Sähköinen suoramarkkinointi on monelle yritykselle keskeinen osa myyntiä ja asiakasviestintää. Uutiskirjeet, kampanjasähköpostit ja markkinoinnin automaatio toimivat kuitenkin vain silloin, kun myös lähettämisen juridinen peruste on kunnossa. Viime aikoina erityisesti robottipuhelut ovat nousseet esiin valvontakäytännössä.
Käytännössä yrityksen kannattaa ratkaista kolme kysymystä ennen viestin lähettämistä: kenelle viesti lähetetään, onko viesti markkinointia vai asiakasviestintää ja mihin lähetysoikeus perustuu.Sähköistä suoramarkkinointia ovat esimerkiksi sähköpostit, tekstiviestit, kuvaviestit, ääniviestit ja automatisoidut puhelut, joilla markkinoidaan tuotteita tai palveluita vastaanottajalle. Muodolla ei ole ratkaisevaa merkitystä: olennaista on viestin tarkoitus ja sisältö. Jos viestin tavoitteena on edistää tuotteen tai palvelun myyntiä, kyse on yleensä suoramarkkinoinnista.
Uutiskirje on yleensä suoramarkkinointia, jos se sisältää tarjouksia, palveluiden esittelyä, tapahtumakutsuja, kampanjoita tai muuta myyntiä edistävää sisältöä. Myös näennäisesti informatiivinen sisältö voi olla markkinointia, jos sen pääasiallinen tarkoitus on ohjata vastaanottaja ostamaan, varaamaan esittely, lataamaan myyntimateriaali tai osallistumaan kaupalliseen tapahtumaan.
Kaikki asiakkaille lähetettävät viestit eivät kuitenkaan ole suoramarkkinointia. Esimerkiksi tilausvahvistukset, toimitusilmoitukset, käyttökatkoista kertovat tiedotteet ja muut sopimuksen tai palvelun toteuttamiseen liittyvät viestit ovat lähtökohtaisesti asiakasviestintää. Jos viestiin lisätään myynnillistä sisältöä, viesti voi kuitenkin muuttua suoramarkkinoinniksi. Esimerkiksi palvelun käyttökatkosta kertovaan viestiin lisätty “päivitä premium-versioon” -tarjous voi muuttaa viestin arviointia.
Henkilökohtainen osoite edellyttää yleensä ennakkosuostumusta
Sähköistä suoramarkkinointia saa lähtökohtaisesti lähettää luonnolliselle henkilölle vain, jos hän on antanut siihen ennalta suostumuksensa. Tämä on pääsääntö kuluttajille suunnatussa sähköisessä suoramarkkinoinnissa. Sama koskee esimerkiksi automatisoituja soittojärjestelmiä: robottipuhelulla tehtävä markkinointi edellyttää vastaanottajan etukäteistä suostumusta.
Suostumuksen on oltava vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen. Käytännössä vastaanottajan on siis itse tehtävä aktiivinen toimi, esimerkiksi rastitettava uutiskirjeen tilaamista koskeva ruutu. Valmiiksi rastitettu ruutu, vaikeneminen tai se, ettei henkilö erikseen kiellä markkinointia, ei riitä suostumukseksi.
Suostumuksen vapaaehtoisuus ei välttämättä estä sitä, että suoramarkkinointisuostumus yhdistetään esimerkiksi vapaaehtoiseen arvontaan. Tietosuojavaltuutettu on arvioinut, että arvontaan osallistumisen edellytyksenä pyydetty suoramarkkinointisuostumus voi olla pätevä, jos osallistuminen on aidosti vapaaehtoista, osallistumatta jättämisestä ei aiheudu haittaa eikä kyse ole rekisteröidylle välttämättömästä palvelusta. Arvio on kuitenkin aina tapauskohtainen.
Aina erillistä suostumusta ei tarvita. Jos asiakas on ostanut yritykseltä tuotteen tai palvelun ja antanut sähköisen yhteystietonsa ostamisen yhteydessä, yritys voi tietyin edellytyksin markkinoida hänelle omia vastaavia tuotteitaan tai palveluitaan.
