Enemmän kuin yksityisyys: saatavuus, riippuvuus ja kustannukset

Moduuli 1: Miksi eurooppalainen pilvipalvelu? · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, että digitaalinen suvereniteetti koskee myös saatavuutta, riippuvuutta ja päätösvaltaa, tunnet Data Actin uudet eurooppalaiset vaihto-oikeudet, ja osaat punnita oman tilanteesi riskejä.

Keskeiset käsitteet: digitaalinen suvereniteetti, saatavuusriski, pakotteet, ehtojen yksipuolinen muuttaminen, toimittajariippuvuus (vendor lock-in), keskittymisriski, EU:n Data Act, vaihto-oikeus, vaihtokustannukset, NIS2, punninta (todennäköisyys ja vaikutus)

Suvereniteetti on enemmän kuin "kuka voi lukea mukana"

Edelliset oppitunnit käsittelivät luottamuksellisuutta: kuka voi nähdä tietosi. Mutta on vielä kaksi kysymystä, jotka ovat organisaatiolle vähintään yhtä tärkeitä:

1. Pääsetkö tietoihin käsiksi, kun tarvitset niitä? (saatavuus)
2. Voitko itse päättää, vaikka palveluntarjoaja haluaisi toisin? (päätösvalta)

Yhdessä tätä kutsutaan digitaaliseksi suvereniteetiksi: se, missä määrin sinä (tai maasi, tai Eurooppa) pidät itse ohjat omista digitaalisista tiedoistasi ja palveluistasi. Sana kuulostaa isolta, mutta Rakeinen-leipomolle se on hyvin käytännöllinen asia: jos Sanne ei pääse maanantaiaamuna kello kuusi avaamaan jakelureittejä, kaksitoista ihmistä jää odottamaan.

Tämä on selitystä, ei oikeudellista neuvontaa.

Riski 1: tili voidaan sulkea

Pilvipalvelu voi rajoittaa pääsyäsi tai sulkea tilisi. Yleensä tavallisista syistä: maksamaton lasku, epäilty väärinkäyttö, automaattinen järjestelmä joka arvioi jotain väärin. Jokainen, jolta on joskus suljettu tili isossa palvelussa, tietää kuinka vaikeaa on saada ketään ihmistä kiinni.

On olemassa myös geopoliittinen versio. Yrityksen on noudatettava sen maan pakotteita, jonka lainkäyttövallan alle se kuuluu. Helmikuussa 2025 Yhdysvaltain hallitus asetti pakotteita Haagin Kansainvälisen rikostuomioistuimen (ICC) pääsyyttäjälle. Toukokuussa 2025 uutistoimisto AP kertoi, ettei hänellä ollut enää pääsyä Microsoftin työsähköpostiinsa. Microsoft on todennut, ettei se koskaan lopettanut palveluidensa tarjoamista ICC:lle; myöhempien tietojen mukaan ICC itse, pakotteiden painostamana, lakkasi vapauttamasta postilaatikkoa. Tarkka kulku on edelleen kiistanalainen. Esimerkki kuitenkin osoittaa, että palvelun saatavuus riippuu palveluntarjoajan kotimaan politiikasta, ei vain tekniikasta.

Leipomo ei kovin todennäköisesti joudu pakotteiden kohteeksi. Asia on laajempi: olet riippuvainen säännöistä, joihin sinulla ei ole vaikutusvaltaa.

Riski 2: ehdot ja hinnat muuttuvat yksipuolisesti

Pilvipalvelut toimivat tilausten ja yleisten ehtojen varassa, joita palveluntarjoaja voi muuttaa. Paketteja yhdistetään, ominaisuuksia siirretään kalliimpaan pakettiin, tai mukaan tulee uusi ominaisuus (kuten tekoäly), joka nostaa hintaa tai käyttää tietojasi eri tavalla. Yleensä voit vain valita: hyväksyä tai lähteä. Ja lähteminen on vaikeaa, jos kaikki työsi on siellä. Tätä kutsutaan toimittajariippuvuudeksi, englanniksi vendor lock-in (oppitunti 2.3).

