EU:n niin sanottu e-evidence-asetus (2023/1543) ja sitä täydentävä direktiivi (2023/1544) tulevat sovellettaviksi 18. elokuuta 2026 eli tämän viikon alussa. Muutos koskee suoraan jokaista pilvipalvelua, hosting-yritystä ja viestintäpalvelua, joka tarjoaa palveluita EU:n alueella – myös suomalaisia ja muita pohjoismaisia toimijoita. Käytännössä poliisi ja syyttäjät missä tahansa jäsenmaassa voivat nyt lähettää tietopyynnön suoraan toisessa maassa toimivalle palveluntarjoajalle, ilman että pyyntö kulkee ensin vastaanottajamaan viranomaisten kautta.
Muutos on suurin rajat ylittävän tietopyyntöjärjestelmän uudistus EU:ssa vuosikymmeniin, ja se osuu ajallisesti yhteen laajemman pohjoismaisen tietosuojavalvonnan kiristymisen kanssa. Kesän 2026 aikana Norjan Datatilsynet määräsi Elkjøp Nordicille 20 miljoonan Norjan kruunun sakon, Tanskan viranomainen sakotti oikeusministeriön alaista Civilstyrelseniä hukatusta USB-tikusta, ja Suomessa hallitus on viemässä läpi lakia, joka poistaa julkishallinnolta GDPR-sakkoimmuniteetin. E-evidence-asetus lisää tähän listaan vielä yhden, aiempaa suoremman keinon saada tietoa palveluntarjoajilta – ja samalla uuden sakkoriskin niille, jotka eivät ehdi valmistautua.
Mitä e-evidence-asetus käytännössä muuttaa
Asetus 2023/1543 tuli voimaan jo 18. elokuuta 2023, mutta lainsäätäjä antoi kolmen vuoden siirtymäajan ennen kuin säännöt tulivat velvoittaviksi. Se aika päättyi 18. elokuuta 2026. Samaan pakettiin kuuluva direktiivi 2023/1544 piti saattaa osaksi kansallista lainsäädäntöä viimeistään 18. helmikuuta 2026, ja se koskee erityisesti sitä, miten kansalliset rikosoikeudelliset tietopyynnöt osoitetaan palveluntarjoajien nimetyille edustajille EU:ssa.
Ennen tätä uudistusta rikostutkinnassa tarvittava sähköinen todistusaineisto haettiin pääosin oikeusapupyyntöjen (mutual legal assistance, MLA) tai eurooppalaisen tutkintamääräyksen kautta. Prosessi kulki viranomaiselta viranomaiselle ja saattoi kestää kuukausia. E-evidence-asetus ohittaa tämän: syyttäjä tai tuomioistuin yhdessä jäsenmaassa voi lähettää eurooppalaisen esittämismääräyksen (European Production Order, EPOC) tai säilyttämismääräyksen (European Preservation Order, EPOC-PR) suoraan palveluntarjoajalle toisessa jäsenmaassa. Vastaanottajamaan viranomaisia ei enää tarvitse ottaa mukaan reitittämään pyyntöä.
10 vuorokautta ja 8 tuntia: uudet määräajat palveluntarjoajille
Asetuksen 10 artikla määrittää kaksi aikarajaa. Tavallisessa tapauksessa palveluntarjoajan on toimitettava pyydetyt tiedot 10 vuorokauden kuluessa esittämismääräyksen vastaanottamisesta. Kiireellisessä tapauksessa – kun kyse on välittömästä hengen, ruumiillisen koskemattomuuden tai kriittisen infrastruktuurin uhasta – aikaraja tiukkenee kahdeksaan tuntiin. Kahdeksan tunnin määräaika koskee yötä päivää: palveluntarjoajalla on oltava valmius vastata myös viikonloppuisin ja juhlapyhinä.
