Poliittisen mainonnan läpinäkyvyyttä ja kohdentamista koskevan asetuksen soveltaminen alkaa pääosin 10.10.2025. Sääntelyn tarkoituksena on varmistaa, että poliittinen mainonta toteutetaan tavalla, joka turvaa kansalaisten mahdollisuudet ymmärtää, kuka pyrkii vaikuttamaan heidän poliittisiin näkemyksiinsä, millä tavoin ja millä resursseilla. Medianvapaussäädös taas pyrkii lisäämään avoimuutta viranomaisten ja muiden julkisten tahojen mainontaan liittyen. Medianvapaussäädös tuli sovellettavaksi 8.8.2025.
Tässä blogissa esittelemme säädösten päävelvoitteet erityisesti mainonnan julkaisijan, kuten mediayhtiön, ja mainonnan palveluntarjoajan, kuten mainosyhtiön, kannalta.
Päävelvoitteet julkaisijoille ja mainonnan palveluntarjoajalle
Poliittisen mainonnan läpinäkyvyyttä ja kohdentamista koskeva asetus määrittelee poliittisen mainonnan laajasti. Se ei kata ainoastaan puolueiden ja ehdokkaiden maksamaa mainontaa, vaan myös muun mainonnan, jolla pyritään vaikuttamaan vaalien tai kansanäänestyksen tulokseen, äänestyskäyttäytymiseen tai lainsäädäntö- tai sääntelyprosessiin. Media-ala on pyrkinyt siihen, että nykytila suurelta osin säilytetään eli median toimituksellinen sisältö ja yhteiskunnallisia aiheita käsittelevä mainonta suljetaan yksiselitteisesti soveltamisen ja valvonnan ulkopuolelle.
Poliittisen mainonnan avoimuudessa kaksi toimijaryhmää nousevat erityiseen asemaan: poliittisen mainonnan julkaisijat ja poliittisen mainonnan palveluntarjoajat. Poliittisen mainonnan julkaisija on se toimija, joka tarjoaa tilan, alustan tai kanavan poliittisen mainoksen esittämiselle yleisölle, kuten mediayhtiö. Poliittisen mainonnan palveluntarjoaja puolestaan tarkoittaa tahoa, joka suunnittelee, toteuttaa tai muutoin mahdollistaa poliittisen mainonnan, kuten mainostoimisto tai digitaalisen mainonnan teknologiayritys.
Palveluntarjoajien velvollisuudet liittyvät erityisesti poliittisen mainonnan suunnitteluun, rahoitukseen ja kohdentamiseen. Asetus edellyttää, että palveluntarjoajalla on dokumentoituna kaikki olennainen tieto kampanjan järjestämisestä. Tämä kattaa rahoituslähteet, mainonnan tavoitteet, kohderyhmien määrittelyn ja tekniset ratkaisut, joilla kohdentaminen toteutetaan. Palveluntarjoajan on toimitettava nämä tiedot julkaisijalle, jotta mainos voidaan hyväksyä asetuksen mukaisesti.
Julkaisijoiden vastuu on monitasoinen. Julkaisijoiden on varmistettava, että jokainen poliittinen mainos sisältää asetuksessa edellytetyn läpinäkyvyysmerkinnän. Tämä merkitsee, että mainoksesta on käytävä selvästi ja välittömästi ilmi sen rahoittaja, kampanjan luonne, kesto sekä tiedot mahdollisesta kohdentamisesta. Mainoksessa tulee olla lisäksi selvä maininta siitä, mistä yksityiskohtaisempi avoimuusilmoitus on saatavilla. Avoimuusilmoitukseen voi ohjata mainoksesta esimerkiksi linkin tai QR-koodin kautta.
Jotta läpinäkyvyysmerkinnän ja avoimuusilmoituksen julkaisu olisi mahdollista, niin sekä poliittisen mainonnan julkaisijoiden että palveluntarjoajien on sopimusjärjestelyin varmistettava, että ne saavat mainostajalta tarkat tiedot mm. poliittisen mainoksen rahoittajista ja niiden taustoista sekä vaaleista ja kansanäänestyksestä tai lainsäädäntö- tai sääntelyprosessista, johon poliittinen mainos liittyy, sen lisäksi, että ne itse pitävät kirjaa mm. siitä, millaisia summia ne poliittisen mainontaan liittyen kultakin taholta vastaanottavat. Julkaisijoiden ja palveluntarjoajien tulee säilyttää tiedot vähintään seitsemän vuoden ajan kampanjan päättymisestä, jotta viranomaiset voivat myöhemmin tarkastella ja arvioida sääntelyn noudattamista.
