Sähköpostimarkkinointi ja GDPR — mitä suomalaisen pitää oikeasti tehdä

GDPR ei kiellä sähköpostimarkkinointia. Se vaatii kolme asiaa: että tilaaja on antanut suostumuksen, että pystyt osoittamaan sen jälkikäteen, ja että tiedät missä lista fyysisesti on. Kaksi ensimmäistä ovat käytäntöä, kolmas on työkaluvalinta — ja siinä yleisin oletus menee pieleen.

1. Suostumus: mitä se on ja mitä se ei ole

Suostumuksen pitää olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Käytännössä se tarkoittaa neljää asiaa lomakkeella:

• Kerro mihin tilataan. ”Tilaa uutiskirje” riittää, jos vieressä lukee mitä kirje sisältää ja kuinka usein se tulee.
• Ei valmiiksi rastitettuja ruutuja. Suostumus on aktiivinen teko, ei oletusarvo.
• Ei niputusta. Uutiskirjeen tilaus ei saa olla ehto tilauksen tekemiselle tai oppaan lataamiselle sillä tavalla, ettei tilausta voi ohittaa.
• Peruutus joka viestissä. Yhden klikin päässä, ei kirjautumisen takana.

Kaksivaiheinen vahvistus (tilaaja klikkaa vielä vahvistuslinkkiä sähköpostissa) ei ole pakollinen, mutta se on suoraviivaisin tapa täyttää osoitusvelvollisuus — ja se pitää listan puhtaana kirjoitusvirheistä ja väärillä osoitteilla tehdyistä tilauksista.

Sääntö tulee kahdesta paikasta, ja sekaannus johtuu yleensä siitä. Suostumuksen laatuvaatimukset ovat tietosuoja-asetuksessa, mutta se, milloin sähköpostimarkkinointiin ylipäätään tarvitaan suostumus, on kirjattu sähköisen viestinnän palveluista annettuun lakiin (917/2014). Lain 200 §:n 1 momentti sanoo sen sanatarkasti näin:

”Automatisoitujen soittojärjestelmien sekä telekopiolaitteiden, sähköpostiviestien, tekstiviestien, puheviestien, ääniviestien tai kuvaviestien avulla toteutettua suoramarkkinointia saa kohdistaa vain sellaisiin luonnollisiin henkilöihin, jotka ovat antaneet siihen ennalta suostumuksensa.”

Lakiteksti luettu Finlexin ajantasaisesta säädöksestä 5.9.2026. Sama sanamuoto on yhä laissa sellaisena kuin se säädettiin 2014.

Sama asia lukijan kielellä, tietosuojavaltuutetun toimiston muotoilemana: ”Sähköistä suoramarkkinointia saa lähtökohtaisesti kohdistaa yksityishenkilölle vain, jos hän on antanut siihen etukäteen suostumuksensa (opt-in).”

Poikkeus on tarkempi kuin miten se yleensä toistetaan

Asiakassuhteeseen perustuvasta poikkeuksesta puhutaan usein niin, että ”asiakkaille saa markkinoida”. Tietosuojavaltuutetun toimiston mukaan myyjä voi markkinoida asiakkaalle ilman etukäteen pyydettyä suostumusta vain, jos kaikki neljä ehtoa täyttyvät:

1. ”yhteystieto saadaan asiakkaana olevalta henkilöltä itseltään (olemassa oleva asiakassuhde),”
2. ”yhteystieto saadaan tuotteen tai palvelun myynnin yhteydessä,”
3. ”yhteystietoa käytetään myöhemmin ainoastaan samaan tuoteryhmään kuuluvien tai muuten vastaavien tuotteiden tai palveluiden markkinoinnissa ja”
4. ”kyse on saman myyjäorganisaation omien tuotteiden ja palveluiden markkinoinnista”

Lainaukset: tietosuojavaltuutetun toimisto, usein kysyttyä suoramarkkinoinnista, luettu 5.9.2026.