Tätä poikkeusta ei kuitenkaan voi käyttää yleisenä lupana kaikkeen markkinointiin. Sen soveltaminen edellyttää, että yhteystieto on saatu asiakkaalta myynnin yhteydessä, markkinointi koskee saman yrityksen omia tuotteita tai palveluita ja markkinoitavat tuotteet tai palvelut ovat samankaltaisia kuin asiakkaan aiempi ostos. Jos asiakas on ostanut esimerkiksi tietyn ohjelmistopalvelun, hänelle voidaan tilanteesta riippuen markkinoida saman palvelukokonaisuuden lisäominaisuuksia tai vastaavia palveluita. Sen sijaan sama yhteystieto ei oikeuta markkinoimaan täysin toisen konserniyhtiön palveluita, yhteistyökumppanin tuotteita tai kokonaan eri tuoteryhmää.
Lisäksi asiakkaalle on annettava mahdollisuus kieltää markkinointi helposti ja maksutta sekä yhteystiedon keräämisen yhteydessä että jokaisessa myöhemmässä markkinointiviestissä.
B2B-markkinoinnissa ei riitä, että vastaanottaja työskentelee yrityksessä
Yrityksille suunnatussa markkinoinnissa arvio riippuu siitä, millaiseen osoitteeseen viesti lähetetään ja mikä vastaanottajan rooli on. Yleisiin yritysosoitteisiin, kuten info@yritys.fi tai myynti@yritys.fi, voidaan lähtökohtaisesti lähettää sähköistä suoramarkkinointia ilman ennakkosuostumusta. Viestissä on silti oltava mahdollisuus kieltää markkinointi.
Jos viesti lähetetään nimetylle henkilölle, kuten etunimi.sukunimi@yritys.fi, lähettäjän on arvioitava, liittyykö markkinoitava tuote tai palvelu olennaisesti vastaanottajan työtehtäviin. Esimerkiksi taloushallinnon palvelun markkinointi talouspäättäjälle voi olla perusteltua. Sen sijaan samaa viestiä ei voi lähettää varmuuden vuoksi kaikille yrityksestä löytyville henkilöille.
Olennaista on, että vastaanottajan rooli ja markkinoitava sisältö kohtaavat. Pelkkä oletus vastaanottajan kiinnostuksesta ei riitä. B2B-markkinoinnissa kannattaa myös huomata, että henkilökohtainen työsähköposti ei muutu vapaasti käytettäväksi markkinointikanavaksi sen vuoksi, että osoite on julkinen tai löytyy LinkedInistä, verkkosivuilta tai tapahtuman osallistujalistalta. Lähettäjän on silti pystyttävä perustelemaan, miksi juuri tälle henkilölle lähetetty viesti liittyy hänen työtehtäviinsä ja miksi markkinointi on kohdennettu asianmukaisesti.
Suostumukset pitää pystyä osoittamaan
Yrityksen on pystyttävä tarvittaessa osoittamaan, millä perusteella sähköistä suoramarkkinointia lähetetään. Jos lähettäminen perustuu suostumukseen, dokumentoinnista olisi hyvä käydä ilmi ainakin milloin suostumus on annettu, missä kanavassa se on annettu, mihin markkinointiin se on annettu ja mitä tietoa vastaanottajalle annettiin suostumusta pyydettäessä.
Jokaisessa sähköisessä suoramarkkinointiviestissä on oltava helppo ja maksuton tapa kieltää markkinointi tai peruuttaa suostumus, esimerkiksi toimiva peruutuslinkki.
Peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen. Käytännössä vastaanottajaa ei tule pakottaa ottamaan erikseen yhteyttä asiakaspalveluun tai kirjautumaan monimutkaiseen järjestelmään vain peruuttaakseen uutiskirjeen.
Sähköisessä suoramarkkinoinnissa käsitellään yleensä henkilötietoja, jolloin sovellettavaksi tulevat myös yleisen tietosuoja-asetuksen vaatimukset. Siksi vastaanottajalle on kerrottava selkeästi, miten hänen tietojaan käsitellään.
Käytännössä yrityksen kannattaa varmistaa, että tietosuojailmoituksesta käy ilmi, kuka henkilötietoja käsittelee, mihin tarkoituksiin tietoja käytetään, millä perusteella tietoja käsitellään, mistä tiedot on saatu, kuinka kauan tietoja säilytetään ja miten vastaanottaja voi käyttää oikeuksiaan.
