530 miljoonan euron TikTok-sakko: GDPR ja tietosuvereniteetti

TikTok-ratkaisu, joka muutti tietosuvereniteettia

Päivitetty vuodelle 2026

Toukokuussa 2025 Irlannin tietosuojakomissio (DPC) sakoitti TikTokia 530 miljoonalla eurolla. Syy oli yksinkertainen. TikTok lähetti EU-käyttäjien tietoja Kiinaan ilman asianmukaisia suojatoimia.

Tämä on toiseksi suurin yksittäinen GDPR-sakko koskaan. Vain Meta:n 1,2 miljardin euron sakko vuodelta 2023 on suurempi. Irlannin DPC antoi sekin – EU-tietojen lähettämisestä Facebookin Yhdysvaltain palvelimille.

Molemmat tapaukset jakavat selkeän kaavan. Rajat ylittävät siirrot ilman asianmukaisia suojatoimia saavat suurimmat sakot. Viranomaiset jatkavat painostusta, kunnes yritykset muuttuvat.

Kokonaiset GDPR-sakot saavuttivat 5,65 miljardia euroa vuoteen 2025 mennessä. Valvonta ei enää ole taustainen riski. Se on aktiivinen liiketoimintakustannus. Katso GDPR-vaatimustenmukaisuusoppaamme käytännön yleiskatsauksesta.

Mitä TikTok-tapaus ratkaisi

Tämä tapaus ei koskenut tietomurtoa. Se koski sitä, minne käyttäjätiedot menevät ja mikä on oikeudellinen perusta niiden siirtämiselle rajojen yli.

TikTok tallentaa EU-käyttäjätietoja palvelimille. Kiinan henkilöstö pystyi käyttämään kyseisiä palvelimia. GDPR:n artiklat 44–46 rajoittavat siirtoja maihin, joilla ei ole EU:n riittävyyspäätöstä. Kiinalla ei ole sellaista. TikTok väitti, että sillä on riittävät tekniset toimenpiteet. Viranomaiset sanoivat ei.

Oppi on yksinkertainen. EU:ssa isännöinti ei riitä, jos EU:n ulkopuolinen henkilöstö pääsee käyttämään tiedostoja. Se ei myöskään riitä, jos yrityksen on noudatettava ei-riittävän maan lakeja.

Tämä on merkityksellistä SaaS-toimittajia valittaessa. Toimittaja voi sanoa "isännöimme EU:ssa". Mutta jos emoyhtiö sijaitsee muualla, sama riski pätee. Jos tukihenkilöstö käyttää käyttäjätietoja EU:n ulkopuolelta, sama riski pätee. Heidän asiakkaansa jakavat kyseisen riskin. Tarkista vaatimustenmukaisuuden tarkistuslista ennen DPA:n allekirjoittamista.

GDPR-sakot: 5,65 miljardia euroa ja kasvussa

Viranomaiset siirtyivät sääntöjen asettamisesta niiden täytäntöönpanoon. Siirtorikkomukset saavat nyt suurimmat sakot. Lue, miten käsittelemme turvallisuuden ja suojatoimet.

Saksa, Sveitsi ja alakohtaiset säännöt

GDPR:n artiklat 44–46 koskevat kaikkia sektoreita. Mutta joillakin toimialoilla on lisäsääntöjä GDPR:n lisäksi.

Saksan terveydenhuolto: Sosiaaliturvalakikirjan V osa (SGB V) rajoittaa terveysasiakirjat saksalaisiin hallittuihin järjestelmiin. Saksalainen vakuuttaja voi käyttää pilven anonymisointityökalua Dublinissa – se on EU. Mutta se saattaa silti rikkoa SGB V:tä, jos työkalun omistaja on ei-saksalainen yritys.

Sveitsiläinen pankkitoiminta: Pankkitoimintalain 47 artikla kieltää asiakasasiakirjojen jakamisen ulkopuolisille – mukaan lukien pilvipalveluntarjoajille ilman asiakkaan nimenomaista suostumusta. Sveitsiläisen pankin asiakastiedostot, vaikka EU:ssa isännöidyssä työkalussa, voivat laukaista tämän lain.

Saksan julkinen sektori: BfDI:n ohjeet rajoittavat valtion asiakirjat valtion hallitsemiin järjestelmiin. Anonymisointityökalu kaupallisen pilvipalveluntarjoajan EU-palvelimilla ei täytä tätä vaatimusta.

Oppi: GDPR-vaatimustenmukaisuus on lattia, ei katto. Monilla sektoreilla on tiukemmat säännöt. Yhteisöjen käsittelyä koskeva yleiskatsauksemme kartoittaa, mitkä säännöt koskevat mitäkin sektoria.

Kenellä on riittävyyspäätös?

GDPR sallii maiden vaihtaa käyttäjätietoja vapaasti, jos Euroopan komissio katsoo, että ne tarjoavat vastaavan suojan. Nämä maat täyttävät vaatimukset:

Andorra, Argentiina, Kanada (kaupalliset ryhmät), Färsaaret, Guernsey, Israel, Mansaari, Japani, Jersey, Uusi-Seelanti, Etelä-Korea, Sveitsi, Yhdistynyt kuningaskunta, Uruguay ja USA (Data Privacy Framework).

Nämä maat eivät täytä vaatimuksia: Kiina, Intia, Venäjä, Brasilia, suurin osa Aasian ja Tyynenmeren alueesta, suurin osa Lähi-idästä, suurin osa Afrikasta.

