EU:n datalaki – asetus (EU) 2023/2854 – tuli voimaan 11. tammikuuta 2024, kaksikymmentä päivää sen jälkeen, kun se julkaistiin Euroopan unionin virallisessa lehdessä. Asetusta sovelletaan 12. syyskuuta 2025 alkaen. Tämä lainsäädäntö asettaa verkkoon kytkettyjen tuotteiden valmistajille ja niihin liittyvien palvelujen tarjoajille perustavanlaatuisia uusia velvoitteita, jotka vaikuttavat laajaan joukkoon toimialoja: valmistus- ja energiateollisuudesta terveydenhuoltoon ja autoteollisuuteen. Jokaisen, joka tuottaa, käsittelee tai käyttää tietoja liiketoimintaympäristössä, on viisasta tutustua tämän lainsäädännön soveltamisalaan hyvissä ajoin.
Mitä tietosuojalaki säätää?
Tietolaki on osa eurooppalaista datastrategiaa, jonka tavoitteena on vahvistaa Euroopan kilpailuasemaa datataloudessa. Asetuksessa vahvistetaan säännöt siitä, kenellä on pääsy tuotteiden tai palveluiden käytöstä syntyvään dataan ja millä ehdoilla kyseistä dataa on jaettava. Kyseessä ei ole yleinen oikeus kaikkiin tietoihin, vaan pikemminkin kuuden erityisryhmän kehys: käyttäjien pääsy tuote- ja palvelutietoihin, yritysten välinen jakaminen kohtuullisin ehdoin, julkinen pääsy tietoihin poikkeuksellisissa tapauksissa, tietojenkäsittelypalveluiden vaihtaminen, suoja kansainväliseltä hallitusten pääsyltä muihin kuin henkilötietoihin ja yhteentoimivuus.
Yritysten velvollisuudet: tuotesuunnittelu
Verkkoon kytketyt tuotteet on suunniteltava ja valmistettava siten, että tuotettu data on oletusarvoisesti helposti, turvallisesti, maksutta ja koneellisesti luettavassa muodossa suoraan käyttäjän saatavilla. Verkkoon kytkettyjen tuotteiden – kuten älykotilaitteiden, teollisuuskoneiden tai ajoneuvojen – käyttäjät saavat siten oikeuden päästä käsiksi tuotteen käytön tuottamaan dataan. Valmistajat ja palveluntarjoajat eivät saa enää pitää kyseisiä tietoja yksinomaan itsellään.
Merkittävää on, että tällä velvoitteella on porrastettu soveltaminen. Vaikka tietosuojalakia kokonaisuudessaan sovelletaan 12. syyskuuta 2025 alkaen, verkkoon liitettyjen tuotteiden suunnittelu- ja valmistusvelvoite koskee vain tuotteita, jotka on saatettu markkinoille 12. syyskuuta 2026 jälkeen. Olemassa olevia tuotteita tämä ei siis vielä kata.
Kohtuulliset ehdot B2B-tiedon jakamisessa
Asetus sisältää erityisiä sääntöjä yritysten välisten datasopimusten sopimusehdoista . Yhden yrityksen yksipuolisesti toiselle osapuolelle asettama ehto ei sido toista osapuolta, jos se on kohtuuton. Ehtoa pidetään yksipuolisesti asetettuna, jos toinen osapuoli ei neuvotteluyrityksistä huolimatta ole pystynyt vaikuttamaan sen sisältöön. Todistustaakka tämän todistamiseksi on sillä osapuolella, joka on sisällyttänyt ehdon sopimukseen.
Sopimusehto on kohtuuton, jos sen käyttö poikkeaa törkeästi hyvästä kauppatavasta ja on vastoin kunniallista ja vilpitöntä menettelyä. Asetuksessa annetaan esimerkkeinä ehtoja, jotka sulkevat pois tahallisuuden tai törkeän huolimattomuuden vastuun, estävät toista osapuolta käyttämästä omia tietojaan, sallivat yksipuolisen irtisanomisen kohtuuttoman lyhyellä varoitusajalla tai sallivat merkittävien hinta- tai muiden olennaisten muutosten tekemisen yksipuolisesti. Oikeudellisena seurauksena on, että kohtuuton ehto ei sido toista osapuolta, kun taas muut sopimusmääräykset pysyvät voimassa siltä osin kuin ehto on erotettavissa.
Vuorovaikutus GDPR:n kanssa
Tietosuojalaki on rinnakkain yleisen tietosuoja-asetuksen kanssa, mutta niiden välillä on tärkeä vuorovaikutus. Asetus kattaa myös henkilötiedot, mutta ei irrota niitä tietosuojalainsäädännöstä. Kun käyttäjä ei ole rekisteröity, jonka henkilötietoja pyydetään, kyseiset henkilötiedot voidaan antaa vain, jos siihen on olemassa pätevä oikeusperuste GDPR:n 6 artiklan nojalla. Tietosuojalaki ei siis luo erillistä poikkeusta GDPR:ään: tietoihin pääsy tietolain nojalla ei vapauta osapuolia heidän GDPR-velvoitteistaan eikä se tarjoa perustetta annettujen tietojen säilyttämiselle tai uudelleenkäytölle sen tarkoituksen ulkopuolella, jota varten ne on hankittu.
