Alankomaiden tietosuojaviranomainen Autoriteit Persoonsgegevens (AP) määräsi 1. huhtikuuta 2026 yhtiölle MLU B.V. 100 miljoonan euron hallinnollisen sakon. Yhtiö pyörittää Yango-kyytipalvelua ja on kuljetusalan Ridetech International B.V:n oikeudellinen seuraaja, joka purettiin 24. lokakuuta 2025. Syynä on suomalaisten ja norjalaisten käyttäjien ja kuljettajien henkilötietojen siirtäminen Venäjälle ilman riittäviä suojatoimia. Päätös julkistettiin 8. toukokuuta 2026, ja se on yksi vuoden 2026 suurimmista GDPR-sakoista Euroopassa. Tapaus koskee suoraan Suomea: AP:n mukaan tietoja on siirretty Yandex.Taxi LLC:lle ja Yandex LLC:lle Venäjälle jo toukokuusta 2022 lähtien.
Sakko on Alankomaiden tähänastisen historian suurimpia GDPR-päätöksiä ja nousee esiin juuri, kun Suomen eduskunta käsittelee hallituksen esitystä julkisen sektorin omista tietosuojasakoista. Kaksi erillistä prosessia kertovat samasta ilmiöstä: pohjoismainen tietosuojavalvonta kiristyy, ja rajat ylittävät tiedonsiirrot kolmansiin maihin ovat nousseet valvojien ykköskohteeksi.
Mitä Alankomaiden tietosuojaviranomainen päätti
AP:n päätös koskee MLU B.V:tä, joka on rekisteröity Alankomaihin ja toimi Yango-sovelluksen eurooppalaisena vastuuyhtiönä. Viranomainen totesi, että yhtiö siirsi suuria määriä suomalaisten ja norjalaisten Yango-käyttäjien ja -kuljettajien henkilötietoja Venäjälle ilman GDPR:n vaatimaa suojan tasoa. Päätöksen mukaan siirrot jatkuivat osittain silloinkin, kun yhtiö väitti lopettaneensa palvelun tarjoamisen Suomessa ja Norjassa. AP:n tutkinta osoitti, ettei väite pitänyt täysin paikkaansa käytännössä.
Sakon lisäksi AP määräsi yhtiölle välittömän kiellon siirtää Norjassa ja Suomessa olevien henkilöiden tietoja mihinkään Venäjällä sijaitsevaan vastaanottajaan. Käytännössä MLU B.V:n on lopetettava kaikki Venäjälle suuntautuvat siirrot ja korjattava lainvastainen tila, tai edessä on lisäpakkokeinoja Alankomaiden hallinto-oikeuden mukaisesti. Päätös on sanamuodoltaan poikkeuksellisen tiukka: AP ei tyytynyt pelkkään sakkoon vaan puuttui suoraan yhtiön liiketoimintamalliin määräämällä käytännössä pysyvän kiellon, joka jää voimaan riippumatta siitä, miten mahdollinen valitusprosessi etenee.
Päätöksen laajuus erottaa sen monista aiemmista kansallisista GDPR-ratkaisuista. AP ei rajoittunut arvioimaan yksittäistä tietovuotoa tai teknistä puutetta, vaan kävi läpi koko Yango-sovelluksen tiedonkäsittelyketjun sovelluskehityksestä palvelinarkkitehtuuriin asti. Tutkinnan laajuus selittää osaltaan, miksi käsittely kesti vuosia: viranomaisen piti kartoittaa, mihin kaikkiin järjestelmiin ja alihankkijoihin suomalaisten ja norjalaisten käyttäjien data lopulta päätyi.
Kuka on Yango ja miksi Alankomaat käsitteli tapauksen
Yango on venäläisen Yandex-konsernin kyytipalvelusovellus, joka on laajentunut useisiin Euroopan ja Aasian maihin. Koska MLU B.V. on rekisteröity Alankomaihin ja toimi kyseisen käsittelyn päätoimipaikkana, GDPR:n yhden luukun periaate (one-stop-shop) siirsi johtavan valvontaviranomaisen roolin Alankomaiden AP:lle, vaikka uhrit ovat suomalaisia ja norjalaisia. Suomen ja Norjan tietosuojaviranomaiset toimivat tutkinnassa yhteistyössä AP:n kanssa, mutta päätösvalta ja sakon määrääminen kuuluivat alankomaalaiselle viranomaiselle.