Sähköisen suoramarkkinoinnin sääntely ei estä tehokasta markkinointia, mutta se edellyttää, että perusasiat tehdään huolellisesti. Yrityksen kannattaa varmistaa jo ennen kampanjan lähettämistä, mistä vastaanottajien tiedot ovat peräisin, millä perusteella viestejä lähetetään ja miten markkinointikiellot toteutuvat käytännössä.
Lila Kallio
Counsel
+358 41 465 1365
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä
Päivitetty: 13.8.
EU:n yleinen tietosuoja-asetus eli GDPR on vahvistanut yksilön oikeuksia ja tehnyt henkilötietojen käsittelystä näkyvämpää. Samalla asetuksen laaja soveltamisala ja varovaiseksi muodostunut tulkintakäytäntö ovat vaikeuttaneet datan hyödyntämistä yrityksissä. Nyt Euroopan komissio haluaa keventää ja selkeyttää EU:n digisääntelyä. Marraskuussa julkaistu Digital Omnibus -paketti ulottuu myös GDPR:n keskeisiin käsitteisiin.
Suunta on monelta osin perusteltu. Päällekkäisiä velvoitteita on syytä purkaa, evästekäytäntöjä järkevöittää ja yritysten hallinnollista taakkaa vähentää. Samalla joudutaan kysymään, kuinka pitkälle sääntelyä voidaan keventää ilman, että yksityisyydensuojan perustasta tingitään.
Tiukka tulkinta on kaventanut mahdollisuuksia hyödyntää dataa
Henkilötiedon määritelmä ratkaisee, kuuluuko tiedon käsittely GDPR:n soveltamisalaan. Euroopan unionin tuomioistuimen Breyer-ratkaisussa (C-582/14) arvioitiin, olivatko verkkopalvelun lokitietoihin tallentuneet dynaamiset IP-osoitteet palveluntarjoajan näkökulmasta henkilötietoja. Palveluntarjoaja ei pystynyt tunnistamaan käyttäjää ilman teleoperaattorin hallussa olleita lisätietoja.
Tuomioistuin katsoi, että tieto voi olla henkilötietoa, vaikka tunnistamiseen tarvittavat lisätiedot ovat kolmannen osapuolen hallussa. Olennaista on, onko rekisterinpitäjällä kohtuudella käytettävissään oikeudellisia ja käytännöllisiä keinoja saada tarvittavat tiedot. Arvioinnissa on huomioitava esimerkiksi tunnistamiseen tarvittava aika, kustannukset, työmäärä, käytettävissä oleva teknologia ja mahdolliset oikeudelliset esteet.
Ratkaisu ei siis tarkoita, että mikä tahansa teoreettinen tunnistamismahdollisuus riittäisi tekemään tiedosta henkilötietoa. Käytännössä epävarmoissa tilanteissa on silti usein päädytty varovaiseen tulkintaan. Jos henkilön tunnistamista ei voida varmasti sulkea pois, tietoa käsitellään herkästi henkilötietona.
Tämä voi johtaa siihen, että huomio siirtyy käsittelyn todellisista riskeistä sen varmistamiseen, että kaikki mahdolliset GDPR-velvoitteet tulevat huomioiduiksi. Riskiperusteiseksi tarkoitettu sääntely alkaa silloin näyttäytyä joukkona ehdottomia kieltoja.
Epävarmuus sääntöjen tulkinnasta ja huomattavien seuraamusten mahdollisuus voivat ohjata yrityksiä varovaisuuteen. Potilasdataa, asiakasdataa tai IoT-dataa hyödyntävä hanke saatetaan jättää toteuttamatta, vaikka sen riskit yksityisyydelle olisivat asianmukaisilla suojatoimilla hallittavissa. Elinkeinoelämän tutkimuslaitos Etlan esittelemän tutkimuksen mukaan GDPR on vähentänyt lääke- ja bioteknologiayritysten tutkimus- ja kehitysinvestointeja erityisesti dataan vahvasti tukeutuvilla aloilla.