Säilyttämismääräyksen (EPOC-PR) kohdalla logiikka on toinen. Kun viranomainen haluaa varmistaa, ettei data katoa ennen kuin virallinen esittämismääräys ehditään laatia, palveluntarjoajan on säilytettävä pyydetty aineisto vähintään 60 vuorokautta. Määräaikaa voidaan pidentää vielä 30 vuorokaudella, jolloin kokonaissäilytysaika voi nousta 90 vuorokauteen. Pyydettävä data jaetaan neljään luokkaan: tilaajatiedot, pääsytiedot, liikennetiedot ja sisältötiedot – jälkimmäinen kattaa esimerkiksi viestien tai tiedostojen sisällön.
Ketä asetus koskee: pilvipalvelut, hosting ja viestintä
Soveltamisala on laaja. Direktiivi 2023/1544 kattaa sähköisten viestintäpalvelujen tarjoajat, pilvi- ja hosting-palveluntarjoajat sekä muut digitaaliset palvelut, jotka tallentavat tai käsittelevät rikostutkinnan kannalta relevanttia käyttäjädataa. Velvoite ei rajoitu EU:hun sijoittautuneisiin yrityksiin: myös kolmannen maan palveluntarjoaja, joka tarjoaa palveluita unionin alueella, kuuluu sääntelyn piiriin – poikkeuksena vain toimija, joka on sijoittautunut yhteen ainoaan jäsenmaahan ja tarjoaa palveluita ainoastaan sinne.
Tästä seuraa konkreettinen velvoite: jokaisen palveluntarjoajan, joka tarjosi palveluita EU:ssa jo 18. helmikuuta 2026, on täytynyt nimetä joko oma toimipiste tai laillinen edustaja unionin alueella viimeistään 18. elokuuta 2026. Uusille toimijoille, jotka aloittavat EU-palvelut myöhemmin, aikaraja on kuusi kuukautta toiminnan alkamisesta. Sekä palveluntarjoaja että sen nimetty edustaja voivat joutua yhteisvastuullisesti vastaamaan, jos määräyksiin ei vastata ajoissa.
Tanska jää ulkopuolelle – mitä se tarkoittaa Pohjolassa
Yksi asetuksen erikoisuuksista pohjoismaisesta näkökulmasta on se, että Tanska ei ole sen sitoma. Syy juontaa Tanskan pitkäaikaiseen opt-out-järjestelyyn EU:n vapauden, turvallisuuden ja oikeuden alueella: Tanska ei osallistu rikosoikeudellisen yhteistyön säädöksiin samalla tavalla kuin muut jäsenmaat. Käytännössä Suomi ja Ruotsi soveltavat asetusta suoraan ilman erillistä kansallista täytäntöönpanolakia, kun taas Tanska jää järjestelmän ulkopuolelle sekä pyyntöjen lähettäjänä että vastaanottajana.
Tämä luo epäyhtenäisen tilanteen alueelle, joka muuten toimii tietosuoja-asioissa varsin yhtenäisesti. Suomalainen tai ruotsalainen syyttäjä ei voi lähettää eurooppalaista esittämismääräystä suoraan tanskalaiselle palveluntarjoajalle asetuksen nojalla, vaan joutuu turvautumaan vanhaan oikeusapumenettelyyn. Samaan aikaan tanskalaiseen dataan kohdistuvat pyynnöt Suomesta tai Ruotsista kulkevat edelleen hitaammin kuin pyynnöt muihin EU-maihin.
Suomen hosting- ja pilvialan valmistautuminen
Suomalaisille hosting-yrityksille ja pilvipalveluiden tarjoajille 18. elokuuta 2026 tarkoittaa käytännön muutosta päivittäiseen toimintaan. Yritysten on täytynyt rakentaa sisäinen prosessi, jolla eurooppalainen esittämismääräys tai säilyttämismääräys tunnistetaan aitoutensa puolesta, todennetaan lähettäjä ja reititetään oikealle henkilölle – ja tämä kaikki kymmenen vuorokauden, kiireellisissä tapauksissa kahdeksan tunnin, aikaikkunassa. Pienemmille toimijoille tämä on merkittävä operatiivinen lisärasite, koska ympärivuorokautista päivystystä ei välttämättä ole ollut aiemmin tarpeen järjestää tietopyyntöjä varten.