Tapaus sai alkunsa jo loppuvuodesta 2023, kun Suomen tietosuojavaltuutetun toimisto teki ensimmäiset havainnot ja hälytti muita eurooppalaisia valvojia mahdollisesta tietojen siirrosta Venäjälle. Tutkinta kesti siis noin kaksi ja puoli vuotta ennen lopullista päätöstä huhtikuussa 2026.
Yritysrakenne itsessään herätti kysymyksiä tutkinnan aikana. MLU B.V. syntyi, kun Ridetech International B.V. purettiin lokakuussa 2025 ja sen toiminnot siirrettiin uudelle yhtiölle. AP:n mukaan omistus- ja määräysvaltasuhteet Yandex-konserniin säilyivät ennallaan koko järjestelyn ajan, joten yhtiörakenteen muutos ei vaikuttanut vastuuseen aiemmista rikkomuksista. Viranomainen katsoi, että MLU B.V. peri edeltäjänsä velvoitteet sellaisenaan, mikä on tärkeä ennakkotapaus tilanteissa, joissa yritykset yrittävät kiertää vastuuta yhtiörakenteita muuttamalla.
Millaista dataa Yango siirsi Venäjälle
AP:n päätösmateriaalin mukaan siirretty data kattoi laajan kirjon henkilötietoja. Mukana olivat käyttäjien nimet, puhelinnumerot ja käyttäjätunnukset, sijainti- ja matkatiedot kuten GPS-koordinaatit, nouto- ja jättöpaikat sekä reittihistoria, yhteystiedot ja profiilitiedot, maksu- ja pankkitiedot sekä kuljettajien todennustiedot, mukaan lukien kopiot tai tiedot henkilöllisyystodistuksista, ajokorttitiedoista ja ajoneuvon rekisteröintitiedoista. Lisäksi siirtyi järjestelmä- ja laitetunnisteita sekä käyttäytymiseen liittyvää dataa.
Erityisen vakavana AP piti sitä, että toistuvasta sijaintidatasta voidaan päätellä GDPR:n 9 artiklan tarkoittamia erityisiä tietoryhmiä, esimerkiksi vierailuja uskonnollisissa tiloissa, klinikoilla tai poliittisten toimijoiden luona. Tarkkaa yksittäistä käyttäjämäärää AP ei julkisessa päätöksessä ilmoittanut, mutta se kuvaa vaikutusta merkittäväksi osaksi Yangon suomalaista ja norjalaista asiakas- ja kuljettajakuntaa vuodesta 2022 lähtien.
Miksi vakiosopimuslausekkeet eivät riittäneet
MLU B.V. vetosi puolustuksessaan Euroopan komission hyväksymiin vakiosopimuslausekkeisiin (Standard Contractual Clauses, SCC), jotka ovat yleisin tapa oikeuttaa henkilötietojen siirto EU:n ulkopuolelle. AP:n mukaan lausekkeet eivät kuitenkaan riittäneet, koska yhtiö ei kyennyt osoittamaan, että Venäjällä vallitsee tosiasiassa EU:n tasoa vastaava suojan taso. Yhtiö ei myöskään ottanut käyttöön tehokkaita täydentäviä suojatoimia, joilla olisi voitu lieventää Venäjän valtion pääsyä dataan.
Tämä linjaus jatkaa suoraan EU-tuomioistuimen heinäkuun 2020 Schrems II -ratkaisun logiikkaa: pelkkä sopimuslauseke paperilla ei riitä, jos vastaanottajamaan lainsäädäntö antaa viranomaisille laajat oikeudet päästä käsiksi siirrettyyn dataan. Venäjän tapauksessa riski arvioitiin erityisen korkeaksi, koska maan turvallisuuslainsäädäntö antaa viranomaisille käytännössä rajoittamattoman pääsyn yksityisten yhtiöiden hallussa olevaan dataan.
Mitkä GDPR-artiklat AP:n mukaan rikkoutuivat
AP:n päätös nojaa neljään erilliseen rikkomukseen. Ensinnäkin GDPR:n 5 artiklan 1 kohdan a alakohta lainmukaisuudesta, kohtuullisuudesta ja läpinäkyvyydestä. Toiseksi 5 artiklan 2 kohta osoitusvelvollisuudesta. Kolmanneksi 44 artiklan yleisperiaate siirroista kolmansiin maihin. Neljänneksi 46 artikla asianmukaisista suojatoimista siirroissa, joita ei kata tietosuojan riittävyyspäätös.