Ehdot eivät ole viranomaisen tulkintaa vaan lakitekstiä: ne ovat 200 §:n 3 momentissa, joka antaa myyjälle oikeuden käyttää myynnin yhteydessä saatua yhteystietoa ”omien samaan tuoteryhmään kuuluvien tai muuten vastaavien tuotteiden ja palvelujen suoramarkkinoinnissa”. Sama momentti asettaa myös velvollisuuden, joka unohtuu useimmin — kielto-oikeus on annettava kahdesti: ”Palvelun tarjoajan tai tuotteen myyjän on annettava asiakkaana olevalle luonnolliselle henkilölle mahdollisuus ilman erillistä maksua ja helposti kieltää yhteystiedon käyttö tiedon keräämisen ja jokaisen sähköpostiviestin, tekstiviestin, puheviestin, ääniviestin ja kuvaviestin yhteydessä.” Eli sekä siinä hetkessä kun osoite kerätään että jokaisessa lähetetyssä viestissä.

Sana kaikki ratkaisee, ja kaksi tavallista tilannetta kaatuu siihen. Arvontaan tai oppaan lataukseen jätetty osoite ei täytä toista ehtoa, koska sitä ei saatu tuotteen tai palvelun myynnin yhteydessä. Kumppanin tuotteen tai oman uuden tuotealueen markkinointi ei täytä kolmatta ja neljättä ehtoa. Kummassakin tapauksessa tarvitaan suostumus, ja se on helpompi pyytää keräyshetkellä kuin korjata jälkikäteen.

Yrityksille markkinointi on eri asia. Yhteisöjä koskee 202 §, ja se kääntää asetelman ympäri: ”Suoramarkkinointia yhteisölle saa harjoittaa, jollei tämä ole sitä nimenomaisesti kieltänyt.” Suostumusta ei siis tarvita, mutta kielto-oikeus on annettava jokaisessa viestissä ja siitä on kerrottava selkeästi. Tietosuojavaltuutetun toimisto sanoo saman: ”vastaanottajan suostumusta ei tarvita, kun sähköistä suoramarkkinointia kohdistetaan yhteisölle (esimerkiksi yrityksen yleiseen sähköpostiosoitteeseen)”. Rajanveto ei ole aina selvä: nimellä varustettu työsähköpostiosoite on henkilötietoa, joten tulkinta riippuu siitä, kohdistuuko markkinointi organisaatioon vai nimettyyn henkilöön. Epäselvässä tapauksessa lähde on tietosuojavaltuutetun toimiston oma sivu, ei toisen markkinoijan käytäntö.

Kolmas pykälä koskee molempia. Lain 203 §:n mukaan suoramarkkinointiviesti ”on voitava sitä vastaanotettaessa selvästi ja yksiselitteisesti tunnistaa markkinoinniksi”. Tämä osuu otsikkoriviin ja lähettäjänimeen: viesti, joka naamioituu henkilökohtaiseksi vastaukseksi, laskuksi tai järjestelmäilmoitukseksi, on tämän pykälän vastainen riippumatta siitä, onko suostumus kunnossa.

2. Osoitusvelvollisuus: tallenna päivä ja lähde

Suostumus, jota ei voi näyttää toteen, on sama kuin ei suostumusta. Jokaisesta kontaktista pitää löytyä vähintään tilauspäivä ja tieto siitä, miltä lomakkeelta tilaus tuli.

Tästä seuraa yksi käytännön sääntö, joka unohtuu useimmin: kun vaihdat työkalua, ota tilauspäivä ja tilauslähde mukaan vientitiedostoon. Jos siirrät pelkät sähköpostiosoitteet, olet siirron jälkeen tilanteessa, jossa lista on olemassa mutta suostumusta ei voi osoittaa millään.

3. Datan sijainti — tässä oletus menee pieleen

Yleinen käsitys on, että sähköpostityökalut ovat amerikkalaisia ja lista lähtee automaattisesti Atlantin taakse. Kävimme läpi seitsemän työkalun omat tietosuojaselosteet 3.9.2026, ja kuva on toinen: viisi seitsemästä säilyttää listadatan EU:ssa.