Julkaisijoiden on lisäksi raportoitava kaikki julkaisemansa poliittiset verkkomainokset ja avoimuusilmoituksen vaatimat tiedot eurooppalaisessa rekisterissä sekä liitettävä toimintakertomuksiin kampanjakohtaisesti koostetut tiedot, jotka koskevat rahamääriä tai muita sellaisia etuja, jotka on saatu osittaisena tai kokonaisena vastineena tarjotuista palveluista, mukaan lukien kohdentamistekniikoiden ja mainosten näyttämistekniikoiden käyttö.
Poliittisen mainonnan kohdentaminen
Merkittävä osa uudesta sääntelystä koskee mainonnan kohdentamista. Asetus kieltää poliittisen mainonnan kohdentamisen arkaluonteisten henkilötietojen (EU:n yleisen tietosuoja-asetuksen erityisten tietoryhmien) perusteella, kuten poliittisten mielipiteiden, uskonnollisen vakaumuksen tai etnisen taustan perusteella. Jos kohdentamisessa käytetään muita, ns. tavallisia henkilötietoja, kuten ikää, sukupuolta tai maantieteellistä sijaintia, on kohdentaminen sallittu, jos henkilötiedot on kerätty rekisteröidyltä itseltään ja rekisteröity on antanut nimenomaisen suostumuksen henkilötietojen käsittelyyn erikseen poliittista mainontaa varten.
Poliittisen mainonnan kohdentaminen edellyttää rekisterinpitäjiltä laajempaa dokumentointia suhteessa EU:n yleiseen tietosuoja-asetuksen. Rekisterinpitäjän tulee mm. laatia vuotuinen riskiarvio sekä hyväksyttää, panna täytäntöön ja asettaa julkisesti saataville sisäiset toimintaperiaatteet, joissa kuvataan, kuinka mainonnan kohdentamistekniikoita käytetään sekä pidettävä kirjaa tekniikoiden käytöstä ja niissä käytetyistä mekanismeista ja parametreista. Kunkin kohdennetun mainoksen läpinäkyvyysmerkinnän yhteydessä on ilmoitettava lisätietoja, joiden avulla yksityishenkilö pystyy ymmärtämään käytettyjen tekniikoiden logiikan ja keskeiset parametrit. Uudet velvoitteet pakottavat digimainonnan toimijat luomaan uusia prosesseja ja teknisiä ratkaisuja, joilla voidaan hallita kohdentamisen logiikkaa ja sen jäljitettävyyttä.
Viranomaisten ja julkisten tahojen mainonta
Medianvapaussäädöksen mukaan viranomaisten tai julkisten tahojen on asetettava julkisesti saataville sähköisesti ja käyttäjäystävällisessä muodossa vuosittain niiden valtion mainontaan liittyviä julkisia menoja koskevat tiedot. Viranomaisen tai julkisen tahon määritelmän voidaan katsoa sisältävän valtion hallintoviranomaiset, valtion virastot ja laitokset, valtion liikelaitokset sekä valtion talouden ulkopuoliset rahastot. Lisäksi määritelmä kattaa ne valtionyhtiöt, joissa hallituksella on ratkaiseva määräysvalta. Sanamuodon perusteella määritelmä sisältäisi myös kaupungit ja kunnat mukaan lukien kuntayhtymät, hyvinvointialueet ja hyvinvointiyhtymät sekä näiden tytäryhteisöt ja liikelaitokset sekä ne kuntaomisteiset ja hyvinvointialueiden omistamat yhteisöt, joissa kunnalla, kunnilla, hyvinvointialueella tai hyvinvointialueilla on yhteisössä ratkaiseva määräysvalta.
Näihin tahoihin lukeutuu kymmenittäin eri toimijoita, ja mediayhtiöillä onkin haaste tunnistaa kaikki sääntelyn piiriin kuuluvat tahot, jotta ne voivat informoida verkkopalveluidensa käyttäjille niille suoritettujen valtion mainontaan tarkoitettujen julkisten varojen vuotuiset kokonaismäärät ja kolmansien maiden viranomaisilta tai julkisilta tahoilta saatujen mainostulojen vuotuiset kokonaismäärät. Omien verkkosivujensa lisäksi mediayhtiöiden tulee raportoida tiedot Traficomin mediapalveluiden omistustietokantaan.