Neljän artiklan yhdistelmä kertoo, että kyse ei ollut yksittäisestä teknisestä puutteesta vaan järjestelmällisestä ongelmasta koko siirtoketjussa, dokumentaatiosta käytännön suojatoimiin asti. Osoitusvelvollisuuden rikkominen (5 artiklan 2 kohta) on erityisen merkittävä, koska se siirtää todistustaakan yritykselle: rekisterinpitäjän on itse pystyttävä osoittamaan noudattavansa sääntöjä, eikä viranomaisen tarvitse todistaa laiminlyöntiä yksityiskohtaisesti. Tämä tulkintalinja on yleistynyt GDPR-valvonnassa viime vuosina, ja Yango-tapaus vahvistaa sen soveltamista myös kolmansien maiden siirtoihin.
Näin 100 miljoonan euron sakko laskettiin
AP laski sakon Euroopan tietosuojaneuvoston (EDPB) yhteisen, harmonisoidun laskentamenetelmän mukaisesti. Menetelmässä otetaan huomioon rikkomuksen vakavuus, kesto ja laajuus sekä konsernin liikevaihto, ei vain yksittäisen tytäryhtiön. Koska MLU B.V. kuuluu Yandex-konserniin, laskennassa käytettiin koko konsernin liikevaihtoa, mikä selittää sakon suuruuden verrattuna moneen aiempaan kansalliseen päätökseen.
Menetelmä on osa laajempaa EU:n pyrkimystä yhtenäistää sakkokäytäntöä jäsenmaiden välillä, jotta samankaltaisesta rikkomuksesta seuraisi vertailukelpoinen sanktio riippumatta siitä, missä maassa johtava valvontaviranomainen sijaitsee.
Suomen ja Norjan tietosuojaviranomaisten rooli
Vaikka päätösvalta kuului Alankomaille, Suomen tietosuojavaltuutetun toimisto oli koko prosessin liikkeellepanija. Alkuperäinen huoli syntyi loppuvuonna 2023, kun toimisto havaitsi merkkejä Yango-datan päätymisestä Venäjälle ja välitti tiedon eteenpäin GDPR:n rajat ylittävän yhteistyömekanismin kautta. Norjan tietosuojaviranomainen liittyi tutkintaan myöhemmin, koska norjalaisia käyttäjiä koski sama ongelma.
Suomen tietosuojavaltuutetun toimisto on julkisesti todennut, että tapaus osoittaa, kuinka vakavia seurauksia voi syntyä, kun pohjoismaisten käyttäjien tietoja siirretään Venäjälle ilman riittäviä suojatoimia, ja että datasubjektien oikeuksia on suojattava myös silloin, kun data virtaa ETA-alueen ulkopuolelle. Sama toimisto on samaan aikaan tukenut kotimaista lakiesitystä, jonka mukaan myös suomalaiset viranomaiset voisivat jatkossa saada vastaavia sakkoja.
Suurimmat GDPR-sakot vuonna 2026
Yango-tapaus nousee heti vuoden 2026 kärkeen, mutta se ei ole kaikkien aikojen suurin GDPR-sakko. Alan seuranta osoittaa, että kumulatiiviset GDPR-sakot toukokuusta 2018 lähtien ovat nousseet noin 6,11 miljardiin euroon, mikä on noin 487,6 miljoonaa euroa enemmän kuin vuoden 2025 raportissa. Alla oleva taulukko asettaa Yango-sakon suhteessa muihin viime vuosien merkittävimpiin päätöksiin.
| Kohde | Sakko | Valvontaviranomainen | Vuosi | Rikkomuksen ydin |
|---|---|---|---|---|
| Meta Platforms Ireland | 1,2 mrd. € | Irlannin DPC | 2023 | EU–USA-tiedonsiirrot Schrems II:n jälkeen |
| TikTok Technology Ltd | 530 M€ | Irlannin DPC | 2025 | ETA–Kiina-siirrot, läpinäkyvyyspuutteet |
| Meta / Instagram | 405 M€ | Irlannin DPC | 2022 | Lasten tietojen käsittely |
| MLU B.V. (Yango) | 100 M€ | Alankomaiden AP | 2026 | Suomalais- ja norjalaisdatan siirto Venäjälle |
| IQVIA Operations France | 5 M€ | Ranskan CNIL | 2026 | Terveystietovaraston suojapuutteet |
| Kuluttajaelektroniikkaketju | 1,83 M€ | Norjan Datatilsynet | 2026 | GDPR-rikkomus, osa pohjoismaista yhtenäistymistä |
| Verkkokauppa.com Oyj | 792 639 € | Suomen tietosuojavaltuutettu / KHO | 2026 | Asiakastietojen rajaton säilytys |
Yango-tapauksen aikajana
Tapaus eteni vuosien mittaan useassa vaiheessa. Seuraava taulukko kokoaa keskeiset päivämäärät AP:n päätösmateriaalin ja siihen liittyvän uutisoinnin perusteella.
