Viisi kysymystä, jotka määrittävät kuinka eurooppalainen palvelu on

Moduuli 2: Mitä eurooppalainen pilvipalvelu oikeasti tarkoittaa? · Lukuaika: 11 minuuttia

Oppitavoite: Tämän oppitunnin jälkeen osaat viiden kysymyksen avulla selvittää, minkä maan lainsäädännön alle pilvipalvelu kuuluu, ja perustella miksi pelkkä datakeskus Euroopassa ei siihen riitä.

Keskeiset käsitteet: kotipaikka (yhtiöoikeudellinen kotipaikka), lopullinen omistaja, datakeskuksen sijainti, alikäsittelijä, etäkäyttö, avainten hallinta, EU, ETA, tietosuojan riittävyyttä koskeva päätös, "sovereign cloud"

"Tietomme sijaitsevat Euroopassa." Entä sitten?

Lähes jokainen suuri pilvipalvelu sanoo nykyään näin: tietosi sijaitsevat datakeskuksessa Frankfurtissa, Amsterdamissa tai Dublinissa. Se kuulostaa rauhoittavalta, mutta vastaa vain yhteen niistä kysymyksistä, joilla on merkitystä. Moduulissa 1 näit, että amerikkalainen CLOUD Act ei katso palvelimen sijaintia vaan sitä yritystä, jolla tiedot ovat hallussa, säilytyksessä tai määräysvallassa ("possession, custody, or control"). Frankfurtissa sijaitseva palvelin, jonka omistaa lopulta amerikkalainen yritys, voi siis silti joutua amerikkalaisen määräyksen alle.

Siksi et katso yhtä ominaisuutta, vaan viittä. Esimerkkimme Bakkerij De Korrel (12 työntekijää, verkkotunnus example.com) käyttää nyt amerikkalaista toimistopakettia ja haluaa tietää, mitkä vaihtoehdot ovat todella eurooppalaisia. Näiden viiden kysymyksen avulla se erottaa markkinoinnin tosiasioista.

Kysymys 1: missä yritys sijaitsee?

Kotipaikka on maa, johon sopimuksesi allekirjoittava yritys on juridisesti rekisteröity: yhtiöoikeudellinen kotipaikka. Tuo maa määrittää ensisijaisesti, mitä lainsäädäntöä yritykseen sovelletaan, mikä tuomioistuin on toimivaltainen ja mikä valvontaviranomainen seuraa toimintaa.

Älä katso tätä varten verkkosivustoa, vaan sopimuskumppania: nimeä yleisten ehtojen, tietojenkäsittelysopimuksen ja laskun alareunassa. Jos siellä lukee "Example Cloud Ireland Ltd.", sopimuskumppanisi on irlantilainen, vaikka tuotemerkki olisi amerikkalainen. Tämä on hyvä alku, muttei vielä vastaus. Sitä varten tarvitset kysymystä 2.

Kysymys 2: kuka on lopullinen omistaja?

Lopullinen omistaja on yritys tai henkilö, joka on osakkeenomistajien ketjussa ylimpänä. Amerikkalaisen emoyhtiön eurooppalainen tytäryhtiö on juridisesti eurooppalainen yritys, mutta emoyhtiöllä on määräysvalta. CLOUD Actin mukaan amerikkalainen tuomioistuin voi velvoittaa emoyhtiön luovuttamaan tietoja, jotka sijaitsevat tytäryhtiössä, jos emoyhtiöllä on niihin tosiasiallinen "control". Riippuu yrityksen rakenteesta, pitääkö tämä paikkansa yksittäistapauksessa. Juristit eivät ole asiasta yksimielisiä. Juuri siksi kyse on riskistä, ei varmuudesta.

Myös toisinpäin voi käydä: yritys, joka on nyt eurooppalainen, voidaan huomenna ostaa. Alankomaissa näin kävi vuosina 2025 ja 2026 Solvinityn kohdalla, joka on DigiD-infrastruktuurin takana oleva yritys. Amerikkalainen Kyndryl halusi ostaa sen; hallitus kielsi yrityskaupan toukokuussa 2026 investointien tarkastusviraston (Bureau Toetsing Investeringen) lausunnon jälkeen. Kysy siis palveluntarjoajalta myös: mitä sopimukselleni tapahtuu yrityskaupan yhteydessä? Voinko silloin irtisanoa sopimuksen maksutta?

Mistä omistajan löytää? Kaupparekisteristä (Alankomaissa KVK, Saksassa Handelsregister), vuosikertomuksesta tai sivulta "Tietoja meistä" tai "Impressum". Pörssiyhtiöillä tiedot löytyvät tilinpäätösasiakirjoista.

Kysymys 3: missä tiedot ja varmuuskopiot sijaitsevat?

