Mitä tarkoittaa tietojen sijainti?

Lyhyt vastaus: Tietojen sijainti tarkoittaa maantieteellistä paikkaa, jossa organisaation tietoja säilytetään ja käsitellään. Se vaikuttaa sovellettaviin lakeihin, viranomaisiin ja julkisen vallan tiedonsaantivaltuuksiin muiden tekijöiden ohella. Sijainti on keskeinen kysymys tietosuojassa, toimittajan valinnassa ja tietoturva-arvioinneissa.

Tietojen sijainti kuvaa fyysistä tallennuspaikkaa tietyssä maassa, alueella tai palvelinkeskuksessa. Kun yritys siirtää asiakirjoja pilvipalveluun, tiedot ovat jossakin palvelimilla. Sijainnilla on oikeudellista merkitystä, mutta myös palveluntarjoajaan ja käsittelyyn sovellettavat lait vaikuttavat. Frankfurtissa säilytettyyn aineistoon liittyy EU:n vaatimuksia; yhdysvaltalaisen toimittajan tiedonsaantivelvoitteita voi syntyä myös palvelimen sijainnista riippumatta esimerkiksi CLOUD Actin perusteella.

Säännellyillä aloilla tietojen sijainti on usein olennainen vaatimus. Viranomaiset, auditoijat, asiakkaat ja julkisen sektorin hankkijat kysyvät yhä useammin: missä tietomme tarkalleen ovat?

Tietojen sijainti, tietosuvereniteetti ja paikallistamisvaatimus

Käsitteitä käytetään joskus samassa merkityksessä, mutta ne kuvaavat eri asioita.

Tietojen sijainti vastaa tosiasiakysymykseen fyysisestä säilytyspaikasta. Yritys voi päättää käytäntö- tai sopimussyistä, että tietojen on pysyttävä esimerkiksi EU:ssa.

Tietosuvereniteetti kysyy, minkä tahojen lait ja toimivalta koskevat tietoja. Vaikutusta voi olla säilytysmaalla, palveluntarjoajan kotipaikalla ja muilla oikeudellisilla liittymillä. Yhdysvaltalaisen toimittajan EU-keskus ei siksi yksin ratkaise kaikkia toimivaltakysymyksiä.

Tietojen paikallistaminen tarkoittaa vaatimusta säilyttää tietyt tiedot määrätyn maan rajojen sisällä. Esimerkiksi Venäjällä, Kiinassa ja muilla alueilla on tiettyihin tietoryhmiin liittyviä sääntöjä. Myös terveys- tai julkishallinnon tiedoilla voi olla aluekohtaisia vaatimuksia, jotka on tarkistettava erikseen.

Monelle pk-yritykselle ensimmäinen kysymys on sijainti, sitten toimivalta ja lopuksi mahdollinen erityinen paikallistamisvelvoite. Näiden arviointi riippuu käsittelystä ja sopimuksista.

Miksi tietojen sijainti on tärkeä vaatimuksia painottavalle yritykselle?

Kolme keskeistä syytä ovat sääntely, auditoinnit ja asiakkaiden luottamus.

Sääntely. GDPR rajoittaa henkilötietojen siirtoja ETA-alueen ulkopuolelle ilman soveltuvaa siirtoperustetta ja suojatoimia. Vuoden 2020 Schrems II -ratkaisu kumosi Privacy Shieldin, minkä jälkeen moni organisaatio korosti EU-sijaintia. Ajantasaiset siirtomekanismit ja mahdolliset etäkäytöt on silti arvioitava erikseen: EU-tallennus ei yksin poista kaikkia siirtoriskejä. CMS:n vuoden 2024 GDPR Enforcement Trackerin mukaan kertyneet sakot ylittivät 4,5 miljardia euroa. Sijaintiin liittyviä arviointeja tehdään myös terveydenhuollon riskinarvioinneissa, ISO 27001 -toimittajahallinnassa sekä Euroopan, Australian ja Kanadan julkisissa hankinnoissa. Ne ovat osa laajempaa asiakirjojen GDPR-vaatimustenmukaisuutta.

