Yhdysvaltojen CLOUD Act ja digitaalinen suvereniteetti: pilvivalinnat eurooppalaisille korkeakouluille (2026)

Monet eurooppalaiset korkeakoulut käyttävät sähköpostiin, asiakirjoihin ja tutkimusaineistojen tallennukseen yhdysvaltalaisia pilvialustoja, ja henkilöstö kysyy yhä useammin, pääsevätkö Yhdysvaltain viranomaiset käsiksi tietoihin. Tämä opas erottaa oikeudelliset tosiasiat poliittisesta keskustelusta: mitä CLOUD Act ja FISA:n 702 pykälä sanovat, miten EU-oikeus niihin vastaa, mitä EU-tietorajat ja suvereenit pilvet muuttavat ja mitä eivät, mitä korkeakoulut ja tutkimusverkot eri maissa tekevät ja miten palvelualusta valitaan tietotyypin mukaan realistisen irtautumissuunnitelman kera.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

Aihe on poliittinen yhtä lailla kuin oikeudellinen. Tässä oppaassa oikeudellisille väitteille ja dokumentoiduille tosiasioille on annettu lähde. Oma tulkintamme siitä, mitä ne tarkoittavat korkeakouluille, on merkitty Validemicin analyysi. Korkeakoulujen, henkilöstöryhmien ja viranomaisten kannat esitetään niiden kantoina eikä vakiintuneena oikeutena.

1. Mitä CLOUD Act oikeasti sanoo?

CLOUD Act on vuoden 2018 yhdysvaltalainen laki, jonka mukaan Yhdysvaltain sääntelyn alaisten viestintä- ja pilvipalvelujen tarjoajien on luovutettava määräysvallassaan olevat tiedot, kun niille annetaan pätevä Yhdysvaltain oikeudellinen määräys, vaikka tiedot olisi tallennettu ulkomaille. Se on rikosoikeudellisen lainvalvonnan väline, ja sillä luotiin myös reitti kahdenvälisille sopimuksille ulkomaisten hallitusten kanssa.

Ydinsääntö on 18 U.S.C. § 2713:ssa, joka lisättiin 23.3.2018. Sähköisen viestintäpalvelun tai etälaskentapalvelun tarjoajan on noudatettava Stored Communications Actin mukaisia velvoitteita säilyttää, varmuuskopioida tai luovuttaa viestit ja asiakastiedot, jotka ovat sen ”possession, custody, or control” (hallussa, huostassa tai määräysvallassa), ”regardless of whether such communication, record, or other information is located within or outside of the United States” (riippumatta siitä, sijaitsevatko viestit, tiedot tai muut tiedot Yhdysvalloissa vai sen ulkopuolella) [1].

Keskustelussa unohtuu usein kolme asiaa:

• Kyse ei ole uudesta valvontavaltuudesta. Laki ulottaa Stored Communications Actin mukaiset olemassa olevat lainvalvonnan välineet ulkomaille tallennettuihin tietoihin. Tietosuojakehystä koskevassa päätöksessä todetaan, että tallennetun sisällön saaminen edellyttää yleensä todennäköisiin syihin perustuvaa tuomioistuimen etsintälupaa (johdanto-osan 96 kappale) [9].
• Vastustamiseen on rajattu reitti. Pykälän 18 U.S.C. § 2703(h) mukaan palveluntarjoaja voi vaatia määräyksen kumoamista tai muuttamista, jos asiakas ei ole yhdysvaltalainen henkilö eikä asu Yhdysvalloissa ja luovuttaminen loisi merkittävän riskin ”qualifying foreign government” -maan lakien rikkomisesta. Termi kattaa vain maat, joilla on lain mukainen hallitustenvälinen sopimus (executive agreement) ja jotka tarjoavat palveluntarjoajille vastaavat oikeudet [2].
• Sopimuksia on joidenkin maiden kanssa, ei EU:n. Yhdysvaltain oikeusministeriö luettelee sopimukset Yhdistyneen kuningaskunnan (allekirjoitettu 3.10.2019) ja Australian (15.12.2021) kanssa. EU:n osalta se mainitsee vuoden 2019 yhteisen julkilausuman neuvotteluista ja vuoden 2023 ilmoituksen neuvottelujen jatkamisesta [3]. Emme löytäneet 9.10.2026 tehtyä EU:n ja Yhdysvaltojen välistä sopimusta.

Validemicin analyysi Korkeakoululle ratkaiseva kriteeri on määräysvalta, ei sijainti. Jos Yhdysvaltain lainkäyttövallan alainen palveluntarjoaja pääsee käsiksi tietoihin käyttökelpoisessa muodossa, sille osoitettu Yhdysvaltain määräys on oikeudellisesti mahdollinen palvelimen sijainnista riippumatta. Kuinka usein näin käytännössä käy korkeakoulujen tietojen kohdalla, on eri kysymys, johon julkiset lähteet eivät pysty täysin vastaamaan.

2. FISA 702, EO 12333 ja Schrems II

Schrems II -tuomion keskeinen huolenaihe oli Yhdysvaltain tiedustelu, ei CLOUD Act. Foreign Intelligence Surveillance Actin (FISA) 702 pykälä (50 U.S.C. § 1881a) sallii ulkomailla olevien muiden kuin yhdysvaltalaisten henkilöiden kohdentamisen yhdysvaltalaisten palveluntarjoajien pakotetulla avulla. Presidentin asetus (Executive Order) 12333 sääntelee muuta tiedustelutoimintaa, myös Yhdysvaltojen ulkopuolella tapahtuvaa tiedonkeruuta [5].

Asiassa Schrems II (C-311/18, 16.7.2020) unionin tuomioistuin katsoi, että ”neither Section 702 of the FISA, nor E.O. 12333” (FISA:n 702 pykälä enempää kuin EO 12333:kaan) eivät tarjonneet suhteellisuusperiaatteen edellyttämiä vähimmäistakeita (184 kohta). Se katsoi myös, ettei Privacy Shieldin oikeusasiamies tarjonnut yksityishenkilöille perusoikeuskirjan 47 artiklaa vastaavaa oikeussuojakeinoa (197 kohta), ja julisti Privacy Shield -päätöksen pätemättömäksi [5].