GDPR ei tietenkään yksin selitä Euroopan jäämistä Yhdysvaltojen ja Kiinan jälkeen datavetoisen liiketoiminnan ja tekoälyn kehityksessä. Sääntelyn monimutkaisuus ja yritysten kokema oikeudellinen epävarmuus muodostavat kuitenkin osan laajemmasta kilpailukykyongelmasta, johon myös Mario Draghin raportissa kiinnitettiin huomiota.
Omnibusilla onneen?
Euroopan komissio julkaisi Digital Omnibus -pakettinsa 19.11.2025. Sen tavoitteena on yksinkertaistaa EU:n digisääntelyä, vähentää yrityksille aiheutuvia kustannuksia ja vahvistaa Euroopan kilpailukykyä.
Yksi näkyvimmistä muutoksista koskee evästeitä. Komissio haluaa vähentää jatkuvaa suostumusikkunoiden klikkailua ja mahdollistaa sen, että käyttäjä voisi ilmaista valintojaan nykyistä keskitetymmin esimerkiksi selaimen tai käyttöjärjestelmän asetuksilla. Samalla tiettyjä vähäriskisiä käyttötarkoituksia voitaisiin toteuttaa ilman suostumusta.
Paketissa ehdotetaan myös muutoksia tekoälysäädöksen soveltamisaikatauluun. Korkean riskin tekoälyjärjestelmiä koskevien velvoitteiden soveltamista halutaan lykätä tilanteessa, jossa yritysten tarvitsemat standardit ja ohjeistukset eivät valmistu ajoissa. Tarkoituksena on antaa yrityksille realistisempi mahdollisuus valmistautua uusiin vaatimuksiin.
GDPR:ään ehdotetaan puolestaan tekoälyn kehittämisen kannalta merkittäviä täsmennyksiä. Henkilötiedon määritelmää muutettaisiin niin, ettei pseudonymisoitua tietoa pidettäisi henkilötietona sellaisen toimijan näkökulmasta, jolla ei ole kohtuudella käytettävissään keinoja henkilön tunnistamiseen.
Lisäksi asetuksessa tunnustettaisiin nykyistä selvemmin, että henkilötietojen käsittely tekoälyjärjestelmien ja -mallien kehittämistä ja toimintaa varten voi perustua rekisterinpitäjän oikeutettuun etuun. Tämä ei tarkoittaisi, että henkilötietoja voisi käyttää tekoälyn kouluttamiseen automaattisesti. Käsittelyn tarpeellisuus, rekisteröidyn kohtuulliset odotukset, osapuolten intressit ja tarvittavat suojatoimet pitäisi edelleen arvioida tapauskohtaisesti.
Selkeyttämiselle on tarvetta. EU:n digitaalinen sääntelykehikko on kasvanut kokonaisuudeksi, johon kuuluvat muun muassa GDPR, datasäädös, digipalvelusäädös, digimarkkinasäädös, NIS2-direktiivi ja tekoälysäädös. Eri säädösten välisten suhteiden hallinta on vaikeaa suurillekin toimijoille, pienemmistä yrityksistä puhumattakaan.
Digital Omnibus on saanut myös voimakasta kritiikkiä. Kansalaisjärjestöt ja tietosuoja-asiantuntijat ovat kuvanneet ehdotuksia ”tuhannen pienen viillon” strategiaksi: yksittäiset muutokset voivat vaikuttaa teknisiltä, mutta yhdessä ne saattavat heikentää GDPR:n suojaa merkittävästi. Kritiikki kohdistuu erityisesti henkilötiedon määritelmään ja tekoälyn kehittämisessä käytettävien henkilötietojen käsittelyperusteisiin.
Kriittinen kysymys onkin, missä määrin ongelma on itse GDPR:n tekstissä ja missä määrin asetuksen ympärille muodostuneessa soveltamiskulttuurissa.
Myös valvontaviranomaiset hakevat käytännöllisempää linjaa
Tarve tietosuojasääntelyn käytännönläheisemmälle soveltamiselle tunnistettiin jo ennen Digital Omnibus -ehdotusta. Euroopan tietosuojaneuvosto EDPB totesi Helsinki Statement -kannanotossaan, että GDPR:n noudattamista on helpotettava erityisesti pienissä ja keskisuurissa yrityksissä.