← pyyhkäise →

Lähde: kunkin palvelun oma tietosuojaseloste, luettu 3.9.2026. Tarkistetaan uudelleen 90 päivän välein — palveluiden yhtiörakenteet ja konesalit muuttuvat.

Huomaa yksi vivahde: sopimusosapuoli ja datan sijainti ovat eri asioita. EmailOctopus on brittiyhtiö, mutta listat ovat Irlannissa; MailerLitellä ETA-asiakkaan sopimus tehdään irlantilaisen yhtiön kanssa, vaikka konsernissa on myös yhdysvaltalainen yhtiö. Kumpikaan seikka ei yksin kerro, missä lista on — se lukee selosteessa.

Mitä työkalusta kannattaa tarkistaa ennen käyttöönottoa

1. Löydätkö tilauspäivän ja -lähteen yksittäisen kontaktin tiedoista? Etsi se kerran nyt, älä siinä hetkessä kun joku kysyy.
2. Poistuuko kontakti kokonaan vai vain listalta? Poisto-oikeus tarkoittaa tietojen poistamista, ei tilauksen päättämistä.
3. Saatko listan ulos ja missä muodossa? Jos vientiä ei ole, olet lukossa.
4. Onko käytettävissä käsittelysopimus (DPA)? Etsi se tilin asetuksista tai käyttöehdoista — osalla se sisältyy ehtoihin, osalla se hyväksytään erikseen.
5. Missä data on — yllä oleva taulukko, tai palvelun oma seloste jos työkalu ei ole vertailussamme.

Työkalut, joilla lista pysyy EU:ssa

← pyyhkäise →

Hinnat ilman ALV:tä, kuukausilaskutuksella, ellei toisin mainita.* = mainoslinkki

• Hinta on halvimman maksullisen tason kuukausihinta sillä listakoolla. Ilmaistaso-sarake kertoo, milloin sitä ei tarvitse maksaa.
• EmailOctopus: hinnastossa on vain vuosilaskutuksen kuukausihinta. Kuukausilaskutus maksaa enemmän.
• GetResponse: pienin myytävä lista on 1 000 kontaktia, joten 500 kontaktin sarakkeessa on sen hinta.

Käsittelysopimus: se paperi jota kukaan ei muista

Kun käytät sähköpostityökalua, se käsittelee tilaajiesi henkilötietoja sinun lukuusi. Rekisterinpitäjä olet sinä, käsittelijä on palvelu — ja niiden välillä pitää olla kirjallinen sopimus siitä, mitä käsittelijä saa tehdä. Sopimuksesta käytetään lyhennettä DPA (data processing agreement).

Sopimus ei aina astu voimaan itsestään: osalla palveluista se sisältyy käyttöehtoihin, osalla se pitää hyväksyä erikseen tilin asetuksista. Emme ole käyneet jokaisen vertaillun palvelun sopimusta läpi tilitasolla emmekä siksi väitä siitä mitään kaikkien osalta — tarkista tämä samalla kun otat työkalun käyttöön, älä siinä hetkessä kun asiakas kysyy.

Sama koskee omaa käsittelytoimien selostettasi. Tietosuoja-asetuksen 30 artiklan 5 kohta vapauttaa alle 250 työntekijän organisaation selosteen ylläpidosta, mutta vapautus raukeaa kolmesta syystä: jos käsittely todennäköisesti aiheuttaa riskin rekisteröidyn oikeuksille, jos käsittely ei ole satunnaista, tai jos käsitellään erityisiä henkilötietoryhmiä. Säännöllisesti ylläpidetty markkinointilista osuu keskimmäiseen, joten vapautus ei koske sitä.