Lakifirmat, jotka seuraavat pakettia, ovat kehottaneet palveluntarjoajia varmistamaan kolme asiaa ennen voimaantuloa: nimetyn edustajan olemassaolo ja sen rekisteröinti, sisäinen eskalaatioketju kiireellisiä pyyntöjä varten sekä dokumentoitu prosessi sille, miten määräyksen laillisuus tarkistetaan ennen tietojen luovuttamista. Asetus ei poista palveluntarjoajan oikeutta kieltäytyä selvästi laittomasta tai virheellisestä pyynnöstä, mutta kieltäytymisen perusteet on osattava perustella nopeasti.
Sakkoriski: 2 prosenttia globaalista liikevaihdosta
Asetuksen 15 artikla velvoittaa täytäntöönpanevan viranomaisen määräämään rahallisen seuraamuksen, jos palveluntarjoaja ei noudata sellaista esittämis- tai säilyttämismääräystä, jonka täytäntöönpanokelpoisuus on vahvistettu. Artikla sallii jäsenmaiden asettaa sakon enintään kahteen prosenttiin palveluntarjoajan koko maailmanlaajuisesta vuosiliikevaihdosta edelliseltä tilikaudelta, jos kieltäytyminen on perusteeton tai vastaus jää kokonaan saapumatta. Tämä on sama sakkologiikka kuin GDPR:ssä, jossa suurin sakkoluokka on 4 prosenttia liikevaihdosta – e-evidence-asetuksen katto on siis puolet siitä, mutta silti riittävän suuri satuttamaan ison pilvitoimijan tulosta.
Jäsenmaat voivat kansallisessa täytäntöönpanolainsäädännössään asettaa tätä kattoa korkeammankin sakkotason, joten kahden prosentin raja on eurooppalainen vähimmäistaso, ei ehdoton yläraja. Sakko voi kohdistua sekä itse palveluntarjoajaan että sen nimettyyn edustajaan tai toimipisteeseen, koska direktiivi säätää niille yhteisvastuun. Käytännössä tämä tarkoittaa, että pelkkä edustajan nimeäminen paperilla ei riitä – edustajalla on oltava tosiasiallinen kyky vastata määräyksiin määräajassa.
GDPR ja e-evidence: kaksi säädöstä, sama koetinkivi
E-evidence-asetus ei kumoa GDPR:ää, ja luovutettu data pysyy EU:n perusoikeus- ja tietosuojasääntöjen piirissä myös rikostutkinnassa. Silti Euroopan tietosuojaneuvosto (EDPB) ja Euroopan tietosuojavaltuutettu (EDPS) esittivät jo lainvalmisteluvaiheessa huolensa siitä, että suora tietopyyntömalli voi heikentää olemassa olevia tietosuojan suojatoimia, koska vastaanottajamaan viranomainen ei enää toimi automaattisena tarkistuspisteenä ennen datan luovutusta. Tämä jännite – nopea rikostorjunta vastaan hidas mutta perusteellinen oikeussuoja – on koko pakettia leimaava kysymys.
Suomessa keskustelu käy samaan aikaan toista, mutta läheistä tietosuojan valvonnan kiristymistä koskevaa keskustelua. Hallitus vei huhtikuussa 2026 eduskuntaan esityksen HE 46/2026 vp, jolla julkishallinnon toimijat – kunnat, valtion virastot, yliopistot ja tietyt muut julkiset laitokset – tuodaan ensimmäistä kertaa hallinnollisten GDPR-sakkojen piiriin. Kattona olisi 500 000 euroa lievemmissä ja miljoona euroa vakavammissa rikkomuksissa. Kirjoitimme tästä uudistuksesta laajemmin erikseen, mutta yhteys e-evidence-asetukseen on selvä: molemmat lisäävät sitä painetta, jolla organisaatiot – yksityiset ja julkiset – joutuvat osoittamaan toimivat tietosuoja- ja tietopyyntöprosessit entistä nopeammin.