EDPB ilmoitti haluavansa tuottaa käytännöllisempiä ohjeita, malleja ja työkaluja sekä lisätä vuoropuhelua sidosryhmien kanssa. Samalla se korosti, ettei yksinkertaistaminen saa heikentää yksilön perusoikeuksia. Tämä on tärkeä ero: hallinnollista työtä voidaan helpottaa ilman, että tietosuojan keskeisiä periaatteita tarvitsee purkaa.
Henkilötiedon määritelmään saatiin käytännönläheisempi linjaus myös unionin tuomioistuimen syyskuussa 2025 antamassa EDPS v. SRB -ratkaisussa (C-413/23 P). Tuomioistuin vahvisti, että pseudonymisoitu tieto säilyy henkilötietona sellaiselle toimijalle, jolla on käytössään tiedon henkilöön yhdistämisen mahdollistavat lisätiedot.
Ratkaisu avasi kuitenkin mahdollisuuden arvioida tiedon luonnetta myös vastaanottajakohtaisesti. Jos vastaanottajalla ei ole oikeudellisia tai tosiasiallisia keinoja tunnistaa henkilöä, pseudonymisoitu tieto ei välttämättä ole sen käsissä henkilötietoa. Se ei tee tiedosta yleisesti anonyymia. Samat tiedot voivat edelleen olla henkilötietoja toiselle toimijalle, jolla tunnistamisen mahdollistavat keinot ovat käytettävissä.
Digital Omnibus -ehdotuksella tämä toimijakohtainen lähestymistapa pyritään kirjaamaan nykyistä selvemmin GDPR:ään.
Lopuksi
Tietosuojasääntely on tienhaarassa. Ongelma ei nähdäkseni ole ensisijaisesti siinä, että GDPR:n perusperiaatteet olisivat liian tiukkoja. Vaikeuksia syntyy, kun riskiperusteinen sääntely muuttuu käytännössä varmuuden vuoksi noudatettaviksi kielloiksi.
Päällekkäisten velvoitteiden purkaminen, evästekäytäntöjen järkevöittäminen ja pk-yritysten hallinnollisen taakan vähentäminen ovat perusteltuja tavoitteita. Henkilötiedon määritelmän muuttamiseen on silti syytä suhtautua harkiten. Täsmennys voi lisätä oikeusvarmuutta ja mahdollistaa vastuullista datankäyttöä. Liian väljä rajaus voi puolestaan hyödyttää eniten niitä toimijoita, joilla on jo valmiiksi suurimmat data-aineistot ja parhaat tekniset mahdollisuudet niiden hyödyntämiseen.
Tasapaino ei löydy yksin sääntelyä keventämällä. Tarvitaan selkeitä sääntöjä, käytännöllistä viranomaisohjeistusta ja nykyistä johdonmukaisempaa riskiperusteista soveltamista. Digital Omnibus -ehdotuksen lainsäädäntökäsittely on vasta alussa, joten sen lopullinen sisältö voi vielä muuttua olennaisesti. Folksilla seuraamme ehdotuksen etenemistä tiiviisti.
Anna Paimela
Osakas
+358 40 1648626
Mikäli haluat artikkelit suoraan sähköpostiisi, tilaa Folksin uutiskirje täältä.
Miltä kulunut vuosi näytti lainsäädäntötrendien osalta? Yritysvastuusääntely tiukkeni niin ympäristöön kuin ihmisoikeuksiin liittyvissä kysymyksissä, kun taas digisääntely kehittyi tekoälyn, alustatalouden ja kyberturvallisuuden haasteiden myötä. Työmarkkinoilla tapahtui muutoksia erityisesti joustavuuden lisäämiseksi työpaikoilla. Samalla tietosuojasakot nousivat entistä näkyvämpään rooliin, mikä korostaa organisaatioiden velvollisuutta huolehtia henkilötietojen käsittelystä.
Lue alta Folksin tarkempi koonti kuluneesta vuodesta.