Datakeskuksen sijainti on edelleen tärkeä. Jos tietosi sijaitsevat EU:ssa, kyse ei ole tietosuoja-asetuksen tarkoittamasta siirrosta ETA:n ulkopuolelle, kunhan kukaan ETA:n ulkopuolinen ei pääse niihin käsiksi. Kysy kaikista sijainneista: ensisijainen datakeskus, varadatakeskus ja varmuuskopiot. Palveluntarjoajalla, jolla on palvelimet Alankomaissa mutta varmuuskopiot Yhdysvalloissa, on kyllä kyseessä siirto.

Kiinnitä huomiota kolmeen käsitteeseen, jotka sekoittuvat usein keskenään:

Sveitsi ja Yhdistynyt kuningaskunta eivät siis ole EU:ta, mutta niissä sijaitsevaa palvelua saa tietosuoja-asetuksen nojalla käyttää ilman lisäsopimusehtoja. Sveitsiä koskeva päätös on vuodelta 2000 ja se vahvistettiin uudelleenarvioinnissa tammikuussa 2024. Yhdistynyttä kuningaskuntaa koskevaa päätöstä jatkettiin 19. joulukuuta 2025 27. joulukuuta 2031 saakka. Tietosuojan riittävyyttä koskeva päätös voidaan kuitenkin tarkistaa tai Euroopan unionin tuomioistuin (EUT) voi kumota sen: näin kävi kahdesti Yhdysvaltojen kanssa tehtyjen sopimusten kohdalla (moduuli 1, oppitunti 1.4). Yhdysvalloissa on nyt voimassa Data Privacy Framework, mutta se koskee vain siihen liittyneitä amerikkalaisia yrityksiä, ja siihen liittyy sama epävarmuus, jonka näit oppitunnilla 1.4.

Kysymys 4: kuka muu pääsee käsiksi? Alikäsittelijät ja etäkäyttö

Alikäsittelijä on toinen yritys, jota palveluntarjoaja käyttää ja joka tällöin käsittelee tai voi nähdä tietosi: datakeskus, varmuuskopiointipalvelu, sähköpostin toimituksesta vastaava yritys, tukiosasto toisessa maassa, tekoälypalvelu joka tiivistää sähköposteja. Tietosuoja-asetus edellyttää, että palveluntarjoaja kertoo etukäteen, mitä alikäsittelijöitä se käyttää, ja antaa sinun vastustaa uusia (tietosuoja-asetuksen 28 artikla, oppitunti 9.2).

Kiinnitä erityistä huomiota etäkäyttöön. Tiedot, jotka sijaitsevat Amsterdamissa mutta joihin tukihenkilö ETA:n ulkopuolisessa maassa pääsee käsiksi häiriön korjaamiseksi, katsotaan eurooppalaisten valvontaviranomaisten mukaan myös siirretyiksi. Datakeskus Euroopassa, jonka toimintaa seuraa ympäri vuorokauden maailmanlaajuinen asiakastuki, on siis vähemmän eurooppalainen kuin miltä se näyttää.

Mistä löydät listan? Yleensä tietojenkäsittelysopimuksen liitteenä tai erillisellä sivulla "alikäsittelijät" tai "sub-processors". Jos lista puuttuu tai on epämääräinen ("teemme yhteistyötä huolellisesti valittujen kumppaneiden kanssa"), se on varoitusmerkki.

Kysymys 5: kenellä on avain?

Salaus suojaa muilta vain, jos heillä ei ole avainta. Useimmissa pilvipalveluissa tietosi on salattu siirron aikana (https) ja levossa (levyllä), mutta palveluntarjoajalla on avain. Jos palveluntarjoajan on luovutettava tietoja, se voi purkaa salauksen. Päästä päähän salauksessa tai salauksessa, jonka avainta hallinnoit vain sinä, palveluntarjoaja ei voi tehdä niin. Tämä suojaa paremmin, mutta sillä on hintansa: haku, yhteinen muokkaaminen selaimessa ja unohtuneen salasanan palautus eivät silloin usein toimi tai toimivat vain rajoitetusti. Kysy siis: mitkä osat on salattu päästä päähän, ja mitä en silloin enää voi tehdä?