Vertailu: EU:n e-evidence vs. Yhdysvaltain CLOUD Act
E-evidence-asetusta verrataan usein Yhdysvaltain vuoden 2018 CLOUD Actiin, koska molemmat pyrkivät ratkaisemaan saman ongelman: miten viranomainen saa käsiinsä toisessa maassa säilytettävän datan ilman kuukausien viivettä. Toteutustapa on kuitenkin erilainen. CLOUD Act antaa yhdysvaltalaisille viranomaisille oikeuden vaatia yhdysvaltalaiselta palveluntarjoajalta dataa riippumatta siitä, missä data fyysisesti sijaitsee, ja nojaa pääosin kahdenvälisiin toimeenpanosopimuksiin (executive agreements) sekä kotimaisiin tuomioistuinmääräyksiin.
EU:n malli toimii toisin: se on rakennettu unionin sisäisen oikeudellisen yhteistyön ja vastavuoroisen tunnustamisen varaan, ja sitä täydentävät EU-tason menettelylliset suojatoimet, kuten mahdollisuus riitauttaa määräys vastaanottajamaan tuomioistuimessa. Käytännön ero palveluntarjoajalle on silti pieni: molemmissa järjestelmissä yritys joutuu vastaamaan tiukassa aikataulussa ulkomaisen viranomaisen pyyntöön, ja molemmissa kieltäytymisen hinta on korkea. Ainoa todellinen ero on se, minkä maan tuomioistuin lopulta valvoo prosessin laillisuutta.
Digioikeusjärjestöjen kritiikki
Pakettia ei hyväksytty ilman vastustusta. Kansalaisjärjestöjen, ammattijärjestöjen ja alan etujärjestöjen EDRi:n koordinoima yhteiskirje Euroopan parlamentin jäsenille varoitti, että suora tietopyyntömalli ”lyö reiän perusoikeuksien suojatoimiin”. Kirjeen allekirjoittajat – joukossa muun muassa toimittaja-, lakimies- ja alan järjestöjä – nostivat esiin erityisesti sen, että malli voi heikentää suojaa toimittajien, asianajajien ja muiden ammattisalaisuuden piirissä toimivien ryhmien tietojen osalta, koska vastaanottajamaan kansalliset tarkistusmekanismit voidaan tietyissä tilanteissa ohittaa.
Kritiikki ei pysäyttänyt hyväksymistä, mutta se selittää, miksi asetukseen jätettiin sisään useita menettelyllisiä suojia: mahdollisuus riitauttaa määräys, velvollisuus perustella kiireellisyys erikseen sekä GDPR:n rinnakkainen soveltuminen. Se, riittävätkö nämä suojat käytännössä, selviää vasta kun ensimmäiset kiistanalaiset tapaukset päätyvät tuomioistuimiin – todennäköisesti aikaisintaan syksyllä 2026 tai alkuvuodesta 2027.
Pohjoismaisista digioikeusjärjestöistä on kuulunut samansuuntaisia huolia kuin EDRi:n koordinoimasta yhteiskirjeestä. Erityisesti on nostettu esiin se, että kahdeksan tunnin kiireellinen määräaika ei jätä palveluntarjoajalle juuri lainkaan aikaa arvioida pyynnön laillisuutta perusteellisesti, jolloin käytännön paine ohjaa vastaamaan pyyntöön ensin ja riitauttamaan jälkikäteen, jos siihen ylipäätään on mahdollisuus. Tämä asetelma korostuu erityisesti pienissä yrityksissä, joilla ei ole omaa lakiosastoa arvioimassa jokaista saapuvaa määräystä reaaliajassa.