Yhtiöoikeudellisen sääntelyn keskiössä kestävyys ja vastuullisuus
Kuluneen vuoden teema yhtiöoikeudellisessa sääntelyssä on ollut vastuullisuus. Keväällä saavutettiin EU-tason sovinto yritysvastuudirektiivistä. Direktiivi tulee panna täytäntöön Suomessa kesään 2026 mennessä. Lisäksi kestävyysraportointidirektiiviin liittyvät raportointivelvollisuudet alkavat vaikuttaa jo tulevan vuoden osalta suurimpiin pörssiyhtiöihin. Vaikka molempien direktiivien pääasiallinen kohderyhmä ovat suuret yritykset, tulevat sääntelyn heijastevaikutukset näkymään todennäköisesti myös suurten yritysten alihankkijoissa, koska raportointivelvoitteet kattavat yrityksen lisäksi niiden toimitusketjua. Tämän vuoksi uudella sääntelyllä tulee todennäköisesti olemaan heijastevaikutuksia yleisiin sopimuskäytäntöihin ja esimerkiksi due diligence –tarkastuksiin, joissa tulee tunnistaa edellä tarkoitetusta sääntelystä johtuvat velvoitteet osana toimitusketjua.
Myös osakeyhtiölakia uudistettiin hallituskokoonpanoihin liittyvien vaatimusten osalta. Osakeyhtiölaki sisältää nyt raja-arvot ylittäviä pörssiyhtiöitä koskevan sukupuolikiintiön yhtiön hallituksen jäsenten osalta. Tämän muutoksen ja kestävyysraportointidirektiivin täytäntöönpanon johdosta myös pörssiyhtiöitä koskevaa hallinnointikoodia päivitettiin vastaamaan sukupuolikiintiövaatimusta sekä kestävyysraportointisääntelyä.
Pörssiyhtiöitä koskeva markkinoiden väärinkäyttöasetus päivittyi joulukuun alussa. Päivityksen johdosta johtohenkilöiden liiketoimien ilmoittamisen kynnystä nostettiin Suomessa aiemmasta 5 000 eurosta 20 000 euroon.
Yrityskaupparintamaa leimaa edelleen yleisen kustannustason noususta johtuva epävarmuus, joka näkyy pitkittyneinä prosesseina. Vuoden loppua kohden on havaittavissa pientä kajoa tunnelin päässä ja toivon mukaan ensi vuonna yrityskauppojen tahti vilkastuu entiselle tasolleen.
Kohti tiukempaa digitaalista vastuullisuutta
Vuosi 2024 toi mukanaan merkittäviä edistysaskeleita EU:n digitaalisen sääntelyn kentällä. Erityisen huomion kohteena oli elokuussa voimaantullut tekoälyasetus (AI Act). Tekoälyasetus asettaa globaalisti tarkastellen ainutlaatuiset raamit tekoälyjärjestelmien kehittämiselle, käyttöönotolle ja valvonnalle. Riskiperusteinen lähestymistapa määrittelee tekoälyn käytön sallittavuuden ja sovellettavat vaatimukset tekoälyjärjestelmän potentiaalisten vaikutusten perusteella.
Digipalvelusäädöksen (Digital Services Act, DSA) vaikutukset laajenivat vuonna 2024, kun säädöstä alettiin alkuvuodesta soveltaa täysimääräisesti. Digipalvelusäädös on vaikuttanut laajamittaisesti digipalveluntarjoajien toimintamalleihin asettamalla velvoitteita esimerkiksi käyttäjien toimittaman sisällön moderointiin liittyen. Alkuvuodesta voimaan tuli myös datasäädös (Data Act), jonka tarkoituksena on mahdollistaa datan oikeudenmukainen jakautuminen vahvistamalla selkeät ja oikeudenmukaiset säännöt dataan pääsylle ja sen käytölle.
Vuoden aikana myös kyberturvallisuus nousi entistä enemmän keskiöön NIS2-direktiivin myötä, jota sovelletaan laajasti erilaisiin toimialoihin. Vaikka NIS2-direktiivin kansallinen toimeenpano viivästyi, velvoitteisiin varautuminen on monessa yrityksessä jo aloitettu muun muassa riskienhallintaa, tietoturvapoikkeamien raportointia ja kyberturvallisuusstrategioita koskevien prosessien läpikäynnillä. Toisena merkittävänä kyberturvallisuussäädöksenä vuonna 2024 tuli voimaan DORA-asetus, jonka tavoitteena on suojella EU:n finanssijärjestelmää kasvavilta kyberuhilta ja vahvistaa luottamusta digitaalisiin palveluihin kriittisellä sektorilla. Finanssialan toimijoiden lisäksi DORA-asetus vaikuttaa myös ICT-palveluntarjoajiin, jotka tuottavat palveluita finanssialan toimijoille.