| Päivämäärä | Tapahtuma |
|---|---|
| 23.5.2022 | AP:n mukaan Yango-käyttäjä- ja kuljettajadataa aletaan siirtää Venäjälle |
| Loppuvuosi 2023 | Suomen tietosuojavaltuutetun toimisto tekee ensimmäiset havainnot ja hälyttää muita valvojia |
| 24.10.2025 | Ridetech International B.V. puretaan, MLU B.V. jatkaa oikeudellisena seuraajana |
| 1.4.2026 | Alankomaiden AP tekee päätöksen 100 miljoonan euron sakosta |
| 8.5.2026 | AP julkistaa päätöksen ja siirtokiellon |
| 10.–12.5.2026 | Kansainvälinen mediahuomio kasvaa, Suomen tietosuojavaltuutettu kommentoi julkisesti |
| 23.8.2026 | Tapaus toimii vertailukohtana eduskunnan HE 46/2026 vp -käsittelylle |
Historiallinen konteksti: Schrems II ja kolmansien maiden tiedonsiirrot
EU-tuomioistuimen heinäkuun 2020 Schrems II -ratkaisu kaatoi EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn ja pakotti yritykset arvioimaan tapauskohtaisesti, tarjoaako kohdemaa todellisuudessa EU:n tasoa vastaavan suojan. Ratkaisun jälkeen suurimmat sakot ovat kohdistuneet nimenomaan kolmansien maiden siirtoihin: Meta sai 1,2 miljardin euron sakon vuonna 2023 EU–USA-siirroista, ja TikTok sai 530 miljoonan euron sakon vuonna 2025 ETA–Kiina-siirroista.
Yango-tapaus jatkaa samaa linjaa, mutta kohdemaana on Venäjä eikä Yhdysvallat tai Kiina. Ero on merkittävä, koska Venäjän ja EU:n suhteet ovat kiristyneet vuoden 2022 hyökkäyssodan jälkeen, ja moni eurooppalainen viranomainen suhtautuu venäläisiin viranomaisten datan käyttöoikeuksiin lähtökohtaisesti epäluuloisemmin kuin esimerkiksi yhdysvaltalaisiin. Tämä tapaus vahvistaa, että valvojat soveltavat Schrems II:n periaatteita johdonmukaisesti myös Venäjän suuntaan.
Meta- ja TikTok-tapauksista opittiin myös toinen asia: suuret sakot eivät yksin riitä muuttamaan yritysten käytäntöjä nopeasti. Metan 1,2 miljardin euron sakko vuonna 2023 johti lopulta uuteen EU–USA-tietosuojakehykseen, mutta prosessi kesti vuosia ja piti sisällään useita välivaiheita. TikTokin 530 miljoonan euron sakko vuonna 2025 taas ei estänyt yhtiötä jatkamasta toimintaansa Euroopassa, vaikka se muutti osaa käytännöistään. Yango-tapauksessa erona on nimenomaan välitön siirtokielto sakon rinnalla, mikä tekee vaikutuksesta nopeamman ja konkreettisemman kuin pelkkä taloudellinen sanktio.
Mitä tämä tarkoittaa muille Venäjä-kytkentäisille palveluille
Yandex-konserni on yksi harvoista suurista venäläisistä teknologiayhtiöistä, jotka ovat jatkaneet toimintaansa Euroopassa vuoden 2022 jälkeen. Yango-päätös lähettää selkeän viestin: pelkkä eurooppalainen tytäryhtiörakenne ei riitä suojaksi, jos data lopulta päätyy Venäjälle. Sama koskee periaatteessa muitakin yrityksiä, joilla on omistus- tai palvelinyhteyksiä Venäjälle, kuten tiettyjä kyberturvayhtiöitä, verkkokauppa-alustoja tai pilvipalveluntarjoajia.