Taulukko: e-evidence-asetuksen keskeiset määräajat ja velvoitteet
| Velvoite | Aikaraja / taso | Peruste |
|---|---|---|
| Esittämismääräys (EPOC), vakiotapaus | 10 vuorokautta | 10 artikla, kohta 3 |
| Esittämismääräys (EPOC), kiireellinen tapaus | 8 tuntia | 10 artikla, kohta 4 |
| Säilyttämismääräys (EPOC-PR), perusaika | 60 vuorokautta | Asetuksen säilytysvelvoite |
| Säilyttämismääräyksen pidennys | +30 vuorokautta (yht. enintään 90 vrk) | Issuing-viranomaisen pyynnöstä |
| Nimetyn edustajan tai toimipisteen nimeäminen | Viimeistään 18.8.2026 (uusille toimijoille 6 kk) | Direktiivi 2023/1544 |
| Sakko laiminlyönnistä tai perusteettomasta kieltäytymisestä | Enintään 2 % globaalista vuosiliikevaihdosta | 15 artikla |
Taulukko: Pohjoismaiden tietosuojavalvonta kesällä 2026
| Maa | Tapaus / toimi | Summa tai vaikutus | Ajankohta |
|---|---|---|---|
| Norja | Datatilsynet vs. Elkjøp Nordic, tutkinta alkoi 2022 | 20 miljoonan Norjan kruunun sakko | Heinäkuu 2026 |
| Tanska | Civilstyrelsen, hukattu salaamaton USB-tikku | 13 450 euron sakko | 14.7.2026 |
| Suomi | HE 46/2026 vp, julkishallinto GDPR-sakkojen piiriin | Sakkokatto 500 000–1 000 000 € | Käsittelyssä eduskunnassa, huhtikuu 2026 alkaen |
| Tanska | Ei sido e-evidence-asetusta (AFSJ-opt-out) | Ei osallistu suoriin rajat ylittäviin tietopyyntöihin | Voimassa 18.8.2026 alkaen |
| EU (koko unioni) | GDPR-sakkojen määrä kasvussa | 160 sakkoa vuonna 2026, joista 98 viimeisen kuuden kuukauden aikana | Tilanne kesä-heinäkuu 2026 |
Markkinavaikutus: kuka joutuu maksamaan valmistautumisesta
Suurimmat pilvijätit – Amazon Web Services, Microsoft, Google Cloud – ovat todennäköisesti jo vuosia valmistautuneet vastaaviin rajat ylittäviin tietopyyntöihin CLOUD Actin ja aiempien EU-menettelyjen kautta, joten niille 18. elokuuta ei ole shokki vaan lisäys olemassa olevaan compliance-koneistoon. Todellinen kustannuspaine kohdistuu keskikokoisiin ja pieniin eurooppalaisiin hosting- ja SaaS-yrityksiin, joilla ei ole valmiina 24/7-päivystävää lakiosastoa tai automatisoitua järjestelmää määräysten tunnistamiseen ja aitouden todentamiseen.
Konsultti- ja lakipalveluyritykset ovat rakentaneet pakettia varten kaupallisia työkaluja – muun muassa niin sanottuja e-evidence-seurantatyökaluja ja ilmoitusjärjestelmiä – joiden tarkoitus on automatisoida määräysten vastaanotto ja aikarajojen seuranta. Tämä tarkoittaa uutta, joskin kapeaa, ohjelmisto- ja konsultointimarkkinaa Euroopassa: yritysten, jotka myyvät compliance-automaatiota nimenomaan lainvalvontapyyntöjen käsittelyyn. Pohjoismaissa kysyntää tälle nostaa erityisesti se, että alueen hosting-sektori on pirstaloitunut moneen pieneen ja keskisuureen toimijaan verrattuna esimerkiksi Saksaan tai Ranskaan.