Suomessa valtion mainontaa koskevat tiedot on tarkoitus kerätä Valtiokonttorin ylläpitämään hankintatietovarantoon viranomaisten ja julkisten tahojen ostolaskudataa hyödyntämällä. Näin ollen valtion mainontaa koskevat tiedot, kuten viranomaisen tai muun julkisen tahon ostama mainonnan määrä palveluntarjoajaa kohden, olisivat avoimesti ja julkisesti saatavilla tietovarannosta. Tietovarannon myötä yksittäisten viranomaisten tai muiden julkisten tahojen ei tarvitsisi itse julkaista niiden mainos- ja ilmoitusmenoja koskevia tietoja, ja toisaalta myös mediayhtiö voisi helpommin tarkastaa, onko mainostaja medianvapaussäädöksen tarkoittama viranomainen tai julkinen taho.
Lopuksi
Vaikka pyrkimykset demokratian vahvistamiseen ja mainonnan läpinäkyvyyteen ovat erittäin kannatettavia, on esimerkiksi media-ala suhtautunut uuteen sääntelyyn kriittisesti. Huolena on, että uusi sääntely johtaa siihen, että vaalimainonnan tai valtion mainonnan julkaiseminen ei ole enää mediayhtiöille kannattavaa laajojen informointivelvoitteiden, raskaan hallinnollisen taakan ja sanktioriskin vuoksi. Mikäli näin tapahtuu, sääntelyllä voi olla ennakoimattomia vaikutuksia vaalien näkyvyyteen, vaaleihin osallistumiseen ja demokratian toteutumiseen sekä mainosrahoitteisen median toimintaedellytyksiin.
Uusien velvoitteiden vuoksi globaalit digijätit, kuten Google ja Meta, ovatkin jo ilmoittaneet, etteivät aio osallistua poliittisen mainonnan toteuttamiseen lainkaan (Xandr/Microsoft on jo aiemmin jättäytynyt pois). Nähtäväksi jää, siirtyykö vaalimainonta niiden alustoilta kotimaisiin medioihin vai saavatko äänestäjät vaaleihin liittyvää informaatiota (tai mis/disinformaatiota) ja mainontaa enenevässä määrin esimerkiksi TikTokin tai X:n kautta (vaikka ne muodollisesti ovatkin kieltäneet vaalimainonnan alustoillaan). TikTok suositteli Faktabaarin ja CheckFirstin selvityksen mukaan naisvihaa ja pönkitti stereotypioita Suomessa vuoden 2024 eurovaalien alla, ja X:n on väitetty käyttäneen poliittisiin mielipiteisiin tai uskonnolliseen vakaumukseen liittyviä tietoja poliittisen mainonnan mikrotargetointiin eli näillä alustoilla on väitetty ilmenneen juuri niitä ongelmia, joihin uudella sääntelyllä on haluttu puuttua. Poliittisen display-mainonnan siirtymistä kotimaisiin medioihin hankaloittaa se, että suurella osalla suomalaisista julkaisijoista on käytössään Microsoftin tai Googlen mainonnanhallinnanjärjestelmä, eivätkä IAB Europen Transparency & Consent Frameworkiin (TCF) perustuvat nykyiset evästesuostumusmekanismit tue asetuksessa mainitun nimenomaisen suostumuksen keräämistä. Selvää on, että digijättien ratkaisuilla – ja ylipäänsä sääntelyllä, jolla pyritään ensisijaisesti ratkaisemaan globaaleilla digialustoilla ilmenneitä ongelmia – on merkittäviä vaikutuksia myös kotimaiseen mediaan.
Me Folksilla autamme mielellämme uuden sääntelyn kiemuroiden tulkinnassa, mutta myös mahdollisuuksien tunnistamisessa.
Anna Paimela
Osakas
+358 40 1648626
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
EU:n datasäädöksen (Data Act) soveltaminen alkaa 12.9.2025.