Yhdysvallat vastasi presidentin asetuksella 14086 (7.10.2022), joka vahvisti signaalitiedustelun suojatoimia ja loi oikeusministerin asetuksen kanssa oikeussuojamekanismin, johon kuuluu tietosuojan muutoksenhakutuomioistuin (Data Protection Review Court, DPRC). Komissio nojasi siihen antaessaan tietosuojakehystä koskevan riittävyyspäätöksen 10.7.2023 [8] [9].

702 pykälä vuonna 2026

Pykälän 702 voimassaoloa jatkettiin viimeksi huhtikuussa 2024 huhtikuuhun 2026 asti. Lyhyiden jatkojen jälkeen uusi jatko kaatui edustajainhuoneessa, ja säännös raukesi 12.6.2026. Associated Pressin mukaan Foreign Intelligence Surveillance Courtin maaliskuussa 2026 antama lausunto ”certified the program's renewal for another 12 months” (vahvisti ohjelman jatkamisen 12 kuukaudeksi), joten tiedonkeruun ei odotettu loppuvan heti [6]. Yhdysvaltalaisen politiikkainstituutin Brennan Centerin mukaan 702 pykälän mukainen valvonta jatkuu maaliskuuhun 2027 asti, vaikka säännös raukeaisi [7].

Vireillä: 9.10.2026 emme löytäneet voimassa olevaa uutta 702 pykälän jatkoa. Se, jatkaako kongressi säännöstä ja millaisin muutoksin, on merkityksellistä komission tietosuojakehystä koskevalle seurannalle. Tarkistakaa tilanne ennen kuin nojaatte tähän kappaleeseen.

3. Miten EU-oikeus vastaa ulkomaiseen pääsyyn?

EU-oikeus ei hyväksy ulkomaisen tuomioistuimen määräystä tai viranomaisen päätöstä yksinään lailliseksi perusteeksi luovuttaa henkilötietoja. Tietosuoja-asetuksen 48 artiklan mukaan tällainen päätös voidaan tunnustaa tai panna täytäntöön vain, jos se perustuu kansainväliseen sopimukseen, ”kuten keskinäiseen oikeusapusopimukseen”, sanotun kuitenkaan rajoittamatta muita V luvun mukaisia perusteita [10].

Euroopan tietosuojaneuvosto ja Euroopan tietosuojavaltuutettu lainasivat Euroopan parlamentin LIBE-valiokunnalle 10.7.2019 antamassaan yhteisessä vastauksessa komission näkemystä, jonka mukaan ”Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR” (48 artikla tekee selväksi, ettei ulkomaisen tuomioistuimen määräys sellaisenaan tee siirrosta tietosuoja-asetuksen mukaan lainmukaista). Ne päättelivät, että ilman kansainvälistä sopimusta tai muuta oikeusperustetta ”service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests” (EU-oikeuden alaiset palveluntarjoajat eivät voi laillisesti perustaa henkilötietojen luovuttamista ja siirtämistä Yhdysvaltoihin tällaisiin pyyntöihin) [11]. Ne katsoivat myös useimmat 6 ja 49 artiklan perusteet sopimattomiksi rutiininomaisille CLOUD Act -pyynnöille.

Muut EU-säännöt osoittavat samaan suuntaan:

• Tietosuoja-asetuksen 28 artiklan 3 kohdan a alakohta. Käsittelijä saa käsitellä tietoja vain rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, myös siirtojen osalta, paitsi jos unionin tai jäsenvaltion lainsäädäntö sitä edellyttää. Yhdysvaltain määräys ei ole unionin tai jäsenvaltion lainsäädäntöä [4].
• Vakiolausekkeiden 15 lauseke. Kun vakiolausekkeita sovelletaan, tietojen tuojan on ilmoitettava viejälle viipymättä viranomaisen oikeudellisesti sitovasta pyynnöstä, pyrittävä parhaansa mukaan saamaan vapautus, jos ilmoittaminen on kielletty, ja kirjattava pyynnöt (lausekkeen 15.1 kohta) [12].
• Datasäädöksen 32 artikla. Muun datan kuin henkilötietojen, kuten julkaisemattomien tutkimustulosten tai organisaation omien tietojen, osalta pilvipalvelujen tarjoajien on toteutettava ”kaikki riittävät tekniset, organisatoriset ja oikeudelliset toimenpiteet, mukaan lukien sopimukset” estääkseen kolmansien maiden viranomaisten pääsyn, joka olisi ristiriidassa EU:n tai kansallisen lainsäädännön kanssa. Ulkomaiset määräykset tunnustetaan vain kansainvälisen sopimuksen perusteella tai sellaisen puuttuessa vain 32 artiklan 3 kohdan edellytyksin [13].

Validemicin analyysi Nämä säännöt synnyttävät lainvalintaristiriidan, eivät suojaa. Ne tekevät luovuttamisesta EU:n näkökulmasta lainvastaista ja antavat asiakkaalle oikeuden saada tieto, mutta ne eivät voi estää palveluntarjoajaa noudattamasta kotimaansa lakia. Siksi osa viranomaisista keskittyy tekniseen hallintaan, kuten siihen, kuka hallitsee salausavaimia, eikä pelkkiin sopimusehtoihin.

4. Tietosuojakehyksen tilanne 9.10.2026

EU:n ja Yhdysvaltojen välistä tietosuojakehystä (Data Privacy Framework, DPF) koskeva riittävyyspäätös, täytäntöönpanopäätös (EU) 2023/1795, on voimassa ja kattaa siirrot DPF-luettelossa oleville yhdysvaltalaisille organisaatioille. Se käsittelee tiedustelua EO 14086:n ja DPRC:n kautta ja kuvaa lainvalvontaviranomaisten pääsyä Stored Communications Actin perusteella, jota CLOUD Act muutti [9].