Pilvipalveluiden siirrettävyys ja vaihtaminen
Erillinen luku edellyttää tietojenkäsittelypalvelujen tarjoajilta palveluntarjoajan vaihtamisen helpottamista. Ne eivät saa asettaa asiakkaille esikaupallisia, kaupallisia, teknisiä, sopimus- tai organisatorisia esteitä vaihtamiselle. 12. tammikuuta 2027 alkaen tietojenkäsittelypalvelujen tarjoajat eivät saa enää periä asiakkailta vaihtomaksuja. Tietojen ja konfiguraatioiden varsinaisen siirron on tapahduttava ilman aiheetonta viivytystä eikä missään tapauksessa pakollisen, enintään 30 päivän siirtymäkauden jälkeen. Yhdestä pilvipalveluntarjoajasta vahvasti riippuvaisille organisaatioille tämä tarjoaa uutta neuvotteluvalttia sopimusten uusimisessa tai uudelleenneuvottelussa.
Yleisöllä on oikeus tutustua poikkeuksellisissa tapauksissa
Asetus antaa julkisen sektorin elimille mahdollisuuden tiukoin ehdoin vaatia pääsyä yksityisiin tietoihin poikkeuksellisissa tarvetilanteissa – kuten yleisessä hätätilanteessa. Tässä tapauksessa muiden tiedon haltijoiden kuin mikroyritysten ja pienten yritysten on asetettava tarvittavat tiedot saataville maksutta. Muissa poikkeuksellisissa tarvetilanteissa tiedon haltijalla on oikeus kohtuulliseen korvaukseen. Tähän valtuuksiin sovelletaan asetuksessa säädettyjä suhteellisuus- ja toissijaisuusperiaatteita.
Täytäntöönpano Alankomaissa
Alankomaissa täytäntöönpano on nyt sisällytetty lakiin tietosuojalain täytäntöönpanolain (Uitvoeringswet dataverordening) kautta. Alankomaiden kuluttaja- ja markkinaviranomainen (ACM) on toimivaltainen viranomainen suurimman osan asetuksesta, mukaan lukien tuotetietoja, yritysten välistä jakamista ja pilvisiirrettävyyttä koskevat luvut. Alankomaiden tietosuojaviranomainen (AP) on toimivaltainen yksityisyyden suojaan liittyvien osien ja tiettyjen artiklojen ja V luvun mukaisen henkilötietojen käsittelyn osalta. Molemmat viranomaiset voivat toteuttaa täytäntöönpanotoimia omalla toimialallaan määräämällä seuraamuksen tai hallinnollisen sakon uhkaavan määräyksen. Täytäntöönpanolaissa säädetään myös yhteistyö- ja tiedonvaihtojärjestelystä ACM:n ja AP:n välillä, jotta molemmat valvojat voivat toimia koordinoidusti päällekkäisissä asioissa.
Mitä tämä tarkoittaa käytännössä?
Yritysten, jotka kehittävät, tuovat maahan tai jakelevat verkkoon kytkettyjä tuotteita, olisi viisasta tarkistaa tuotesuunnittelunsa ja sopimusrakenteensa tietosuojalain mukaisesti nyt. Tuotteisiin, jotka saatetaan markkinoille 12. syyskuuta 2026 jälkeen, suunnittelu- ja saavutettavuusvelvoite koskee kokonaisuudessaan tuotteita. Palveluntarjoajien, jotka käsittelevät tietoja käyttäjien puolesta, tulisi selvittää, mitkä tiedonjakovelvoitteet koskevat heitä ja ovatko olemassa olevat sopimukset – mukaan lukien yksipuolisesti laaditut datalausekkeet – niiden mukaisia.
Ne, jotka odottavat valvonnan alkamista, ovat vaarassa jäädä jälkeen. Tuotteiden, palveluiden ja sopimusten mukauttaminen uusiin sääntöihin hyvissä ajoin ei ole pelkästään vaatimustenmukaisuuskysymys , vaan se tarjoaa myös mahdollisuuksia: ne, jotka tarjoavat asiakkailleen läpinäkyvyyttä ja tiedonsaantia, erottuvat markkinoilla, jotka ovat yhä kriittisempiä yritysten tiedonkäsittelytavoille.
Onko sinulla kysyttävää EU:n tietosuojalain vaikutuksista yritykseesi tai sopimuksiisi? Asianajajat osoitteessa Law & More auttavat sinua mielellään.
Usein Kysytyt Kysymykset
Koskeeko tietosuojalakia jo olemassa olevia verkkoon kytkettyjä tuotteitani?