Datasäädöksellä mahdollistetaan datan arvon oikeudenmukainen jakautuminen vahvistamalla selkeät ja oikeudenmukaiset säännöt dataan pääsylle ja sen käytölle Euroopan datataloudessa. Datasäädöksellä mm. parannetaan datan tuottamiseen osallistuvien yritysten ja kuluttajien oikeusvarmuutta, edesautetaan tasapuolista datan yhteiskäyttöä sekä luodaan puitteet sille, että asiakkaat voivat tosiasiallisesti vaihtaa datankäsittelypalvelujen tarjoajaa EU:n pilvipalvelumarkkinoiden avaamiseksi. Datasäädös täydentää datahallintosäädöstä, jota alettiin soveltaa syyskuussa 2023.
Datasäädös soveltuu internetverkkoon liitettyihin tuotteisiin (esineiden internet, Internet of Things, IoT) ja niihin liittyviin palveluihin ja niiden generoimaan ja keräämään dataan. Tämän ohella datasäädös soveltuu datankäsittelypalveluihin (esim. IaaS, SaaS ja PaaS).
Tässä blogikirjoituksessa avaamme säädöksen keskeiset velvoitteet ja vaikutukset.
Mitkä ovat datasäädöksen velvoitteet laitevalmistajille?
Sääntelyä sovelletaan verkkoon liitettyihin tuotteisiin ja niihin liittyviin palveluihin, jotka on saatettu markkinoille 12.11.2026 jälkeen.
Säädöksen keskeinen lähtökohta on, että laitteiden tuottama data kuuluu ensisijaisesti käyttäjälle. Tämä merkitsee huomattavaa muutosta niille valmistajille, jotka ovat tottuneet pitämään datan hallinnan kilpailuetunaan. Säädöksen mukaan verkkoon liitetyt laitteet on suunniteltava ja valmistettava siten, että laitteen data ja siihen liittyvän palvelun data, ovat suoraan käyttäjän saatavilla helposti, turvallisesti ja maksutta, kattavassa, jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa. Sanottu koskee myös metadataa silloin kuin se on saatavissa, ja joka on tarpeen laitteeseen sisältyvän datan tulkitsemiseksi ja käyttämiseksi. Jatkossa valmistajan on tarjottava tekniset ratkaisut, joiden avulla käyttäjä voi saada datan itselleen ja jakaa sen kolmannelle osapuolelle, kuten esimerkiksi huoltopalvelu- tai analytiikkayritykselle. Tämä kolmas osapuoli voi käyttää käyttäjältä vastaanottamaansa tai tämän pyynnöstä välitettyä dataa vain käyttäjän kanssa sovittuihin tarkoituksiin ja käyttäjän kanssa sovituin ehdoin. Datasäädöksen mukaan laitevalmistajien ja palveluntarjoajien on jo suunnitteluvaiheessa varmistettava, että laitteet keräävät ja tallentavat dataa niin, että käyttäjä voi päästä dataan helposti käsiksi.
Datan luovuttamisvelvoite koskee jalostamatonta dataa eli datan jatkokäsittelyn, rikastamisen ja siitä tehtyjen päätelmien tulokset eivät ole luovutusvelvoitteen piirissä. Datan haltijan mahdollisuus kieltäytyä luovuttamasta dataa esimerkiksi liikesalaisuuksiin tai tuoteturvallisuuteen vedoten on rajallinen. Liikesalaisuuden rajat eivät ole aina yksiselitteiset ja datasäädöksen myötä voi tulla mielenkiintoisia rajanvetoja. Myös osapuolten väliset erimielisyydet ja jopa riitaisuudet voivat lisääntyä liikesalaisuuksien rajoja määriteltäessä.
Jatkossa datan haltija voi käyttää tai luovuttaa dataa ainoastaan käyttäjän kanssa tekemänsä sopimuksen perusteella. Mikäli esimerkiksi laitteen valmistaja haluaa siis käyttää dataa vaikkapa omaan tuotekehitykseensä tai myydä dataa jollekin kolmannelle taholle, siitä pitää erikseen sopia laitteen käyttäjän kanssa.
Mitkä ovat datasäädöksen velvoitteet datankäsittelypalvelun tarjoajille?
Datan saataville asettamiseen liittyvää sääntelyä sovelletaan 12.9.2025 alkaen.
