Siirtovaikutusten arviointi (TIA) kiinteällä hinnalla
Kun henkilötietoja siirretään EU:n ja ETA:n ulkopuolelle vakiosopimuslausekkeilla, pelkkä sopimus ei riitä. Siirtovaikutusten arviointi selvittää, suojaako se tiedot kohdemaassa myös käytännössä.
- Sopii, jos
- toimittaja tai sen alihankkija käsittelee tietoja EU:n ulkopuolella vakiosopimuslausekkeiden perusteella, tai asiakas tai hankinta pyytää arviota.
- Saat
- kirjallisen arvion siirrosta, kohdemaan lainsäädännöstä ja lisäsuojatoimista sekä johtopäätöksen.
- Mitä tarvitsemme teiltä
- toimittajan nimen, sopimukset ja kuvauksen siirrettävistä tiedoista.
Miksi arviointi tarvitaan?
EU-tuomioistuin katsoi vuonna 2020 Schrems II -ratkaisussaan (C-311/18), että vakiosopimuslausekkeita käyttävän on varmistettava, että tiedot ovat suojassa myös kohdemaassa. Komission vakiosopimuslausekkeiden 14 lauseke edellyttää, että osapuolet arvioivat kohdemaan lainsäädännön ja käytännöt ja dokumentoivat arvionsa. Euroopan tietosuojaneuvoston suositus 01/2020 kuvaa, miten arviointi tehdään. Englanniksi siitä käytetään lyhennettä TIA (transfer impact assessment).
Milloin arviointi tarvitaan?
| Siirtoperuste | Tarvitaanko TIA? |
|---|---|
| Tiedot pysyvät EU:ssa ja ETA:ssa, eikä etäpääsyä ole | ei |
| Komission riittävyyspäätös, esimerkiksi EU–US Data Privacy Frameworkiin sertifioitu yritys | ei yleensä |
| Vakiosopimuslausekkeet (SCC) | kyllä |
| Sitovat yrityssäännöt (BCR) | kyllä |
Etäpääsy on myös siirto, joten EU:ssa sijaitseva palvelin ei yksin ratkaise asiaa, jos tukihenkilö tai alihankkija pääsee tietoihin muualta.
Data Privacy Frameworkin riittävyyspäätös on voimassa, mutta sen pysyttänyttä unionin yleisen tuomioistuimen ratkaisua vastaan on tehty valitus EU-tuomioistuimeen (C-703/25 P), eikä asiasta löytynyt ratkaisua marraskuussa 2026. Siksi varasuunnitelma kannattaa kirjata jo nyt.
Ohjelmistot ja tekoälytyökalut
Arvio tehdään aina toimittajan nykyisen siirtoperusteen ja alihankkijoiden mukaan, koska ne muuttuvat. Tarkistamme ne Microsoft 365:n, Google Workspacen ja tekoälytyökalujen osalta sopimuksista ja Data Privacy Framework -listalta. Esimerkiksi Anthropicin kaupallisiin ehtoihin kuuluu käsittelysopimus vakiosopimuslausekkeineen, joten Claude Teamin kohdalla arviointi on syytä käydä läpi.
Mitä arviointi sisältää?
- siirron kuvaus: mitä tietoja, keille, mihin maahan ja miksi
- käytetty siirtoperuste
- kohdemaan lainsäädäntö ja viranomaisten pääsy tietoihin
- tekniset, sopimukselliset ja organisatoriset lisäsuojatoimet
- johtopäätös ja seurantapäivä
Hinta
Erillinen siirtovaikutusten arviointi maksaa 390 € toimittajaa kohden. Kun teemme järjestelmästä vaikutustenarvioinnin, siirtojen arviointi sisältyy sen hintaan. Katso hinnasto.
Usein kysytyt
Mitä siirtovaikutusten arviointi maksaa?
390 € toimittajaa kohden (alv 0 %) organisaation koosta riippumatta. Jos teemme järjestelmästä vaikutustenarvioinnin, siirtojen arviointi sisältyy siihen.
Tarvitseeko Microsoft 365 tai Google Workspace aina TIA:n?
Ei aina. Jos toimittaja on sertifioitu EU–US Data Privacy Frameworkiin ja siirto kuuluu sen piiriin, se voi perustua komission riittävyyspäätökseen. Tarkistamme sertifioinnin ja alihankkijat toimittajakohtaisesti.
Riittääkö toimittajan oma arvio?
Se on hyvä lähtöaineisto, mutta vastuu säilyy tietojen viejällä. Arvion pitää koskea juuri teidän siirrettäviä tietojanne ja käyttötapaanne.
Lue lisää: Mikä on TIA? Näin arvioit tietojen siirron EU:n ulkopuolelle
Siirtovaikutusten arviointi (TIA): tilaa tai kysy lisää
Kerro lyhyesti tilanteesi, niin vahvistamme kiinteän hinnan ja toimitusajan.