> Missä yrityksesi data oikeasti sijaitsee? > Lähde: https://developit.fi/kirjoitukset/missa-yrityksesi-data-sijaitsee/ > Koko sivusto koneluettavana: https://developit.fi/llms-full.txt Pilvipalvelut ja moderni työ # Missä yrityksesi data oikeasti sijaitsee? EU-datarajaus selkokielellä 4.8.2026 · 3 min lukuaika Lyhyesti: Sen selvität listaamalla palvelut, joissa yrityksesi tietoja on ja tarkistamalla jokaisesta datan sijainnin ja alikäsittelijät. Sijainti ratkaisee, kenen lakeja tietoihin sovelletaan, ja GDPR sallii henkilötietojen siirron EU:n ulkopuolelle vain tietyin edellytyksin. Microsoftin keskeisten pilvipalvelujen asiakasdata on helmikuusta 2025 alkaen säilytetty ja käsitelty EU- ja EFTA-alueella. Sähköpostit, asiakastiedot ja tiedostot ovat nykyään pilvessä, mutta harva tietää, missä maassa ne fyysisesti sijaitsevat. Datan sijainti ei ole vain tekninen yksityiskohta, vaan se vaikuttaa tietosuojaan, sopimuksiin ja siihen, kenen lakeja tietoihisi sovelletaan. Tässä artikkelissa selvitetään asia ilman lakikieltä. ## Miksi datan sijainnilla on väliä? Pilvipalvelu tarkoittaa käytännössä sitä, että tietosi ovat jonkun toisen konesalissa. Konesali voi olla Suomessa, Irlannissa tai Yhdysvalloissa, ja sijainti ratkaisee, minkä maan viranomaisilla on pääsy tietoihin ja minkä lainsäädännön suojaa ne nauttivat. Yritykselle kysymys on konkreettinen kolmesta syystä. - Laki. EU:n yleinen tietosuoja-asetus eli GDPR asettaa ehtoja henkilötietojen siirrolle EU:n ulkopuolelle. - Asiakkaat. Yhä useampi asiakas ja sopimuskumppani kysyy tarjouskilpailussa, missä data sijaitsee, ja vastaus ”emme tiedä” ei herätä luottamusta. - Toimivuus. Datan sijainti vaikuttaa siihen, miten nopeasti ja varmasti palvelut toimivat. ## Mitä GDPR sanoo tiedonsiirroista EU:n ulkopuolelle? GDPR ei kiellä henkilötietojen viemistä EU:n ja Euroopan talousalueen ulkopuolelle, mutta se sallii siirron vain tietyin edellytyksin. Siirrolle on oltava peruste, esimerkiksi Euroopan komission päätös siitä, että kohdemaan tietosuojan taso on riittävä, tai sopimusehdot, jotka velvoittavat vastaanottajan suojaamaan tiedot EU-tasoisesti. Käytännössä pienen yrityksen ei tarvitse rakentaa näitä perusteita itse, vaan olennaista on tietää, mitä omat palveluntarjoajat tekevät. Vastuu on silti sinulla: yritys vastaa rekisterinpitäjänä siitä, että sen käyttämät palvelut käsittelevät henkilötietoja lainmukaisesti. Siksi jokaisesta keskeisestä palvelusta kannattaa tietää, missä data sijaitsee ja siirretäänkö sitä EU:n ulkopuolelle. ## Mitä suuret pilvipalvelut lupaavat nyt? Tilanne on parantunut selvästi viime vuosina, koska eurooppalaiset asiakkaat ovat vaatineet datalleen kotipaikkaa. Näkyvin esimerkki on Microsoft, joka sai EU-datarajauksensa (EU Data Boundary) valmiiksi helmikuussa 2025. Rajaus tarkoittaa, että EU- ja EFTA-alueen asiakkaiden asiakasdata ja pseudonymisoidut henkilötiedot säilytetään ja käsitellään EU- ja EFTA-alueella Microsoftin keskeisissä pilvipalveluissa, joihin kuuluvat Microsoft 365, Dynamics 365, Power Platform ja valtaosa Azure-palveluista. Rajaus kattaa myös teknisen tuen yhteydessä syntyvät tiedot. Rajaus ei silti tee sijaintikysymystä merkityksettömäksi. Yksittäiset lisäpalvelut voivat toimia eri säännöillä, ja moni pienempi ohjelmistopalvelu, jota