Datankäsittelypalvelun, tuttavallisimmin pilvipalvelun, käsite on laaja ja kattaa nykypäivänä suuren osan IT-palveluista, koska tähän lukeutuu myös mm. SaaS-palvelut. Siirtyminen pilvipalvelusta toiseen pilvipalveluun helpottuu, koska pilvipalveluntarjoajien on helpotettava palvelun vaihtamista ja datan siirtämistä palvelusta toiseen. Tämä vähentää niin sanottua toimittajalukkoa ja pakottaa pilvipalveluntarjoajat kilpailemaan palvelun laadulla ja hinnoittelulla sen sijaan, että asiakas jäisi kiinni teknisiin tai sopimuksellisiin esteisiin. Siirtymävaiheessa palveluntarjoajat voivat periä siirtomaksuja, mutta niiden on oltava kohtuullisia ja alenevia, ja lopulta, 12.1.2027 alkaen, siirron on oltava maksutonta.
Pilvipalveluntarjoajan asiakassopimukseen on jatkossa sisällytettävä tiettyjä pakollisia ehtoja. Pakollisia sopimusehtoja laadittaessa on samalla otettava huomioon datasäädöksen yksityiskohtaiset säännöt epäoikeudenmukaisista sopimusehdoista koskien datan käyttöön ja pääsyyn liittyviä yksipuolisia sopimusehtoja. Sääntöjen mukaan yrityksen toiselle yritykselle asettamat velvoitteet eivät sido jälkimmäistä yritystä, jos sopimusvelvoitteet ovat epäoikeudenmukaisia. Datasäädös määrittää, mitä tässä yhteydessä pidetään epäoikeudenmukaisena ja yksipuolisesti asetettuna sopimusehtona.
Kaikkien pilvipalveluntarjoajien on syytä käydä läpi omat sopimusehtonsa ja päivittää ne datasäädöksen mukaisiksi. Vastaavasti pilvipalvelun ostajien kannattaa olla hereillä ja tarkistaa, että sopimukset ovat linjassa datasäädöksen heille tarjoamien oikeuksien kanssa.
Lopuksi?
Mikäli data sisältää henkilötietoja, sovelletaan niiden käsittelyyn henkilötietojen käsittelyä koskevaa sääntelyä, kuten EU:n yleistä tietosuoja-asetusta (GDPR). Verkkoon liitettyjen tuotteiden valmistajien ja tarjoajien on keskeistä identifioida, mikä data on henkilötietoa ja mikä ei sekä henkilötietojen osalta toteutettava datasäädöksen ohella myös tietosuoja-asetuksen velvoitteet, koska tietosuoja-asetus on ensisijainen suhteessa datasäädökseen.
Auttaakseen yrityksiä selviytymään näistä uusista säännöistä Euroopan komissio tulee julkaisemaan hyvinkin yksityiskohtaiset ei-sitovat mallisopimusehdot, joilla autetaan yrityksiä tekemään oikeudenmukaisia, kohtuullisia ja syrjimättömiä datan yhteiskäyttösopimuksia. Näissä ehdoissa annetaan myös ohjeita kohtuullisesta korvauksesta ja liikesalaisuuksien suojaamisesta. Komissio tulee julkaisemaan myös ei-sitovia vakiosopimuslausekkeita pilvipalvelujen käyttäjien ja tarjoajien välisiin pilvipalvelusopimuksiin. Aika tulee näyttämään, miten yritykset ottavat vastaan nämä mallisopimuslausekkeet ja sen, aletaanko niitä soveltamaan käytännössä laajemminkin vai laativatko yritykset itsenäisesti omat täysin omaan tarkoitukseensa parhaiten soveltuvat sopimusehdot, jotka ovat linjassa datasäädöksen kanssa. Erilaisten sopimusehtojen markkinakäytäntöihin mallisopimuslausekkeilla tulee arviomme mukaan olemaan kuitenkin varmasti vaikutusta.
Teknologiatiimimme avustaa mielellään myös datasäädökseen liittyvissä kysymyksissä.
Osmo Lipponen
Senior Counsel
050 439 1899
Katri Aarnio
Counsel
050 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
EU:n digisääntely on viime vuosina kokenut mittavan murroksen. Uutta lainsäädäntöä on tullut nopealla tahdilla niin verkkopalvelujen, tekoälyn, datan käytön kuin kyberturvallisuudenkin osalta. Eikä tahti näytä hidastuvan – uusia velvoitteita on tulossa sovellettavaksi myös lähitulevaisuudessa.
