Marko NovakFinland on syyskuussa 2026 noussut globaalin datakeskusrakentamisen ytimeen. Google ilmoitti 9. syyskuuta investoivansa 13 miljardia euroa tekoälyinfrastruktuuriin Suomessa – erityisesti Muhoksen ja Kajaanin kuntiin. Se on EU:n suurin yksittäinen datakeskusinvestointi tähän mennessä, ja se muuttaa pysyvästi sitä, missä ja miten henkilötietoja Suomessa käsitellään.
Samaan aikaan Suomen lupavalvontaviranomainen LVV tutkii, rikottiinko rakennustyömailla metsälakia. Suomen luonnonsuojeluliitto ilmoitti, että Muhoksen Leppiniemessä kaadettiin yli 300 hehtaaria metsää ennen kuin ympäristövaikutusten arviointimenettely (YVA) oli valmis. LVV on vahvistanut tutkivansa asiaa ja pyytänyt selvityksiä Googlen suomalaiselta yhtiöltä Tuike Finland Oy:ltä, Muhoksen kunnalta ja Kajaanin kaupungilta. Google kiistää rikkomukset ja väittää hakkuiden noudattaneen Suomen metsälakia.
Mutta mitä tämä kaikki tarkoittaa sinulle, joka käytät Yleisradion tai muiden suomalaisten mediapalveluiden digipalveluita päivittäin? Kun Suomeen rakentuu massiivinen datakeskuskapasiteetti, henkilötietojen käsittely tapahtuu jatkossa entistä enemmän kotimaisessa infrastruktuurissa – ja sinulla on oikeus tietää, mitä se tarkoittaa arjessasi ja yrityksessäsi.
Miksi datakeskusten sijainnilla on merkitystä henkilötietojen kannalta?
GDPR-asetus kattaa henkilötietojen käsittelyn yhtenäisesti koko EU-alueella, mutta sillä, missä datakeskus sijaitsee fyysisesti, on käytännön merkitystä erityisesti valvonnan ja oikeussuojan kannalta. Kun Google, Yle tai mikä tahansa muu palveluntarjoaja käsittelee henkilötietojasi EU-alueella sijaitsevissa palvelimissa, vastaava valvova viranomainen on ao. jäsenvaltion tietosuojaviranomainen.
Suomessa tämä tarkoittaa, että Googlen uusien Muhoksen ja Kajaanin datakeskusten osalta valvonta kuuluu Suomen tietosuojavaltuutetulle. Käytännössä tämä on kuluttajalle ja pienyritykselle myönteistä: rikkomustapauksessa voit tehdä kantelun suomeksi, suomalaiselle viranomaiselle, jolla on toimivalta määrätä seuraamuksia myös suurille kansainvälisille yhtiöille. Verrattuna tilanteeseen, jossa data sijaitsisi EU:n ulkopuolella – esimerkiksi Yhdysvalloissa – oikeussuojakeinot ovat huomattavasti selkeämmät.
Datakeskuksen fyysinen sijainti Suomessa tarkoittaa myös sitä, että kaikki siihen kohdistuvat tarkastukset, häiriöilmoitukset ja tietomurtotutkinnat kulkevat suomalaisen lainsäädännön kautta. Tämä on keskeistä sekä sinulle kuluttajana että kaikille yrityksille, jotka tarjoavat henkilötietoja sisältäviä palveluita suomalaisille asiakkaille. Suomessa on arviolta 5,5 miljoonaa rekisteröityä kuluttajaa, joiden tiedot ovat yhä useammin kotimaisten palvelimien piirissä – ja tietoisuus omista oikeuksista on ensimmäinen askel vastuulliseen digitaaliseen elämään.
Mitä tietoja Yle kerää sinusta ja miksi?
Yle kerää käyttäjätietoja Yle Areenan, uutispalveluiden ja muiden digitaalisten alustojen kautta. Omien tietosuojaperiaatteidensa mukaan Yle käyttää kerättyjä tietoja kolmeen päätarkoitukseen: palveluiden toimittamiseen, niiden kehittämiseen sekä sisältösuositusten personointiin käyttäjäkohtaisesti.
YLEn asema eroaa kaupallisesta mediasta merkittävästi: Yle ei myy mainoksia käyttäjäprofiilien perusteella, toisin kuin useat kaupalliset mediayhtiöt. Silti myös YLEn palveluista kertyy henkilötietoja kirjautumishistorian, katseluhistorian ja mobiilisovelluksissa sijaintitietojen muodossa. Kolmannet osapuolet – eli YLEn alihankkijat – ovat sopimuksellisesti velvoitettuja käsittelemään tietojasi lainsäädännön mukaisesti, ja Yle varmistaa tämän sopimusten kautta.
Tämä on tärkeää ymmärtää vertailun kannalta: julkinen palveluntarjoaja kuten Yle toimii selkeämmässä vastuukehyksessä kuin kaupallinen toimija, jonka liiketoimintamalli perustuu mainostuloihin. Kun suuret kansainväliset teknologiayritykset rakentavat infrastruktuuria Suomeen, vastaava avoimuus ei ole itsestäänselvyys.
