Sähköpostimarkkinointi ja GDPR — mitä suomalaisen pitää oikeasti tehdä

GDPR ei kiellä sähköpostimarkkinointia. Se vaatii kolme asiaa: että tilaaja on antanut suostumuksen, että pystyt osoittamaan sen jälkikäteen, ja että tiedät missä lista fyysisesti on. Kaksi ensimmäistä ovat käytäntöä, kolmas on työkaluvalinta — ja siinä yleisin oletus menee pieleen.

1. Suostumus: mitä se on ja mitä se ei ole

Suostumuksen pitää olla vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Käytännössä se tarkoittaa neljää asiaa lomakkeella:

• Kerro mihin tilataan. "Tilaa uutiskirje" riittää, jos vieressä lukee mitä kirje sisältää ja kuinka usein se tulee.
• Ei valmiiksi rastitettuja ruutuja. Suostumus on aktiivinen teko, ei oletusarvo.
• Ei niputusta. Uutiskirjeen tilaus ei saa olla ehto tilauksen tekemiselle tai oppaan lataamiselle sillä tavalla, ettei tilausta voi ohittaa.
• Peruutus joka viestissä. Yhden klikin päässä, ei kirjautumisen takana.

Kaksivaiheinen vahvistus (tilaaja klikkaa vielä vahvistuslinkkiä sähköpostissa) ei ole pakollinen, mutta se on paras yksittäinen tapa täyttää osoitusvelvollisuus — ja se pitää listan puhtaana kirjoitusvirheistä ja väärillä osoitteilla tehdyistä tilauksista.

2. Osoitusvelvollisuus: tallenna päivä ja lähde

Suostumus, jota ei voi näyttää toteen, on sama kuin ei suostumusta. Jokaisesta kontaktista pitää löytyä vähintään tilauspäivä ja tieto siitä, miltä lomakkeelta tilaus tuli.

Tästä seuraa yksi käytännön sääntö, joka unohtuu useimmin: kun vaihdat työkalua, ota tilauspäivä ja tilauslähde mukaan vientitiedostoon. Jos siirrät pelkät sähköpostiosoitteet, olet siirron jälkeen tilanteessa, jossa lista on olemassa mutta suostumusta ei voi osoittaa millään.

3. Datan sijainti — tässä oletus menee pieleen

Yleinen käsitys on, että sähköpostityökalut ovat amerikkalaisia ja lista lähtee automaattisesti Atlantin taakse. Kävimme läpi seitsemän työkalun omat tietosuojaselosteet 3.9.2026, ja kuva on toinen: viisi seitsemästä säilyttää listadatan EU:ssa.

Lähde: kunkin palvelun oma tietosuojaseloste, luettu 3.9.2026. Tarkistetaan uudelleen 90 päivän välein — palveluiden yhtiörakenteet ja konesalit muuttuvat.

Huomaa yksi vivahde: sopimusosapuoli ja datan sijainti ovat eri asioita. EmailOctopus on brittiyhtiö, mutta listat ovat Irlannissa; MailerLitellä ETA-asiakkaan sopimus tehdään irlantilaisen yhtiön kanssa, vaikka konsernissa on myös yhdysvaltalainen yhtiö. Kumpikaan seikka ei yksin kerro, missä lista on — se lukee selosteessa.

Mitä työkalusta kannattaa tarkistaa ennen käyttöönottoa

1. Löydätkö tilauspäivän ja -lähteen yksittäisen kontaktin tiedoista? Etsi se kerran nyt, älä siinä hetkessä kun joku kysyy.
2. Poistuuko kontakti kokonaan vai vain listalta? Poisto-oikeus tarkoittaa tietojen poistamista, ei tilauksen päättämistä.
3. Saatko listan ulos ja missä muodossa? Jos vientiä ei ole, olet lukossa.
4. Onko käytettävissä käsittelysopimus (DPA)? Kaikilla vertailemillamme on, mutta se pitää yleensä hyväksyä erikseen asetuksista.
5. Missä data on — yllä oleva taulukko, tai palvelun oma seloste jos työkalu ei ole vertailussamme.

