Tämä teksti on vieraskynäteksti, joka liittyy 9.9.2026 pidettyyn webinaariimme Datasuvereniteetti – kuka hallitsee dataasi?
Esitän näennäisesti yksinkertaisen kysymyksen: Kuka todella hallitsee dataasi?
Tiedät ehkä, missä datasi sijaitsee ja minkä pilvipalveluntarjoajan palvelussa sitä säilytetään. Mutta tiedätkö, kuka omistaa palveluntarjoajan, minkä lainsäädännön piirissä se toimii ja mitä tapahtuu, jos jokin viranomainen vaatii pääsyä dataasi?
Monille suomalaisille organisaatioille ei ole tarjolla selkeää vastausta.
Olemme rakentaneet suuren osan digitaalisesta infrastruktuuristamme Euroopan ulkopuolisten yritysten varaan. Valitettavasti maailmantilanteen kiristyessä kyse ei ole enää vain teknologiavalinnoista. Kyse on kontrollista ja liiketoimintariskistä.
Eurooppa on ulkoistanut liikaa digitaalista infrastruktuuriaan
Amazon, Microsoft ja Google hallitsevat noin 70 prosenttia EU:n pilvimarkkinoista. Lisäksi noin 80 prosenttia eurooppalaisten yritysten yritysohjelmistojen hankinnoista suuntautuu yhdysvaltalaisille toimittajille.
Tähän menestykseen on syynsä. Kyseisillä toimijoilla on ollut käytössään suuret markkinat, pääomaa ja osaamista. Eurooppa puolestaan on pitkälti hyväksynyt syntyneen tilanteen.
Kun organisaatiot ovat rakentaneet järjestelmänsä tietyn palveluntarjoajan ympärille, toimittajan vaihtamisesta tulee kuitenkin kallista ja monimutkaista. Syntyy vendor lock-in –riippuvuus, josta on vaikea päästä eroon.
Olemme hyväksyneet tämän liian usein normaalina liiketoimintana. Emme kuitenkaan pitäisi hyväksyttävänä sitä, että olisimme täysin riippuvaisia ulkomaisista toimijoista esimerkiksi energiassa tai muussa kriittisessä infrastruktuurissa. Digitaalisen infrastruktuurin kohdalla olemme tehneet juuri näin, koska emme ehkä ole pitäneet sitä yhtä kriittisenä kuin noita muita.
Datasuvereniteetti ei ole sama asia kuin tietosuoja
Datasuvereniteetti sekoitetaan usein tietosuojaan. Ne ovat kuitenkin eri asioita.
Tietosuoja keskittyy henkilötietojen suojaamiseen ja lainmukaiseen käsittelyyn.
Datasuvereniteetti keskittyy siihen, kenellä on juridinen ja käytännöllinen valta dataan.
Eurooppalainen datasuvereniteetti tarkoittaa käytännössä sitä, että organisaatio pystyy säilyttämään kontrollin dataansa, digitaaliseen infrastruktuuriinsa ja datan käsittelyyn eurooppalaisen lainsäädännön ja hallintokehyksen piirissä.
Tähän kuuluu esimerkiksi:
- juridinen suvereniteetti: dataa koskeva päätösvalta säilyy eurooppalaisessa oikeuskehyksessä
- operatiivinen kontrolli: organisaatio päättää, miten dataa käsitellään, käytetään ja siirretään
- infrastruktuuririippumattomuus: kriittinen toiminta ei ole kohtuuttoman riippuvaista ulkomaisista toimittajista
- tekninen suvereniteetti: organisaatio hallitsee esimerkiksi salausavaimia, identiteetinhallintaa ja järjestelmäarkkitehtuuria.
Siksi pelkkä lupaus siitä, että data sijaitsee Euroopassa, ei vielä tarkoita, että data olisi suvereenisti hallinnassa.
Maantieteellinen sijainti ei enää riitä
Moderni IT muodostaa globaalin arvoketjun. Data voi kulkea pilvipalveluiden, SaaS-palveluiden, tekoälypalveluiden, alihankkijoiden ja muiden teknologioiden kautta. Data voi siis fyysisesti sijaita Euroopassa, vaikka sitä käsittelevät tai hallitsevat yritykset ovat toisen alueen oikeuskehyksen piirissä.
