Cloud Act ja GDPR: siksi Euroopassa isännöinti ei riitä

Kysyt tarjoajalta, minne tietosi päätyvät. Vastaus tulee kiillotettuna: "palvelimemme ovat Euroopassa". Se kuulostaa täydelliseltä vastaukselta. Se on vain puolet siitä. Palvelimen sijainti kertoo, missä tiedot ovat. Se ei kerro mitään siitä, kuka voi oikeudellisesti vaatia niitä luovutettavaksi. Vuodesta 2018 lähtien amerikkalainen laki on tehnyt juuri tästä toisesta kysymyksestä sen, joka todella ratkaisee altistumisesi, ja se on juuri se kysymys, johon lähes mikään tarjoaja ei vastaa omasta aloitteestaan.

Tämä opas selittää, mitä Cloud Act sanoo, ketä se oikeastaan koskee, miksi Data Privacy Framework ei mitätöi sitä, ja miten käytännössä tarkistetaan, onko SaaS- tai tekoälytyökalu todella Yhdysvaltain lainkäyttövallan ulkopuolella.

Mitä Cloud Act todella sanoo

Cloud Act (Clarifying Lawful Overseas Use of Data Act) hyväksyttiin 23. maaliskuuta 2018 osana Yhdysvaltain budjettilakia. Se ei syntynyt tyhjästä: se ratkaisi tapauksen, jota Yhdysvaltain korkein oikeus oli parhaillaan käsittelemässä.

Tapaus alkoi joulukuussa 2013, kun Microsoft sai tuomioistuimen määräyksen, joka perustui Stored Communications Actiin ja vaati luovuttamaan Dublinissa sijaitsevassa konesalissa säilytettyä sähköpostia. Microsoft kieltäytyi ja väitti, ettei amerikkalainen päätös voinut ulottua Irlannissa säilytettyihin tietoihin. Kiista eteni aina korkeimpaan oikeuteen asti, joka piti suullisen käsittelyn helmikuussa 2018. Ennen kuin tuomioistuin ehti ratkaista asian, kongressi hyväksyi Cloud Actin, ja tapaus julistettiin mootiksi (vailla kohdetta).

Se, minkä Cloud Act muutti, mahtuu yhteen lausekkeeseen. Laki muuttaa Stored Communications Actia siten, että tarjoajan on säilytettävä, varmuuskopioitava tai luovutettava sisältö ja tiedot, jotka ovat sen hallussa, huostassa tai määräysvallassa, "riippumatta siitä, sijaitseeko viestintä, tieto tai muu informaatio Yhdysvalloissa vai sen ulkopuolella".

Ketä se todella koskee

Cloud Act ei kohdistu "amerikkalaisiin yrityksiin" nimikkeenä. Se koskee jokaista tarjoajaa, joka on Yhdysvaltain lainkäyttövallan alainen, mikä on huomattavasti laajempi kategoria kuin useimmat eurooppalaiset ostajat luulevat. Kolme tilannetta joutuu yleensä ulottuville:

• Amerikkalainen yritys, riippumatta siitä missä sen infrastruktuuri sijaitsee. Ilmeinen tapaus.
• Amerikkalaisen emoyhtiön eurooppalainen tytäryhtiö. Tämä on tapaus, joka yllättää. Kriteeri on määräysvalta: kun amerikkalainen emoyhtiö hallitsee eurooppalaista yksikköään, yksikön säilyttämien tietojen katsotaan yleensä olevan emoyhtiön määräysvallassa, ja amerikkalainen päätös voi silloin tavoittaa ne. Mikään tuomioistuin ei ole ratkaissut kysymystä suoraan, ja jotkut tarjoajat kiistävät väitteen. Käytännön vastauksen antoi Microsoft itse, katso alla. Osakeyhtiön (Oy) perustaminen ei sinänsä nosta muuria.
• Ei-amerikkalainen yritys, jolla on riittävä läsnäolo Yhdysvalloissa katsottavaksi sen lainkäyttövallan alaiseksi.

