Suvereniteetti
Eurooppalainen ja amerikkalainen pilvi eroavat ensisijaisesti palvelua hallitsevan yhtiön osalta, toiseksi tähän yhtiöön sovellettavan lain osalta ja vasta sitten palvelimien sijaintimaan osalta. Kaksi identtistä konesalia Frankfurtissa voivat kuulua kahden eri lain piiriin.
Usein vertaillaan konesalikarttoja: Pariisi, Dublin, Frankfurt. Se on helppoa, ja se vastaa toissijaiseen kysymykseen. Jotta tietäisit, kuka voidaan velvoittaa luovuttamaan datasi, on katsottava yhtiötä, jonka hallussa data on, ja lakia, jonka alainen se on. Hyödyllinen vertailu asettaa vastakkain kaksi oikeudellista asemaa, ei kahta maata, eikä se nimeä voittajaa: oikea valinta riippuu yrityksen käyttötarpeista. Suvereniteetin käsitettä selitetään sivulla mikä on suvereeni pilvi ja hankintakriteeristöä sivulla määritelmä, kriteerit ja rajoitukset. Tämä sivu vertailee.
Microsoft ja Google ovat Yhdysvaltain lain alaisia yhtiöitä. Niiden eurooppalaiset sopimukset, tytäryhtiöt ja konesalit unionissa eivät poista tätä tosiasiaa. Kun yhdysvaltalainen viranomainen kääntyy niiden puoleen Yhdysvaltain lain nojalla, kysymys kuuluu: onko yhtiöllä datan hallussapito tai määräysvalta siihen, myös silloin kun levyt ovat Euroopassa?
Vuonna 2018 annettu yhdysvaltalainen laki CLOUD Act vastaa tähän Yhdysvaltain lainkäyttövallan alaisten palveluntarjoajien osalta: pätevä määräys voi koskea palveluntarjoajan hallussa olevaa dataa tallennuspaikasta riippumatta. Kyse ei ole pysyvästä pääsystä. Kyse on menettelystä. Ostajan kannalta käytännön kysymys on muualla: levyn eurooppalainen sijainti ei poista amerikkalaista palveluntarjoajaa tämän menettelyn piiristä.
Nämä yhtiöt tarjoavat todellisia sijaintijärjestelyjä. Microsoft kuvaa EU:n datarajauksen (EU Data Boundary) tietyille palveluille: asiakasdata ja pseudonymisoitu henkilödata tallennetaan ja käsitellään EU:ssa tai EFTA-alueella, ammattipalvelujen data tallennetaan levossa, ja poikkeukset on dokumentoitu (tuen etäpääsy, tietyt eskalaatiot, valinnaiset toiminnot, Multi-Geo-asiakkaat rajauksen ulkopuolella). Google tarjoaa data-alueita katetulle sisällölle versiosta riippuen sekä tuen pääsynhallinnan (Access Management), joka on varattu tietyille versioille ja lisävalinnoille. Nämä järjestelyt vähentävät tietovirtoja. Ne eivät muuta ohjelmistotoimittajan kansallisuutta.
Amerikkalainen ohjelmistotoimittaja, joka palvelee eurooppalaisia asiakkaita, on kahden lain välissä. Yhdysvaltain laki voi velvoittaa sen luovuttamaan määräysvallassaan olevaa dataa. GDPR (EU:n yleinen tietosuoja-asetus) säätää 48 artiklassaan, että kolmannen maan tuomioistuimen tai viranomaisen päätös, jossa vaaditaan henkilötietojen siirtämistä tai luovuttamista, voidaan tunnustaa tai panna täytäntöön vain, jos se perustuu kyseisen maan ja unionin tai jäsenvaltion välillä voimassa olevaan kansainväliseen sopimukseen, kuten keskinäistä oikeusapua koskevaan sopimukseen. Teksti ei kerro, miten ohjelmistotoimittaja sovittaa nämä kaksi vaatimusta yhteen yksittäistapauksessa: palveluntarjoajan on selitettävä käytäntönsä, ja asiakkaan on kysyttävä sitä.
