EU datasäädös – Lue kattava data-asetus opas 2024
EU datasäädös merkitsee merkittävää käännekohtaa datan käsittelyssä, vaikuttaen siihen, miten yritykset Euroopan unionissa hyödyntävät ja käsittelevät tietoja jatkossa.
Tässä oppaassa ja artikkelissa tarkastelemme EU:n datalain keskeisiä näkökohtia ja sen vaikutusta eri tahoilla.
Mikä on EU datasäädös / Data Act?
Vuonna 2021 Euroopan Unioni aloitti osana datastrategiaansa lakihankkeen, joka tunnetaan nimellä EU Data Act tai datasäädös. EU data-asetus astui voimaan 11. tammikuuta 2024, mutta säädöstä aletaan soveltaa EU:ssa 12.9.2025.EU:n data-asetus on laaja lainsäädäntö, jonka päämääränä on ohjata datan käyttöä ja saatavuutta Euroopan unionissa.
Tämä asetus on keskeinen osa EU:n datastrategiaa, jonka tavoitteena on varmistaa reilu ja avoin datan saatavuus, edistää datan siirrettävyyttä ja luoda kilpailukykyinen datamarkkina. Asetuksen keskeiset osat alla:
- Pyritään edistämään datan jakamista yritysten ja viranomaisten kesken.
- Käyttäjillä on oikeus kontrolloida ja saada käyttöoikeus omaan dataan.
- Tavoitteena on helpottaa datan siirtämistä eri palveluntarjoajien kesken.
- Tavoitteena on luoda ja kehittää yhteentoimivuusstandardeja, jotka tehostavat datan yhdistämistä ja hyödyntämistä eri lähteistä.
- Pilvipalveluiden säätely, sisältäen toimenpiteitä toimittajalukituksen estämiseksi ja kilpailun edistämiseksi.
Miten EU:n datasäädös vaikuttaa suomalaisiin?
Viime vuosina esineiden internet on lisännyt nopeasti datan määrää. Uusilla säännöillä edistetään datan käyttöä ja varmistetaan, että dataa jaetaan, tallennetaan ja käsitellään täysin Euroopan unionin sääntöjen mukaisesti.
Uuden lain myötä kuluttajilla on mahdollisuus vaihtaa helposti pilvipalveluntarjoajalta toiselle. Lisäksi on otettu käyttöön suojatoimia estämään datan laitonta siirtoa ja luotu yhteentoimivuusstandardeja datan yhteiskäyttöä ja käsittelyä varten. Lisäksi odotetaan, että tiettyjen laitteiden jälkimarkkinapalvelut tulevat uudessa laissa edullisemmiksi ja tehokkaammiksi.
EU datasäädös – käytännön esimerkkejä eduista
| Jälkimarkkinapalveluiden ja älylaitteiden korjausten hinnat alenevat | Jos esimerkiksi älykellosi hajoaa, voit nyt pyytää mitä tahansa korjauspalvelua, joka saattaa olla halvempi kuin kellon valmistaja, korjaamaan kellon. Samalla heillä on pääsy dataan. Aikaisemmin vain valmistaja pystyi käyttämään dataa. |
| Tulee uusia mahdollisuuksia käyttää palveluita, jotka perustuvat tietoihin pääsyyn. | Jos esimerkiksi sinulla on eri valmistajien koneita, voit nyt saada räätälöityjä neuvoja yritykseltä, joka kerää tietoja eri koneista. Tähän asti valmistaja on lukinnut kunkin koneen tiedot. |
| Parempi pääsy laitteen keräämiin tai tuottamiin tietoihin. | Esimerkiksi: Jos baarin omistaja haluaa tarjota parempaa kahvia, ja kahvinkeitinyritys haluaa parantaa tuotettaan. Aiemmin vain yritys pääsi käsiksi koneen tuottamiin tietoihin voidakseen suunnitella seuraavan sukupolven kahvinkeittimiä, mutta baarin omistaja ei päässyt käsiksi esimerkiksi veden lämpötilaa koskeviin tietoihin. Tietolaki selventää, että molemmat osapuolet voivat käyttää kaikkia koneen keräämiä tietoja. |
Datasäädös antaa myös julkiselle sektorille mahdollisuuden saada ja käyttää yksityisen sektorin hallussa olevia tietoja, jotta se voi auttaa vastaamaan julkisiin hätätilanteisiin, kuten tulviin ja maastopaloihin. Sillä suojellaan myös eurooppalaisia yrityksiä kohtuuttomilta sopimusehdoilta datan yhteiskäyttöä koskevissa sopimuksissa, jotta pienet yritykset voivat osallistua aktiivisemmin datamarkkinoille.