Käytännössä yritysten, joilla on Venäjä-kytköksiä, kannattaa käydä läpi koko tiedonsiirtoketjunsa: mihin data varastoidaan, kuka siihen pääsee käsiksi ja millä oikeusperusteella. Pelkkä vakiosopimuslauseke ei enää riitä puolustukseksi, jos todellinen suojan taso ei vastaa sitä paperilla.
Suomen oma lainsäädäntöuudistus kytkeytyy samaan kehitykseen
Yango-päätös ei ole irrallinen tapaus Suomen kannalta. Samaan aikaan eduskunta käsittelee hallituksen esitystä HE 46/2026 vp, joka avaisi ensimmäistä kertaa tien hallinnollisiin GDPR-sakkoihin myös suomalaisille viranomaisille ja kunnille, katto joko 500 000 tai 1 000 000 euroa käsittelijän tyypistä riippuen. Suomen tietosuojavaltuutetun toimisto on käyttänyt Yango-tapausta esimerkkinä siitä, kuinka epäjohdonmukaista on, että yksityinen yhtiö voidaan sakottaa 100 miljoonalla eurolla suomalaisten tietojen väärinkäytöstä, kun suomalainen viranomainen vastaavasta rikkomuksesta ei tällä hetkellä voisi saada minkäänlaista taloudellista sanktiota.
Laajemmin tapaus liittyy myös pohjoismaiden tietosuojavalvonnan yhtenäistymiseen, josta kerroimme kesällä 2026: EDPB:n yhteinen tietomurtoilmoitusmalli, seitsemän pohjoismaisen viranomaisen Tukholman julistus ja Norjan Datatilsynetin heinäkuinen 1,83 miljoonan euron sakko kertovat samasta trendistä kuin Yango-päätös, valvonta liikkuu kohti yhtenäistä, rajat ylittävää linjaa.
Kilpailutilanne: Yango vertailussa Bolt, Uber ja Taxi Point
Pohjoismainen kyytipalvelumarkkina ei ole Yangon varassa, mutta sakko muuttaa silti kilpailuasetelmaa. Suomessa ja muissa Pohjoismaissa toimivat myös virolaislähtöinen Bolt, yhdysvaltalainen Uber sekä pienempiä kotimaisia toimijoita kuten Taxi Point. Näistä yhdellekään ei toistaiseksi ole julkisesti tiedossa vastaavan kokoluokan GDPR-sakkoa kolmansiin maihin suuntautuvista tiedonsiirroista. Ero ei tarkoita, että muut palvelut olisivat automaattisesti täysin ongelmattomia, mutta se tarkoittaa, ettei kenelläkään kilpailijoista ole tällä hetkellä samanlaista, julkisesti vahvistettua Venäjä-kytköstä tietojenkäsittelyssään kuin Yandex-konsernin omistamalla Yangolla.
| Palvelu | Taustakonserni | Tunnettu Venäjä-kytkös datankäsittelyssä | Asema Suomessa elokuussa 2026 |
|---|---|---|---|
| Yango | Yandex-konserni (Venäjä) | Kyllä, AP:n päätöksen mukaan | Siirtokielto, jatkoa epäselvä |
| Bolt | Bolt Technology OÜ (Viro) | Ei tiedossa | Aktiivinen, laaja kaupunkikattavuus |
| Uber | Uber Technologies (Yhdysvallat) | Ei tiedossa | Aktiivinen pääkaupunkiseudulla |
| Taxi Point | Kotimainen toimija | Ei tiedossa | Aktiivinen |
Taulukko yksinkertaistaa monimutkaista tilannetta, mutta viesti on selvä: Yango on tällä hetkellä ainoa suomalaisille kuluttajille tarjottu suurempi kyytipalvelu, jonka omistajakonsernilla on suora yhteys Venäjälle ja jonka tiedonsiirroista on tehty vahvistettu, tuomittu GDPR-rikkomus. Se muuttaa yhtiön asemaa kilpailussa riippumatta siitä, miten palvelu käytännössä jatkuu Suomen markkinalla.