Mitkä ovat sinun oikeutesi omiin tietoihisi?
Voitko saada tietää, mitä sinusta on kerätty? Kyllä. Rekisteröidyllä on niin sanottu tarkastusoikeus (GDPR Article 15): voit milloin tahansa pyytää palveluntarjoajalta kopion sinusta kerätystä datasta. Palveluntarjoajalla on 30 päivää aikaa vastata pyyntöön. Yle ottaa tietopyynnöt vastaan sähköpostiosoitteesta tietosuoja@yle.fi. Jos vastausta ei tule määräajassa, siitä voi kannella tietosuojavaltuutetulle.
Voitko vaatia tietojesi poistamista? Pääsääntöisesti kyllä, ellei palveluntarjoajalla ole lakiin perustuvaa syytä pitää niitä (esimerkiksi kirjanpitovelvollisuus). Tätä oikeutta kutsutaan oikeudeksi tulla unohdetuksi (GDPR Article 17). Jos Yle tai Google kieltäytyy perusteettomasti, voit viedä asian tietosuojavaltuutetulle.
Voitko siirtää tietosi toiseen palveluun? Kyllä. Tietojen siirto-oikeus (GDPR Article 20) velvoittaa palveluntarjoajan toimittamaan henkilötietosi koneluettavassa muodossa, jotta ne voidaan viedä toiseen palveluun. Tämä on erityisesti hyödyllistä, jos vaihdat esimerkiksi sähköpostipalveluntarjoajaa tai mediasisällön streaming-alustaa.
Entä jos tietovuoto tapahtuu? Palveluntarjoajan on ilmoitettava sinulle 72 tunnin kuluessa, jos tietovuoto voi aiheuttaa sinulle merkittävän riskin. Jos ilmoitusta ei tule, voit kannella tietosuojavaltuutetulle. Tietosuojavaltuutetun toimiston julkaisemien tietojen mukaan Suomessa tehdään vuosittain tuhansia henkilötietoihin liittyviä valituksia, ja merkittävä osa niistä koskee tilanteita, joissa rekisterinpitäjä ei ole vastannut tietopyyntöön laissa säädetyssä ajassa.
Googlen datakeskukset ja yritysten vastuu: mitä muuttuu?
Googlen datakeskuslaajentuminen tarkoittaa, että yhä suurempi osa Google-palveluissa – Workspace, Drive, Gmail, Meet – käsitellyistä tiedoista saattaa siirtyä Muhoksen ja Kajaanin kapasiteetin piiriin. Tämä on GDPR:n kannalta neutraalia: data pysyy EU-alueella eikä siirry kolmansiin maihin. Mutta se luo myös uusia käytännön vastuita suomalaisille yrityksille, jotka käyttävät näitä palveluja.
Yleinen harhaluulo on, että pilvipalvelun käyttäminen siirtää tietosuojavastuun palveluntarjoajalle. Todellisuudessa yrityksesi on GDPR:n tarkoittama rekisterinpitäjä, kun käsittelet asiakkaidesi tai työntekijöidesi henkilötietoja. Google – tai mikä tahansa muu alusta – on tällöin henkilötietojen käsittelijä, jonka kanssa sinun on tehtävä kirjallinen tietojenkäsittelysopimus (Data Processing Agreement, DPA). Sopimus on dokumentoitava ja sen on oltava ajan tasalla.
Yle Areenan EU:n saavutettavuuslakia koskevassa analyysissamme käsittelimme, miten EU-sääntely asettaa velvoitteita myös julkisille toimijoille. Sama lainsäädäntökehys koskee jokaista suomalaista yritystä, joka käyttää digitaalisia alustoja henkilötietojen käsittelyyn.
Konkreettinen tapaus: tamperelainen suunnittelutoimisto ja GDPR-velvoitteet
Otetaan todellinen esimerkki. Tamperelainen suunnittelutoimisto, joka työllistää kolme henkilöä, käyttää Google Workspace -pakettia sähköpostiin, tiedostojen tallentamiseen ja videokonferensseihin. Syyskuusta 2026 alkaen osa näiden palveluiden käsittelemistä henkilötiedoista siirtyy Googlen uusille Suomen-datakeskuksille Muhokselle ja Kajaaniin.
Yrityksellä on asiakkaidensa yhteystietoja, sopimusasiakirjoja ja projektimuistioita Google Drivessa. Se toimii näiden tietojen rekisterinpitäjänä. Tarkastuksessa kuitenkin havaitaan, että DPA-sopimus Googlen kanssa on allekirjoittamatta – se löytyy Googlen hallintapaneelista, mutta kukaan ei ole koskaan hyväksynyt sitä. Rekisteriseloste on vanhentunnut, päivätty vuodelta 2021, ennen nykyistä asiakaskannan laajentumista.