Mitä oikeuksia käyttäjä saa dataan?
Datalainsäädäntö edellyttää, että datan haltijalla, kuten laitteen valmistajalla, on velvollisuus avata ja jakaa tietoja. Esimerkiksi datan on oltava saatavilla kolmannen osapuolen pyynnöstä, olipa kyse sitten omistukseen tai käyttöoikeuteen perustuvasta pyynnöstä. Tiedot on toimitettava viipymättä ja samankaltaisessa muodossa kuin alkuperäisellä haltijalla, jatkuvasti ja reaaliajassa, jos se on soveliasta ja teknisesti mahdollista. Jakamisvelvollisuus koskee vain sellaista dataa, joka on määritelty helposti saatavilla olevaksi datanasetuksessa.
Mitä datasäädös tarkoittaa henkilötietojen suojan kannalta?
Toisinaan datamassat voivat sisältää niin teollista tietoa kuin henkilötietojakin, mikä tunnetaan ‘sekadatana’. Jos laitteesta kerätty data sisältää ‘henkilötietoja’, EU:n tietosuojasääntelyä eli GDPRia on noudatettava. Keskeinen ero data-asetuksen ja GDPR:n välillä on siinä, että data-asetus pyrkii nimenomaisesti edistämään teollisen datan jakamista, kun taas tietosuojasääntely keskittyy minimoimaan henkilötietojen käsittelyä ja turvaamaan rekisteröityjen oikeuksia ja vapauksia.
Erityisesti terveysalalla data on usein arkaluonteista terveystietoa, jolloin tietosuojasääntelyn suojamekanismit ovat erityisen tärkeitä. Mikä tahansa data saattaa kehittyä terveystiedoksi elinkaarensa aikana.
Data-asetuksessa itsessään ei ole säännöksiä henkilötietojen käsittelylle, eikä se voi luoda oikeudellista perustetta henkilötietojen käsittelylle, ellei siihen ole voimassaolevaa tietosuojasääntelyä.
Mitä ovat data-asetuksen piiriin kuuluvat tuotteet ja palvelut?
Asetuksen piiriin kuuluvat tuotteet ja palvelut ovat seuraavat:
- Verkkoon kytketty tuote, joka vastaanottaa, luo tai kerää tietoa sen toiminnasta ja ympäristöstä, ja voi välittää tämän tiedon joko sähköisen viestinnän, fyysisen yhteyden tai laitteiden välityksellä.
- Tuotteeseen liittyvä palvelu eli digitaalinen palvelu tai ohjelmisto, joka on alun perin kytketty tuotteeseen osto-, vuokraus- tai liisaushetkellä. Ilman tätä palvelua verkkoon liitetty tuote ei pystyisi suorittamaan jotakin sen toiminnoista tai valmistaja tai kolmas osapuoli voi myöhemmin liittää siihen lisäpalveluita päivittääkseen tai muokatakseen tuotteen toimintoja.
Mikä on EU:n datasäädöksen aikataulu?
Euroopan parlamentti ja komissio hyväksyivät datasäädöksen 27. marraskuuta 2023. Datasäädös astui voimaan 12. tammikuuta 2024. 20 kuukauden siirtymäaika alkaa kulua datasäädöksen voimaantulosta, ja sen käytännön soveltaminen alkaa syksyllä 2025. Tarkemmin sanoen 12. syyskuuta 2025. Kuitenkin 3 artiklan 1 kohdan (uusien tuotteiden yksinkertaistetun datan saatavuuden vaatimukset) soveltaminen alkaa vasta 32 kuukauden kuluttua datasäädöksen voimaantulosta. Datasäädös on suoraan sitovaa oikeutta EU:n jäsenvaltioissa.
EU datasäädös: Mitä dataa täytyy jakaa?