Yhdysvaltain laki tarjoaa oikeussuojakeinon. 18 U.S.C. § 2703(h):n mukaan palveluntarjoaja voi 14 päivän kuluessa määräyksen tiedoksiannosta vaatia sen kumoamista tai muuttamista, jos se katsoo, ettei asiakas ole ”United States person” eikä asu Yhdysvalloissa ja että luovutus altistaisi sen vakavalle riskille rikkoa ”hyväksytyn ulkomaisen hallituksen” lakia. Kyse on valtiosta, joka on sidottu Yhdysvaltoihin voimaan tulleella toimeenpanosopimuksella. Yhdysvaltain oikeusministeriö julkaisee sopimukset Yhdistyneen kuningaskunnan (allekirjoitettu 3. lokakuuta 2019) ja Australian (allekirjoitettu 15. joulukuuta 2021) kanssa. Euroopan unionin kanssa ei ole voimassa sopimusta; EU:n ja Yhdysvaltain neuvottelut sähköisestä todistusaineistosta jatkuivat vuonna 2023; ministeriön sivulla ei mainita sopimusta Ranskan kanssa. Tämä erityinen riitauttamismekanismi kuitenkin edellyttää tällaista sopimusta.
Kysymys on esitetty julkisesti Ranskassa. Senaatin julkisia hankintoja käsittelevässä tutkintavaliokunnassa 10. kesäkuuta 2025 Microsoft Francen julkisten ja oikeudellisten asioiden johtajalta kysyttiin, voiko hän valan nojalla taata, ettei Ugapin kautta Microsoftille annettua Ranskan kansalaisten dataa koskaan luovutettaisi Yhdysvaltain hallituksen määräyksen perusteella ilman Ranskan viranomaisten nimenomaista suostumusta. Hän vastasi: ”Ei, en voi taata sitä, mutta, kuten sanottu, niin ei ole vielä koskaan tapahtunut.” Vastaus sisältää keskustelun molemmat osat: takuun, jota yhtiö ei voi antaa, ja tapauksen, jota sen mukaan ei ole sattunut.
Eurooppalainen pilvi termin hyödyllisessä merkityksessä on eurooppalaisen lain alaisen yhtiön ylläpitämä, eikä yhtiö ole riippuvainen konsernista, jota sitoo amerikkalainen velvollisuus luovuttaa dataa. OVHcloud on ranskalainen yhtiö. Nextcloud GmbH on saksalainen yhtiö: se kehittää ohjelmistoa, jota asiakas tai hosting-palveluntarjoaja ylläpitää. BlueMind on ranskalainen sähköpostipalveluyhtiö. Infomaniak on sveitsiläinen yhtiö: Sveitsi on Euroopassa, Euroopan unionin ulkopuolella, ja sillä on komission tietosuojan riittävyyttä koskeva päätös. Sen luokitteleminen ”amerikkalaiseksi” olisi väärin. Sen luokitteleminen ”Euroopan unioniin” olisi myös väärin.
Eurooppalainen laki ei ole yksi yhtenäinen kilpi. Ranskalainen ylläpitäjä vastaa Ranskan lain mukaan, saksalainen ylläpitäjä Saksan lain mukaan. Viranomaispyyntöjä esiintyy. Ne kulkevat ylläpitäjän kotimaan tuomioistuimen ja sääntöjen kautta.
Eurooppalaisuus voi myös kadota alihankinnassa: eurooppalainen ylläpitäjä, joka antaa varmuuskopioinnin, suodatuksen tai tuen amerikkalaiselle palveluntarjoajalle, tuo takaisin juuri sen, mitä ostaja halusi välttää. Sivu yrityksen suojaaminen CLOUD Actilta käsittelee tätä tarkemmin.