Käytännön seuraus on epämukava mutta yksinkertainen: altistumisesi ratkaisee palvelua ylläpitävän yrityksen oikeudellinen kansallisuus, ja sitä hallitsevan konsernin. Palvelimen sijainti on yksityiskohta siihen verrattuna.

Tämä ei ole abstrakti kysymys pilvisopimuksista. Se vaikuttaa jokaiseen työkaluusi: CRM joka säilyttää myyntiputkesi, muistiinpanosovellus joka säilyttää kokouksesi, tekoälyavustaja johon liität asiakirjoja, sanelutyökalu johon sanelet asiasi. Viimeksi mainittu on tapaus, jota lähes kukaan ei ennakoi, sillä saneltu ääni on usein konfidentiaalisinta, mitä ammattilainen tuottaa työpäivänsä aikana.

Riski, joka ei ole teoreettinen: Microsoft Ranskan senaatin edessä

Jos tämä kuulostaa vielä akateemiselta, asia ratkesi todistajanlausunnossa. Kesäkuussa 2025 Microsoft Ranskan lakiasiainjohtaja myönsi valan alla Ranskan senaatin tutkintavaliokunnan edessä, ettei hän voinut taata, ettei ranskalaisten kansalaisten yhtiön säilyttämiä tietoja koskaan luovutettaisi Yhdysvaltain viranomaisille ilman Ranskan suostumusta.

Tämä myönnytys tulee jättiläistarjoajalta, jolla on merkittäviä eurooppalaisia konesaleja ja oma, laaja suvereniteettitarjoama. Se ei ole kilpailijan väite, vaan tarjoajan itsensä vastaus, valan alla. Jokaiselle organisaatiolle, joka käsittelee luottamuksellisia asioita, tämä yksi vaihto on enemmän arvoinen kuin sata sivua markkinointia eurooppalaisesta isännöinnistä.

Data Privacy Framework vastaa eri kysymykseen

Kun amerikkalaista tarjoajaa painostetaan siirtokysymyksestä, vastaus on usein Data Privacy Framework (DPF), riittävyyspäätös, jonka Euroopan komissio hyväksyi 10. heinäkuuta 2023. Amerikkalainen yritys itsesertifioituu ja voi sen jälkeen vastaanottaa henkilötietoja EU:sta ilman lisämuodollisuuksia. Paperilla siirto on laillinen. Kaksi asiaa on hyvä tietää ennen kuin luotat siihen.

Ensinnäkin: se on kolmas laatuaan oleva kehys, ja kaksi edellistä kumottiin. Safe Harbor kumottiin EU:n tuomioistuimessa lokakuussa 2015 (Schrems I), ja Privacy Shield heinäkuussa 2020 (Schrems II), molemmissa tapauksissa siksi, ettei amerikkalainen valvonta antanut eurooppalaisille olennaisesti EU-oikeutta vastaavaa suojaa. DPF selvisi ensimmäisestä koettelemuksestaan: 3. syyskuuta 2025 EU:n yleinen tuomioistuin hylkäsi Ranskan kansalliskokouksen jäsenen ja CNIL:n jäsenen Philippe Latomben valituksen (asia T-553/23). Mutta tästä tuomiosta valitettiin 31. lokakuuta 2025, ja se on EU-tuomioistuimen käsiteltävänä asianumerolla C-703/25 P. Elokuussa 2026 valitusta ei ole vielä ratkaistu, eivätkä asiantuntijat odota päätöstä ennen vuoden 2026 loppua aikaisintaan. Luottamuksellisuuden rakentaminen mekanismin varaan, joka on jo kumottu kahdesti, on vedonlyöntiä, ei takuu.

Toiseksi, ja perustavanlaatuisemmin: DPF ei mitätöi Cloud Actia. Nämä kaksi instrumenttia vastaavat eri kysymyksiin. DPF tekee tietojen kaupallisesta siirrosta Yhdysvaltoihin laillista. Cloud Act säätelee Yhdysvaltain viranomaisten pääsyä tietoihin, joita tarjoaja jo säilyttää. Tarjoaja voi olla moitteettomasti DPF-sertifioitu ja silti saada pätevän amerikkalaisen määräyksen, joka pakottaa sen luovuttamaan tiedot. Se, että siirto on laillista, ei suojaa pääsyltä.