• Unionin yleinen tuomioistuin, 3.9.2025. Asiassa Latombe v. komissio (T-553/23) unionin yleinen tuomioistuin hylkäsi kanteen. Se katsoi DPRC:n riittävän riippumattomaksi ja totesi, että Schrems II edellyttää vähintään massatiedonkeruun jälkikäteistä tuomioistuinvalvontaa, jonka Yhdysvaltain oikeus järjestää DPRC:n kautta. Se totesi myös, että komission on jatkuvasti seurattava Yhdysvaltain oikeudellista kehystä ja se voi keskeyttää, muuttaa tai kumota päätöksen [14].
• Valitus, C-703/25 P. Latombe valitti 31.10.2025 [15]. Valitus on vireillä. Tietosuojakehystä käsittelevä opas seuraa menettelyä, mukaan lukien Microsoftin hyväksyminen väliintulijaksi kesäkuussa 2026.
• Euroopan tietosuojaneuvosto. Tietosuojaneuvosto kirjoitti komissiolle 31.7.2026 Yhdysvaltain korkeimman oikeuden tuomiosta Trump v. Slaughter, joka koskee FTC:n kaltaisten yhdysvaltalaisten virastojen riippumattomuutta [16].

Validemicin analyysi Tietosuojakehys ratkaisee siirtokysymyksen luettelossa olevien yhdysvaltalaisten organisaatioiden osalta. Se ei ratkaise suvereniteettikysymystä, joka koskee riippuvuutta, jatkuvuutta ja määräysvaltaa. Korkeakoululla voi olla lainmukainen siirtoperuste ja silti se voi päättää, ettei osa tiedoista saa olla yhden EU:n ulkopuolisen palveluntarjoajan varassa. Siirtojen osalta katso siirtovaikutusten arvioinnin malli ja siirtoperustetyökalu.

5. Datan sijainti ei ole datasuvereniteettia

Datan sijainti (data residency) tarkoittaa, että tiedot tallennetaan ja käsitellään valitulla alueella, esimerkiksi EU:ssa. Datasuvereniteetti kysyy, mitkä oikeusjärjestykset ja organisaatiot voivat hallita tietoja ja palvelua, päästä niihin käsiksi tai sulkea ne. Palvelu voi täyttää sijaintivaatimukset, vaikka operaattori on EU:n ulkopuolisen lain alainen. Toimittaja-arvioinnissa molemmista tarvitaan omat kysymyksensä.

Euroopan tietosuojaneuvoston suosituksissa 01/2020 teknisten toimenpiteiden raja kuvataan selvästi. Pilvipalveluista, joiden on päästävä selväkielisiin tietoihin (käyttötapaus 6), tietosuojaneuvosto totesi olevansa ”incapable of envisioning an effective technical measure” (kykenemätön kuvittelemaan tehokasta teknistä toimenpidettä) viranomaisten suhteettoman pääsyn estämiseksi tekniikan nykytaso huomioon ottaen [17]. Siksi useimpia toimisto-ohjelmistopaketteja, joiden on luettava sisältöä indeksointia, hakua ja tekoälyominaisuuksia varten, on vaikea suojata pelkällä salauksella.

6. Mitä suuret palveluntarjoajat tarjoavat

Alla olevat kuvaukset ovat kunkin toimittajan omilta sivuilta. Emme arvioi, täyttävätkö ne jonkin oikeudellisen vaatimuksen; lukekaa oman palvelutasonne sopimusehdot.

Microsoft: EU-tietoraja ja suvereenit tarjoomat

Microsoft kuvaa EU-tietorajaa (EU Data Boundary) rajaksi, jonka sisällä se sitoutuu tallentamaan ja käsittelemään asiakastiedot ja henkilötiedot yrityksille tarkoitetuissa verkkopalveluissaan, kuten Azuressa, Dynamics 365:ssä, Power Platformissa ja Microsoft 365:ssä. Sivun mukaan sitoumukset ovat ”subject to limited circumstances” (tiettyjen rajattujen tilanteiden alaisia), joissa tietoja edelleen siirretään rajan ulkopuolelle, ja nämä siirrot dokumentoidaan erikseen. Raja kattaa EU- ja EFTA-maat. Microsoft 365:ssä soveltamisalaan kuuluvat vuokraajat (tenant), joiden rekisteröitymissijainti on EU:ssa tai EFTA:ssa, mutta eivät Multi-Geo-ominaisuuksia käyttävät vuokraajat [18].

Huhtikuussa 2025 Microsoft julkaisi viisi ”European digital commitments” -sitoumusta, joihin kuuluvat lupaus riitauttaa kaikki hallitusten määräykset keskeyttää sen eurooppalaiset pilvipalvelut sekä eurooppalaisten palvelinkeskusten valvonta Euroopan kansalaisista koostuvan hallituksen toimesta [19]. Kesäkuussa 2025 se ilmoitti Sovereign Public Cloudista ja Sovereign Private Cloudista (molemmat tuolloin esiversioina), Microsoft 365 Localista, ”Data Guardianista” (etäkäyttö rajattu Euroopassa asuvaan henkilöstöön), ulkoisesta avaintenhallinnasta sekä kansallisista kumppanipilvistä, kuten Bleu Ranskassa ja Delos Cloud Saksassa [20].

Korkeakouluesimerkki näyttää, miksi sijaintiasetuksia on seurattava. SURFin toukokuussa 2026 päivittämässä Microsoft 365 Copilotin vaikutustenarvioinnissa todetaan, että Microsoft otti maaliskuussa 2026 käyttöön ”flex routingin”, joka mahdollistaa tietojen siirrot EU-tietorajan ulkopuolelle uusille vuokraajille. SURF varmisti, ettei olemassa olevia alankomaalaisten oppilaitosten vuokraajia ollut muutettu, ja lisäsi asian uutena matalana riskinä [21]. Katso myös tietosuojakatsaukset Microsoft 365:stä ja Microsoft Copilotista.