Historiallinen konteksti: MLA-prosessista suoriin pyyntöihin
Rajat ylittävän todistusaineiston hakeminen on ollut EU:n rikosoikeudellisen yhteistyön kipupiste jo vuosikymmenen ajan. Perinteinen oikeusapumenettely (MLA) rakennettiin aikana, jolloin todistusaineisto oli pääosin fyysistä ja säilyi vuosia. Digitaalisen datan aikakaudella menettely osoittautui liian hitaaksi: lokitiedot ja pilvitallenteet saatetaan ylikirjoittaa tai poistaa kuukausien kuluessa, kauan ennen kuin perinteinen oikeusapupyyntö ehtii edetä.
Komissio esitteli ensimmäisen e-evidence-ehdotuksen jo vuonna 2018, mutta neuvottelut Euroopan parlamentin, neuvoston ja komission välillä kestivät viisi vuotta ennen kuin lopullinen paketti hyväksyttiin ja tuli voimaan elokuussa 2023. Kolmen vuoden siirtymäaika oli tarkoituksella pitkä, jotta palveluntarjoajat, jäsenmaiden viranomaiset ja tuomioistuimet ehtivät rakentaa tarvittavat tekniset ja oikeudelliset rakenteet. Elokuun 2026 voimaantulo on siis viiden vuoden komission valmisteluvaiheen ja kolmen vuoden siirtymäajan yhteenlaskettu lopputulos – ei äkillinen käänne, mutta silti ensimmäinen kerta, kun järjestelmä todella testataan käytännössä.
Kilpailutilanne: eurooppalaiset vai yhdysvaltalaiset pilvipalvelut
Asetus koskee yhtäläisesti sekä eurooppalaisia että yhdysvaltalaisia palveluntarjoajia, kunhan ne tarjoavat palveluita EU:n alueella. Tämä tasoittaa kilpailukenttää siinä mielessä, ettei kukaan pääse velvoitteesta helpommalla pelkän kotimaan perusteella. Käytännössä ero syntyy kuitenkin resursseista: iso yhdysvaltalainen pilvitoimija pystyy hajauttamaan compliance-kustannukset miljoonien asiakkaiden kesken, kun taas eurooppalainen kilpailija, jolla on murto-osa asiakaskunnasta, kantaa saman kiinteän kustannuksen paljon ohuemmalla katteella.
Tämä voi paradoksaalisesti vahvistaa juuri niiden suurten, ei-eurooppalaisten pilvitoimijoiden asemaa, joiden markkinavaltaa EU:n digisääntely on muissa yhteyksissä pyrkinyt hillitsemään. Pienet pohjoismaiset hosting-yritykset joutuvat joko investoimaan omaan compliance-kykyyn tai ulkoistamaan sen kolmannelle osapuolelle – molemmat nostavat kustannuksia, jotka lopulta näkyvät asiakashinnoissa.
Mitä muutos tarkoittaa tavalliselle käyttäjälle
E-evidence-asetus on suunnattu ensisijaisesti palveluntarjoajille ja viranomaisille, mutta sen vaikutus näkyy myös yksittäisen käyttäjän arjessa, vaikka epäsuorasti. Kun poliisi Ranskassa tai Saksassa voi lähettää tietopyynnön suoraan suomalaiselle pilvipalvelulle ilman, että pyyntö kulkee ensin suomalaisen viranomaisen kautta, kansallinen suodatin, joka on perinteisesti tarkistanut pyynnön oikeasuhtaisuuden ennen tietojen luovutusta, jää käytännössä pois väliltä nopeimmissa tapauksissa. Tämä ei tarkoita, että viranomaiset saisivat rajattoman pääsyn dataan – pyynnön on aina perustuttava konkreettiseen rikosepäilyyn ja täytettävä asetuksen muotovaatimukset – mutta prosessi on aiempaa nopeampi ja vähemmän läpinäkyvä yksittäiselle käyttäjälle.