Vuosi 2024 osoitti, että EU:ssa sääntelyä kehitetään kiihtyvällä tahdilla vastaamaan nopeasti muuttuvaa teknologista ympäristöä. Tasapainon löytäminen tarpeettoman raskaiden velvoitteiden ja vastuullisen liiketoiminnan turvaamiseksi tarpeellisen sääntelyn välillä on osoittautunut ajoittain haastavaksi. Uuteen sääntelyyn liittyvät epäselvyydet tulevat toivottavasti lähivuosina selkeytymään, kun tulkintakäytäntöä alkaa muodostua.
Tavoitteena ketterämmät työmarkkinat
Vuosi 2024 on pitänyt sisällään useita, erityisesti kollektiivista työlainsäädäntöä koskevia muutoshankkeita. Kuluvan vuoden kevättä värittivätkin laajat poliittiset lakot eri työpaikoilla, joilla työntekijäpuoli vastusti hallituksen kaavailemia uudistuksia.
Toukokuussa tuli voimaan rajoituksia perinteiseen työtaisteluoikeuteen. Jatkossa myötätuntolakoilla, eli varsinaisen työehtosopimusriidan työntekijöitä tukevilla lakoilla ei saisi olla suhteettomia vaikutuksia kohteena olevan työnantajan liiketoimintaan. Samoin poliittisten työnseisausten kestoa rajoitettiin vuorokauteen ja muiden poliittisten työtaistelutoimien kestoa kahteen viikkoon.
Työehtosopimuksiin perustuva paikallinen sopiminen laajenee myös järjestäytymättömille työpaikoille, jolloin paikallisen sopimisen joustot ovat jatkossa mahdollisia kaikilla kyseisen työehtosopimuksen velvoittamilla työpaikoilla. Uusi sääntely tuo siten yleissitovuuden nojalla työehtosopimusta soveltavat työpaikat samalle viivalle kuin liittoon kuuluvat, ja lisäksi jatkossa paikallista sopimista voitaisi hyödyntää myös yrityskohtaisissa työehtosopimuksissa.
Myös yhteistoimintalakiin esitetään huomionarvoisia muutoksia, jotka höllentäisivät pienten ja keskisuurten työnantajien yhteistoimintavelvoitteita. Lain yleisen soveltamisalan nosto tarkoittaisi selkeitä kevennyksiä alle 50 työntekijän työpaikoille, kun esimerkiksi vuoropuhelua voitaisiin käydä nykyistä työpaikkakohtaisemmin, ja samoin muutosneuvotteluita tulisi käydä huomattavasti rajatummissa tilanteissa. Myös työvoiman vähentämistä koskevien vähimmäisneuvotteluaikojen rajaaminen puoleen nykyisistä olisi merkittävä muutos nykyiseen sääntelyyn, jonka myötä työpaikat voivat reagoida ripeämmin mahdollisiin muutostilanteisiin. Lakimuutosten olisi tarkoitus tulla voimaan 2025 kesällä.
Kiistanalainen vientivetoinen palkkamalli etenee parhaillaan eduskunnassa. Lailla on tarkoitus säätää valtakunnan sovittelijan toimintavaltuuksista tilanteessa, jossa työmarkkinaosapuolet eivät pääse keskenään sopuun sopimuskauden palkankorotuksista. Tämä tarkoittaisi sovittelijan ehdottamien palkankorotusten sitouttamista niin sanottuun yleiseen linjaan, jossa palkankorotusten taso on melko vakiintuneesti määrittynyt isojen vientialojen palkkaratkaisujen mukaan.
Kuluneena vuonna työmarkkinakentällä on myllertänyt ja suomalaisen työelämän nykytilasta ja tulevaisuudesta on käyty laajaa poliittista keskustelua. Alkavana vuonna myöskään tuskin vältytään työmarkkinaväännöiltä, kun hallituksen lakihankkeet muun muassa henkilöperusteisen irtisanomisen osalta etenevät ja kevään työehtosopimuskierros pääsee kunnolla vauhtiin.