EU:n ja USA:n tietosuojakehys on jälleen voimassa. Mutta sitä haastetaan yhä tuomioistuimissa. Samat oikeudelliset argumentit kaasivat Safe Harborin (Schrems I) ja Privacy Shieldin (Schrems II). Tätä kehystä käyttävien yritysten tulisi varautua uuteen mitätöintiin.

Neljä suojelun tasoa työkalujen valinnassa

TikTok- ja Meta-tapaukset luovat selkeän hierarkian SaaS-työkalujen arvioinnissa.

Taso 1 – EU-isännöinti: Käyttäjätietoja käsitellään ja tallennetaan EU-palvelimilla. Tämä täyttää GDPR:n perusvaatimuksen useimmissa käyttötapauksissa.

Taso 2 – EU-pohjainen operaattori: Toimittajan emoyhtiö on EU-pohjainen. Se ei ole ei-riittävien maiden lakien alainen. Tämä korjaa TikTok-ongelman. EU-isännöinti yhdistettynä kiinalaiseen lainsäädäntöön altistumiseen emoyhtiön kautta ei ole turvallista.

Taso 3 – Zero-knowledge-suunnittelu: Vaikka toimittaja murrettaisiin tai saisi tuomioistuimen määräyksen, he eivät pysty lukemaan tiedostojasi. Sinä pidät salausavaimia. Heillä on vain salateksti. Lue zero-knowledge-lähestymistavastamme.

Taso 4 – Paikallinen käsittely: Asiakirjasi eivät koskaan poistu omista järjestelmistäsi. Käsittely toimii paikallisessa laitteistossa tai hallituslähtöisissä koneissa. Tämä on ainoa tapa täyttää täysin Saksan SGB V, sveitsiläinen pankkisalaisuus ja BfDI:n säännöt. Katso hinnoittelusuunnitelmamme Desktop App -vaihtoehdoista.

DPIA:t TikTokin jälkeen

GDPR:n 35 artikla edellyttää tietosuojavaikutusten arviointia korkean riskin käsittelylle. Tätä kutsutaan DPIA:ksi. Kun käyttäjätiedostoja lähetetään kolmansien maiden käsittelijöille, tarvitaan myös siirtovaikutusten arviointi.

TikTokin jälkeen pilven mustaamistyökalujen DPIA:iden on vastattava neljään kysymykseen.

Emoyhtiön lainkäyttöalue: Onko toimittajan emoyhtiö lakien – CLOUD Act, Kiinan kyberturvallisuuslaki – alainen, jotka voisivat pakottaa heitä luovuttamaan EU-käyttäjätiedostoja?

Henkilöstön pääsy: Pääsevätkö ei-riittävien maiden henkilöstö EU-käyttäjätiedostoihin normaalitoiminnoissa?

Oikeudellinen perusta: Mikä GDPR:n 46 artiklan mekanismi kattaa mahdolliset siirrot – SCC:t, BCR:t vai poikkeukset?

Murron vaikutus: Jos toimittaja murretaan tai pakotetaan luovuttamaan asiakirjoja, mitä paljastuu?

TikTok osoitti, etteivät sopimukset yksin riitä. Sinun on arvioitava ne riittävyyden kannalta. Dokumentoi vastauksesi. Selaa UKK:tamme yleisistä DPIA-kysymyksistä.

Vuoden 2026 hankintakysymykset

Tietosuojavastaavat esittävät nyt erittäin tarkkoja kysymyksiä arvioidessaan SaaS-toimittajia henkilötietojen käsittelytyökaluille.

• Missä palvelimet sijaitsevat? (EU?)
• Missä emoyhtiö sijaitsee? (EU? USA? Muualla?)
• Pääsevätkö EU:n ulkopuoliset henkilöstöt EU-asiakastiedostoihin?
• Mikä laki säätelee tuomioistuimen määräyksiä henkilöasiakirjoista?
• Pitääkö toimittaja salausavaimia vai sinä?
• Onko paikallisen käsittelyn vaihtoehto olemassa?

Vastaukset näihin kysymyksiin – ei pelkät DPA-allekirjoitukset – määrittävät todellisen tietosuvereniteettitason. Lue, miten anonym.legal on rakennettu vastaamaan kaikkiin niihin, perustajan lausunnossamme. Voit myös selata keskeisten käsitteiden sanastoamme nopeista SCC:iden, BCR:ien ja riittävyyspäätösten määritelmistä.

TikTokin jälkeinen ympäristö on selkeä. Viranomaiset seuraavat rajat ylittäviä siirtoja tarkasti. Sakot ovat suuria. Ne kasvavat. Toimittajavalintasi on nyt sääntelyllinen päätös. Se ei ole pelkästään tekninen.

anonym.legal käyttää EU-pohjaisia Hetzner-datakeskuksia zero-knowledge-suunnittelulla. Palvelin ei koskaan näe selkokielistä sisältöäsi. Täydellinen palvelinmurto tuottaa vain AES-256-GCM-salatekstiä. Tarvitsetko vain paikallista käsittelyä? Desktop App toimii kokonaan laitteellasi ilman ulkoisia yhteyksiä.

Lähteet

• Irish DPC: TikTok 530 miljoonan euron päätös – VERIFIED-EXTERNAL
• Wire: Digital Sovereignty 2025 – VERIFIED-EXTERNAL
• GDPR.eu Enforcement Tracker – VERIFIED-EXTERNAL