Toinen peruste: FISA:n pykälä 702

Cloud Act ei ole ainoa reitti. Foreign Intelligence Surveillance Actin pykälä 702 sallii Yhdysvaltain tiedustelupalveluiden pakottaa sähköisten viestintäpalvelujen tarjoajat luovuttamaan viestintää ei-amerikkalaisilta henkilöiltä Yhdysvaltain ulkopuolella. Toisin sanoen eurooppalaisilta. Juuri tämän valvonnan ympärillä olevien suojatoimien riittämättömyys sai EU-tuomioistuimen kumoamaan Privacy Shieldin Schrems II -tapauksessa.

Pykälä 702 käy läpi lainsäädännöllisen turbulenssin jakson vuonna 2026. Se uudistettiin viimeksi huhtikuussa 2024 Reforming Intelligence and Securing America Act -lailla, poikkeuksellisen lyhyellä kahden vuoden päättymislausekkeella, eikä kongressi ole sen jälkeen hyväksynyt pysyvää jatkoa. Tämä epävakaus ei muuta mitään käytännössä eurooppalaiselle asiakkaalle: kuten Brennan Center on dokumentoinut, tiedonkeruu jatkuu FISA-tuomioistuimen jo myöntämien sertifiointien nojalla, jotka ovat voimassa maaliskuuhun 2027 asti riippumatta lakisääteisestä päättymispäivästä. Sen varaan laskeminen, että tämä peruste katoaisi, ei ole strategia.

Mitä "suvereeni" oikeasti tarkoittaa, neljässä tarkistuksessa

"Suvereeni" on muuttunut markkinointisanaksi. Näin sitä testataan, siinä järjestyksessä missä sillä on merkitystä.

1. Kuka omistaa tarjoajan. Etsi yritys kaupparekisteristä: yhtiömuoto, kotipaikka, osakepääoma ja ennen kaikkea onko olemassa amerikkalainen emoyhtiö tai Yhdysvalloista hallittu konserni sen yläpuolella. Eurooppalainen tuotemerkki voi olla kokonaan omistettu tytäryhtiö. Tämä tarkistus vie viisi minuuttia ja vastaa tärkeimpään kysymykseen.
2. Ketkä ovat alihankkijat ja missä he toimivat. Tarjoajan oma isännöinti on harvoin koko tarina. Pyydä luettelo alihankkijoista ja lue se: mallintarjoaja, tietokanta, todennuskerros, maksuratkaisu. Yksi ainoa amerikkalainen lenkki riittää tuomaan siihen liittyvät tiedot takaisin soveltamisalan piiriin.
3. Sisältö versus tilitiedot. Niitä käsitellään lähes aina eri tavalla. Tarjoaja voi käytännössä käsitellä asiakirjojasi Ranskassa ja silti antaa tilitietojen, sähköpostin, todennuksen, laskutuksen kulkea amerikkalaisten SaaS-tarjoajien kautta. Se voi olla sinulle täysin hyväksyttävää, mutta se on jotain, mikä sinun tulisi tietää, ei löytää jälkikäteen. Pyydä tarjoajaa vetämään tämä raja nimenomaisesti.
4. Mihin sopimus todella sitoutuu. GDPR:n artiklan 28 mukaisen henkilötietojen käsittelysopimuksen tulee nimetä alihankkijat, ilmoittaa missä kukin käsittelee tietoja, ja velvoittaa tarjoaja ilmoittamaan sinulle ennen kuin mitä tahansa niistä vaihdetaan. Tarjoaja, joka ei halua nimetä ketjuaan, kertoo sinulle jotain.

Ansa, joka on ominainen tekoälytyökaluille

On olemassa tapa mennä harhaan, johon eurooppalaiset tekoälytyökalujen ostajat jäävät toistuvasti kiinni, ja se ansaitsee tulla mainituksi erikseen.