Tietosuojassa puhuttaa evästeet ja generatiivinen tekoäly
Tietosuojakentän vuotta 2024 on leimannut jälleen evästeiden käyttö ja kohdennettu mainonta. Suomessa Traficom on useissa päätöksissään tehnyt selväksi, että vapaaehtoisten evästeiden asettaminen edellyttää aktiivista suostumusta, joka on pystyttävä antamaan helposti jo evästebannerin ensimmäisellä ruudulla. Euroopan tietosuojaneuvosto (EDPB) on tarkastellut erityisesti suurten verkkoalustojen ”maksa tai suostu” -malleja, ja todennut, etteivät ne yleensä täytä pätevän suostumuksen vaatimuksia, jos käyttäjien annetaan valita ainoastaan kahdesta vaihtoehdosta, eli siitä, suostuvatko he henkilötietojen käsittelyyn kohdennettua mainontaa varten vai maksavatko he siitä, että heidän henkilötietojaan ei käytetä tällaiseen mainontaan. Elinkeinoelämä on kritisoinut linjausta todeten, että se jättää yksityisyydensuojan rinnalla se toisen perusoikeuden, elinkeinovapauden, huomioimatta. EDPB on julkaisemassa seuraavaksi muita kuin suuria verkkoalustoja koskevan ohjeistuksen ”maksa tai suostu” -malleihin liittyen.
Myös generatiivinen tekoäly on puhuttanut tietosuojayhteisöä. Keskeinen kysymys on ollut, mitä GDPR:n mukaista oikeusperustetta voidaan käyttää, kun käsitellään henkilötietoja tekoälymallien koulutusta varten, esim. kun tietoja crawlataan verkkosivustoilta tai sosiaalisen median palveluista. Iso-Britannin tietosuojaviranomainen ICO ja Ranskan tietosuojaviranomainen CNIL ovat julkaisseet ohjeistuksia, joissa viitataan oikeutettuun etuun käsittelyperusteena edellyttäen, että tavoiteltu etu on lainmukainen, ja käsittely on tarpeen tuon laillisen tarkoituksen toteuttamiseksi, eivätkä rekisteröidyn perusoikeudet ja -vapaudet syrjäytä tavoiteltua oikeutettua etua. EPDB:n ChatGPT työryhmä ei ottanut käsittelyn oikeusperusteeseen selkeää kantaa raportissaan, mutta linjaa yleisesti oikeutettua edun käyttämistä käsittelyperusteena lokakuussa julkaistussa ohjeistuksessaan.
Tietosuojasakot eivät jääneet tänäkään vuonna vähäisiksi. Irlannin tietosuojaviranomainen antoi LinkedInille 310 MEUER sakot, sillä LinkedIn ei ollut pyytänyt käyttäjiltään pätevää suostumusta mainonnan kohdentamiseen. Hollannin tietosuojaviranomainen taas antoi Uberille 290 MEUR sakot sen siirrettyä henkilötietoja Yhdysvaltoihin ilman asianmukaista perustetta. Meta sai 91 MEUR sakot käsiteltyään käyttäjien salasanoja huolimattomasti selkokielisenä sisäisissä järjestelmissään. Komission raportti GDPR:n soveltamisesta ja toimivuudesta kertoo, että Suomessa sakkoja on annettu jäsenmaista kolmanneksi vähiten. Raportti myös nostaa esiin, että tietosuojalainsäädännön soveltamisessa on yhä havaittu hajanaisuutta EU-maiden välillä, että tulevina vuosina tulisi keskittyä lisäämään tietosuoja-asetuksen yhdenmukaista tulkintaa entisestään. Myös EU:n uuden digi- ja datasääntelyn yhtenäinen soveltaminen edellyttää viranomaisten toimivaa yhteistyötä.
Tervetuloa 2025!
Digitalisaatio ja globalisaatio haastoivat lainsäätäjiä kuluneena vuonna, ja näemme varmasti saman trendin jatkuvan myös tulevina vuosina. Tilaa Folks Fokus ja Folksin uutiskirje, niin pysyt jatkossakin kartalla keskeisistä organisaatioihin vaikuttavista muutoksista. Pääset tilaamaan uutiskirjeen täältä.
Folks toivottaa kaikille rentouttavaa joulunaikaa ja iloista uutta vuotta!