Riski 3: kaikki yhdellä toimijalla

Jos sähköposti, kalenteri, tiedostot, chat, salasanat ja kirjautuminen muihin palveluihin ("kirjaudu Googlella tai Microsoftilla") ovat kaikki yhdellä palveluntarjoajalla, yksi häiriö, yksi suljettu tili tai yksi murrettu salasana riittää menettämään kaiken yhdellä kertaa. Tätä kutsutaan keskittymisriskiksi. Se koskee jokaista palveluntarjoajaa, myös eurooppalaista. Hajauttaminen ja oma varmuuskopio (moduuli 8) auttavat.

Sama ilmiö näkyy valtiotasolla. Alankomaissa syntyi 2025 ja 2026 keskustelua Solvinitysta, yrityksestä joka toimittaa infrastruktuuria DigiD ja MijnOverheid palveluille. Yhdysvaltalainen Kyndryl halusi ostaa sen. Investointien tarkastusviraston (Bureau Toetsing Investeringen) lausunnon jälkeen valtiosihteeri kielsi toukokuussa 2026 yrityskaupan yleisen edun suojelemiseksi; yksi huolenaihe oli, että Yhdysvaltain viranomaiset voisivat saada CLOUD Actin kautta pääsyn tietoihin. Esimerkki osoittaa, että myös eurooppalaisen palveluntarjoajan omistaja voi vaihtua. Tämän päivän eurooppalaisella palvelulla voi huomenna olla yhdysvaltalainen emoyhtiö. Siksi jokaiseen valintaan kuuluu exit-suunnitelma (oppitunti 8.2).

Uudet eurooppalaiset säännöt: Data Act

EU on luonut säännöt, jotka helpottavat siirtymistä pilvipalvelusta toiseen, datasäädöksessä (Data Act) (asetus (EU) 2023/2854). Asetusta sovelletaan 12. syyskuuta 2025 alkaen. Pilvipalveluille (laissa "tietojenkäsittelypalvelut") säännöt löytyvät VI luvusta (23 - 31 artikla). Lyhyesti:

• Palveluntarjoaja ei saa estää sinua vaihtamasta toiseen palveluntarjoajaan tai omille palvelimille, ja sen on tehtävä yhteistyötä siinä.
• Sopimuksen on muun muassa sallittava enintään kahden kuukauden irtisanomisaika, lähtökohtaisesti enintään kolmenkymmenen päivän siirtymäaika, ja vähintään kolmenkymmenen päivän ajanjakso tietojesi noutamiseen.
• Palveluntarjoajien on oltava etukäteen selkeitä kustannuksista.
• Vaihtokustannukset, mukaan lukien tietojesi poisviemisen kustannukset (egress), saivat alusta alkaen veloittaa vain omakustannushintaan, ja ne poistuvat kokonaan 12. tammikuuta 2027 alkaen (29 artikla). Tavalliset tilauskustannukset ja sakot määräaikaisen sopimuksen ennenaikaisesta irtisanomisesta ovat edelleen sallittuja.

Tämä auttaa, mutta ei ratkaise kaikkea. Laki sanoo, että saat viedä tietosi mukanasi, ei että ne toimivat uudessa palvelussa täysin samalla tavalla. Google-dokumentin tai Teams-keskusteluhistorian vieminen toiseen ympäristöön on edelleen hankalaa (moduulit 5, 6 ja 7).

NIS2 yhdessä kappaleessa

Eurooppalainen NIS2-direktiivi (direktiivi (EU) 2022/2555) velvoittaa keskisuuret ja suuret organisaatiot tärkeillä toimialoilla pitämään oman ja toimittajiensa kyberturvallisuuden kunnossa. Pieni leipomo ei kuulu sen piiriin, mutta tällaisen organisaation toimittajalle voidaan esittää kysymyksiä sen omista pilvipalveluista. NIS2 ei ota kantaa siihen, onko palvelu eurooppalainen vai ei, mutta se edellyttää, että tunnet toimitusketjusi riskit.

