Data-asetuksen soveltamisesta taloushallintopalvelu-sopimuksissa
Data-asetus pähkinänkuoressa
EU:n data-asetus, toiselta nimeltään datasäädös, on suoraan Suomessa sovellettavaa lainsäädäntöä. Asetus säädettiin jo vuonna 2024, mutta sen soveltaminen alkoi pääosaltaan 12.9.2025. Data-asetuksen säätelyn tarkoitus voidaan kiteyttää kahteen kokonaisuuteen:
- Antaa verkkoon kytkettyjen fyysisten laitteiden omistajille paremmat oikeudet laitteen keräämään tai laitteella tuottamaansa dataan. Tämä koskee esimerkiksi erilaisten mittareiden, antureiden, sensorien, moottorien ja muiden fyysisten laitteiden keräämää dataa. Tällä ei yleensä ole merkitystä tilitoimistoille tai ohjelmistotaloille lukuun ottamatta ehkä integroitujen työaikaseuranta- ja kulunvalvontalaitteistojen keräämää dataa.
- Helpottaa yritysten ja yksityishenkilöiden mahdollisuuksia vaihtaa datankäsittelypalvelun, käytännössä esimerkiksi pilvipalveluohjelmiston tarjoajaa. Tämä asetuksen VI-lukuun koottu säädöskokonaisuus vaikuttaa suoraan ohjelmistotaloihin, ohjelmistoja käyttäviin ja tarjoaviin tilitoimistoihin sekä niiden asiakasyrityksiin.
Jatkossa datankäsittelypalvelujen tarjoajien tulee esimerkiksi avustaa asiakkaitaan tietojen luovutuksessa, kun nämä vaihtavat palveluntarjoajaa. Palveluntarjoajat eivät saa enää vuoden 2027 jälkeen periä maksua datan luovutuksesta asiakkaalle eli “vaihtomaksuja”. Jo tällä hetkellä veloitukset datan luovutuksesta on rajattu datasäädöksessä tietojen luovutuksen todellisiin kustannuksiin. Datankäsittelypalveluja koskevien sopimusten irtisanomisaika asiakkaan toimesta tapahtuvissa irtisanomisissa ei saa olla pidempi kuin 30 päivää.
Data-asetuksesta saat lisätietoja esimerkiksi seuraavista lähteistä:
Data-asetuksen soveltamisesta tilitoimistoissa ja ohjelmistoyrityksissä
Seuraavassa on tämänhetkinen käsitys data-asetuksen soveltamisesta tilitoimistoissa. Säännöksen soveltaminen voi tarkentua ajan myötä ja myös viranomaisilta odotetaan tarkempia soveltamisohjeita muun muassa datankäsittelypalvelun määritelmästä.
- Mikäli tilitoimiston tuottaman talous- tai henkilöstöhallinnon palvelun pääsisältö on asiantuntijatyö, jossa asiakkaalla on vain rajattu käyttöoikeus tilitoimiston hankkimaan ja asiantuntijapalvelun tuottamiseen käytettyyn ohjelmistoon, ei tällaista palvelua lähtökohtaisesti voida pitää lain tarkoittamana datankäsittelypalveluna. Kyse on asiantuntijapalvelun tuottamiseen käytetystä työkalusta eikä itsenäisestä datankäsittelypalvelusta kuten asiakkaalle tuotettavasta pilvipohjaisesta Saas-palvelusta.
- Jos ohjelmistopalvelu (”Saas-palvelu, pilvipalvelu”) on sellainen keskeinen ja itsenäinen osa palvelukokonaisuutta, jota asiakasyritys käyttää ja hallinnoi pääosin itsenäisesti ilman varsinaista vuorovaikutusta palveluntarjoajana olevan tilitoimiston kanssa, kyse voi olla datasäädöksen tarkoittamasta datankäsittelypalvelusta. Siinä tapauksessa palveluntarjoajan vaihtamista koskevat velvoitteet soveltuvat kyseiseen ohjelmistopalveluun.
Olemme Taloushallintoliiton asiantuntijatyöryhmässä laatineet tilitoimistoille ja ohjelmistoyrityksille sopimuslausekeluonnoksen sekä dokumentaatiomallin. Näitä voi hyödyntää, jos tilitoimisto katsoo olevansa data-asetuksen tarkoittama datankäsittelypalvelun tarjoaja. Näitä lukiessa kannattaa huomioida seuraavat seikat:
- Data-asetus ei säätele tilitoimiston asiakkaalleen tarjoamaa asiantuntijapalvelua, esimerkiksi kirjanpidon ja palkanlaskennan tuottamista. Se säätelee ohjelmistoon kertyneen datan luovutusta asiakkaalle.