Käytännön neuvo yksityisyydestään huolehtivalle käyttäjälle on sama kuin aiemminkin: palvelun valintaa kannattaa tehdä sen mukaan, missä data sijaitsee, millä ehdoin palveluntarjoaja luovuttaa tietoja ja kuinka läpinäkyvästi se raportoi viranomaispyynnöistä. Osa eurooppalaisista pilvipalveluista julkaisee vuosittain niin sanotun läpinäkyvyysraportin, josta näkyy vastaanotettujen tietopyyntöjen määrä ja se, kuinka moneen niistä on vastattu. E-evidence-asetuksen voimaantulon jälkeen näiden raporttien merkitys kasvaa, koska ne ovat käytännössä ainoa tapa seurata, kuinka usein suoria rajat ylittäviä pyyntöjä todella tehdään.
Ennusteet: mitä seuraavaksi
- Ensimmäiset kiistanalaiset tapaukset nousevat esiin syksyllä 2026. Kun ensimmäiset kahdeksan tunnin kiireelliset pyynnöt lähtevät liikkeelle, osa niistä riitautetaan – todennäköisesti juuri toimittaja- tai asianajajasuojan piiriin kuuluvan datan osalta.
- Pienet pohjoismaiset hosting-yritykset konsolidoituvat tai ulkoistavat compliance-toimintonsa. Ympärivuorokautisen valmiuden rakentaminen on kalliimpaa pienelle toimijalle kuin isolle, mikä kiihdyttää alan keskittymistä vuoden 2027 aikana.
- Tanskan erillisasema nousee poliittiseksi kysymykseksi. Kun muu Pohjola soveltaa asetusta ja Tanska ei, paine yhtenäistää käytäntöä oikeusapumenettelyn kautta todennäköisesti kasvaa EU:n oikeus- ja sisäasioiden neuvoston kokouksissa.
- GDPR- ja e-evidence-sääntelyn yhteensovittaminen tuottaa uusia oikeustapauksia 2027 mennessä. EDPB:n aiemmin esittämät huolet suojatoimien riittävyydestä testataan käytännössä ensimmäisten kanteluiden kautta.
- Compliance-automaation markkina kasvaa Euroopassa. Lakiteknologia- ja konsulttiyritykset laajentavat e-evidence-seurantatyökalujaan kattamaan myös pohjoismaiset kielet ja paikalliset viranomaisrajapinnat vuoden 2027 loppuun mennessä.
Mitä yritysten pitää tarkistaa juuri nyt
Jos yritys tarjoaa hosting-, pilvi- tai viestintäpalveluita EU:n alueella, kolme asiaa kannattaa varmistaa välittömästi. Ensinnäkin, onko nimetty edustaja tai toimipiste rekisteröity ja tavoitettavissa – pelkkä nimi paperilla ei riitä, jos vastauskykyä ei ole rakennettu sen taakse. Toiseksi, onko sisäinen prosessi määräysten aitouden tarkistamiseen ja eskalointiin dokumentoitu niin, että kymmenen vuorokauden tai kahdeksan tunnin aikaraja voidaan aidosti täyttää. Kolmanneksi, kattaako olemassa oleva tietosuojaseloste ja käyttöehdot myös e-evidence-tyyppiset tietopyynnöt, vai onko dokumentaatiota päivitettävä ennen kuin ensimmäinen todellinen pyyntö saapuu.
Suomalaisille toimijoille lisähuomio kannattaa kiinnittää siihen, että e-evidence-asetus ja Suomen oma GDPR-sakkouudistus etenevät samaan aikaan. Kumpikin nostaa organisaatioiden tietosuoja- ja tietopyyntöprosessien laatuvaatimuksia, ja kumpaakin valvotaan yhä tiukemmin – kansainvälisen sakkotietokannan mukaan koko EU:ssa on kirjattu 160 GDPR-sakkoa vuonna 2026, joista lähes 100 vain viimeisen puolen vuoden aikana.
