EU-USA tiedonsiirrot jälleen uhattuina: mitä Trump v. Slaughter -tuomio muuttaa?

Kirjoittaja: Maria Aholainen Lukuaika: 2 min

EU:n ja Yhdysvaltojen väliset tiedonsiirrot ovat jälleen murrospisteessä. Yhdysvaltain korkeimman oikeuden 29.6.2026 antama ratkaisu Trump v. Slaughter asettaa kyseenalaiseksi tietosuojakehyksen (Data Privacy Framework, DPF) ytimen – kauppakomission (Federal Trade Commission, FTC) riippumattomuuden. Itävaltalainen kansalaisjärjestö NOYB on jo ilmoittanut haastavansa komission riittävyyspäätöksen.

Historia toistaa itseään. Tietosuojakehys on järjestyksessään kolmas komission riittävyyspäätös tiedonsiirroista Yhdysvaltoihin, sillä kaksi aiempaa, Safe Harbour ja Privacy Shield, kumottiin EU:n tuomioistuimen ratkaisuissa Schrems I (2015) ja Schrems II (2020). Molemmissa tapauksissa EU-tuomioistuin katsoi, ettei Yhdysvaltojen lainsäädäntö taannut EU:n kansalaisille riittävää suojaa.

Mitä tapahtui?

Presidentti Trump erotti maaliskuussa 2025 kauppakomission komissaarin Rebecca Slaughterin ilman perusteltua syytä. Korkein oikeus katsoi 29.6.2026, että presidentillä on tähän toimivalta – kyseenalaistaen samalla liittovaltion virastojen tosiasiallisen riippumattomuuden.

Päätös ulottuu EU:n komission riittävyyspäätökseen, joka nojaa olennaisesti siihen, että kauppakomissio valvoo yhdysvaltalaisten yritysten tietosuojakehyksen mukaisia sitoumuksia ja varmistaa oikeussuojakeinot EU:n kansalaisille. Jos viraston riippumattomuus on näennäistä, riittävyyspäätöksen perusta horjuu.

Käytännön vaikutus

Tiedonsiirrot tietosuojakehyksen nojalla ovat edelleen sallittuja ja jatkuvat toistaiseksi. Varsinaiset muutokset tietosuojakehykseen edellyttäisivät EU-tuomioistuimen tai komission päätöstä. Koska riittävyyspäätös on jo kahdesti kaatunut EU-tuomioistuimessa, on kuitenkin syytä ennakoida muutoksia. Käytännössä organisaatioiden on suositeltavaa arvioida nykyiset tiedonsiirrot Yhdysvaltoihin. Mikäli tiedonsiirrot nojaavat tietosuojakehykseen, on suositeltavaa laatia varajärjestelyitä, kuten arvioida vaihtoehtoiset tiedonsiirtomekanismit, tarvittavat lisäsuojatoimet ja alihankkijamuutokset.

Laajempi konteksti: eurooppalainen teknologiasuvereniteetti ja riippumattomuus

Varajärjestelyjä arvioitaessa on huomioitava EU:n laajempi strateginen suunta. Komissio on tammikuussa 2026 julkaissut kyberturvallisuuspaketin sekä kesäkuussa 2026 teknologiasuvereniteettipaketin, jotka ohjaavat eurooppalaisia organisaatioita vähentämään riippuvuutta EU:n ulkopuolisista palveluntarjoajista. Nyt tehtävät uudelleenarvioinnit ja varajärjestelyt kannattaa suunnitella tätä kehitystä silmällä pitäen.

Tarkista nämä asiat

• Kartoita tiedonsiirrot: Selvitä, mitkä tiedonsiirrot nojaavat tietosuojakehykseen. Huomioi arvioinnissa omat, konserniyhtiöiden ja alihankkijoiden tiedonsiirrot.
• Arvioi varajärjestelyt: Mallisopimuslausekkeet (SCC) ovat yleisin vaihtoehto, mutta ne eivät automaattisesti takaa riittävää suojan tasoa ja voivat nekin olla tulevien päätösten kohteena.
• Päivitä TIA-arvioinnit: Tarkista tiedonsiirtoja koskevien vaikutustenarviointien ajantasaisuus.
• Huomioi laajempi muutos: Ota geopolitiikka ja uudet lainsäädäntöehdotukset mukaan kokonaisarviointiin.