| Kysymys | Amerikkalaisen ohjelmistotoimittajan pilvi, data Euroopassa | Eurooppalaisen yhtiön ylläpitämä pilvi |
|---|---|---|
| Missä levyt ovat? | Usein valittavissa, EU-alueella, kirjatuin poikkeuksin | Sopimuksen mukaan: Ranska, Saksa, muu EU-maa tai asiakkaan tilat |
| Kenet voidaan Yhdysvalloissa velvoittaa luovuttamaan määräysvallassaan oleva data? | Amerikkalainen ohjelmistotoimittaja, jos sillä on hallussapito tai määräysvalta | Eurooppalaista ylläpitäjää lähtökohtaisesti ei, ellei se ole riippuvainen konsernista tai alihankkijasta, jota voidaan |
| Mikä tuomioistuin paikallisessa pyynnössä? | Sopimukseen sovellettava laki, jota täydentää usein ohjelmistotoimittajan Yhdysvaltain laki | Ylläpitäjän kotimaan laki |
| Edistyneet toimisto-ohjelmistotoiminnot | Hyvin laajat (Office, Excel, Teams tai Docs ja Googlen haku) | Vaihtelevat tuotteen mukaan. Harvoin vastaavat edistyneessä Excelissä, Power BI:ssä tai Teams-ekosysteemissä |
| Datan vienti | Todelliset vientityökalut, chat- ja automaatiohistoriat usein osittaisia | Arvioitava tarjous kerrallaan. Sähköpostin vienti (IMAP) on yleensä yksinkertaisin |
Kumpikaan sarake ei voita kaikkialla: amerikkalainen ohjelmistotoimittaja voittaa toimintojen laajuudessa, eurooppalainen ylläpitäjä oikeudellisessa asemassa. Päättäminen tarkoittaa sen tietämistä, mikä rivi painaa eniten sinun yrityksesi kannalta.
Vaikka data tallennettaisiin Euroopassa, amerikkalaisen ohjelmistotoimittajan palveluun liittyy siirtoja (tuen pääsy, eskalaatiot, valinnaiset toiminnot), joiden on perustuttava GDPR:n mukaiseen perusteeseen.
Edellinen kehys, Privacy Shield (päätös 2016/1250), mitätöitiin Euroopan unionin tuomioistuimessa 16. heinäkuuta 2020 (asia C-311/18, ns. Schrems II) erityisesti Yhdysvaltain valvontaohjelmien laajuuden ja tehokkaiden oikeussuojakeinojen puuttumisen vuoksi. Vakiosopimuslausekkeet ovat edelleen päteviä, mutta ne edellyttävät tapauskohtaista arviointia.
Tilanne 5. lokakuuta 2026: siirrot sertifioiduille yhdysvaltalaisille organisaatioille voivat perustua tietosuojan riittävyyttä koskevaan päätökseen (EU) 2023/1795, ns. Data Privacy Framework. Se on voimassa. Se on riitautettu, kuten asianajotoimistot DAC Beachcroft ja WilmerHale toteavat. Jälkimmäisen mukaan Euroopan unionin yleinen tuomioistuin hylkäsi kumoamiskanteen 3. syyskuuta 2025, ja asiasta valitettiin unionin tuomioistuimeen 31. lokakuuta 2025. Huolellinen yritys dokumentoi tämän perusteen selosteeseensa ja suunnittelee, mitä tehdä, jos peruste kaatuu.
Se on edelleen perusteltu, kun liiketoiminta nojaa edistyneeseen Exceliin, Power BI:hin, Office-lisäosiin, Teamsiin toimialan standardina tai kymmeniin jo tuotannossa oleviin integraatioihin. Työkalun vaihtaminen oikeudellisesta syystä ja sen käyttötavan menettäminen, joka pitää yrityksen pyörimässä, on huono laskelma. Sivu Microsoft 365 vai suvereeni ratkaisu käsittelee tätä kynnystä tarkemmin.
Se on perusteltu myös silloin, kun siirron oikeudellinen analyysi, tietojenkäsittelysopimus (DPA) ja datan sijaintivaihtoehdot vastaavat selosteen todelliseen tarpeeseen. Monet eurooppalaiset yritykset käyttävät Microsoft 365:tä tai Google Workspacea tässä kehyksessä. Sen sanominen kuuluu rehelliseen vertailuun. Tarvittavat tarkistukset kuvataan sivuilla GDPR ja Microsoft 365 ja GDPR ja Google Workspace.
Se tulee perustelluksi, kun johto haluaa, että sähköpostien ja tiedostojen haltija on eurooppalainen yhtiö, että tuki on tavoitettavissa tässä kehyksessä ja että käyttötarpeet mahtuvat sähköpostiin, tiedostoihin ja niiden verkkomuokkaukseen, videoneuvotteluihin, CRM:ään ja puhelinpalveluun. Se tulee perustelluksi myös asiakkaan tiloihin tehtävässä käyttöönotossa, kun yritys ei halua pilveä lainkaan.
Vaihtoehdot eivät sulje toisiaan pois. Yritys voi pitää amerikkalaisen ohjelmistopaketin niissä tehtävissä, jotka ovat siitä riippuvaisia, ja antaa loput eurooppalaiselle ylläpitäjälle. Tämä järjestely vaatii enemmän hallinnointia; se on perusteltu, kun käyttötarpeiden jako on selkeä.
