne on yksi sopimusliite, joka kattaa molemmat – valmis pohja löytyy artikkelista käsittelysopimus malli.

Yritystä koskevat sitovat säännöt (BCR) ovat konsernin sisäinen, valvontaviranomaisen hyväksymä säännöstö. 47 artikla luettelee pakolliset osat: sitovuus konsernin jäseniin, rekisteröityjen täytäntöönpanokelpoiset oikeudet, tietosuojaperiaatteiden soveltaminen, valitusmekanismit ja tietosuojavastaavan rooli. Hyväksyntä kulkee yhdenmukaisuusmekanismin kautta ja kestää tyypillisesti vuosia. BCR kannattaa vain, jos konsernin sisäiset siirrot ovat mittavia ja pysyviä.

Siirtovaikutustenarviointi Schrems II:n jälkeen

Unionin tuomioistuin totesi asiassa C-311/18 (Schrems II, 16.7.2020), että vakiolausekkeet ovat sinänsä päteviä, mutta viejän on tapauskohtaisesti varmistettava, että kohdemaan lainsäädäntö ei estä lausekkeiden noudattamista. Käytännössä syntyi uusi asiakirja: siirtovaikutustenarviointi (transfer impact assessment, TIA).

EDPB:n suositus 01/2020 lisäsuojatoimista antaa kuusivaiheisen menetelmän:

1. Kartoita siirrot. Et voi arvioida sitä, mitä et tiedä. Lähde käsittelytoimien selosteesta.
2. Tunnista siirtoväline. Riittävyyspäätös, 46 artiklan suojatoimi vai 49 artiklan poikkeus.
3. Arvioi kohdemaan lainsäädäntö ja käytäntö. Erityisesti viranomaisten pääsyoikeudet: onko pääsy rajattua, tarpeellista ja oikeasuhtaista, ja onko rekisteröidyllä tehokkaita oikeussuojakeinoja.
4. Tunnista lisäsuojatoimet, jos arvio osoittaa puutteita.
5. Toteuta muodolliset vaiheet, esimerkiksi sopimusmuutokset.
6. Arvioi uudelleen säännöllisin väliajoin.

Lisäsuojatoimet jaetaan kolmeen: teknisiin (vahva salaus, jonka avaimet ovat viejän hallussa; pseudonymisointi; hajautettu käsittely), sopimusperusteisiin (läpinäkyvyysvelvoitteet, ilmoitus viranomaispyynnöistä, auditointioikeudet) ja organisatorisiin (sisäiset menettelyt viranomaispyyntöihin, dokumentoitu vastauspolitiikka, säännölliset läpinäkyvyysraportit).

Realistinen arvio: vain tekniset toimet ovat aidosti tehokkaita, jos kohdemaan viranomaisilla on laaja pääsyoikeus. Sopimuslauseke ei estä pakkokeinoa. Jos palveluntarjoaja tarvitsee selväkielisen pääsyn tietoihin toimiakseen – kuten useimmat SaaS-palvelut tarvitsevat – salaus ei ratkaise ongelmaa. Silloin vaihtoehtoja on kaksi: hyväksy jäännösriski dokumentoituna tai valitse EU:ssa isännöity palvelu. Tämä on konkreettinen syy siihen, miksi datan sijainti on noussut hankintakriteeriksi – vertailu eurooppalaisten ja yhdysvaltalaisten alustojen välillä on tehty artikkelissa Legiscope vs OneTrust, ja laajempi katsaus artikkelissa tietosuojaohjelmisto: vertailu ja hinnat.

Arvion rakenne kannattaa pitää samana kuin vaikutustenarvioinnissa: kuvaus, riski, todennäköisyys, toimenpide, jäännösriski, hyväksyjä. Jos siirto liittyy korkean riskin käsittelyyn, TIA kannattaa liittää DPIA:n osaksi eikä tehdä erillisenä.

49 artiklan poikkeukset: kapea hätäuloskäynti

Jos riittävyyspäätöstä eikä 46 artiklan suojatoimia ole, siirto on mahdollinen vain 49 artiklan poikkeuksen nojalla:

• rekisteröidyn nimenomainen suostumus sen jälkeen, kun hänelle on kerrottu siirron riskeistä (49 art. 1 a);
• siirto on tarpeen sopimuksen täyttämiseksi rekisteröidyn kanssa tai hänen pyynnöstään toteutettujen toimenpiteiden vuoksi (b);
• siirto on tarpeen rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täyttämiseksi kolmannen kanssa ©;
• tärkeä yleinen etu (d);
• oikeusvaateen laatiminen, esittäminen tai puolustaminen (e);
• elintärkeiden etujen suojaaminen, kun rekisteröity ei voi antaa suostumustaan (f);
• siirto julkisesta rekisteristä laissa säädetyin edellytyksin (g).

EDPB:n suuntaviivat 2/2018 tulkitsevat poikkeuksia suppeasti: ne on tarkoitettu tilapäisiin ja ei-toistuviin tilanteisiin. Pysyvää palvelinsiirtoa ei voi perustaa suostumukseen, koska suostumuksen on oltava vapaaehtoinen ja peruutettavissa – ja palvelun käyttö romahtaisi jokaisen peruutuksen myötä. Suostumuksen pätevyysehdot on käsitelty artikkelissa suostumus (7 art.).