Tämä korostuu rajat ylittävän lainsäädännön myötä. Näistä tunnetuin esimerkki on EU:N GDPR, joka koskettaa kaikkia eurooppalaisten tietoja käsitteleviä yrityksiä. Vastaavasti Yhdysvaltojen CLOUD Act voi pakottaa EU:n sisäpuolellakin toimivan yrityksen luovuttamaan dataa Yhdysvaltoihin.
Eurooppalaisella organisaatiolla voi samanaikaisesti olla velvoitteita EU-lainsäädännön perusteella ja teknologiatoimittajalla velvoitteita toisen lainkäyttöalueen perusteella.
Siksi teknologiatoimittajien datasuvereniteettiväitteitä pitää arvioida, ei vain uskoa.
Datasuvereniteetti on riskienhallintaa
Datasuvereniteetin ei tarvitse tarkoittaa kaikkien ulkomaisten palveluiden korvaamista. Kyse on ensisijaisesti riskien ymmärtämisestä ja vähentämisestä.
Aloita selvittämällä:
- Missä dataasi todella käsitellään?
- Kuka omistaa palveluntarjoajat?
- Minkä maiden lainsäädäntö niitä koskee?
- Mitä sopimuksesi sanovat datan käytöstä ja luovuttamisesta?
- Kuinka helposti voisit vaihtaa toimittajaa?
Tämän jälkeen data kannattaa luokitella sen liiketoimintakriittisyyden mukaan. Julkinen data ei tarvitse samaa käsittelyä kuin luottamuksellinen liiketoimintadata, säännelty henkilötieto tai liiketoiminnan jatkuvuuden kannalta kriittinen data.
Kaikkea ei voi eikä tarvitse korjata kerralla. Priorisoi riippuvuudet, joissa liiketoimintariski on suurin.
Asiakkaalla on valta
Liiketoiminnan vanha sääntö pätee myös tässä: Se, jolla on rahat, tekee säännöt.
Jos olet teknologiatoimittajan asiakas, käytä neuvotteluvoimaasi. Sisällytä hankintakriteereihin esimerkiksi toimittajan juridinen asema, läpinäkyvyys, yhteentoimivuus ja siirrettävyys. Määrittele sopimuksissa vastuut datan käytöstä, rajat ylittävistä siirroista ja viranomaisten tietopyynnöistä.
Ja kysy aina yksi olennainen kysymys: Miten pääsemme tästä palvelusta pois?
Jos toimittajan vaihtaminen on käytännössä mahdotonta, kyseessä on strateginen riippuvuus – riippumatta siitä, kuinka hyvä palvelu on tänään.
Euroopan on rakennettava vaihtoehtoja
En usko, että Euroopan kannattaa yrittää ratkaista digitaalista riippuvuuttaan pelkästään sääntelyllä. Tarvitsemme myös parempia eurooppalaisia vaihtoehtoja: pilvipalveluita, tietokantoja, tekoälyratkaisuja ja muita digitaalisia alustoja.
Tavoitteena ei pitäisi olla digitaalinen linnoitus, jossa käytämme vain eurooppalaista teknologiaa, vaan aito valinnanvapaus eurooppalaisille toimijoille. Eurooppalaisen organisaation pitäisi voida valita eurooppalainen palveluntarjoaja siksi, että se on paras vaihtoehto – ei siksi, että lainsäädännön takia muuta vaihtoehtoa ei ole.
Matka alkaa ensimmäisestä askeleesta
Datasuvereniteettiä ei saavuteta yhdellä hankkeella. Yrityksiä ostetaan, lainsäädäntö muuttuu, teknologia kehittyy ja uusia riippuvuuksia syntyy. Siksi suvereniteettia pitää johtaa jatkuvana osana teknologia- ja toimittajahallintaa. Kaikkea ei tarvitse tehdä suvereeniksi heti.
Aloita ymmärtämällä riippuvuutesi. Luokittele datasi. Tunnista kriittiset riskit. Arvioi toimittajasi. Valitse ensimmäinen asia, jonka voit muuttaa.
Tärkeintä ei ole saavuttaa täydellistä suvereniteettia huomenna. Tärkeintä on olla vähemmän riippuvainen kuin tänään.
Se on matka. Ja jokainen matka alkaa ensimmäisestä askeleesta.
Kirjoittajasta
Janne Kalliola on Coontin perustaja ja johtava neuvonantaja sekä Koodia Suomesta ry:n hallituksen puheenjohtaja. Hän on kirjoittanut eurooppalaisesta datasuvereniteetista käytännönläheisen oppaan ja on puhunut aiheesta useissa tilaisuuksissa.