- Tilitoimisto voi olla eri rooleissa suhteessa asetuksen säätelyyn.
- Tilitoimisto voi tarjota asiakkaalle itse kehittämiään ohjelmistoja, jolloin se on käytännössä ohjelmistoyrityksen asemassa.
- Tilitoimisto voi tarjota asiakkailleen ohjelmistoyrityksen tuottamia pilvipalveluohjelmistoja. Tällöin tilitoimiston mahdollisuudet luovuttaa dataa asiakasyritykselle riippuvat käytännössä yleensä ohjelmistoyrityksen tarjoamista tai ohjelmistoon sisältyvistä rajapinnoista ja muista luovutuskeinoista.
- Tilitoimisto voi ostaa ohjelmistoyritykseltä ohjelmiston käyttöönsä tuottaakseen asiakkaalleen esimerkiksi kirjanpito- ja palkanlaskentapalvelua. Tällöin tilitoimisto on data-asetuksen näkökulmasta asiakas, jolla on oikeus saada data ohjelmistotalolta vaihtaessaan toiseen ohjelmistoon. Tätä oikeutta rajoittavat loppuasiakasyrityksen oikeudet aineistoonsa sekä tietosuoja-asetuksen henkilötietojen käsittelyä koskevat säädökset. Usein tilitoimisto sekä tarjoaa asiakkailleen ohjelmistoyrityksen tuottamaa pilvipalvelua (b) että toimii itse ohjelmiston käyttäjäasiakkaana (c).
- Jos loppuasiakasyritys on ostanut pilvipalveluohjelmiston käyttöönsä suoraan ohjelmistoyritykseltä, ei tilitoimistolla ole roolia data-asetuksen näkökulmasta.
Data-asetuksen velvoittamat sopimuslausekkeet
Data-asetuksen mukaan datankäsittelypalvelua koskeviin sopimuksiin on sisällytettävä tiettyjä pakollisia sopimuslausekkeita.
Oheisesta linkistä löydät tähän tarkoitukseen luonnostellut sopimuslausekkeet TAL 2023 sopimukseen liitettävänä sopimusliitteenä. Datankäsittelypalvelua tarjoava tilitoimisto voi sisällyttää ne omiin asiakassopimuksiinsa sellaisenaan tai muokattuna. Tilitoimisto ja asiakas voivat saattaa ne osaksi TAL 2023 sopimusta sopimusliitteenä esimerkiksi sähköpostilla ja sähköisellä allekirjoituksella (TAL 2023 yleiset sopimusehdot kohta 37 “yhteisellä päätöksellä ja kirjallisesti”). Samalla tulee sopia, mitkä tilitoimiston tuottamat, sopimuksen palveluerittelyissä kuvatut palvelut katsotaan datankäsittelypalveluiksi.
Data asetuksen edellyttämä dokumentaatio dataluokista ja digitaalisen omaisuuden luokista
Data-asetuksen mukaan datankäsittelypalvelua koskeviin sopimuksiin on sisällytettävä:
kattava eritelmä kaikista dataluokista ja digitaalisen omaisuuden luokista, jotka voidaan siirtää vaihtoprosessin aikana, mukaan lukien vähintään kaikki siirrettävissä oleva data;” (artikla 25.2 e)
sekä
tyhjentävä erittely palveluntarjoajan datankäsittelypalvelun sisäiseen toimintaan liittyvistä tietoluokista, jotka on erotettava tämän kohdan e alakohdan mukaisesta siirrettävissä olevasta datasta, jos on olemassa palveluntarjoajan liikesalaisuuksien paljastumisen riski, edellyttäen että tällaiset erottamiset eivät estä tai viivästytä 23 artiklassa säädettyä vaihtoprosessia; (artikla 25.2 f).
