Schrems II ja sähköpostilista — mitä siirto EU:n ulkopuolelle oikeasti vaatii

Sähköpostilista on henkilörekisteri, ja työkalu jolla sitä lähetetään on henkilötietojen käsittelijä. Jos työkalu siirtää listan EU:n ulkopuolelle, siirrolle on oltava peruste — ja juuri sen perusteen ympärillä on tapahtunut kaksi asiaa, jotka kannattaa tietää ennen työkalun valintaa.

Lyhyt vastaus

Siirto EU:n ulkopuolelle ei ole kielletty. Se vaatii tietosuoja-asetuksen V luvun mukaisen siirtoperusteen, ja perusteita on etusijajärjestyksessä: ensin komission riittävyyspäätös, sen puuttuessa esimerkiksi vakiolausekkeet täydentävine arviointeineen.

Yksinkertaisin ratkaisu on olla siirtämättä. Viisi seitsemästä vertailemastamme sähköpostityökalusta säilyttää listadatan EU:ssa, jolloin koko tämä luku jää pois omasta dokumentaatiostasi.

Mitä Schrems II -tuomio päätti

Unionin tuomioistuin antoi tuomion asiassa C-311/18 16.7.2020. Kaksi asiaa ratkesi kerralla, ja ne osoittavat eri suuntiin.

• Privacy Shield kumottiin. Tuomiolauselman viides kohta on yksiselitteinen: ”Commission Implementing Decision (EU) 2016/1250 … is invalid.”
• Vakiolausekkeet jäivät voimaan. Neljännen kohdan mukaan päätöksen 2010/87 tarkastelu ”has disclosed nothing to affect the validity of that decision”.

Käytännön muutos ei kuitenkaan ollut se, että yksi päätös vaihtui toiseen. Se oli ehto, jonka tuomioistuin asetti vakiolausekkeiden käytölle: siirtäjän on varmistettava, että rekisteröidyt saavat kohdemaassa ”a level of protection essentially equivalent to that guaranteed within the European Union”, ja arvioinnissa on otettava huomioon myös kohdemaan viranomaisten pääsy tietoihin. Vastuu siirtyi siis komission päätökseltä siirtäjälle itselleen. Sama tuomiolauselma velvoittaa valvontaviranomaisen keskeyttämään tai kieltämään siirron, jos suojaa ei voida varmistaa.

Mikä korvasi Privacy Shieldin

Komissio antoi 10.7.2023 täytäntöönpanopäätöksen (EU) 2023/1795, joka koskee EU–US Data Privacy Frameworkia. Yksi yksityiskohta ratkaisee sen, mitä päätös tarkoittaa sinulle: se ei koske Yhdysvaltoja maana.

Päätöksen 1 artikla rajaa riittävyyden siirtoihin ”to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce”. Riittävyys on siis organisaatiokohtainen. Käytännössä tämä tarkoittaa yhtä työvaihetta: kun harkitset yhdysvaltalaista palvelua, tarkista onko juuri se organisaatio listalla — ja hae yrityksen virallisella nimellä, koska palvelu voi olla listalla emoyhtiönsä nimellä.

Päätös sisältää myös oman purkulausekkeensa. Sen 3 artiklan 5 kohdan mukaan komissio voi ”suspend, amend or repeal this Decision, or limit its scope”, jos riittävä suojan taso ei enää toteudu.

Onko uusi päätös pysyvä

Tähän on rehellinen vastaus: sitä on jo haastettu, ja kerran vastaava päätös on kaatunut. Unionin yleinen tuomioistuin hylkäsi kumoamiskanteen 3.9.2025 asiassa T-553/23 (Latombe vastaan komissio). Tuomioistuimen lehdistötiedotteen mukaan se ”confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection”.

Ratkaisusta on kirjattu valitus unionin tuomioistuimeen (asia C-703/25 P, valitus jätetty 31.10.2025). Emme ole tarkistaneet asian käsittelyvaihetta tämän jälkeen, emmekä ennusta lopputulosta.

Lukijalle tästä seuraa yksi käytännön ohje, ei ennustus: älä rakenna riittävyyspäätöksen varaan mitään, mitä et voi purkaa. Sähköpostityökalun kohdalla se tarkoittaa, että listan siirrettävyys ulos palvelusta on osa riskienhallintaa — ja se on hyvä vaatimus muutenkin.

Jos riittävyyspäätös ei kata palvelua

Silloin siirto tarvitsee tietosuoja-asetuksen 46 artiklan mukaisen asianmukaisen suojatoimen. Yleisin niistä on komission hyväksymät vakiolausekkeet, jotka ovat 46 artiklan 2 kohdan c alakohdassa. Artiklan 1 kohta asettaa myös ehdon: suojatoimien lisäksi rekisteröidyillä on oltava ”enforceable data subject rights and effective legal remedies”.

