Kun organisaatio siirtää henkilötietoja pilvipalveluun, se luovuttaa fyysisen kontrollin dataan. Juridinen vastuu ei kuitenkaan katoa minnekään. EU:n yleinen tietosuoja-asetus (GDPR) on tässä yksiselitteinen: rekisterinpitäjä vastaa siitä, että henkilötietoja käsitellään lainmukaisesti riippumatta siitä, missä infrastruktuurissa ne sijaitsevat.
Käytännössä tämä tarkoittaa, että pilvi-GDPR:n keskeisin kysymys ei ole ’missä data on’ vaan ’kuka pääsee siihen käsiksi ja millä ehdoilla’. Juuri siksi identiteetin- ja pääsynhallinta (IAM) on GDPR-vaatimustenmukaisuuden ydin pilviympäristöissä. Se ei ole pelkkä tukitoiminto, vaan ensisijainen hallintatyökalu.
Jaettu vastuu alkaa pääsynhallinnasta
GDPR:n vastuumalli pilvipalveluissa on selkeä: rekisterinpitäjä (organisaatio) vastaa käsittelyn laillisuudesta, ja tietojenkäsittelijä (pilvipalveluntarjoaja) toteuttaa käsittelyä annettujen ohjeiden mukaisesti. Tietojenkäsittelysopimus (DPA) määrittelee, mitä tietoja käsitellään, mihin tarkoitukseen ja millä teknisillä suojatoimilla. GDPR:n 28 artikla edellyttää sopimukselta muun muassa auditointioikeuksia ja rekisteröityjen oikeuksien toteuttamista.
Mutta sopimus on vain kehys. Käytännön tasolla jaettu vastuu toteutuu – tai epäonnistuu – pääsynhallinnassa. Pilvipalveluntarjoaja vastaa infrastruktuurin turvallisuudesta, mutta organisaatio itse päättää, ketkä pääsevät henkilötietoihin käsiksi, millä oikeuksilla ja kuinka kauan. Tässä kohtaa moni organisaatio kompastuu: oikeudet myönnetään liian laajasti, vanhoja tunnuksia ei poisteta ja kokonaiskuva puuttuu.
Kolme GDPR-periaatetta, jotka IAM toteuttaa käytännössä
Vähimmän oikeuden periaate (least privilege). GDPR:n 5(1)(f) artikla edellyttää henkilötietojen suojaamista luvattomalta käsittelyltä. Moderni IAM toteuttaa tämän varmistamalla, että jokainen käyttäjä, ihminen, palvelutili tai tekoälyagentti, pääsee käsiksi vain niihin tietoihin, joita hänen tehtävänsä edellyttää. Käytännössä tämä tarkoittaa roolipohjaista tai attribuuttipohjaista pääsynhallintaa, jossa oikeudet johdetaan automaattisesti käyttäjän roolista ja kontekstista.
Osoitusvelvollisuus (accountability). GDPR:n 5(2) artikla vaatii, että rekisterinpitäjä pystyy osoittamaan noudattavansa asetuksen periaatteita. IAM-järjestelmä tallentaa automaattisesti kaikki pääsytapahtumat: kuka käsitteli mitäkin tietoa, milloin ja millä perusteella. Ilman tätä lokitietoa organisaatio ei käytännössä pysty täyttämään osoitusvelvollisuuttaan.
Elinkaaren hallinta. Kun työntekijän rooli muuttuu tai työsuhde päättyy, pääsy henkilötietoihin on katkaistava välittömästi. Tämä on yksi yleisimmistä GDPR-aukoista pilvessä: vanhentuneet tunnukset ja liian laajat oikeudet jäävät elämään, koska elinkaaren hallinta on manuaalista tai hajautettu useisiin järjestelmiin. Automatisoitu IAM poistaa tämän riskin.
Tiedonsiirrot ja suvereniteetti: piilevä GDPR-riski
GDPR:n V luku säätelee henkilötietojen siirtoja EU/ETA-alueen ulkopuolelle. Käytännössä siirto on sallittu vain, jos kohdemaa tarjoaa riittävän tietosuojan tason tai siirtoon sovelletaan asianmukaisia suojatoimia, kuten vakiosopimuslausekkeita (SCC).
Pilvipalveluissa tämä on monimutkaisempaa kuin miltä näyttää. Monet globaalit palveluntarjoajat hajauttavat dataa konesaleihin eri maanosissa, jolloin organisaatio saattaa tietämättään syyllistyä laittomiin tiedonsiirtoihin. Lisäksi ekstraterritoriaalinen lainsäädäntö mutkistaa tilannetta: esimerkiksi Yhdysvaltain CLOUD Act mahdollistaa viranomaisten pääsyn yhdysvaltalaisten palveluntarjoajien hallinnoimiin tietoihin riippumatta siitä, missä data fyysisesti sijaitsee.
Tässä pääsynhallinta ja suvereniteetti kietoutuvat yhteen. Jos IAM-järjestelmä itsessään toimii yhdysvaltalaisella alustalla, koko pääsynhallintakerros on potentiaalisesti kolmannen maan lainsäädännön ulottuvilla. Tämä koskee myös tietoa siitä, keillä on oikeus mihinkin. Suvereenilla eurooppalaisella IAM-ratkaisulla tämä riski poistuu arkkitehtuuritasolla, ei pelkästään sopimustasolla.