Punninta: kaikki ei ole yhtä tärkeää

Sinun ei tarvitse siirtää kaikkea huomenna. Järkevä punninta osa-alueittain auttaa. Jokaisen riskin kohdalla tarkastelet todennäköisyyttä, että se toteutuu, ja vaikutusta, jos se toteutuu:

Tällainen taulukko näyttää, mistä kannattaa aloittaa. Henkilöstökansio on pieni ja arkaluonteinen: nopea siirtää, suuri hyöty. Sähköposti on tärkeä, mutta vaatii huolellisen suunnitelman (moduuli 4). Chat-historiaa et ehkä vie mukana, mutta arkistoit sen.

Rehellinen vastapaino: suuret yhdysvaltalaiset palvelut ovat luotettavia, teknisesti vahvoja ja henkilöstölle tuttuja. Siirtyminen vie aikaa ja vaatii totuttelua. Kysymys ei ole "oikein vai väärin", vaan mitkä riskit hyväksyt tietoisesti.

Käytännössä: näin se näkyy palveluntarjoajalla

Kysy jokaiselta palveluntarjoajalta, myös eurooppalaiselta: miten saan tietoni ulos, missä muodoissa, ja kuinka kauan irtisanomisen jälkeen pääsen niihin vielä käsiksi? WebOké:llä esimerkiksi Nextcloud-ohjeissa kerrotaan, miten tietoja siirretään Nextcloudien välillä, ja Nextcloud käyttää avoimia standardeja kuten WebDAV, CalDAV ja CardDAV, jolloin voit siirtyä myös toiselle palveluntarjoajalle. Muilla palveluntarjoajilla on vastaavia vientitoimintoja; tarkista, toimivatko ne ilman tukipalvelun apua.

Yhteenveto

• Digitaalinen suvereniteetti koskee luottamuksellisuutta, saatavuutta ja päätösvaltaa.
• Tili voidaan sulkea virheen, maksun tai pakotteiden vuoksi; ICC-tapaus (2025) osoittaa, että politiikka vaikuttaa asiaan.
• Ehdot ja hinnat voivat muuttua yksipuolisesti; kaikki yhdellä toimijalla luo keskittymisriskin.
• Data Act (sovelletaan 12. syyskuuta 2025 alkaen) antaa vaihto-oikeuksia; vaihtokustannukset poistuvat 12. tammikuuta 2027 alkaen.
• Punnitse todennäköisyyttä ja vaikutusta osa-alueittain ja aloita sieltä, missä hyöty on suurin.

Tietovisa

Tehtävä

Tehtävä A1.5: Oma riskipainotuksesi. Täytä omalle organisaatiollesi osa-alueittain (sähköposti, kalenteri, yhteystiedot, tiedostot, dokumentit, chat, salasanat, varmuuskopiot) kuinka luottamuksellista se on, kuinka paha katkos olisi ja kuinka vaikeaa pois siirtyminen olisi. Ohjelma tarkistaa, onko painotuksesi täydellinen ja johdonmukainen, ja järjestää osa-alueet tärkeysjärjestykseen.

Tehtävä E1.5: Oma punnintasi viidessä lauseessa. Kirjoita, miksi organisaatiosi haluaa tai ei halua (osittain) siirtyä, mitkä riskit hyväksyt tietoisesti ja mikä on tärkein argumentti kollegoillesi.

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toimintaperiaate on vastaava.

• Nextcloud-opas 1.1: Mikä on Nextcloud ja mikä on WebOké Nextcloud?
• Nextcloud-opas 13.1: Valmistaudu: mitä otat mukaan ja missä järjestyksessä
• Nextcloud-opas 6.6: Varmuuskopiot WebOkéssa: mitä me säilytämme ja mitä voit tehdä itse
• Asetus (EU) 2023/2854 (Data Act), VI luku, 23-31 artikla, EUR-Lexissä
• Direktiivi (EU) 2022/2555 (NIS2), EUR-Lexissä