yrityksesi käyttää, ei tarjoa mitään EU-sitoumusta. Lisäksi lupaus koskee vain palvelua itseään: jos yrityksesi asetuksissa on valittu väärä alue tai tietoja siirretään palvelusta toiseen, lupaus ei pelasta. Kokonaiskuva syntyy vain käymällä omat palvelut läpi. ## Miten selvität oman yrityksesi tilanteen? Selvitys ei vaadi juristia, vaan järjestelmällisen läpikäynnin. Toimi näin: - Listaa palvelut, joissa yrityksesi tietoja on: sähköposti, tiedostot, asiakasrekisteri, taloushallinto, verkkosivut, varmuuskopiot ja viestintävälineet. - Tarkista jokaisen palvelun tietosuojaehdot tai hallintapaneeli: missä data sijaitsee ja voiko sijainnin valita? Monessa palvelussa EU-alueen voi valita asetuksista. - Katso alihankkijalista. Palveluntarjoajat julkaisevat listan alikäsittelijöistä eli muista yrityksistä, jotka pääsevät tietoihin esimerkiksi tuen tai analytiikan takia. - Kirjaa tulokset ylös. Yksinkertainen taulukko palveluista, datan sijainnista ja siirtoperusteista riittää pitkälle, ja sama taulukko palvelee tietosuojadokumentaationa ja vastauksena asiakkaiden kysymyksiin. Muista myös varmuuskopiot ja uudet tekoälytyökalut. Varmuuskopio on kopio datastasi, ja sen sijainti merkitsee yhtä paljon kuin alkuperäisen datan sijainti. Tekoälypalvelut taas ovat monessa yrityksessä tulleet käyttöön ohi virallisen hankinnan, jolloin kukaan ei ole tarkistanut, minne niihin syötetyt tiedot päätyvät. Molemmat kuuluvat samaan listaan muiden palvelujen kanssa. Jos käy ilmi, että jonkin keskeisen palvelun data sijaitsee EU:n ulkopuolella ilman selkeää perustetta, vaihtoehtoja on yleensä kaksi: siirrä data palvelun EU-alueelle, jos palvelu sen sallii, tai vaihda palveluun, joka tarjoaa EU-sijainnin. Kumpikaan ei yleensä ole iso operaatio, kun se tehdään suunnitellusti, ja moni palveluntarjoaja on rakentanut siirtoa varten valmiit työkalut. Läpikäynti kannattaa toistaa kerran vuodessa ja aina, kun yritys ottaa käyttöön uuden palvelun. Näin tilannekuva pysyy ajan tasalla eikä selvitystä tarvitse aloittaa alusta, kun asiakas tai tilintarkastaja kysyy asiasta seuraavan kerran. ## Haluatko varmuuden ilman selvitystyötä? Pilvipalvelujen sijainnit, asetukset ja sopimusehdot ovat juuri sitä työtä, jonka voi hyvin ulkoistaa. Developitin pilvipalvelut kartoittavat, missä yrityksesi data tänään sijaitsee, siirtävät palvelut tarvittaessa EU-alueelle ja laittavat asetukset ja dokumentaation kuntoon. Lopputuloksena tiedät tarkalleen, missä tietosi ovat, ja pystyt sanomaan sen ääneen myös asiakkaillesi. ## Lähteet - Yleinen tietosuoja-asetus (EU) 2016/679, V luku, EUR-Lex https://eur-lex.europa.eu/eli/reg/2016/679/oj - Microsoft: EU Data Boundary -julkistus 26.2.2025 https://blogs.microsoft.com/on-the-issues/2025/02/26/microsoft-completes-landmark-eu-data-boundary-offering-enhanced-data-residency-and-transparency/ Faktat tarkistettu 4.8.2026 ensisijaislähteistä. Pilvipalvelut ja moderni työ Tutustu palveluun ## Lue myös Pilvipalvelut ja moderni työ Microsoft 365 -tuki pk-yritykselle: mitä kumppani hoitaa ja mitä yritys itse? Lue kirjoitus Tietoturva ja auditoinnit Kyberkestävyysasetus (CRA) tuli voimaan: mitä se tarkoittaa yrityksen laitteille? Lue kirjoitus Laitehankinta ja elinkaaripalvelut Leasing vai osto: miten yrityksen koneet kannattaa hankkia? Lue kirjoitus