"Sovereign cloud" amerikkalaisilta yrityksiltä

Suuret amerikkalaiset palveluntarjoajat vastaavat suvereniteettikysymykseen omilla ratkaisuillaan. Muutama esimerkki, jotta tunnistat termit:

• Microsoft EU Data Boundary: Microsoft ilmoitti helmikuussa 2025, että Microsoft 365:n, Dynamics 365:n, Power Platformin ja useimpien Azure-palvelujen asiakastiedot tallennetaan ja käsitellään EU:n ja ETA-maiden sisällä, mukaan lukien tukitiedot. Microsoft itse kirjoittaa, että rajoitetuissa tapauksissa tietoja käsitellään edelleen EU:n ulkopuolella, esimerkiksi turvallisuussyistä. Microsoft on edelleen amerikkalainen yritys. Kesäkuussa 2025 Microsoft Ranskan lakiasiainjohtaja totesi valan alla Ranskan senaatissa, ettei voi taata, etteikö tietoja koskaan luovutettaisi amerikkalaisille viranomaisille ilman lupaa.
• AWS European Sovereign Cloud: yleisesti saatavilla 15. tammikuuta 2026 alkaen, ensimmäinen alue Brandenburgissa (Saksa). Sitä hallinnoi saksalainen yhtiö, jonka henkilöstö on EU:ssa, ja se on teknisesti erotettu muusta AWS:sta. Lopullinen emoyhtiö on Amazon. Analyytikot huomauttavat, että CLOUD Act -riski voi tämän vuoksi olla pienempi, mutta se ei ole todistettavasti poissa.
• Yhteistyömallit: Ranskassa ja Saksassa on eurooppalaisia yrityksiä, jotka ajavat amerikkalaista pilviteknologiaa lisenssillä niin, että eurooppalaisella yrityksellä on hallinta. Toimiiko tämä, riippuu päivityksiä, hallintaa ja käyttöoikeuksia koskevista sopimuksista.

Tällaiset palvelut voivat joillekin organisaatioille olla kohtuullinen välivaihe. Mutta esitä niille samat viisi kysymystä. Vastaus kysymykseen 2 (omistaja) pysyy näissä palveluissa erilaisena kuin täysin eurooppalaisella yrityksellä.

Käytännössä: näin se näyttää palveluntarjoajalla

Otetaan esimerkiksi WebOké Nextcloud. Kotipaikka ja omistaja: alankomaalainen osakeyhtiö (bv). Datakeskus: käyttöoppaan mukaan kaksi alankomaalaista NorthC:n datakeskusta. Ohjelmisto: Nextcloud, jonka on tehnyt saksalainen Nextcloud GmbH, avoin lähdekoodi. Tallennustilan salauksen avain on palveluntarjoajalla; päästä päähän salauksen voit ottaa itse käyttöön kansiokohtaisesti. Muilla eurooppalaisilla palveluntarjoajilla, kuten muilla Nextcloud-palveluntarjoajilla, mailbox.orgilla, Infomanikilla tai IONOSilla, etsit samat viisi vastausta samoista paikoista: sopimus, kaupparekisteri, tietojenkäsittelysopimus ja alikäsittelijälista.

Yhteenveto

• Datakeskus Euroopassa vastaa vain yhteen viidestä kysymyksestä.
• Viisi kysymystä: kotipaikka, lopullinen omistaja, tietojen ja varmuuskopioiden sijainti, alikäsittelijät ja etäkäyttö, sekä kuka hallinnoi avainta.
• Amerikkalaisen yrityksen eurooppalainen tytäryhtiö saattaa silti kuulua CLOUD Actin piiriin.
• Sveitsi ja Yhdistynyt kuningaskunta eivät ole EU:ta, mutta niillä on tietosuojan riittävyyttä koskeva päätös; ETA on EU sekä Norja, Islanti ja Liechtenstein.
• Amerikkalaisten yritysten "sovereign cloud" -palvelut pienentävät riskejä, mutta eivät muuta vastausta omistajakysymykseen.

Tietovisa

Tehtävä

Tehtävä A2.1: Kuka vastaanottaa ja lähettää sähköpostia domainisi puolesta? Syötä oma verkkotunnuksesi. Ohjelma etsii MX-tietueet ja purkaa SPF-tietueesi kokonaan auki. Merkitset itse, mitkä organisaatiot saavat vastaanottaa sähköpostiasi ja mitkä saavat lähettää sähköpostia puolestasi. Näin näet muutamassa minuutissa, mitkä tahot ovat jo mukana sähköpostissasi.

Tehtävä E2.1: Viisi kysymystä omista palveluistasi. Valitse kaksi palvelua, joita käytät nyt (esimerkiksi sähköposti ja tiedostojen tallennus), ja yksi mahdollinen eurooppalainen korvaaja. Etsi kaikille kolmelle vastaukset viiteen kysymykseen, lähde mukaan lukien.

Lue lisää

Näiden artikkeleiden vaiheet pätevät WebOkén palveluihin; muilla palveluntarjoajilla toiminta on vastaavaa.

• Nextcloud-opas 1.1: Mikä on Nextcloud ja mikä on WebOké Nextcloud?
• Nextcloud-opas 3.1: Miten WebOké suojaa Nextcloudiasi?
• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• Euroopan komissio, katsaus tietosuojan riittävyyttä koskeviin päätöksiin: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (tiedot "regardless of whether" ne sijaitsevat Yhdysvalloissa tai sen ulkopuolella)