Pelkkä lausekkeiden allekirjoittaminen ei riitä. Euroopan tietosuojaneuvoston suositukset 01/2020 (versio 2.0, hyväksytty 18.6.2021) kuvaavat kuusi askelta. Neljä niistä on siirtäjän todellista työtä, ja viides on muodolliset menettelyt, joita täydentävä toimenpide voi vaatia:

1. Tunne siirtosi. Kartoita mitä henkilötietoja siirtyy minne — suositus kutsuu tätä ensimmäiseksi askeleeksi ja huomauttaa, että se on usein vaikea harjoitus.
2. Tarkista siirtoväline. Jos komission riittävyyspäätös kattaa vastaanottajan, muuta ei tarvita kuin päätöksen voimassaolon seuraaminen — ja Yhdysvaltojen osalta se tarkoittaa organisaatiota, ei maata.
3. Arvioi kohdemaan lainsäädäntö ja käytännöt. Tämä on siirtovaikutusten arviointi: heikentääkö kohdemaan oikeustila suojatoimien tehoa juuri sinun siirrossasi.
4. Ota käyttöön täydentävät toimenpiteet, jos arviointi niitä vaatii, ja arvioi tilanne uudelleen määräajoin.

Kaksi kohtaa suosituksesta kannattaa lukea sanatarkasti. Dokumentointi: ”You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.” Ja tilanne, jossa mikään ei riitä: ”In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.”

Mitä tämä tarkoittaa sähköpostityökalun valinnassa

Tässä kohtaa juridiikka muuttuu ostopäätökseksi, ja lopputulos on yksinkertaisempi kuin edellä oleva teksti antaa olettaa.

Viisi seitsemästä vertailemastamme työkalusta säilyttää listadatan EU:ssa: Brevo, GetResponse, Systeme.io, MailerLite ja EmailOctopus. Niiden kohdalla V luvun siirtoperustetta ei tarvita lainkaan, koska siirtoa ei ole. Kaksi jäljelle jäävää, Mailchimp ja ActiveCampaign, siirtävät dataa EU:n ulkopuolelle — laillisesti, mutta siirtoperusteineen ja kirjauksineen. Palveluittain eritelty tilanne: sähköpostimarkkinointi ja GDPR; kaikki seitsemän selostetta rinnakkain ja päivättynä: sähköpostityökalujen datan sijainti.

Tämä ei tarkoita, että EU:n ulkopuolinen työkalu olisi väärä valinta. Se tarkoittaa, että sen hinta sisältää työvaiheen, jota EU-toimijan hinta ei sisällä — ja yhden hengen yrityksessä se työvaihe on kalliimpi kuin muutaman euron kuukausiero.

Neljä asiaa, jotka pienyrityksen kannattaa tehdä

1. Selvitä missä listasi on. Vastaus löytyy palvelun omasta tietosuojaselosteesta, ei markkinointisivulta. Kysy sekä sopimusosapuoli että konesalin sijainti — ne voivat olla eri maissa.
2. Kirjaa käsittelijä omaan tietosuojaselosteeseesi. Jos siirtoa EU:n ulkopuolelle on, 13 artiklan 1 kohdan f alakohta vaatii kertomaan siirrosta ja siitä, onko riittävyyspäätöstä olemassa vai ei.
3. Tee käsittelysopimus. Se on eri asia kuin siirtoperuste ja tarvitaan joka tapauksessa, myös EU-toimijan kanssa. Mitä sopimuksesta pitää löytyä.
4. Jos siirrät vakiolausekkeilla, dokumentoi arviointi. Tietosuojaneuvoston suositus sanoo suoraan, että viranomainen voi pyytää sen nähtäväksi.

Suomen viranomaisen ohje tiivistää saman lyhyesti: tietosuojavaltuutetun toimiston mukaan ”henkilötietojen siirroille on lisäksi oltava tietosuoja-asetuksen V luvussa määritelty siirtoperuste”, ja ”siirtoperusteen tehokkuus ja täydentävien suojatoimien tarve on arvioitava tapauskohtaisesti”. Sivu luettu 6.9.2026.

Mitä tämä sivu ei ole

Tämä ei ole oikeudellista neuvontaa. Kerromme mitä alkuperäisissä lähteissä lukee, ja jokainen niistä on linkitetty tekstiin: tuomion teksti, komission päätös, asetuksen artiklat, tietosuojaneuvoston suositus ja tietosuojavaltuutetun ohje. Sen soveltaminen omaan tilanteeseesi on sinun tai lakimiehesi työtä.

Emme myöskään julkaise yksittäisten palveluiden Data Privacy Framework -statusta. Syy on menetelmällinen: status voi muuttua ilman ilmoitusta, eikä 90 päivän tarkistuskierroksemme takaisi sen ajantasaisuutta. Lista on julkinen, ja sen tarkistaminen on nopeampaa kuin sen lukeminen meiltä. Menetelmä kokonaisuudessaan: näin vertailemme.