Asetusta sovelletaan 12. syyskuuta 2025 alkaen, mutta velvoite suunnitella verkkoon kytketyt tuotteet siten, että tiedot ovat käyttäjien saatavilla, koskee vain tuotteita, jotka on saatettu markkinoille 12. syyskuuta 2026 jälkeen. Ennen kyseistä päivämäärää markkinoilla olleet tuotteet eivät ole vielä tämän asetuksen piirissä. Valmistajien ja maahantuojien olisi kuitenkin viisasta yhdenmukaistaa tuotekehityksensä uusien vaatimusten kanssa jo nyt, jotta tulevat tuotteet olisivat vaatimusten mukaisia markkinoille tullessaan.
Mitä minun pitäisi tehdä, jos datasopimuksessani on lausekkeita, jotka rajoittavat pääsyä tietoihin?
Tietosuojalain nojalla yksipuolisesti asetetut sopimusehdot, jotka estävät toista osapuolta käyttämästä tai hyödyntämästä omia tietojaan, voidaan katsoa kohtuuttomiksi ja siten sitomattomiksi. On suositeltavaa, että olemassa olevat datasopimukset tarkistetaan tällaisten lausekkeiden varalta. Todistustaakka siitä, että ehtoa ei ole asetettu yksipuolisesti, on sillä osapuolella, joka sen sisällytti. Varhainen uudelleenneuvottelu on yleensä tehokkaampaa kuin odottaa, kunnes toinen osapuoli vetoaa asetukseen.
Voinko jakaa henkilötietoja tietosuojalain nojalla ilman GDPR:n mukaista oikeusperustetta?
Ei. Tietosuojalaki ei tarjoa erillistä perustetta henkilötietojen luovuttamiselle. Jos käyttäjä ei ole rekisteröity, jonka henkilötietoja pyydetään, tiedot voidaan luovuttaa vain, jos siihen on olemassa pätevä oikeusperuste GDPR:n 6 artiklan nojalla. Lisäksi tietosuojalain mukainen tiedonsaanti ei tarjoa perustetta luovutettujen henkilötietojen säilyttämiselle tai uudelleenkäytölle alkuperäisen tarkoituksen ulkopuolella. GDPR:n ja tietosuojalain noudattaminen on siksi varmistettava samanaikaisesti.
Voinko edelleen periä vaihtomaksuja pilvipalveluntarjoajana?
Tietojenkäsittelypalvelujen tarjoajat eivät saa 12. tammikuuta 2027 alkaen periä asiakkailta vaihtomaksuja. Lisäksi 12. syyskuuta 2025 alkaen vaihtoa ei saa enää vaikeuttaa teknisillä, sopimusoikeudellisilla tai organisatorisilla esteillä. Varsinaisen tiedonsiirron vaihdon yhteydessä on myös tapahduttava ilman aiheetonta viivytystä ja viimeistään 30 päivän siirtymäajan kuluessa. Voimassa olevat sopimukset, jotka sisältävät pidempiä ajanjaksoja tai vaihtomaksuja, on syytä tarkistaa.
Mikä valvontaviranomainen on toimivaltainen panemaan täytäntöön tietosuojalain Alankomaissa?
Täytäntöönpano on jaettu Alankomaiden kuluttaja- ja markkinaviranomaisen (ACM) ja Alankomaiden tietosuojaviranomaisen (AP) kesken. ACM on toimivaltainen suurimmassa osassa asetusta, mukaan lukien tuotetietoja, yritysten välistä jakamista ja pilvisiirrettävyyttä koskevat säännökset. AP on toimivaltainen yksityisyyden suojaan liittyvien osien ja henkilötietojen käsittelyn osalta tiettyjen artiklojen ja V luvun mukaisesti. Molemmat viranomaiset voivat määrätä seuraamuksen tai hallinnollisen sakon. Tällaisiin päätöksiin voidaan käyttää tavanomaisia hallinto-oikeudellisia oikeussuojakeinoja, kuten vastustusta, valitusta ja väliaikaista oikeussuojaa.
Koskeeko tietosuojalaki myös pieniä yrityksiä?
Asetus tekee eron yrityksen koon mukaan muutamissa kohdin. Esimerkiksi mikroyritykset ja pienyritykset on vapautettu velvollisuudesta asettaa tiedot saataville maksutta yleisten hätätilanteiden tietopyyntöjen yhteydessä; näissä tapauksissa niillä on oikeus kohtuulliseen korvaukseen. Muiden velvoitteiden – mukaan lukien verkkoon liitettyjen tuotteiden saavutettavuusvelvoitteen ja yritysten välisten sopimusehtojen kohtuullisuustestin – osalta ei ole yleistä poikkeusta pienille ja keskisuurille yrityksille. Siksi myös pienempien verkkoon liitettyjen tuotteiden tai pilvipalvelujen tarjoajien on mukautettava toimintansa asetuksen mukaiseksi hyvissä ajoin.