Usein kysytyt kysymykset
Mikä on e-evidence-asetus?
Se on EU:n asetus 2023/1543 ja sitä täydentävä direktiivi 2023/1544, jotka mahdollistavat rikostutkinnassa tarvittavan sähköisen todistusaineiston pyytämisen suoraan palveluntarjoajalta toisessa jäsenmaassa ilman perinteistä oikeusapumenettelyä.
Milloin e-evidence-asetus tulee voimaan?
Asetus tuli lainvoimaisesti voimaan jo 18. elokuuta 2023, mutta sen soveltaminen alkoi vasta kolmen vuoden siirtymäajan jälkeen 18. elokuuta 2026.
Koskeeko asetus myös suomalaisia yrityksiä?
Kyllä. Kaikkien EU:ssa palveluita tarjoavien pilvi-, hosting- ja viestintäpalveluiden, myös suomalaisten, on täytynyt nimetä laillinen edustaja tai toimipiste EU:n alueella ja rakentaa prosessi määräysten käsittelyyn.
Miksi Tanska ei kuulu asetuksen piiriin?
Tanskalla on pitkäaikainen opt-out-järjestely EU:n vapauden, turvallisuuden ja oikeuden alueen säädöksistä, minkä vuoksi se ei osallistu rikosoikeudellisen yhteistyön säädöksiin, kuten e-evidence-asetukseen, samalla tavalla kuin muut jäsenmaat.
Kuinka nopeasti palveluntarjoajan on vastattava tietopyyntöön?
Tavallisessa tapauksessa 10 vuorokauden kuluessa. Kiireellisessä tapauksessa, jossa on kyse välittömästä hengen, terveyden tai kriittisen infrastruktuurin uhasta, määräaika on 8 tuntia.
Mitä tapahtuu, jos palveluntarjoaja ei noudata määräystä?
Täytäntöönpaneva viranomainen voi määrätä sakon, joka voi olla enintään 2 prosenttia palveluntarjoajan globaalista vuosiliikevaihdosta. Jäsenmaat voivat myös asettaa tätä korkeamman kansallisen sakkokaton.
Miten e-evidence-asetus eroaa GDPR:stä?
GDPR sääntelee henkilötietojen käsittelyä yleisesti ja sen sakkokatto on 4 prosenttia liikevaihdosta. E-evidence-asetus koskee nimenomaan rikostutkinnassa tarvittavaa sähköistä todistusaineistoa ja sen sakkokatto on 2 prosenttia. Molemmat säädökset ovat voimassa rinnakkain, ja luovutettu data pysyy GDPR:n suojan piirissä myös rikostutkinnassa.
Voiko palveluntarjoaja kieltäytyä tietopyynnöstä?
Kyllä, jos määräys on selvästi laiton, virheellinen tai puutteellisesti perusteltu. Kieltäytymisen perusteet on kuitenkin osattava esittää nopeasti, koska perusteeton kieltäytyminen voi laukaista sakkomenettelyn.
Aiheeseen liittyvät artikkelit
- Julkishallinto GDPR-sakkojen piiriin: 1M€ katto
- GDPR-sakko 795 000€ pysyy: KHO laajentaa tulkintaa
- EU Cyber Resilience Act: 82 päivää syyskuun määräaikaan
- Tor Browser 15.0.19: asennus 12 vaiheessa
- Salattu sähköposti 12 vaiheessa: Outlook, Gmail
- Lisää yksityisyyteen liittyviä uutisia
Lähteet ja lisätietoa: EUR-Lex, asetus (EU) 2023/1543, eucrim.eu, Eurojust, Bird & Bird ja Browne Jacobson.