Tarjoaja voi olla aito eurooppalainen yritys, isännöidä sovellustaan aidolla eurooppalaisella infrastruktuurilla, ja silti lähettää jokaisen asiakirjasi Yhdysvaltoihin. Tämä tapahtuu mallin kutsun yhteydessä. Jos tuotteen älykkyys tulee rajapinnasta, jota ylläpitää OpenAI, Anthropic, Google tai Yhdysvalloista hallittu pilvi, sisältösi poistuu eurooppalaiselta alueelta juuri sillä hetkellä, kun tuote muuttuu käyttökelpoiseksi. Eurooppalainen isännöinti on todellinen, ja se on myös epäolennainen: se kantaa käyttöliittymää, ei hyötykuormaa.

Puhesanelun alalla tämä on lähes normi. Useimmat markkinoiden työkalut, mukaan lukien useat, jotka markkinoivat itseään yksityisyysystävällisinä, litteroivat kutsumalla amerikkalaista puheentunnistusrajapintaa. Saneltu ääni, usein konfidentiaalisin asia jonka ammattilainen tuottaa työpäivänsä aikana, päätyy suoraan soveltamisalan piiriin.

Kuusi kysymystä esitettäväksi kirjallisesti kenelle tahansa tarjoajalle

1. Mikä oikeushenkilö tarjoaa palvelun, ja hallitseeko sitä ei-eurooppalainen emoyhtiö?
2. Missä sisältöäni käsitellään, ja minkä yritysten toimesta? Ei "Euroopassa", vaan lista nimillä.
3. Mitä tekoälymalleja käytätte, ja kuka niitä ylläpitää? Heikko kohta, joka on ominainen tekoälytuotteille.
4. Mitkä tiedoistani ovat sisältöä ja mitkä tilitietoja, ja käsitelläänkö niitä eri tavalla?
5. Koskeeko teitä tai jotain alihankkijaanne Cloud Act tai muu ekstraterritoriaalinen laki? Eurooppalainen tarjoaja ilman amerikkalaista emoyhtiötä voi vastata ei, ilman kiertelyä.
6. Tarjoatteko artiklan 28 mukaisen henkilötietojen käsittelysopimuksen, joka nimeää alihankkijanne ja velvoittaa teidät ilmoittamaan muutoksista?

Vastausten tulee tulla kirjallisesti ja ilman kiertelyä. Siellä missä ne puuttuvat, olet jo saanut vastauksesi. Jos haluat GDPR-puolen samasta analyysistä, oppaamme puhesanelusta ja GDPR:stä käsittelee itse työkalulle lankeavia velvoitteita, ja artikkelimme AI-asetuksesta selittää, miksi tekoälysääntely ei sano mitään tästä kaikesta.

Fast Dictaten kanta

Fast Dictate on suunniteltu vastaamaan näihin kuuteen kysymykseen yhdellä sivulla, ei myyntitapaamisessa.

• Tarjoaja on ranskalainen yritys. Synapse Crew SAS, rekisteröity Pariisin kaupparekisteriin, ei amerikkalaista emoyhtiötä. Cloud Act ei koske sitä.
• Pro-paketti: saneltu sisältö pysyy Ranskassa. Ääni ja litteroinnit käsitellään yksinomaan palvelimilla Ranskassa, ISO/IEC 27001:2022 -sertifioidulla infrastruktuurilla.
• Mallit toimivat myös Ranskassa. Litterointi ja kielellinen jälkikäsittely toimivat ranskalaisella infrastruktuurilla, ilman yhtäkään kutsua Ranskan ulkopuoliseen tekoälyrajapintaan tuon sisällön käsittelemiseksi. Juuri siinä useimmat työkalut pettävät, joten sanomme sen nimenomaisesti.
• Ei tietojen säilytystä missään paketissa. Ääni litteroidaan ja poistetaan sitten välittömästi, eikä sitä koskaan käytetä uudelleen mallien kouluttamiseen.
• Rehellinen vivahde metatiedoista. Tilin tekniset tiedot, sähköposti, todennus, tilaustila, kulkevat kansainvälisten alihankkijoiden kautta, joita koskevat EU-komission vakiosopimuslausekkeet. Mikään saneltu sisältö ei kulje niiden kautta. Koko läpikäynti löytyy Tietoturva-sivultamme, ja DPA toimitetaan Pro-paketin asiakkaille.

Usein kysytyt kysymykset