Markkinavaikutukset kyytipalvelualalle ja Yandexille
Kyytipalvelumarkkina Euroopassa on jo ennestään kilpailtu, ja Yango on kilpaillut pääasiassa hinnalla useissa Itä-Euroopan ja Baltian kaupungeissa. 100 miljoonan euron sakko yhdessä siirtokiellon kanssa vaikeuttaa yhtiön asemaa erityisesti pohjoismaisilla markkinoilla, joilla luottamus tietosuojaan on kuluttajille tärkeä valintakriteeri. Kilpailijoiden kannalta tapaus voi toimia markkinointietuna: palveluntarjoajat, jotka pystyvät osoittamaan käsittelevänsä dataa kokonaan EU- tai ETA-alueella, voivat erottautua turvallisempana vaihtoehtona.
Yandex-konsernille sakko on taloudellisesti merkittävä mutta ei yksin ratkaiseva, koska konsernin kokonaisliikevaihto on sakkoa moninkertainen. Suurempi riski on maineessa: mitä useampi eurooppalainen valvoja soveltaa samaa linjaa, sitä vaikeammaksi konsernin eurooppalainen laajentuminen muuttuu jatkossa.
Sijoittajien ja kumppaneiden näkökulmasta tapaus nostaa esiin laajemman kysymyksen: kuinka moni eurooppalaisia kuluttajia palveleva sovellus nojaa taustalla infrastruktuuriin tai emoyhtiöön, jonka juuret ovat EU:n ulkopuolella maissa, joiden tietosuojan taso on kyseenalainen. Kuljetusalan lisäksi sama kysymys koskee esimerkiksi tiettyjä kuluttajasovelluksia, joissa taustajärjestelmät tai analytiikka on ulkoistettu yrityksille, joilla on yhteyksiä korkean riskin maihin. Yango-päätös antaa muille valvojille valmiin, oikeudellisesti testatun mallin, jota soveltaa vastaaviin tapauksiin nopeamminkin kuin aiemmin.
Ennusteet: mitä seuraavaksi tapahtuu
Yango-tapaus tuskin jää yksittäiseksi poikkeukseksi. Toimituksemme analyysin perusteella seuraavat kehityskulut ovat todennäköisiä loppuvuonna 2026 ja vuonna 2027:
- Useampi EU:n tietosuojaviranomainen käynnistää omia tutkintoja yrityksistä, joilla on datavirtoja Venäjälle, käyttäen Yango-päätöstä ennakkotapauksena.
- Eduskunta hyväksyy HE 46/2026 vp -esityksen syysistuntokaudella 2026, ja laki astuu voimaan tavoitteen mukaisesti 1.1.2027, osittain Yango-tapauksen herättämän julkisen keskustelun tukemana.
- MLU B.V. tai Yandex-konserni hakee muutosta Alankomaiden hallinto-oikeudelta, mikä voi venyttää lopullisen päätöksen täytäntöönpanoa vuosilla.
- Yritykset, jotka nojaavat pelkkiin vakiosopimuslausekkeisiin ilman täydentäviä teknisiä suojatoimia, kohtaavat aiempaa tiukempaa valvontaa erityisesti kuljetus-, terveys- ja rahoitusalalla.
- Pohjoismaiset tietosuojaviranomaiset syventävät yhteistyötään entisestään, ja seuraava suuri rajat ylittävä sakko koskee todennäköisesti jotakin muuta kolmansiin maihin dataa siirtävää alustaa, ei enää yksinomaan Venäjä-kytkentäisiä palveluita.
Mitä suomalaisten kuluttajien ja yritysten pitäisi tehdä
Kuluttajille käytännön neuvo on yksinkertainen: tarkista, mihin käyttämäsi sovellukset ilmoittavat siirtävänsä tietoja tietosuojaselosteessaan, ja suosi palveluita, jotka käsittelevät dataa EU- tai ETA-alueella. Yrityksille, jotka käyttävät ulkomaisia alihankkijoita tai pilvipalveluita, tapaus on muistutus siitä, että sopimusdokumentaatio ei riitä, jos todellista suojan tasoa ei ole varmistettu ja dokumentoitu. Kansalaisjärjestö noyb ja muut valvontaa aktivoivat tahot ovat toistuvasti osoittaneet, että myös pienemmät, vähemmän näkyvät tiedonsiirrot voivat päätyä tutkinnan kohteeksi.
Käytännön tarkistuslistaan kannattaa sisällyttää ainakin kolmansiin maihin suuntautuvien siirtojen kartoitus, oikeusperusteen dokumentointi jokaiselle siirrolle sekä säännöllinen arviointi siitä, vastaako kohdemaan lainsäädäntö edelleen EU:n vaatimuksia. GDPR:n täysi teksti ja siihen liittyvä EDPB:n ohjeistus ovat julkisesti saatavilla, eikä niiden noudattamatta jättämiselle löydy enää helposti puolustusta suurten valvojien kiristäessä linjaansa.