Datan ja tuotteen omistajan, yleensä valmistajan, on taattava käyttäjälle mahdollisuus päästä käsiksi tuotteen tietoihin ja niihin liittyvien palveluiden
- käytöstä syntyneeseen dataan
- sekä tarvittavaan metadataan sen tulkkaamiseksi ja käyttämiseksi.
Tämä tarkoittaa, että datan jakamista koskeva jakovelvoite kattaa sekä raakadatan että siihen liittyvät selittävät tiedot.
Mitä dataa datanjakovelvoitteet koskevat?
Datan jakamisvelvoitteet koskevat tuotteen tai palvelun käytöstä syntynyttä dataa tai sellaista raakadataa, joka on tarkoitettu haettavaksi, sekä siihen liittyvää selittävää tietoa, kuten datan tulkintaan tarvittavaa metadataa. Jakamisvelvoite ei kuitenkaan yleensä koske edistyneemmin käsiteltyä dataa.
Koska yritysten on tarjottava tätä jaettavaa dataa sekä suoraan käyttäjille että niiden valtuuttamille kolmansille osapuolille, jotka toimivat käyttäjän puolesta, on tärkeää erottaa ja tunnistaa jaettava data niistä tiedoista, jotka on jalostettu edelleen tai jotka ovat tarkoitettu vain yrityksen sisäiseen käyttöön.
Mitä dataa ei tarvitse jakaa?
Datan haltijan tekemät päätelmät tuotteen tai sen liitännäispalvelun käytöstä, jotka perustuvat pääasiassa datan haltijan omiin monimutkaisiin algoritmeihin.
Lisäksi, mitä ei sisälly soveltamisalaan:
- Tuotteen käytöstä syntyvä data, jota ei ole tarkoitus siirtää tai tallentaa tuotteen tai sen osien ulkopuolelle valmistajan toimesta.
- Data, jonka verkkoon kytketyt tuotteet tuottavat, kun käyttäjä tallentaa, lähettää, esittää tai toistaa sisältöä, joka ei liity suoraan tuotteeseen tai siihen liitännäispalveluun ja joka usein liittyy teollisiin tai tekijänoikeuksiin.
- Data, joka on peräisin, tuotettu tai saavutettu verkkoon kytketystä tuotteesta tai siirretty sille tallentamista tai muuta käsittelyä varten, mutta ei käyttäjän toimesta.
Miten dataa tulee säilyttää?
EU:n data-asetus ei määrittele suoraan, kuinka dataa säilytetään, vaan se keskittyy pääasiassa sääntelemään datan käyttöä, jakamista ja hallintaa. Kuitenkin säilyttämiskäytännöt liittyvät tietosuojaan ja tietoturvaan, jotka ovat tärkeitä osia datan käsittelyssä.
Organisaatioiden on noudatettava asianmukaisia tietosuojakäytäntöjä ja turvallisuusstandardeja, kun ne keräävät, tallentavat ja käsittelevät dataa EU:n Data Act -asetuksen mukaisesti. Tämä sisältää esimerkiksi turvallisten pilvipalveluiden käytön, salausmenetelmien käytön, tietosuojaperiaatteiden noudattamisen ja tarvittavien tietoturvatoimenpiteiden täytäntöönpanon varmistaakseen, että data säilytetään turvallisesti ja yksityisyyden suojaa kunnioittaen.
Kuinka päästä käsiksi omaan dataan?
EU:n Data Actin tavoitteena on helpottaa käyttäjien pääsyä omaan dataansa. Jotta käyttäjät voivat päästä käsiksi omaan dataansa Data Actin mukaisesti, yritysten on tarjottava käyttäjille selkeät menetelmät ja välineet datan pyytämiseen ja saamiseen. Tämä voi sisältää esimerkiksi verkkopalveluja tai sovelluksia, joissa käyttäjät voivat tehdä datapyynnön ja ladata omat henkilökohtaiset tiedot.
Lisäksi EU:n data-asetus voi sisältää määräyksiä siitä, että yritysten on tarjottava käyttäjille myös selkeät tiedot siitä, mitä tietoja niillä on heistä ja miten näitä tietoja käytetään. Käyttäjien on voitava hallita omia tietojaan, mukaan lukien mahdollisuus korjata virheelliset tiedot tai pyytää niiden poistamista tarvittaessa. Käyttäjille on myös tarjottava selkeä ja ymmärrettävä tietosuojakäytäntö, joka kertoo, miten heidän tietojaan käsitellään ja suojataan. Yleisesti ottaen Data Actin tarkoituksena on lisätä avoimuutta ja käyttäjien valvontaa omien tietojensa suhteen.