AWS European Sovereign Cloud

AWS ilmoitti AWS European Sovereign Cloudin yleisestä saatavuudesta 15.1.2026; ensimmäinen alue on Brandenburgissa Saksassa. AWS:n mukaan se on fyysisesti ja loogisesti erillään muista AWS-alueista, ja sitä operoivat EU:ssa asuvat henkilöt uuden emoyhtiön ja EU-kansalaisten johtamien saksalaisten tytäryhtiöiden kautta ”zero operational control outside of EU borders” (ilman mitään operatiivista määräysvaltaa EU:n rajojen ulkopuolelta). Se suunnittelee suvereeneja Local Zone -alueita Belgiaan, Alankomaihin ja Portugaliin [22].

Google Cloudin suvereenit tarjoomat

Google luettelee kolme päävaihtoehtoa. Google Cloud Data Boundary tarjoaa julkisessa pilvessä sijainti- ja pääsynhallintaa, mukaan lukien asiakkaan hallinnoimat ja ulkoisesti säilytetyt avaimet. Google Cloud Dedicated toimii eristetyllä infrastruktuurilla, jota operoi paikallinen kumppani; Ranskassa sitä operoi S3NS, Thalesin kanssa perustettu itsenäinen ranskalainen yhtiö, jonka Google sanoo suunnitellun täyttämään SecNumCloudin vaatimukset. Google Distributed Cloud toimii asiakkaan omissa tiloissa joko verkkoon kytkettynä tai täysin eristettynä [23]. Katso tietosuojakatsaus Google Workspacesta.

Validemicin analyysi Tietorajat muuttavat lähinnä sijaintia ja tukikäyttöä. Erikseen operoidut pilvet pyrkivät muuttamaan sitä, kuka hallitsee operaattoria. Asiakkaan hallitsemat avaimet ja omissa tiloissa toimivat ratkaisut muuttavat sitä, kuka voi lukea tiedot. Kun toimittaja puhuu ”suvereniteetista”, kysykää, mitä näistä se tarkoittaa, mitä palveluja se koskee ja millä palvelutasolla.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

7. Sertifiointi: EUCS ja SecNumCloud

”Suvereeneille” pilvipalveluille ei 9.10.2026 ole hyväksyttyä EU:n laajuista sertifiointia. EU:n pilvipalvelujen kyberturvallisuussertifiointijärjestelmä (EUCS) on edelleen ehdotusvaiheessa. Ranskan SecNumCloud-kelpuutus on vakiintunein kansallinen merkintä, joka kattaa nimenomaisesti suojan EU:n ulkopuolista lainsäädäntöä vastaan.

• EUCS. Komission kyberturvallisuussertifiointikehystä koskevalla sivulla, joka on päivitetty viimeksi 9.9.2026, ”European cybersecurity certification scheme for cloud services” mainitaan niiden ehdotettujen järjestelmien joukossa, joita ENISAa pyydettiin valmistelemaan, ja ensimmäiseksi hyväksytyksi järjestelmäksi mainitaan Common Criteria -järjestelmä (EUCC) [24]. Aiemmista luonnoksista, joihin olisi lisätty suvereniteettivaatimuksia, väiteltiin jäsenvaltioiden kesken pitkään; lopullinen järjestelmä voi poiketa niistä.
• SecNumCloud (Ranska). ANSSIn mukaan SecNumCloud-kelpuutetuilla palveluilla pyritään suojaamaan arkaluonteisia tietoja ”face à la menace cybercriminelle et à l'application de lois extraterritoriales” (kyberrikollisuuden uhkalta ja ekstraterritoriaalisten lakien soveltamiselta), ja se julkaisee luettelon kelpuutetuista palveluista [25]. CNIL:n korkeakouluille 24.8.2026 antamassa ohjeessa SecNumCloud-kelpuutus mainitaan esimerkkinä keinosta varmistaa, että palveluntarjoaja on yksinomaan eurooppalaisen lainsäädännön alainen [26].

8. Mitä hallitukset ja julkinen sektori tekevät

Julkiset toimijat useissa maissa vähentävät riippuvuuttaan muutamasta EU:n ulkopuolisesta palveluntarjoajasta. Useimmat hankkeet etenevät vähitellen, ja niiden ilmoitettuja syitä ovat tietosuojan ohella jatkuvuus ja neuvotteluasema.

• Ranska. Opetusministeriö totesi 15.11.2022 julkaistussa vastauksessa parlamentin kysymykseen, että valtion digitaalivirasto oli vuonna 2021 todennut Office 365:n olevan ristiriidassa ”cloud au centre” -doktriinin kanssa, että CNIL oli neuvonut korkeakouluja käyttämään yksinomaan eurooppalaisen lainsäädännön alaisia palveluntarjoajia ja että rehtoreita oli pyydetty lopettamaan uudet Microsoftin ja Googlen käyttöönotot kouluissa [27]. Vastaus on annettu ennen vuoden 2023 tietosuojakehystä.
• Saksa. Tanskan digitalisaatioviraston vuoden 2026 tapausluettelossa kuvataan Schleswig-Holsteinin vuonna 2012 alkanutta siirtymää LibreOfficeen, Linuxiin, Nextcloudiin ja Open-Xchangeen; tavoitteena on luopua muutamaa kriittistä lukuun ottamatta kaikista Microsoftin tuotteista vuoteen 2029 mennessä, ja 24 000 osavaltion 30 000 työntekijästä käyttää jo uutta työympäristöä [28]. Liittovaltion rahoittama ZenDiS kehittää openDeskiä, julkishallinnolle tarkoitettua avoimen lähdekoodin toimisto-ohjelmistoa [29].
• Tanska. Digitalisaatioviraston mukaan vuoden 2026 talousarviolaissa varataan 80 miljoonaa Tanskan kruunua vuosille 2026–2029 digitaalista suvereniteettia koskevaan toimintasuunnitelmaan [30]. Sen tapausluettelossa kuvataan, miten Aarhusin kunta korvasi yhdessä toimialassaan Microsoft Azuren saksalaisella Hetznerillä noin 60 ratkaisun osalta, sekä Kööpenhaminan kunnan noin 150 kriittistä järjestelmää koskeva analyysi, josta raportoitiin kaupunginvaltuustolle joulukuussa 2025 [28].
• Alankomaat. Alankomaiden hallituksen ICT-arviointineuvosto (AcICT) julkaisi syyskuussa 2026 julkisille toimijoille ohjeen pilvipalvelujen käytöstä. Sen ensimmäinen suositus on punnita strategisia riippuvuuksia huolellisesti, mukaan lukien toimittajaloukku ja irtautumismahdollisuudet [31].
• Sveitsi. Kantonien tietosuojaviranomaiset (privatim) hyväksyivät marraskuussa 2025 päätöslauselman. Sen mukaan erityisen arkaluonteisten tai lain mukaan salassa pidettävien henkilötietojen ulkoistaminen suurille kansainvälisille SaaS-palveluille on ”in most cases (such as M365)” (useimmissa tapauksissa, kuten M365) kiellettyä, ellei julkinen toimija salaa tietoja itse eikä palveluntarjoajalla ole pääsyä avaimeen [32].
• Ruotsi. Ruotsin julkisten virastojen yhteistyöelin eSam kirjoitti syyskuussa 2025, että EU:n ja Yhdysvaltojen välistä riittävyyspäätöstä sovelletaan, kunnes se peruutetaan tai kumotaan, mutta se ei välttämättä ratkaise kysymyksiä ulkomaisesta pääsystä ekstraterritoriaalisen lainsäädännön nojalla [33].

