Riittääkö EU-sijainti? FISA 702, CLOUD Act ja GDPR:n paradoksi

Moni asianajotoimisto valitsee pilvi- tai tekoälypalvelun yhdellä kysymyksellä: "onko data EU:ssa?" Vastauksen ollessa kyllä asia tuntuu kunnossa olevalta. Valitettavasti sijainti on vain puolet kysymyksestä – ja usein vähemmän tärkeä puoli.

Oletus ja sen sokea piste

Oletus kuuluu: kun palveluntarjoaja säilyttää datan eurooppalaisessa konesalissa, tieto on GDPR:n suojassa. Sokea piste on omistus. Jos palveluntarjoaja on yhdysvaltalainen yhtiö tai sen tytäryhtiö, se kuuluu Yhdysvaltain lainkäyttövaltaan riippumatta siitä, missä palvelimet fyysisesti ovat.

Kaksi lakia, jotka seuraavat dataa

FISA Section 702. Yhdysvaltain tiedustelu voi velvoittaa yhdysvaltalaiset viestintä- ja pilvipalvelut luovuttamaan ulkomaisten (ei-yhdysvaltalaisten) henkilöiden tietoja. Kohteena ovat nimenomaan eurooppalaiset käyttäjät.

CLOUD Act (2018). Yhdysvaltalaisen palveluntarjoajan on luovutettava hallinnassaan, hallussaan tai määräysvallassaan oleva data viranomaisille – riippumatta siitä, missä maassa data sijaitsee. EU-konesali ei ole tämän este.

Yhdessä nämä tarkoittavat, että yhdysvaltalaisen tarjoajan EU:ssa säilyttämä aineisto on tavoitettavissa yhdysvaltalaisella määräyksellä. Määräykseen voi liittyä salassapitovelvoite, jolloin asiakas ei saa edes tietää luovutuksesta.

Tästä syntyy paradoksi

Data lepää EU:ssa ja täyttää "sijainti EU:ssa" -vaatimuksen, mutta on samaan aikaan toisen valtion pakkokeinojen ulottuvilla. Juuri tähän ristiriitaan EU-tuomioistuin puuttui Schrems II ‑ratkaisussa (2020): se kumosi Privacy Shield -järjestelyn, koska yhdysvaltalainen valvontalainsäädäntö ei tarjonnut EU:ta vastaavaa suojaa eikä riittäviä oikeussuojakeinoja. Vakiosopimuslausekkeet (SCC) säilyivät, mutta vain täydentävien suojatoimien kanssa ja tapauskohtaisen arvion jälkeen.

Vuoden 2023 EU–US Data Privacy Framework palautti oikeudellisen siirtoperustan, mutta se rakentuu samalle pohjalle, jota arvostellaan yhä – uutta tuomioistuinkäsittelyä ("Schrems III") pidetään laajalti todennäköisenä. Oikeudellinen perusta on siis olemassa tänään, mutta epävarmalla maaperällä.

Miksi tämä on asianajajalle erityisen kriittistä

Asianajaja vastaa salassapidosta henkilökohtaisesti. Toimeksiantoaineiston päätyminen vieraan valtion viranomaiselle – ilman asiakkaan tietoa ja suostumusta – ei ole pelkkä tietosuojarike vaan asianajosalaisuuden murtuma. Riski ei katoa sillä, että sopimuksessa lukee "data EU:ssa".

Mikä todella poistaa riskin

Ainoa tapa sulkea FISA 702- ja CLOUD Act -altistus pois on poistaa yhdysvaltalainen taho ketjusta kokonaan:

• Eurooppalainen omistus ja lainkäyttövalta – palvelu, joka ei kuulu Yhdysvaltain lakien piiriin.
• EU:ssa tapahtuva käsittely – ei siirtoja kolmansiin maihin.
• Oma malli omalla laitteistolla – vahvin muoto: kysely ei kulje yhdysvaltalaisen kielimallin läpi lainkaan.

Lexivon lähtökohta

Lexivo on suomalainen yhtiö, ja koko ketju on rakennettu EU:hun:

• Konesali Suomessa (Hetzner, Helsinki).
• Ytimenä oma kielimalli, Lexivo Nomus FI, omalla eurooppalaisella laitteistolla.
• Varajärjestelmätkin eurooppalaisia: Nebius (Mäntsälä, Suomi) ja Mistral (Ranska) Zero Data Retention -sopimuksella.

Ketjussa ei ole yhdysvaltalaista pilveä eikä yhdysvaltalaista mallia, joten FISA 702 ja CLOUD Act eivät yksinkertaisesti ulotu asiakasaineistoon. Se ei ole markkinointilupaus vaan rakenteellinen valinta: suvereniteetti on sisäänrakennettu, ei päälle liimattu.

---

*Lähteet: CLOUD Act – Wikipedia · Section 702 of FISA – Brennan Center · Schrems II ja EU–US-tiedonsiirrot – IAPP · Yleinen tietosuoja-asetus, V luku (siirrot) – EUR-Lex*