Työkalut, joilla lista pysyy EU:ssa

← pyyhkäise →

Hinnat ilman ALV:tä, kuukausilaskutuksella, ellei toisin mainita.* = mainoslinkki

• Hinta on halvimman maksullisen tason kuukausihinta sillä listakoolla. Ilmaistaso-sarake kertoo, milloin sitä ei tarvitse maksaa.
• EmailOctopus: hinnastossa on vain vuosilaskutuksen kuukausihinta. Kuukausilaskutus maksaa enemmän.
• GetResponse: pienin myytävä lista on 1 000 kontaktia, joten 500 kontaktin sarakkeessa on sen hinta.

Käsittelysopimus: se paperi jota kukaan ei muista

Kun käytät sähköpostityökalua, se käsittelee tilaajiesi henkilötietoja sinun lukuusi. Rekisterinpitäjä olet sinä, käsittelijä on palvelu — ja niiden välillä pitää olla kirjallinen sopimus siitä, mitä käsittelijä saa tehdä. Sopimuksesta käytetään lyhennettä DPA (data processing agreement).

Kaikilla vertailemillamme palveluilla sellainen on valmiina, mutta se ei aina astu voimaan itsestään: osalla se sisältyy käyttöehtoihin, osalla se pitää hyväksyä erikseen tilin asetuksista. Tarkista tämä samalla kun otat työkalun käyttöön, älä siinä hetkessä kun asiakas kysyy.

Kolme asiaa, jotka sopimuksesta kannattaa lukea:

• Alihankkijat. Käsittelijä käyttää omia alihankkijoitaan (konesali, tukityökalut, tekoälypalvelut). Lista on yleensä erillisellä sivulla ja se muuttuu — palvelun pitää ilmoittaa muutoksista, ja sinun pitää päivittää oma selosteesi sen mukaan.
• Siirrot EU:n ulkopuolelle. Sopimuksessa kerrotaan, millä perusteella tietoja siirretään kolmansiin maihin. Tämä on se kohta, joka on lyhyin EU:ssa säilyttävillä palveluilla.
• Mitä tapahtuu lopetuksen jälkeen. Kuinka kauan tiedot säilyvät tilin sulkemisen jälkeen ja saatko ne ulos ennen sitä.

Käytännön muistisääntö: jos vaihdat työkalua, käsittelijä vaihtuu — ja käsittelijä on nimeltä mainittu sinun omassa tietosuojaselosteessasi. Seloste päivitetään samassa työssä, ei myöhemmin.

Neljä yleisintä virhettä

• Vanha lista uuteen työkaluun sellaisenaan. Mukana kulkevat poistuneet ja kuolleet osoitteet vahingoittavat toimitettavuutta juuri silloin, kun uusi lähettäjä rakentaa mainettaan.
• Suostumus kerätty yhteen tarkoitukseen, käytetty toiseen. Kilpailuun osallistuminen ei ole uutiskirjeen tilaus, ellei sitä ole erikseen kerrottu.
• Peruutuslinkki, joka vaatii kirjautumisen. Peruutuksen pitää onnistua yhdellä klikillä.
• Työkalu vaihdettu, seloste ei. Käsittelijä on selosteessa nimeltä; kun työkalu vaihtuu, seloste päivitetään samassa työssä.

Mitä tämä sivu ei ole

Tämä on käytännön muistilista, ei oikeudellinen neuvo. Sähköisen suoramarkkinoinnin säännöt tulevat sähköisen viestinnän palveluista annetusta laista ja tietosuoja-asetuksesta, ja niiden soveltaminen riippuu siitä, kenelle markkinoit ja miten osoitteet on kerätty. Tulkinnanvaraisessa tilanteessa lähde on tietosuojavaltuutetun toimisto — ja tulkinnat päivittyvät.