9. Mitä korkeakoulut ja tutkimusverkot tekevät

Eurooppalaiset korkeakoulut kulkevat kolmea päätietä: ne arvioivat suuret yhdysvaltalaiset ohjelmistopaketit perusteellisesti, rakentavat tai hankkivat yhteisiä eurooppalaisia vaihtoehtoja kansallisten tutkimus- ja opetusverkkojensa (NREN) kautta ja Alankomaissa ottavat käyttöön koko alan kattavan digitaalisen autonomian suunnitelman.

Alankomaat: avoimista kirjeistä alan suunnitelmaan

• Henkilöstön kirjeet. Maaliskuussa 2025 kaksi Utrechtin yliopiston professoria kirjoitti yliopiston hallitukselle, että ”The fact that the data is stored on European servers offers no (legal) protection” (se, että tiedot tallennetaan eurooppalaisille palvelimille, ei tarjoa (oikeudellista) suojaa), ja viittasi CLOUD Actiin [34]. Vastaavia kirjeitä seurasi Radboudin yliopistossa (maaliskuu 2025) [35] ja Groningenin yliopistossa (huhtikuu 2025) [36]. Joulukuussa 2025 julkaistussa keskustelupaperissa Utrechtin kirjoittajat totesivat, että suuret palveluntarjoajat ”are subject to American jurisdiction (in particular the Cloud Act)” (ovat Yhdysvaltain lainkäyttövallan alaisia, erityisesti CLOUD Actin) [37].
• Alan suunnitelma. Toukokuussa 2026 Universiteiten van Nederland (UNL) ilmoitti, että yliopistot, valtionhallinto ja SURF tekevät yhteistyötä digitaalisen autonomian vahvistamiseksi, ja viittasi tutkimusturvallisuuteen, yksityisyyteen, jatkuvuuteen ja akateemisiin arvoihin kohdistuviin riskeihin. Toimikunta tekee ehdotuksia yhteisistä hankintaehdoista, vaihtoehdoista ja kansainvälisestä yhteistyöstä aloittaen perustason riskinarvioinnista [38]. Eindhovenin teknillisen yliopiston uutissivuston mukaan yliopistot ja valtiosihteeri allekirjoittivat aiesopimuksen kesäkuussa 2026 [39].
• SURF. SURFin pilvipalvelujen hankintastrategiassa (2024) datasuvereniteetti on yksi yhdeksästä teemasta, ja sen mukaan määräysvaltaa tietoihin ei koskaan siirretä toimittajalle [40]. Marraskuussa 2025 SURF ilmoitti tarjoavansa Nextcloudia kaikille jäsenorganisaatioilleen tammikuusta 2026 alkaen ja totesi, että ”our independence and public values are coming under increasing pressure” (riippumattomuutemme ja julkiset arvomme ovat kasvavan paineen alla) [41]. Sen Microsoft 365 Copilotia koskevat vaikutustenarvioinnit ovat malliesimerkki siitä, miten alan yhteinen toimija voi arvioida yhden toimittajan monien puolesta [21].
• Realistiset aikataulut. Utrechtin yliopistolehden mukaan noin 75 tutkijaa viidestä alankomaalaisesta yliopistosta oli testannut Nextcloudia vuoden 2025 alusta [42]. Twenten yliopiston IT-johtaja kertoi yliopiston lehdelle, ettei yliopisto pysty tähän yksin, ja kuvasi Linuxiin ja LibreOfficeen perustuvaa suvereenin työympäristön hanketta [43].

Pohjoismaat

• Ruotsi. Sunet Drive on Nextcloudiin ja Sunetin omaan S3-tallennukseen perustuva tallennus- ja tiedostonjakopalvelu, joka sijaitsee ruotsalaisilla palvelimilla. Sunetin mukaan organisaatiolla on ”full kontroll över allt lagrat data” (täysi määräysvalta kaikkiin tallennettuihin tietoihin) [44]. Tukholman yliopisto tarjoaa sitä tutkijoille [45].
• Suomi. CSC – Tieteen tietotekniikan keskus ylläpitää arkaluonteisen datan palveluja, kuten ePoutaa, jota kuvataan ”a secure cloud computing environment designed to process sensitive data” (arkaluonteisten tietojen käsittelyyn suunniteltu turvallinen pilvilaskentaympäristö) [46].
• Norja. Bergenin ja Oslon yliopistojen kansallisten kumppanien kanssa ylläpitämä NREC tarjoaa korkeakoulusektorille infrastruktuuripalveluja (IaaS) Bergenin ja Oslon palvelinkeskuksista [47].