EU datasäädös: Miten yritysten tulee varautua?
Yritysten tulee varautua EU:n datasäädös -vaatimuksiin noudattamalla asianmukaisia käytäntöjä ja valmistautumalla mahdollisiin muutoksiin datan käsittelyssä ja hallinnassa. Tässä on muutamia keskeisiä toimenpiteitä, joihin yritysten tulisi varautua:
- Tietosuojakäytäntöjen päivitys: Yritysten on tärkeää päivittää tietosuojakäytäntöjään ja varmistaa, että ne ovat linjassa Data Actin vaatimusten kanssa. Tietosuojakäytäntöjen tulisi selittää selvästi, miten yritys kerää, käyttää ja jakaa tietoja.
- Datanhallintaprosessien tarkastelu: Yritysten tulisi tarkastella nykyisiä datanhallintaprosessejaan ja varmistaa, että ne täyttävät Data Actin säännökset. Tämä saattaa vaatia tietojärjestelmien päivityksiä ja tietoturvan vahvistamista.
- Datan saatavuuden ja käytettävyyden varmistaminen: Yritysten on valmistauduttava tarjoamaan asiakkailleen helppo pääsy omiin tietoihinsa ja tarvittaessa mahdollisuus siirtää niitä toiseen palveluun. Tämä edellyttää mahdollisesti uusien käyttöliittymien ja toiminnallisuuksien kehittämistä.
- Henkilökunnan koulutus: Yritysten tulisi kouluttaa henkilökuntaansa uusista Data Actin vaatimuksista ja käytännöistä, jotta ne voivat varmistaa sääntöjen noudattamisen ja asiakkaiden tarpeiden täyttämisen.
- Yhteistyö viranomaisten kanssa: Yritysten tulisi olla valmiita yhteistyöhön viranomaisten kanssa ja noudattaa heidän antamiaan ohjeita ja määräyksiä Data Actin toteuttamiseksi.
EU datasäädös: Tuotedata ja immateriaalioikeudet
EU:n Data Actin puitteissa tuotedataa ja immateriaalioikeuksia koskevat säännökset ovat olennainen osa datan käsittelyä ja jakamista. Tässä on muutamia näkökohtia, joita muun muassa yritysten on syytä harkita:
- Tuotedata ja immateriaalioikeudet: Data Act voi sisältää säännöksiä siitä, miten tuotedataa käsitellään, erityisesti jos se liittyy immateriaalioikeuksiin, kuten tekijänoikeuksiin, patentteihin tai tavaramerkkeihin. Yritysten on varmistettava, että ne kunnioittavat näitä oikeuksia ja että datan jakaminen tai käyttö ei loukkaa kolmansien osapuolten oikeuksia.
- Lisensointi ja sopimukset: Yritysten on ehkä laadittava sopimuksia tai lisenssisopimuksia tuotedatan käytöstä ja jakamisesta. Nämä sopimukset voivat määrittää, miten dataa voidaan käyttää, jakaa ja hyödyntää sekä miten immateriaalioikeudet suojataan ja säilytetään.
- Tietosuoja ja yksityisyys: Data Actin mukaisesti yritysten on varmistettava, että tuotedataa käsitellään noudattaen asianmukaisia tietosuojaperiaatteita ja että käyttäjien yksityisyys ja henkilötiedot suojataan asianmukaisesti.
- Datan jakaminen ja avoimuus: Vaikka Data Actin tavoitteena voi olla datan jakamisen ja avoimuuden lisääminen, yritysten on silti varmistettava, että ne suojaavat immateriaalioikeuksiaan ja liikesalaisuuksiaan ja että datan jakaminen tapahtuu sopimuksellisesti ja valvotusti.
- Sopimusten uudelleentarkastelu: Yritysten on tarkasteltava olemassa olevia sopimuksia ja käytäntöjä tuotedatan ja immateriaalioikeuksien hallinnassa ja varmistettava, että ne ovat yhteensopivia Data Actin vaatimusten kanssa ja että ne suojaavat yrityksen oikeuksia ja etuja.