Koostimme alle tilannekatsauksen siitä, mitä digisääntelyn kentällä on hiljattain tapahtunut ja millaisia uusia velvoitteita on näköpiirissä.
Suuret verkkoalustat piinapenkissä
EU:n digipalvelusäädös (DSA) astui voimaan vaiheittain vuosina 2023–2024, ja se velvoittaa laajasti erilaisia digipalvelualustoja muun muassa puuttumaan laittomaan sisältöön ja parantamaan läpinäkyvyyttä suhteessa käyttäjiin. Komissio ja kansalliset valvojat ovat jo käynnistäneet ensimmäisiä valvontatoimia: esimerkiksi X:ää tutkitaan mahdollisista rikkomuksista käyttäjiä manipuloiviin käytäntöihin ja mainonnan läpinäkyvyyteen liittyen.
Ns. portinvartijoina toimivat erittäin suuret verkkoalustat ovat joutuneet päivittämään käytäntöjään toukokuusta 2023 alkaen myös EU:n digimarkkinasäädöksen (DMA) myötä. Digimarkkinasäädöksellä on pyritty parantamaan kilpailua ja läpinäkyvyyttä suurten teknologia-alustojen ekosysteemeissä. Huhtikuussa 2025 Euroopan komissio langetti ensimmäiset sakot digimarkkinasäädöksen puitteissa. Apple sai 500 miljoonan euron seuraamuksen App Storessa asetetuista rajoituksista, joiden myötä sovelluskehittäjät eivät voineet riittävästi hyödyntää vaihtoehtoisia jakelualustoja. Metalle määrättiin 200 miljoonan euron sakko sen soveltamasta ”consent or pay” -mallista, joka edellytti Facebookin ja Instagramin käyttäjiltä maksua vastineeksi rajatummasta henkilötietojen käsittelystä.
Kohti riskiperustaista tekoälysääntelyä
Tekoälyhypen ollessa kuumimmillaan EU:n tekoälysäädöksen (AI Act) ensimmäiset velvoitteet alkoivat soveltua helmikuussa 2025. Kaikkien kielletyn riskiluokan tekoälyjärjestelmien kehittäminen, tarjoaminen ja käyttö on tullut lopettaa. Organisaatiot ovat lisäksi joutuneet pohtimaan, millaisilla koulutuksilla ja muilla toimenpiteillä ne täyttävät velvoitteensa varmistaa riittävä tekoälylukutaito.
Avoimeksi jääneiden kysymysten selventämiseksi komissio julkaisi alkuvuodesta 2025 ei-sitovaa ohjeistusta mm. tekoälyjärjestelmän määritelmästä, kielletyistä tekoälykäytännöistä sekä tekoälylukutaitoa koskevasta velvoitteesta. Pian ollaan taas uuden äärellä, kun muut tekoälysäädöksen velvoitteet tulevat asteittain sovellettaviksi vuosien 2025–2027 aikana. Erityisesti korkean riskin tekoälyjärjestelmiä koskevat velvoitteet tulevat vaikuttamaan sekä tarjoajien että käyttöönottajien toimintaan.
Reiluja pelisääntöjä datamarkkinoille
Datan saadessa yhä keskeisempää merkitystä yhteiskunnassa EU on pyrkinyt mahdollistamaan datan vapaan liikkuvuuden sisämarkkinoilla eri toimijoiden välillä. Keskeinen sääntelyhanke tämän strategian tukemiseksi on datasäädös (Data Act), jonka velvoitteista suurinta osaa aletaan soveltaa 12.9.2025 alkaen. Sääntelyn kohteena ovat erityisesti verkkoon kytketyt laitteet (IoT), joiden käyttäjille on jatkossa annettava pääsy laitteen tuottamaan dataan. Datasäädös myös kieltää kohtuuttomien dataan liittyvien sopimusehtojen soveltamisen, jos ne on asetettu yksipuolisesti toiselle yritykselle.
Datasäädös tulee vaikuttamaan myös pilvipalveluihin, ja ”vendor lock-in” -tilanteiden odotetaan jäävän sen myötä pitkälti historiaan. Pian esimerkiksi pilvipalvelun vaihtamista rajoittavat vaihtomaksut poistuvat asteittain, pilvipalveluntarjoajilla on velvollisuus avustaa palvelun vaihtamisessa, ja asiakkailla on oikeus irtisanoa pilvipalvelu kahden kuukauden irtisanomisajalla. Lähitulevaisuus näyttää, millaisiksi tarkemmat sopimuskäytännöt muodostuvat ja millaisia vaikutuksia datasäädöksen velvoitteilla on esimerkiksi pilvipalveluiden hinnoitteluun.