Saksa, Sveitsi ja Ranska

• sciebo (Nordrhein-Westfalen). Kun palvelu käynnistyi vuonna 2015, Münsterin yliopisto kertoi osallistuvien yliopistojen ylläpitävän scieboa itse ja tietojen käsiteltävän Münsterissä, Bonnissa ja Duisburg-Essenissä [48]. Sen nykyisellä sivustolla palvelua kuvataan ”a non-commercial cloud storage by universities for universities” (yliopistojen ei-kaupallinen pilvitallennus yliopistoille) [49].
• bwSync&Share (Baden-Württemberg). Karlsruhen teknillisen instituutin 1.1.2014 alkaen Nextcloudilla ylläpitämä palvelu, joka on avoin osavaltion korkeakouluille ja DFN-Cloudin kautta muille DFN:n jäsenille [50].
• Sveitsi. Switch Drive sijaitsee Switchin palvelinkeskuksissa Sveitsissä; Switchin mukaan ”All IT resources and usage data are located in Switch data centres” (kaikki IT-resurssit ja käyttötiedot sijaitsevat Switchin palvelinkeskuksissa) [51].
• Ranska. RENATER esittää yhteistyöpalvelunsa vaihtoehtona maksuttomille verkkopalveluille ja sitoutuu ”garantir le stockage de vos données en France” (takaamaan tietojenne tallennuksen Ranskassa) [52].

Yleiseurooppalainen hankinta: GÉANT OCRE

GÉANTin Open Clouds for Research Environments (OCRE) -puitejärjestely antaa tutkimusverkoille mahdollisuuden tarjota jäsenilleen kaupallisia pilvipalveluja valmiiksi neuvotelluin ehdoin. Luxemburgin tutkimusverkko Restena kertoi, että OCRE 2024 -puitejärjestely tuli voimaan 3.2.2025 ja kattaa IaaS-, PaaS- ja SaaS-palvelut, ja että Luxemburgissa on edelleen saatavilla seitsemän alustaa, sekä yhdysvaltalaisia että eurooppalaisia [53]. Kysykää omalta tutkimusverkoltanne, mitkä palveluntarjoajat ovat saatavilla maassanne.

Validemicin analyysi Missään maassa korkeakoulut eivät luovu yhdysvaltalaisista ohjelmistopaketeista yhdessä yössä. Ne luokittelevat tietonsa, pitävät arkaluonteisimmat tutkimusaineistot tutkimusverkon tai kansallisissa palveluissa, rakentavat yhteisiä vaihtoehtoja tiedostonjakoon ja käyttävät alan yhteisiä toimijoita neuvotteluihin ja arviointeihin. Katso opas tutkimusaineistojen pilvitallennuksesta ja Nextcloudin tietosuojakatsaus.

10. Miten riski arvioidaan

CLOUD Act- ja suvereniteettiarvio sopii osaksi tavanomaista tietosuojaprosessia. Yhdistäkää ETA:n ulkopuolelle lähtevien tietojen siirtoarviointi laajempaan riippuvuusarvioon, joka kattaa ulkomaisen oikeudellisen pääsyn, jatkuvuuden ja irtautumisen. Tehkää arvio palveluittain ja tietotyypeittäin, ei kerran koko ”pilvelle”.

1. Kartoittakaa palvelu. Sopimusosapuoli, operoivat yhtiöt, tallennus- ja käsittelysijainnit, alikäsittelijät ja tukisijainnit. Käyttäkää alikäsittelijäluetteloa, ei markkinointisivuja.
2. Luokitelkaa tiedot. Käyttäkää organisaationne luokittelua ja merkitkää erityiset henkilötietoryhmät, lain mukaan salassa pidettävät tiedot, vientivalvonnan alainen tutkimus ja kumppanien salassapitoehtojen alaiset tiedot.
3. Tunnistakaa siirrot ja siirtoperuste. ETA:n ulkopuolelta tapahtuva etäkäyttö on siirto [17]. Yhdysvaltalaisten vastaanottajien osalta tarkistakaa DPF-luettelon merkintä; muutoin käyttäkää vakiolausekkeita ja siirtovaikutusten arviointia. Siirtoperustetyökalu ja siirtovaikutusten arvioinnin malli kattavat tämän vaiheen.
4. Arvioikaa ulkomainen oikeudellinen pääsy erikseen. Kysykää, onko operaattori Yhdysvaltain (tai muun EU:n ulkopuolisen maan) lainkäyttövallan alainen, pääseekö se sisältöön selväkielisenä ja mihin se sitoutuu pyynnön saadessaan: ilmoittamaan teille, riitauttamaan pyynnön, luovuttamaan vain välttämättömän ja julkaisemaan läpinäkyvyystietoja (vertaa vakiolausekkeiden 15 lausekkeeseen) [12].
5. Arvioikaa tekniset kontrollit. Kuka hallitsee avaimia? Onko asiakaspään tai päästä päähän -salaus saatavilla sitä tarvitseville tiedoille? Mitkä ominaisuudet lakkaavat toimimasta, kun sitä käytetään?
6. Arvioikaa riippuvuus ja jatkuvuus. Mitä tapahtuisi, jos palvelu ei olisi enää käytettävissä, kallistuisi huomattavasti tai muuttuisi oikeudellisesti käyttökelvottomaksi joillekin tiedoille? Kuinka kauan siirtyminen kestäisi?
7. Päättäkää ja kirjatkaa. Kirjatkaa jäännösriski, käyttöehdot (esimerkiksi ”ei erityisiin henkilötietoryhmiin kuuluvia tietoja”) ja kuka riskin hyväksyi. Päivittäkää tarvittaessa vaikutustenarviointi; katso vaikutustenarvioinnin malli.
8. Seuratkaa. Seuratkaa muutoksia palvelinsijainneissa, alikäsittelijöissä, oletusasetuksissa ja Yhdysvaltain lainsäädännössä (702 pykälä, valitus C-703/25 P, komission tietosuojakehystä koskeva arviointi). SURFin flex routing -esimerkki osoittaa, että oletusasetukset voivat muuttua.