Lisäksi asetuksen mukaan:
Datankäsittelypalvelujen tarjoajan on annettava asiakkaalle
a) tiedot käytettävissä olevista menettelyistä datankäsittelypalvelun vaihtamiseksi ja siirtämiseksi, mukaan lukien tiedot käytettävissä olevista vaihto- ja siirtomenetelmistä ja -muodoista sekä datankäsittelypalvelujen tarjoajan tiedossa olevista teknisistä ja muista rajoituksista;
b) viittaus datankäsittelypalvelujen tarjoajan ylläpitämään ajantasaiseen verkkorekisteriin, jossa on yksityiskohtaiset tiedot kaikista datarakenteista ja -muodoista sekä asiaa koskevista standardeista ja avoimista yhteen toimivuuden eritelmistä, joissa 24 artiklan 2 kohdan e alakohdassa tarkoitetun siirrettävissä oleva data on saatavilla. (26 artikla)
Tässäkin tapauksessa asetuksen teksti on varsin vaikeasti tulkittavaa. Yksinkertaistaen asian voi kuitenkin tiivistää seuraavasti. Sopimuksessa, sen liitteissä ja tarvittaessa yksityiskohtaisemmin esimerkiksi palveluntarjoajan verkkosivuilla on kerrottava:
- Mitä dataa ja missä muodossa asiakas saa lopettaessaan datankäsittelypalvelun käytön
- Mitä dataa asiakas ei saa mukaansa
- Ohjeet, miten asiakas voi ottaa datan haltuunsa.
Lisäksi verkkosivuilla on annettava tietoa kansainvälisestä dataan pääsystä ja siirtämisestä (artikla 28).
Olemme laatineet tätä tarkoitusta varten yksinkertaisen esimerkkidokumentaation. Dokumentaatiota ei ole tarkoitettu käytettäväksi sellaisenaan, vaan ohjelmiston tarjoajan on muokattava se oman ohjelmistonsa tietosisällön, tietorakenteiden ja terminologian mukaiseksi. Dokumentin sovellusohjeet ovat dokumentin kommenteissa. Huomatkaa myös, että data-asetuksen soveltamisala ei rajoitu taloushallintoon vaan koskee kaikkia sovellusalueita, kuten esimerkiksi HR-, CRM-, tehtävänkäsittely-, projektinhallinta-, ajanvaraus- ja tuotannonohjausohjelmistoja.
Datasäädös ja TAL 2023 yleisten sopimusehtojen kohta 12 – oikeudet aineistoon sekä aineiston pidätysoikeus
Taloushallintoalan yleisten sopimusehtojen 2023 kohdassa 12 käsitellään oikeuksia tilitoimiston tuottamaan aineistoon.
Tilitoimiston tuottaman aineiston ja tietokantojen ja automaatioratkaisujen (esimerkiksi järjestelmäintegraatiot, oletustiliöinnit, TES-automatiikka, raporttimääritykset, jaksotus- ja vyörytyssäännöt, robotiikkatoiminnot ja vastaavat) kaikki oikeudet kuuluvat tilitoimistolle, kun palvelut on tuotettu tilitoimiston käyttöönsä hankkimalla tai sen omalla ohjelmistolla.
Taloushallintoalan yleisten sopimusehtojen 2023 kohdassa 12 käsitellään tilitoimiston pidätysoikeutta itse laatimaansa aineistoon.
Tilitoimistolla on oikeus pitää hallussaan olevat asiakkaan toimittaman aineiston perusteella tai muutoin asiakasta varten laatimansa aineistot, kunnes kaikki tilitoimiston asiakkaalta olevat saatavat on maksettu, ellei konkurssi- tai muusta pakottavasta lainsäädännöstä muuta johdu.
Tilitoimiston pidätysoikeus koskee vain sen itse laatimaa aineistoa. Esimerkiksi tositteet on pitänyt luovuttaa asiakasyritykselle jo ennen data-asetusta voimassa olleen lainsäädännön nojallakin. Työryhmämme näkemyksen mukaan tilitoimistolla on edelleen TAL 2023 yleisten sopimusehtojen nojalla oikeus pidättää itse laatimansa aineisto turvatakseen saatavansa. Perusteluna voidaan pitää asetuksen johdanto-osan kohdan 82 kuvausta datasta, jota ei lueta siirrettäväksi dataksi (“datankäsittelypalvelun tarjoajan tai kolmannen osapuolen omaisuus”).
Taloushallintoliiton data-asetustyöryhmän jäsenet:
Kokosimme ryhmään osaamista ohjelmistoista, juridiikasta sekä taloushallintopalveluiden tuotannosta. Jäsenet olivat:
Anne Kulla, Greenstep
Anu Karjalainen, Azets
Fredrik Teir, Greenstep
Hannamaija Harteela, Accountor
Jarmo Annala, Visma Solutions
Joni Tapiola, Rantalainen
Mikko Kalliovaara, Fennoa
Päivi Konttila-Lokio, Finago
Sini Alamäki, Finago
Liiton edustajina olivat Janne Fredman ja Mira Merikanto. Juridisena asiantuntijana toimi Arttu Ruukki, Fondia.