Alihankkijat, ilmoitusvelvollisuus ja tietoturvaloukkaukset
Pilvipalveluntarjoajat käyttävät usein alihankkijoita, ja GDPR edellyttää, että koko käsittelyketju noudattaa samoja tietosuojavaatimuksia. Valvontavastuu on viime kädessä rekisterinpitäjällä. Käytännössä tämä tarkoittaa, että organisaation on tiedettävä, mihin kaikkiin järjestelmiin ja palveluihin sen henkilötiedot kulkevat ja kuka niihin pääsee käsiksi missäkin ketjun vaiheessa.
Tietoturvaloukkauksista on ilmoitettava valvontaviranomaiselle 72 tunnin kuluessa niiden havaitsemisesta. Tämä edellyttää paitsi saumatonta tiedonkulkua pilvipalveluntarjoajan ja organisaation välillä, myös kykyä jäljittää nopeasti, mitä tietoja loukkaus koski ja kenen pääsyoikeudet olivat vaarantuneet. IAM-järjestelmän lokitiedot ovat tässä korvaamattomia: ne kertovat tarkalleen, mitä tapahtui ja kenen tunnuksilla.
Ei-inhimilliset identiteetit: GDPR:n uusi haaste
GDPR-keskustelussa puhutaan perinteisesti ihmiskäyttäjien pääsystä henkilötietoihin. Mutta yhä suurempi osa henkilötietojen käsittelystä tapahtuu automaattisesti: API-rajapinnat, palvelutilit, automaatiobotit ja tekoälyagentit käsittelevät dataa ilman, että yksikään ihminen painaa nappia. Alan arvioiden mukaan ei-inhimillisten identiteettien suhde ihmiskäyttäjiin on tyypillisesti 100:1.
GDPR ei tee eroa sille, käsitteleekö henkilötietoja ihminen vai kone – vastuu lainmukaisesta käsittelystä on sama. Silti valtaosa organisaatioista hallinnoi koneidentiteettejä manuaalisesti tai ei ollenkaan. Tämä on kasvava GDPR-riski, johon IAM-arkkitehtuurin on vastattava: sekä ihmisten, koneiden että tekoälyagenttien identiteetit on hallittava yhtenäisillä periaatteilla ja täydellisellä jäljitettävyydellä.
Vaatimustenmukaisuus on jatkuva prosessi, ei projekti
GDPR-vaatimustenmukaisuus pilvipalveluissa ei ole asia, joka ratkaistaan kerran ja unohdetaan. Organisaation henkilöstö, järjestelmät ja tietovirrat muuttuvat jatkuvasti, ja pääsynhallinnan on pysyttävä perässä reaaliajassa. Automatisoitu IAM tekee tästä hallittavaa: se päivittää oikeuksia rooli- ja kontekstimuutosten perusteella, tuottaa auditointivalmiit lokit ja hälyttää poikkeamista ennen kuin niistä tulee tietoturvaloukkauksia.
GDPR ei myöskään toimi tyhjiössä. Suomen kyberturvallisuuslaki (124/2025) asettaa organisaation johdolle henkilökohtaisen vastuun kyberturvallisuuden riskienhallinnasta, mukaan lukien ne järjestelmät, jotka käsittelevät henkilötietoja. Ja kun EUDI Wallet muuttaa asiakastunnistamisen perusteita joulukuusta 2026 alkaen, CIAM-arkkitehtuurin on tuettava sekä GDPR:n tietojen minimointiperiaatetta että lompakon selective disclosure -mallia. Organisaatioilla, joiden IAM-arkkitehtuuri on kunnossa, nämä eivät ole erillisiä projekteja vaan saman perustan luonnollisia laajennuksia.
Eurooppalainen Identity Fabric GDPR-vaatimustenmukaisuuden perustana
Yksi tapa vastata näihin haasteisiin on mikropalvelupohjainen Identity Fabric -arkkitehtuuri, jossa GDPR-vaatimustenmukaisuus on sisäänrakennettu eikä jälkikäteen lisätty ominaisuus. Tällaisessa arkkitehtuurissa ihmisten, koneiden ja tekoälyagenttien identiteetit yhdistyvät yhtenäiseksi kokonaisuudeksi, jossa pääsynhallinta, auditointi ja elinkaaren hallinta toimivat automaattisesti.
Eurooppalaiselle organisaatiolle on merkityksellistä myös se, missä IAM-kerros itsessään sijaitsee. Kun identiteetinhallinta-alusta toimii eurooppalaisessa infrastruktuurissa eikä ole riippuvainen yhdysvaltalaisista hyperscalereista, suvereniteettilupaus kattaa myös pääsynhallintatiedon, lokitiedot ja identiteettien metatiedot. Trivoren Identity Fabric on esimerkki tästä lähestymistavasta. Ota yhteyttä, jos haluat keskustella tarkemmin.