Jos alan yhteinen toimija on jo arvioinut palvelun (esimerkiksi SURFin vaikutustenarvioinnit), aloittakaa siitä ja tarkistakaa, että omat asetuksenne vastaavat sen oletuksia. Laajemmasta prosessista kertovat toimittaja-arviointi korkeakouluissa ja NIS2-opas.

11. Päätöstaulukko: palvelualusta tietotyypin mukaan

Alla oleva taulukko on Validemicin analyysi, ei oikeudellinen vaatimus. Se näyttää yleisen mallin, joka vastaa yllä mainittujen lähteiden kantoja. Kansallinen lainsäädäntö, tutkimussopimukset ja organisaationne tietoluokittelu menevät edelle.

Tekoälyominaisuudet vaativat erityistä huomiota, koska ne tuovat usein mukanaan uusia käsittelysijainteja ja alikäsittelijöitä. Opas Pohjoismaiden korkeakoulujen tekoälypalveluista näyttää, miten jotkin organisaatiot ylläpitävät tekoälyä itse tästä syystä.

12. Irtautumisstrategiat

Irtautumisstrategia on dokumentoitu ja testattu suunnitelma palvelun ja sen tietojen siirtämisestä toiselle palveluntarjoajalle tai omaksi toiminnaksi määrätyssä ajassa ja budjetissa. Se on käytännöllisin suvereniteettitoimenpide, koska se rajaa minkä tahansa tulevan lain, hinnan tai linjausten muutoksen haittoja. EU:n datasäädös antaa nyt pilvipalvelujen asiakkaille täytäntöönpanokelpoiset vaihto-oikeudet.

Mitä datasäädös edellyttää

Asetuksen (EU) 2023/2854 VI lukua on sovellettu 12.9.2025 alkaen [13]. Datankäsittelypalvelujen tarjoajien on poistettava vaihtamisen esteet (23 artikla), ja sopimukseen on sisällytettävä muun muassa (25 artiklan 2 kohta):

• vaihtamisen aloittamiselle enintään kahden kuukauden irtisanomisaika;
• pakollinen enintään 30 kalenteripäivän siirtymäaika, jonka aikana palveluntarjoajan on avustettava, ylläpidettävä jatkuvuutta ja pidettävä tiedot turvassa;
• velvollisuus tukea asiakkaan irtautumisstrategiaa;
• tyhjentävä erittely siirrettävistä tiedoista ja digitaalisesta omaisuudesta;
• vähintään 30 kalenteripäivän tietojen noutoaika siirtymäajan jälkeen;
• siirrettävien tietojen täydellinen poistaminen noutoajan jälkeen.

Maksujen osalta palveluntarjoajat saattoivat 11.1.2024 alkaen periä vain alennettuja, välittömät kustannukset ylittämättömiä vaihtomaksuja. 12.1.2027 alkaen ne eivät saa periä lainkaan vaihtomaksuja (29 artikla). Asetuksen 31 artikla vapauttaa osasta näitä sääntöjä tietyt räätälöidyt palvelut ja testiversiot. Katso datasäädös selitettynä.

Suunnitelman laatiminen

1. Inventaario. Palvelut, tietomäärät, integraatiot (kertakirjautuminen, oppimisalusta, tutkimusjärjestelmät) ja riippuvaiset käyttäjät.
2. Formaatit. Suosikaa avoimia formaatteja ja tarkistakaa, että viennit sisältävät metatiedot, käyttöoikeudet ja versiohistorian.
3. Identiteetti. Pitäkää identiteetinhallinta organisaation tai federaation hallinnassa, jottei palveluntarjoajan vaihto tarkoita jokaisen käyttäjätilin vaihtamista.
4. Vaihtoehdot. Tunnistakaa jokaiselle kriittiselle palvelulle vähintään yksi realistinen vaihtoehto, usein tutkimusverkon tai kansallisen yhteisen palvelun kautta.
5. Testaus. Tehkää vuosittain osittainen vienti ja tuonti yhden esimerkkiyksikön tiedoilla. Testaamaton irtautumissuunnitelma on toive, ei suunnitelma.
6. Budjetti ja aika. Kirjatkaa siirtymän arvioitu kustannus ja kesto. Tanskan tapausluettelo osoittaa, että rajattukin siirto (noin 60 ratkaisua yhdessä Aarhusin toimialassa) vei noin kuusi kuukautta [28].

13. Hankintaehdot, joita kannattaa vaatia

Sopimusehdoilla ei voi muuttaa sitä, mitä lakeja palveluntarjoajaan sovelletaan, mutta niillä voi antaa korkeakoululle tietoa, aikaa ja vaihtoehtoja. Käyttäkää alla olevia ehtoja tarjouspyynnöissä ja sopimusten uusimisessa kansallisiin hankintasääntöihinne sovitettuina. Toimittajakyselyn laadintatyökalu voi muuttaa ne kysymyksiksi.

Jos alanne yhteinen toimija neuvottelee keskitetysti (SURF, Sikt, Sunet, CSC, Jisc, DFN tai GÉANT OCREn kautta), tarkistakaa ennen omia neuvotteluja, mitkä näistä ehdoista ovat jo puitesopimuksessa. Itse 28 artiklan ehtoja varten käsittelysopimuksen tarkistustyökalu käy sopimusluonnoksen läpi kohta kohdalta, ja alikäsittelijähälytykset auttavat huomaamaan muutokset allekirjoituksen jälkeen.