Auditoinnit. ISO 27001- ja ISO 9001 -auditoinneissa voidaan tarkastella hallittujen asiakirjojen, tietueiden ja henkilötietojen sijaintia ja käyttöä. Organisaation tulee pystyä nimeämään alue ja osoittamaan sovitut järjestelyt. Sijaintidokumentaatio sekä salaus ja käyttöoikeuksien hallinta muodostavat osan näytöstä, joka auttaa valmistautumaan auditointiin hallitusti.

Asiakkaiden ja sopimusten vaatimukset. Yritysasiakkaat sisällyttävät sopimuksiin sijaintiehtoja. Esimerkiksi saksalaiselle yritykselle tai julkiselle asiakkaalle toimittava palveluntarjoaja voi kohdata pakollisen EU-sijaintivaatimuksen tietoturvakyselyssä. Vaatimus kannattaa selvittää ennen hinta- ja ominaisuusvertailua.

Miten tietojen sijaintia arvioidaan asiakirjahallintajärjestelmässä

DMS:n tai pilvipalvelun arvioinnissa neljä kysymystä auttaa:

1. Missä ensisijaiset palvelimet sijaitsevat? Pyydä täsmällinen alue, ei vain ”maailmanlaajuinen infrastruktuuri”. Varmista sijainti palvelu- tai tietojenkäsittelysopimuksesta.
2. Missä varmuuskopiot ja rinnakkaiskopiot ovat? Sijaintilupaus ei kata kokonaisuutta, jos varmuuskopiot ovat eri oikeusalueella. Vahvista niiden alueet ja sovitut sitoumukset.
3. Mikä oikeushenkilö vastaa palvelusta? Ulkomainen toimittaja voi olla ulkomaisen tiedonsaantilain piirissä palvelimen sijainnista riippumatta. Siksi osa eurooppalaisista organisaatioista suosii eurooppalaista toimittajaa. Pyydä myös alikäsittelijäluettelo, sillä muualla toimivan alihankkijan rooli voi tuoda uusia arviointitarpeita.
4. Mitä käyttöönottovaihtoehtoja on vaatimusten tiukentuessa? Esimerkiksi terveydenhuolto, rahoitus ja julkishallinnon toimitusketjut voivat tarvita yhden asiakkaan ympäristön tai paikallisen asennuksen. Tällainen vaihtoehto voi vähentää tarvetta vaihtaa toimittajaa myöhemmin.

Folderit on virolais-saksalainen yritys. Tietosuojailmoitus kuvaa Amazonin Irlannin palvelinympäristön tai muun valitun sijainnin, jos vaihtoehto on tarjolla. Maantieteellisesti erilliset, yli 100 kilometrin päässä toisistaan olevat varmuuskopiot tukevat palautumista. Yhden asiakkaan pilviympäristö ja paikallinen asennus ovat saatavilla erillisiksi käyttöönottovaihtoehdoiksi. Vahvista oman palvelusi pää- ja varmuuskopioiden alueet sekä sopimussitoumukset. Tietoturvan yleiskatsauksemme kuvaa muut hallintakeinot. Näiden tietojen ja sopimusten avulla tietohallinto tai vaatimustenmukaisuudesta vastaava voi esittää sijainnin, oikeudelliset roolit ja varmuuskopioinnin järjestelyt arvioinnissa.

Tietojen sijainti valintaperusteena

Sijaintia on vaikea muuttaa hankinnan jälkeen. Oikeuksia ja työnkulkuja voi määrittää uudelleen, mutta teratavujen siirto oikeusalueelta toiselle on migraatio, johon voi liittyä oikeudellinen arviointi.

Käsittele sijaintia jo DMS-arvioinnin alussa ennen hintojen ja ominaisuuksien vertailua. Näin vähennät riskiä löytää ongelma vasta asiakasauditoinnissa tai viranomaispyynnössä. Eurooppalaisen pk-yrityksen kannattaa arvioida EU-sijainti, käsittelyketju ja siirtoperusteet yhdessä. Tutustu myös aiheeseen mitä tietojen vaatimustenmukaisuus tarkoittaa yrityksellesi sisäistä vaatimusta määrittäessäsi.