Anonymisointityökalu ja GDPR: TikTok-sakko selitettynä
TikTok-ennakkotapaus
Toukokuussa 2025 Irlannin tietosuojakomissio sakotti TikTokia 530 miljoonalla eurolla. TikTok oli lähettänyt EU-käyttäjätietoja Kiinaan. Siltä puuttuivat asianmukaiset suojatoimet.
Keskeisin seikka on kapea. Rikkomus oli henkilötietojen vienti itsessään. Ei kerääminen. Ei se, mitä Kiinassa tapahtui. EU-tietueiden lähettäminen EU:n ulkopuoliselle palvelimelle rikkoi 46 artiklan 1 kohtaa.
GDPR:n 44–49 artiklat koskevat kaikkia EU-tietueiden rajat ylittäviä siirtoja. Jokainen siirto tarvitsee oikeudellisen perusteen. Yleiset vaihtoehdot:
- Riittävyyttä koskeva päätös (EU hyväksyy vastaanottajamaan lait)
- Vakiosopimuslausekkeet, jotka sitovat vastaanottajan
- Sitovat konserniyritysten säännöt suurille monikansallisille yrityksille
- Muu 46 artiklan mukainen mekanismi
GDPR-sakot nousivat 5,65 miljardiin euroon vuoteen 2025 mennessä. Rajat ylittävät rikkomukset ovat nyt keskimäärin 18 miljoonaa euroa per täytäntöönpanotoimenpide (DLA Piper 2025). Ne ovat kalleimpien GDPR-luokkien joukossa.
Anonymisointityökalun ongelma
Monet EU-yritykset käyttävät yhdysvaltalaisia työkaluja henkilötietojen poistamiseen sisällöstään. Tämä näyttää turvalliselta. Lataa EU-asiakassisältö. Saat puhtaan tulosteen takaisin. Tallenna se EU:hun.
Mutta raakahenkilötieto kulki ensin yhdysvaltalaisella palvelimella. Tämä läpikulku lasketaan 44–49 artiklojen mukaiseksi vienniksi. Hyvä tarkoitus ei muuta oikeudellista testiä. Henkilötietojen poistaminen jälkikäteen ei kumoaa aiempaa siirtoa. Vienti on jo tapahtunut.
Irlannin tietosuojakomission TikTok-logiikka pätee tässä. Rikkomus on EU-käyttäjätietueiden siirto EU:n ulkopuoliselle palvelimelle. Yhdysvaltalainen työkalu, joka vastaanottaa EU-henkilötietoja yhdysvaltalaisilla palvelimilla, on vastaanottanut viennin. Se tarvitsee vakiosopimuslausekkeet, riittävyyttä koskevan päätöksen tai sitovat konserniyritysten säännöt — samoin kuin mikä tahansa muu rajat ylittävä siirto.
Organisaatiot jättävät tämän usein huomaamatta. Ne olettavat, että anonymisointitulos vapauttaa viennistä. Näin ei ole. Oikeudellinen analyysi perustuu siihen, mitä lähti EU:sta, ei siihen, mitä palasi.
Nollatietopohjainen ratkaisu
Ratkaisu on arkkitehtuurinen. Työkalu, joka ei koskaan vastaanota henkilötietoja, ei voi aiheuttaa rajat ylittävää rikkomusta.
Tällainen työkalu suorittaa henkilötietojen tunnistuksen paikallisesti, käyttäjän selaimessa tai paikallisessa sovelluksessa. Sen palvelin näkee vain puhtaan tulosteen — tunnukset, jotka korvaavat todelliset nimet, tunnisteet ja yhteystiedot. anonym.legal ei toimi näin: sen tunnistus suoritetaan EU:ssa isännöidyssä API:ssa (Hetzner, Falkenstein), joten teksti pysyy EU:ssa mutta päätyy kuitenkin palvelimelle.
GDPR:n nojalla tulos ilman henkilötietoja ei ole vientisääntöjen alainen. Mitään todellista sisältöä ei ole poistunut EU:sta.
Tämä ero on tärkeä 30 artiklan tietueiden kannalta. ROPA-merkintä nollatietopohjaiselle EU-työkalulle ei kirjaa rajat ylittävää siirtoa. ROPA-merkintä yhdysvaltalaiselle työkalulle, joka vastaanottaa raakaa EU-henkilötietoa, kirjaa viennin. Tämä merkintä tarvitsee selkeästi dokumentoidun oikeudellisen perustan.
GDPR-vaatimustenmukaisuusopas kattaa sen, mitä ROPA-merkintöjen on sisällettävä. Tietoturvan vaatimustenmukaisuusyhteenveto selittää niitä tukevat tekniset kontrollit. Katso myös anonymisointijohdonmukaisuusopas dokumentointivinkkejä varten eri työkaluissa.