Yhteenvetona voidaan todeta, että tuotedataan ja immateriaalioikeuksiin liittyvät kysymykset ovat keskeinen osa EU:n Data Actia, ja yritysten on varmistettava, että ne noudattavat asianmukaisia lakeja, sopimuksia ja käytäntöjä datan käsittelyssä ja jakamisessa.
Miten liikesalaisuuksia voi suojata?
Datasäädös antaa valmistajalle oikeuden olla jakamatta tietoa, joka saattaa sisältää esimerkiksi liikesalaisuuksia. Liikesalaisuuden kriteerit määritellään EU:n Liikesalaisuusdirektiivissä (EU 2016/943). Direktiivin mukaan liikesalaisuudella tarkoitetaan tietoa, joka:
- on salainen siten, että se ei ole yleisesti tiedossa tai helposti saatavilla niille, jotka tavallisesti käsittelevät tällaisia tietoja, joko kokonaisuudessaan tai osinaan täsmällisenä kokoonpanona ja yhdistelmänä.
- Sen kaupallinen arvo johtuu sen salaisuudesta.
- Henkilö, joka laillisesti hallussaan pitää tietoa, on tehnyt asianmukaiset toimenpiteet sen säilyttämiseksi salaisena nykyisissä olosuhteissa, joita voidaan pitää kohtuullisina.
Jos tuotteen valmistaja vetoaa liikesalaisuuksiin, sen on ilmoitettava asiasta viranomaisille ja esitettävä todisteita siitä, että kyseessä on EU:n liikesalaisuusdirektiivin mukainen liikesalaisuus. Liikesalaisuuksia voi suojata monin tavoin, kuten käyttämällä sopimuksia, jotka velvoittavat henkilöstön ja kumppanit pitämään tiedot luottamuksellisina. Lisäksi yritys voi käyttää teknisiä suojatoimia, kuten salausmenetelmiä ja käyttöoikeuksien hallintaa, varmistaakseen, että vain oikeat henkilöt voivat käyttää arkaluontoista tietoa. Oikeudelliset keinot, kuten patentointi ja tavaramerkkien rekisteröinti, voivat myös auttaa suojauksessa.
Usein kysytyt kysymykset
Kysymys: Mikä on verkkoon liitetty tuote ja siihen liittyvä palvelu?
Vastaus: Verkkoon liitetty tuote voi esimerkiksi olla älykello, joka kerää käyttäjän terveystietoja ja liikuntadataa. Siihen liittyvä palvelu tarjoaa käyttäjälle mahdollisuuden seurata terveys- ja kuntoilutavoitteitaan reaaliaikaisesti mobiilisovelluksen avulla. Lisäksi palvelu voi tarjota analytiikkaa ja suosituksia käyttäjän hyvinvoinnin parantamiseksi.
Kysymys: Millaisia datanjakovelvoitteita datasäädös sisältää?
Vastaus: Data-asetus (data act) sisältää datanjakovelvoitteita, jotka velvoittavat tietojen tarjoajia jakamaan tiettyjä tietoja julkisesti tai tietyille toimijoille. Näihin velvoitteisiin kuuluu esimerkiksi tietojen saatavuuden ja avoimuuden lisääminen sekä mahdollistaminen kolmansien osapuolten käyttöön rajapintojen kautta. Lisäksi asetus voi sisältää vaatimuksia tietojen standardoinnista ja interoperabiliteetista varmistaakseen datan yhteensopivuuden ja helpon käytettävyyden eri järjestelmissä.
Kysymys: Milloin EU datasäännökset astuvat voimaan?
Vastaus: EU:n virallisessa lehdessä julkaistu datasäännös eli Data Act, astui voimaan 12. tammikuuta 2024. Sitä aletaan soveltaa laajasti suurimmaksi osaksi vasta 20 kuukautta myöhemmin. Tarkemmin ottaen: 12. syyskuuta 2025 alkaen.
Lähteet ja hyödyllisiä linkkejä
- EU Data Act (Circles)
- EU:n datasäädös tulee voimaan (Euroopan Komissio)
- Datalaki (Euroopan Komissio)
- EU:n digisäädökset (Valtiovarainministeriö)
- Tuotedata, immateriaalioikeudet ja EU:n datasäädös (IPR info)
About the Author
Teresa Maria 
Matti Laurila 