Opas Eurooppalaiset vaihtoehdot Microsoft 365:lle käy läpi Microsoft 365:n, Google Workspacen, OVHcloudin, Nextcloudin, Infomaniakin, muita toimijoita ja Klyticin sekä kunkin käyttötapauksen.
Hypoteettinen tapaus. Teollisella pk-yrityksellä on kaksi toimipaikkaa. Suunnitteluosasto työskentelee edistyneessä Excelissä ja viestii toimeksiantajiensa kanssa Teamsissa. Tuotanto, hankinnat ja hallinto käyttävät lähinnä sähköpostia ja jaettuja kansioita, joissa on piirustuksia.
Eräs toimeksiantaja vaatii, että sen piirustukset ovat eurooppalaisen yhtiön hallussa. Suunnitteluosastolle edistyneestä Excelistä ja Teamsista luopuminen sekoittaisi yhteistyön asiakkaiden kanssa: amerikkalainen ohjelmistopaketti on edelleen perusteltu, kun siirron analyysi on dokumentoitu. Muiden osastojen piirustusten ja sähköpostien osalta eurooppalainen ylläpitäjä vastaa vaatimukseen ilman käytettävyyden menetystä. Päätös seuraa taulukon rivejä, ei periaatetta.
Ei. CLOUD Act koskee dataa, joka on Yhdysvaltain lain alaisen palveluntarjoajan hallussa tai määräysvallassa, tallennuspaikasta riippumatta. Eurooppalainen alue vähentää siirtoja. Se ei muuta yhtiötä, jonka hallussa data on.
Kyllä, jos se on riippuvainen tämän lain alaisesta konsernista tai jos se antaa dataa alihankkijalle, joka on tämän lain alainen. Siksi on tarkistettava emoyhtiö ja alihankkijaluettelo, ei pelkästään ylläpitäjän nimeä.
Se tarjoaa GDPR:n mukaisen perusteen siirroille sertifioiduille yhdysvaltalaisille organisaatioille. Se on voimassa ja riitautettu. Se ei muuta ohjelmistotoimittajan kansallisuutta eikä Yhdysvaltain lain mukaisen määräyksen ulottuvuutta.
Klytic kuuluu taulukon jälkimmäiseen sarakkeeseen. Sitä ylläpitää ranskalainen yhtiö Dedicace Software. Hosting on mahdollista millä tahansa maantieteellisellä alueella, joka vastaa sovellettavaa lainkäyttövaltaa, edellyttäen että tarvittavat palvelut ovat saatavilla, esimerkiksi Euroopassa tai Mauritiuksella, tai asiakkaan palvelimilla.
Sähköpostipalvelu perustuu Zimbraan, jonka ohjelmistotoimittaja on yhdysvaltalainen Synacor ja jota Klytic ylläpitää. Asiakirjat perustuvat kullekin asiakkaalle omaan Nextcloud-instanssiin. Klytic ei ole SecNumCloud-kvalifioitu, eikä se korvaa edistynyttä Exceliä, Power BI:tä eikä Teamsia. Palveluja voi ostaa erikseen: yritys voi pitää Microsoft 365:n ja lisätä vain Klytic MTA -suodatuksen sähköpostipalvelunsa eteen. Hostingin yksityiskohdat ovat sivulla hosting ja suvereniteetti.
Tämä sivu kuvaa yleistä kehystä. Se ei korvaa sopimuksesi analyysia.
Oikeudellinen tilanne 5. lokakuuta 2026. Tämä teksti ei korvaa sopimuksen analyysia. EU:n ja Yhdysvaltojen välinen tietosuojan riittävyyttä koskeva päätös (EU) 2023/1795 on voimassa. Se on riitautettu. SecNumCloudin osalta ANSSI:n luettelo on ratkaiseva.
Tarkistettu lokakuussa 2026.
Sähköposti, dokumentit, videoneuvottelut, CRM ja puhelinpalvelu lainkäyttöaluettasi vastaavalla alueella, esimerkiksi Euroopassa tai Mauritiuksella, tai omissa tiloissasi.
Tervetuliaistarjous
Sitoumukseton kokeilu. Asiantuntijamme soittaa sinulle kartoittaakseen tarpeesi ja valmistellakseen Klytic-ympäristösi.