Mitä seuraa GDPR:n nojalla?
GDPR:n mukainen sanktio puutteellisesta tietojenkäsittelysopimuksesta voi olla jopa 20 miljoonaa euroa tai 4 prosenttia yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta, sen mukaan, kumpi on suurempi. Kolmen hengen toimistolle, jonka liikevaihto on 200 000 euroa vuodessa, maksimisakko olisi 8 000 euroa jo pelkästä DPA-puutteesta – vaikka yhtään tietovuotoa ei olisi tapahtunut.
Lisäksi vanhentunut rekisteriseloste tarkoittaa, että yritys ei osaa vastata asiakkaan tietopyyntöön täsmällisesti. Jos asiakas pyytää omien tietojensa poistoa eikä prosessia ole olemassa, 30 päivän vastausaika rikkoutuu automaattisesti.
Jos-niin-analyysi:
- Jos yrityksesi käsittelee henkilötietoja Google Workspacessa ilman voimassa olevaa DPA-sopimusta → tietosuojavaltuutettu voi määrätä seuraamusmaksun jo ensikertalaisena tarkastuksessa
- Jos asiakkaasi pyytää omien tietojensa poistoa eikä sinulla ole selkeää prosessia → 30 päivän vastausvelvoite rikkoutuu, mikä on erillinen GDPR-rikkomus
- Jos datakeskus, jossa tietosi ovat, on nyt Suomessa (kuten Googlen uudet yksiköt) → valvova viranomainen on suomalainen tietosuojavaltuutettu, jolla on täysi toimivalta tarkastaa yrityksesi käytännöt suomeksi
Kyseisen tamperelaisen toimiston tapauksessa IT-asiantuntija pystyy arvioimaan nykytilan, päivittämään rekisteriselosteen ja varmistamaan DPA-sopimuksen kuntoon tavallisesti kahdesta neljään työtunnissa. Se on pieni investointi verrattuna mahdollisiin seuraamusmaksuihin tai mainevahinkoihin.
Milloin kannattaa kääntyä IT-asiantuntijan puoleen?
Googlen 13 miljardin investointi osoittaa, että Suomen digitaalinen infrastruktuuri kasvaa nopeasti. Tämä on hyvä uutinen, mutta se tarkoittaa myös, että henkilötietoja käsitellään entistä suuremmassa mittakaavassa suomalaisen lainsäädännön alaisuudessa – ja vastuut kasvavat kaikkien toimijoiden, pienistä yrityksistä suuriin, kohdalla.
IT-asiantuntijat tekoälyn ja datakeskusten aikakaudella on lisää tietoa siitä, miten IT-osaajat auttavat organisaatioita navigoimaan digitaalisen infrastruktuurin muutoksissa.
Seuraavissa tilanteissa IT-asiantuntijan konsultaatio on erityisen hyödyllinen:
- DPA-sopimukset puuttuvat tai ovat vanhentuneet pilvipalveluntarjoajien kanssa (Google, Microsoft, Slack, Salesforce)
- Olet saanut tietomurtoilmoituksen etkä tiedä, mitä 72 tunnin ilmoitusvelvollisuus tarkoittaa käytännössä sinun tapauksessasi
- Yrityksesi kasvaa ja henkilötietojen käsittelyn laajuus on muuttunut rekisteriselostetta merkittävästi laajemmaksi
- Asiakas tai työntekijä pyytää tietojensa poistoa eikä sinulla ole selkeää prosessia vastata pyyntöön 30 päivässä
- Siirrät palveluita uudelle alustalle eikä tietosuojakartoitusta ole tehty siirron yhteydessä
Yle on hyvä esimerkki siitä, miten julkinen toimija voi käsitellä henkilötietoja avoimesti ja vastuullisesti. Tietosuojaselosteet ovat julkisia, oikeuksistasi kerrotaan selkeästi ja yhteydenottokanava on nimetty. Kaupallisissa palveluissa – etenkin nopeasti laajentuvissa teknologiayrityksissä – vastaavaa avoimuutta ei aina löydy ilman aktiivista selvitystyötä.
Voit tutustua oikeuksiisi henkilötietojen suhteen Tietosuojavaltuutetun toimiston sivuilla, jossa on ohjeet tietopyynnön tekemiseen, kantelun jättämiseen ja rekisterinpitäjän velvollisuuksiin. Jos tarvitset apua oman yrityksesi tietosuojakäytäntöjen päivittämiseen, DPA-sopimusten tarkistamiseen tai tietomurron hallintaan, Expert Zoomin IT-asiantuntijat auttavat sinua nopeasti ja käytännönläheisesti.
Huomio: Tämä artikkeli tarjoaa yleistä tietoa eikä korvaa yksilöllistä oikeudellista tai tietoteknistä neuvontaa. Ota yhteyttä pätevään IT-asiantuntijaan omaa tilannettasi koskevissa kysymyksissä.