Kolme asiaa, jotka sopimuksesta kannattaa lukea:

• Alihankkijat. Käsittelijä käyttää omia alihankkijoitaan (konesali, tukityökalut, tekoälypalvelut). Lista on yleensä erillisellä sivulla ja se muuttuu — palvelun pitää ilmoittaa muutoksista, ja sinun pitää päivittää oma selosteesi sen mukaan.
• Siirrot EU:n ulkopuolelle. Sopimuksessa kerrotaan, millä perusteella tietoja siirretään kolmansiin maihin. Tämä on se kohta, joka on lyhyin EU:ssa säilyttävillä palveluilla.
• Mitä tapahtuu lopetuksen jälkeen. Kuinka kauan tiedot säilyvät tilin sulkemisen jälkeen ja saatko ne ulos ennen sitä.

Käytännön muistisääntö: jos vaihdat työkalua, käsittelijä vaihtuu — ja käsittelijä on nimeltä mainittu sinun omassa tietosuojaselosteessasi. Seloste päivitetään samassa työssä, ei myöhemmin.

Peruutus yhdellä klikillä ei ole enää pelkkä lakivaatimus

Laki vaatii, että markkinoinnin voi kieltää helposti ja maksutta jokaisen viestin yhteydessä. Helmikuusta 2024 alkaen sama asia on myös postilaatikoiden tekninen vaatimus, ja se on kiinnostava yhdistelmä: sama toimenpide täyttää sekä lakivelvoitteen että toimitettavuuden ehdon.

Google ja Yahoo vaativat yli 5 000 viestiä vuorokaudessa lähettäviltä, että markkinointiviestit tukevat yhden klikin peruutusta RFC 8058:n mukaisesti. Käytännössä se tarkoittaa, että peruutus tapahtuu suoraan sähköpostiohjelman painikkeesta eikä vastaanottajalta saa vaatia erillistä vahvistusta laskeutumissivulla. Yahoo asettaa lisäksi määräajan: peruutus on toteutettava kahdessa päivässä. Molemmat edellyttävät myös, että roskapostivalitusten osuus pysyy alle 0,30 prosentin.

Lukijalle tästä seuraa yksi tarkistus: katso, mitä oma peruutuslinkkisi tekee. Jos se vie sivulle, jossa pitää vielä kirjautua tai vahvistaa valinta, se on samanaikaisesti lakiongelma ja toimitettavuusongelma. Vaatimukset ja niiden vaikutus työkaluvalintaan käydään läpi vertailussa: mitä Gmail ja Yahoo vaativat lähettäjältä.

Neljä yleisintä virhettä

• Vanha lista uuteen työkaluun sellaisenaan. Mukana kulkevat poistuneet ja kuolleet osoitteet vahingoittavat toimitettavuutta juuri silloin, kun uusi lähettäjä rakentaa mainettaan.
• Suostumus kerätty yhteen tarkoitukseen, käytetty toiseen. Kilpailuun osallistuminen ei ole uutiskirjeen tilaus, ellei sitä ole erikseen kerrottu.
• Peruutuslinkki, joka vaatii kirjautumisen. Peruutuksen pitää onnistua yhdellä klikillä.
• Työkalu vaihdettu, seloste ei. Käsittelijä on selosteessa nimeltä; kun työkalu vaihtuu, seloste päivitetään samassa työssä.

Mitä tämä sivu ei ole

Tämä on käytännön muistilista, ei oikeudellinen neuvo. Sähköisen suoramarkkinoinnin säännöt tulevat sähköisen viestinnän palveluista annetusta laista ja tietosuoja-asetuksesta, ja niiden soveltaminen riippuu siitä, kenelle markkinoit ja miten osoitteet on kerätty. Tulkinnanvaraisessa tilanteessa lähde on tietosuojavaltuutetun toimisto — ja tulkinnat päivittyvät.

Syvemmälle kahteen kysymykseen: seitsemän palvelun selosteet rinnakkain sivulla sähköpostityökalujen datan sijainti, ja siirtoperusteiden tausta sivulla Schrems II ja sähköpostilistan siirto EU:n ulkopuolelle.