49 artiklan 1 kohdan toinen alakohta sisältää viimesijaisen perusteen: pakottava oikeutettu etu, kun siirto ei ole toistuvaa, koskee rajoitettua määrää rekisteröityjä, on tarpeen rekisterinpitäjän pakottavien oikeutettujen etujen vuoksi eivätkä rekisteröidyn edut syrjäytä niitä. Tämä edellyttää lisäksi ilmoitusta valvontaviranomaiselle ja rekisteröidyille. Se on tarkoitettu poikkeukselliseksi, ja käytännössä siihen nojaaminen kannattaa vain kertaluonteisissa tilanteissa. Punninta tehdään samalla logiikalla kuin tavanomaisessa oikeutetun edun tasapainotestissä.

Näin dokumentoit siirron

1. Kartoita. Listaa kaikki toimittajat, järjestelmät ja konserniyhtiöt, joilla on pääsy henkilötietoihin. Muista alihankkijat ja tukiorganisaatiot.
2. Luokittele. Riittävyyspäätös, SCC, BCR vai 49 artiklan poikkeus – siirtokohtaisesti.
3. Täytä liitteet. SCC:n liitteet konkreettisesti, ei geneerisesti.
4. Tee TIA jokaisesta 46 artiklan suojatoimeen perustuvasta siirrosta.
5. Kirjaa selosteeseen 30 artiklan 1 kohdan e alakohdan mukaisesti ja tietosuojaselosteeseen 13 artiklan mukaisesti.
6. Katselmoi vuosittain ja aina kun riittävyyspäätös, toimittajan sertifiointi tai alihankintaketju muuttuu.

Kun toimittajia on kymmeniä, tämä ei ole taulukkotyötä vaan rekisterinhallintaa: siirtoperusteet, sopimusversiot, TIA:t ja katselmointipäivät kannattaa pitää samassa järjestelmässä kuin käsittelytoimien seloste – juuri tähän ROPA-ohjelmistot on rakennettu. Valvontaviranomaisen toimivalta ja seuraamuskäytäntö Suomessa on kuvattu artikkelissa tietosuojavaltuutettu. GDPR:n V luku on luettavissa EUR-Lexissä ja EDPB:n suositukset tietosuojaneuvoston sivustolla.

Usein kysytyt kysymykset

Saako henkilötietoja siirtää Yhdysvaltoihin?

Saa, jos siirrolle on peruste. Kevein reitti on vastaanottajan sertifiointi EU–US Data Privacy Frameworkiin, jolloin komission riittävyyspäätös kattaa siirron. Muussa tapauksessa tarvitaan vakiolausekkeet ja siirtovaikutustenarviointi. Tarkista sertifioinnin voimassaolo toimittajakohtaisesti ja dokumentoi tarkistus.

Onko pilvipalvelun käyttö aina kolmanteen maahan siirto?

Ei. Jos palvelu isännöidään EU:ssa eikä kolmannessa maassa oleva taho pääse tietoihin, siirtoa ei tapahdu. Ratkaisevaa on pääsy, ei palvelimen sijainti: yhdysvaltalaisen emoyhtiön tukitiimin etäkäyttö tekee siitä siirron.

Riittävätkö vakiolausekkeet yksinään?

Eivät automaattisesti. Schrems II -tuomion (C-311/18) mukaan viejän on arvioitava, estääkö kohdemaan lainsäädäntö lausekkeiden noudattamisen, ja tarvittaessa toteutettava lisäsuojatoimia. Ilman dokumentoitua siirtovaikutustenarviointia vakiolausekkeisiin nojaaminen on puutteellista.

Voiko siirron perustaa rekisteröidyn suostumukseen?

Yksittäistapauksessa kyllä, säännöllisessä toiminnassa ei. 49 artiklan 1 kohdan a alakohta edellyttää nimenomaista suostumusta, joka on annettu siirron riskeistä informoituna, ja EDPB tulkitsee poikkeuksia tilapäisiksi ja ei-toistuviksi. Suostumus on lisäksi milloin tahansa peruutettavissa.

Mitä siirroista on kerrottava rekisteröidylle?

13 artiklan 1 kohdan f alakohta edellyttää tiedon siitä, että tietoja siirretään kolmanteen maahan, mihin siirtoperusteeseen siirto nojaa ja miten suojatoimien jäljennös on saatavissa. Sama tieto kuuluu käsittelytoimien selosteeseen 30 artiklan 1 kohdan e alakohdan nojalla.

Kuka valvoo siirtoja Suomessa?

Tietosuojavaltuutetun toimisto. Sillä on 58 artiklan mukaiset tutkinta- ja korjaustoimivaltuudet, joihin kuuluu myös siirron väliaikainen tai lopullinen rajoittaminen sekä kielto siirtää tietoja vastaanottajalle kolmanteen maahan.

Yhteenveto

Kolmanteen maahan siirto ei ole tekninen kysymys vaan dokumentaatiokysymys. Selvitä ensin, onko kyse siirrosta – pääsy ratkaisee, ei palvelimen sijainti. Valitse sitten peruste: riittävyyspäätös on kevein, vakiolausekkeet ovat oletusratkaisu, BCR kannattaa vain suurille konserneille ja 49 artiklan poikkeukset ovat kertaluonteisia. Vakiolausekkeita käytettäessä siirtovaikutustenarviointi on pakollinen, ja jos kohdemaan viranomaispääsy on laaja eikä salaus ole mahdollista, ainoa aito ratkaisu on eurooppalainen isännöinti. Kirjaa lopputulos käsittelytoimien selosteeseen ja tietosuojaselosteeseen – valvontaviranomainen aloittaa aina niistä.

Viimeksi tarkistettu: heinäkuu 2026.