14. Tarkistuslista

Lähteet

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (haettu 9.10.2026).
2. 18 U.S.C. § 2703, subsection (h), comity analysis, Legal Information Institute (haettu 9.10.2026).
3. Yhdysvaltain oikeusministeriö: CLOUD Act Resources (haettu 9.10.2026).
4. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), 28, 32, 44 ja 48 artikla (haettu 9.10.2026).
5. Unionin tuomioistuimen tuomio 16.7.2020, Facebook Ireland ja Schrems, C-311/18, 184, 197 ja 201 kohta, luettu EU:n julkaisutoimiston kautta (haettu 9.10.2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12.6.2026 (haettu 9.10.2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, päivitetty 17.9.2026 (haettu 9.10.2026).
8. Euroopan unionin tuomioistuin, lehdistötiedote nro 106/25 asiassa T-553/23, jossa kuvataan 7.10.2022 annettu EO 14086 ja DPRC (haettu 9.10.2026).
9. Komission täytäntöönpanopäätös (EU) 2023/1795 (EU:n ja Yhdysvaltojen välinen tietosuojakehys), johdanto-osan 96 ja 97 kappale, luettu EU:n julkaisutoimiston kautta (haettu 9.10.2026).
10. Tietosuoja-asetuksen 48 artikla, Siirrot ja luovutukset, joita ei sallita unionin lainsäädännössä (haettu 9.10.2026).
11. EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act, liite päivätty 10.7.2019 (haettu 9.10.2026).
12. Komission täytäntöönpanopäätös (EU) 2021/914 (vakiolausekkeet), 15 lauseke (haettu 9.10.2026).
13. Asetus (EU) 2023/2854 (datasäädös), 23, 25, 29, 31, 32 ja 50 artikla, luettu EU:n julkaisutoimiston kautta (haettu 9.10.2026).
14. Unionin yleinen tuomioistuin, Latombe v. komissio, T-553/23, lehdistötiedote 3.9.2025 (haettu 9.10.2026).
15. Philippe Latomben 31.10.2025 tekemä valitus, asia C-703/25 P, EUVL C/2025/6610 (haettu 9.10.2026).
16. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31.7.2026 (haettu 9.10.2026).
17. Euroopan tietosuojaneuvoston suositukset 01/2020 täydentävistä toimenpiteistä, versio 2.0, 13 kohta ja käyttötapaus 6 (haettu 9.10.2026).
18. Microsoft Learn: What is the EU Data Boundary? (haettu 9.10.2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30.4.2025 (haettu 9.10.2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16.6.2025 (haettu 9.10.2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27.5.2026 (haettu 9.10.2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15.1.2026 (haettu 9.10.2026).
23. Google Cloud: Sovereign Cloud (haettu 9.10.2026).
24. Euroopan komissio: EU Cybersecurity Certification Framework, päivitetty viimeksi 9.9.2026 (haettu 9.10.2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (haettu 9.10.2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24.8.2026 (haettu 9.10.2026).
27. Assemblée nationale, kirjallinen kysymys nro 971 ja ministerin vastaus, vastaus julkaistu 15.11.2022 (haettu 9.10.2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (PA Consulting), tammikuu 2026, tapaukset 3, 11 ja 13 (haettu 9.10.2026).
29. openDesk (ZenDiS) (haettu 9.10.2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (haettu 9.10.2026).
31. Digitale Overheid: Cloud, mukaan lukien AcICT:n ohje pilvipalvelujen käytöstä, 8.9.2026 (haettu 9.10.2026).
32. privatim: päätöslauselma kansainvälisistä pilviratkaisuista ja lehdistötiedote, 24.11.2025 (haettu 9.10.2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26.9.2025 (haettu 9.10.2026).
34. Utrechtin yliopisto: Open letter to the Executive Board calling for a transformation to digital autonomy, 25.3.2025 (haettu 9.10.2026).
35. Radboudin yliopiston henkilöstö: Open letter on dependence on Big Tech, 10.3.2025 (haettu 9.10.2026).
36. Groningenin yliopisto: Open letter to the Executive Board to end dependence on Big Tech, 10.4.2025 (haettu 9.10.2026).
37. Utrechtin yliopisto, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, joulukuu 2025 (haettu 9.10.2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6.5.2026 (haettu 9.10.2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26.6.2026 (haettu 9.10.2026).
40. SURF: Cloud sourcing strategie, 2024 (haettu 9.10.2026).
41. SURF: Education and research move forward with Nextcloud, 24.11.2025 (haettu 9.10.2026).
42. DUB (Utrechtin yliopisto): Can Dutch universities do without Microsoft?, 24.11.2025 (haettu 9.10.2026).
43. U-Today (Twenten yliopisto): Breaking free from big tech? UT can't do it alone, 9.12.2025 (haettu 9.10.2026).
44. Sunet: Sunet Drive (haettu 9.10.2026).
45. Tukholman yliopisto: Sunet Drive (Nextcloud), päivitetty 24.11.2025 (haettu 9.10.2026).
46. CSC: Sensitive data services (haettu 9.10.2026).
47. NREC: Norwegian Research and Education Cloud (haettu 9.10.2026).
48. Münsterin yliopisto: lehdistötiedote sciebon käynnistämisestä, 28.1.2015 (haettu 9.10.2026).
49. hochschulcloud.nrw: sciebo (haettu 9.10.2026).
50. Karlsruhen teknillinen instituutti: bwSync&Share (haettu 9.10.2026).
51. Switch: Switch Drive (haettu 9.10.2026).
52. RENATER: Services (haettu 9.10.2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14.2.2025 (haettu 9.10.2026).

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme säädöstekstit (US Code Legal Information Instituten kautta; EU-säädökset EU:n julkaisutoimiston julkaisemina virallisen lehden versioina), tuomioistuinasiakirjat, Euroopan tietosuojaneuvoston, komission ja kansallisten viranomaisten sivut, toimittajien sivut sekä yllä luetellut korkeakoulujen ja tutkimusverkkojen sivut. EU-säädösten lainaukset ovat niiden virallisesta suomenkielisestä tekstistä; muunkieliset lainaukset on säilytetty alkuperäisinä, ja suluissa oleva suomennos on omamme eikä sanatarkka lainaus. Toimittajien kuvaukset ovat toimittajien omia; emme testanneet palveluja. Oma tulkintamme on merkitty Validemicin analyysiksi. Sivu on yleistä tietoa eikä oikeudellista neuvontaa. Yhdysvaltain valvontalainsäädäntö, tietosuojakehystä koskeva valitus ja EU:n pilvisertifiointijärjestelmä voivat kaikki muuttua, ja päivitämme sivun, kun niin käy. Jos huomaatte virheen tai vanhentuneen kohdan, ottakaa yhteyttä, niin korjaamme sen.