Kyberturvauhkiin varautumista sääntelyllä
Pitkään odotetun NIS2-direktiivin velvoitteet tulivat voimaan 8.4.2025, kun ne saatiin viimein toimeenpantua kansallisesti kyberturvallisuuslailla. Yhteiskunnan kriittisillä toimialoilla on kyberuhkien kasvaessa nyt myös lakisääteisesti velvoitteita hallita kyberturvallisuusriskejä sekä ilmoittaa merkittävistä tietoturvapoikkeamista viranomaisille. Uusi kyberturvallisuussääntely ei lopu kyberturvallisuuslakiin, sillä lähivuosina uusia vaatimuksia seuraa myös kyberkestävyyssäädöksestä (CRA). Se tulee vaikuttamaan digitaalisen elementin sisältäviin laitteisiin ja ohjelmistoihin, jotka ovat suoraan tai epäsuorasti liitettävissä toiseen laitteeseen tai verkkoon. Soveltamisalaan kuuluvilla toimijoilla on kuitenkin vielä aikaa varautua velvoitteisiin, sillä haavoittuvuuksista ilmoittamista koskevia velvoitteita aletaan soveltaa 11.9.2026 ja tuotteen tietoturvaominaisuuksia koskevia vaatimuksia aletaan soveltaa 11.12.2027.
Tietoturvauhkiin on vastattu myös toimialakohtaisella sääntelyllä. Erityisesti 17.1.2025 alkaen sovellettavaksi tullut asetus finanssialan digitaalisesta häiriönsietokyvystä (DORA) on vaikuttanut laajasti niin finanssialan toimijoihin kuin myös finanssialalle palveluita tuottaviin IT-palveluntarjoajiin. Alkuvuodesta nähtiin sopimuspäivitysrupeama, kun DORAn vaatimuksia neuvoteltiin osaksi finanssialan toimijoiden ja IT-palveluntarjoajien välisiä sopimuksia. Komissio on myös ehtinyt luonnostella ja julkaista useita teknisiä sääntelystandardeja, joissa täsmennetään DORAn vaatimuksia. Tällä hetkellä valvontaviranomaiset keskittyvät kriittisyysarviointien tekemiseen, joiden tavoitteena on nimetä ne kriittiset IT-palveluntarjoajat, jotka tulevat suoraan viranomaisvalvonnan piiriin. Nimitysten odotetaan tulevan voimaan syksyllä 2025.
Miltä tulevaisuus näyttää?
EU:n digisääntelykehys on muutamassa vuodessa muuttunut laajaksi kokonaisuudeksi, jolla on todellista vaikutusta yritysten arkeen. Uudistusten laajuus ja nopea toimeenpano ovat herättäneet monissa organisaatioissa tarpeen tarkistaa prosesseja, sopimuksia ja teknisiä ratkaisuja – eikä hengähdystaukoa ole näköpiirissä. Komissio ja kansalliset viranomaiset ovat osoittaneet myös valmiutensa tarttua epäkohtiin, ja valvonnan voidaan odottaa ulottuvan vähitellen myös suurten toimijoiden ulkopuolelle.
Organisaatioille tämä tarkoittaa ennen kaikkea tarvetta pysyä hereillä. Uusi sääntely ei ole vain hallinnollinen velvoite, vaan usein myös strateginen kysymys: miten rakentaa palveluita, jotka ovat paitsi käyttäjälähtöisiä ja kilpailukykyisiä, myös regulaatiovaatimusten mukaisia? Vaikka sääntelyn määrä voi tuntua kuormittavalta, se tarjoaa myös mahdollisuuden erottautua. Ne toimijat, jotka tarttuvat ajoissa sääntelyn tuomiin vaatimuksiin ja mahdollisuuksiin, voivat kääntää uudet velvoitteet myös kilpailueduksi.
Sääntelyn kiristyessä selkeä suunta ja käytännönläheinen tulkinta ovat tärkeämpiä kuin koskaan – tuemme asiakkaitamme molemmissa.
Katri Aarnio
Counsel
050 306 2031
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.