Erityisesti pk-yritysten kannattaa muistaa, että Yango-tapaus koski suurta konsernia, mutta sama lainsäädäntö ja samat velvoitteet koskevat myös pienempiä toimijoita. Moni suomalainen yritys ulkoistaa asiakaspalvelua, analytiikkaa tai IT-tukea alihankkijoille, joiden koko toimitusketjua ei ole aina kartoitettu loppuun asti. Tietosuojavastaavan tai ulkopuolisen asiantuntijan tekemä kolmansien maiden siirtojen läpikäynti on nyt ajankohtaisempi kuin koskaan, koska valvojat ovat osoittaneet olevansa valmiita seuraamaan tiedonkulkua usean välikäden läpi asti lopulliseen vastaanottajaan.
Usein kysytyt kysymykset
Mikä yhtiö sai 100 miljoonan euron GDPR-sakon?
Sakon sai MLU B.V., alankomaalainen yhtiö, joka pyörittää Yango-kyytipalvelua ja on Yandex-konsernin osa. Sakon määräsi Alankomaiden tietosuojaviranomainen Autoriteit Persoonsgegevens 1. huhtikuuta 2026.
Miksi Suomen käyttäjien dataa käsiteltiin Alankomaissa eikä Suomessa?
GDPR:n yhden luukun periaatteen mukaan johtava valvontaviranomainen on se maa, jossa yrityksen käsittelyn päätoimipaikka sijaitsee. MLU B.V:n päätoimipaikka on Alankomaissa, joten AP toimi johtavana viranomaisena, vaikka uhrit ovat suomalaisia ja norjalaisia.
Mitä tietoja Yango siirsi Venäjälle?
Siirrettyihin tietoihin kuuluivat nimet, puhelinnumerot, sijainti- ja matkatiedot, maksutiedot sekä kuljettajien henkilöllisyys- ja ajokorttitiedot. AP arvioi, että toistuvasta sijaintidatasta voitiin päätellä myös arkaluonteisia tietoja.
Riittävätkö vakiosopimuslausekkeet enää tiedonsiirtoihin EU:n ulkopuolelle?
Eivät yksinään. AP:n päätöksen mukaan yrityksen on osoitettava, että kohdemaassa vallitsee tosiasiallisesti EU:n tasoa vastaava suoja, ja tarvittaessa otettava käyttöön täydentäviä teknisiä ja organisatorisia suojatoimia, sama linja kuin EU-tuomioistuimen Schrems II -ratkaisussa.
Liittyykö Yango-tapaus Suomen omaan GDPR-lakiuudistukseen?
Suoraan ei, mutta tapaus on noussut osaksi julkista keskustelua hallituksen esityksestä HE 46/2026 vp, joka toisi hallinnolliset GDPR-sakot myös suomalaisille viranomaisille. Tietosuojavaltuutetun toimisto on käyttänyt Yango-päätöstä esimerkkinä epäjohdonmukaisuudesta nykytilanteessa.
Voiko MLU B.V. valittaa päätöksestä?
Kyllä. Yhtiöllä on oikeus hakea muutosta Alankomaiden hallinto-oikeudelta. Vastaavissa suurissa GDPR-tapauksissa valitusprosessi on aiemmin kestänyt useita vuosia, joten lopullinen täytäntöönpano voi vielä viivästyä.
Kuinka paljon GDPR-sakkoja on määrätty yhteensä vuoden 2018 jälkeen?
Alan seurantaraporttien mukaan kumulatiiviset GDPR-sakot toukokuusta 2018 lähtien ovat nousseet noin 6,11 miljardiin euroon, kasvua noin 487,6 miljoonaa euroa edellisvuoteen verrattuna.
Onko Yango yhä käytettävissä Suomessa?
Yhtiö on aiemmin ilmoittanut lopettaneensa palvelun tarjoamisen Suomessa ja Norjassa, mutta AP:n tutkinta osoitti, että tietojenkäsittely ja -siirrot jatkuivat osittain tämän jälkeenkin. Käyttäjien kannattaa tarkistaa sovelluksen ajantasainen tietosuojaseloste ennen käytön jatkamista.
