Tietosuoja Daqingissa: Mitä suomalaisen yrittäjän on tiedettävä ennen kuin allekirjoittaa

Kesällä 2026 Helsinkiin perustettu SaaS-yhtiö “NordicFlow” teki päätöksen laajentaa Daqingiin, Heilongjiangin öljykaupunkiin, jossa he näkivät potentiaalia teollisen internetin (IIoT) ratkaisuille. Perustaja, Mikko Virtanen, oli valmis allekirjoittamaan kumppanussopimuksen paikallisen datakeskuksen kanssa, kun hän törmäsi ongelmaan: sopimus vaati siirtämään kaikki loppukäyttäjien raakat telemetriatiedot Daqingin palvelimille ilman selkeää oikeudellista perustaa PIPL:n (Personal Information Protection Law) mukaisesti. Mikko ei ollut varma, riittääkö “hyväksyminen” käyttöönoton yhteydessä, vai tarvitseeko hän erillisen, erikseen allekirjoitetun suostumuksen (separate consent) jokaiselta kiinalaiselta asiakkaalta.

Tämä on klassinen tilanne, johon moni suomalainen yrittäjä törmää Kiinan markkinoilla. Kiinan tietosuojalainsäädäntö — Cybersecurity Law (CSL), Data Security Law (DSL) ja PIPL — on tiukentunut merkittävästi vuodesta 2021 alkaen. Daqingissa, joka on sekä tärkeä energiatuotantokeskus että kasvaava datakeskus-alue, paikalliset viranomaiset (CAC:n paikalliset kontorit, markkinavalvonta, poliisi) valvovat datanvälitystä ja -tallennusta erityisen tarkasti. Yksityinen tieto (personal information) ja tärkeä tieto (important data) luokittelu, rajat ylittävän siirron arviointi (security assessment) ja standardisopimusten (standard contract) käyttö ovat asioita, joissa “yleinen ymmärrys” ei riitä. Virhe voi tarkoittaa satoja tuhansia juania sakkoina, liiketoiminnan pysäyttäminen tai jopa rikosoikeudellista vastaantuloa.

Tässä artikkelissa käymme läpi, mitä suomalaisen yrittäjän on otettava huomioon, kun hän käsittelee henkilötietoja Daqingissa tai muualla Heilongjiangissa, ja miksi paikallinen kiinalainen asianajaja on usein ainoa realistinen tie laillisuuteen ja rauhaan mielelle.

Miksi Daqing on erikoinen tapaustutkimus Suomen yrittäjille

Daqing ei ole Shanghai tai Shenzhen. Se on toissijainen kaupunki (second-tier city), jonka talous on historiassaankin riippuvainen öljystä, mutta joka nyt pyrkii profiloimaan itsensä “Digital Daqing” -strategian kautta teollisen internetin, pilvipalveluiden ja datakeskusten keskukseksi. Tämä luo ainutlaatuisen regulatiivisen ympäristön:

  1. Alueellinen toteutus on tiukempaa: Vaikka PIPL on kansallainen laki, sen täytäntöönpano Daqingissa (ja laajemmin Heilongjiangissa) korostuu tietoturvallisuuden arvioinnin (Security Assessment) ja kriittisten tietoalustojen suojaamisen näkökulmista. Energiasektorin lähellä toimiminen tarkoittaa, että jopa “tavalliset” teolliset sensori-tiedot voivat luokitella “tärkeäksi tiedoksi” (important data), jos ne paljastavat infrastruktuurin yksityiskohtia.
  2. Paikalliset CAC-kontorit (Cyberspace Administration of China) ovat aktiivisia: Heidän prioriteettinsa on tietoturvallisuusarvioinnin (Cross-border Data Transfer Security Assessment) hyväksyminen ja tietojen paikallinen tallennus (data localization). Jos NordicFlow siirtää dataa takaisin Suomeen analytiikkaa varten, se on “rajojen ylittävä siirto” (cross-border transfer), joka vaatii joko CAC:n arvioinnin (jos kyseessä on tärkeä tieto tai suuri määrä), virallistetun standardisopimuksen (Standard Contract) tai sertifioinnin.
  3. Kieli- ja kulttuurierotus: Sopimukset on kirjoitettava kiinaksi. Käännösversioilla ei ole oikeudellista voimaa kiinalaisissa tuomioistuimissa. “Consent” (suostumus) PIPL:ssä on tarkemmin määritelty kuin GDPR:ssäkin joissakin kohdissa: se on oltava vapaaehtoinen, tietoinen ja selkeä (explicit, informed, voluntary). Valmiiksi valittu valintaruutu (pre-ticked box) ei kelpaa.

Mikko Virtanen lopulta ei allekirjoittanut alkuperäistä sopimusta. Hän otti yhteyttä paikalliseen asiantuntijaan Daqingin kautta, joka loi PIPL:n mukaista tietosuojailmoitusta (Privacy Notice), erillisen suostumuslomakkeen (Consent Form) ja lisäsi sopimukseen Standard Contract -liitteen (MSC v2.0) datan Siirtämiseksi EU:heen. Kului muutama viikko ja kymmenet tuhat juania, mutta yritys vältti riskin, että Daqingin markkinavalvonta (SAMR) tai poliisi tehdä “tarkastuksen” (inspection) ja lukittais palvelimet.

Praktaan kiristyksen ydin: Mitä todella muuttuu 2024-2026 välisenä aikana

Monet yrittäjät luulevat, että “noudattamalla GDPR:ää on turvassa”. Tämä on vaarallinen harhaanjohtaja. Kiinan järjestelmä eroaa perusteellisesti:

1. Tietojen luokittelu on pakollista ja se ohjaa kaikkea

PIPL ja DSL vaativat, että yritys luokittelee tietonsa: Yleinen henkilötieto vs. Arkaluontoinen henkilötieto (Sensitive PI: biometria, lääketieteelliset tiedot, sijainti, jne.) sekä Tärkeä tieto (Important Data) vs. Ydin-tieto (Core Data). Daqingissa teolliset mittausarvot voivat mennä “Tärkeäksi tiedoksi” jos ne korreloivat voimalaitoksen toimintaan. Ilman luokittelua et voi tehdä laillista siirtoarviointia.

2. Rajojen ylittävä siirto (Cross-border Transfer) – Kolme tiea, ei yksi

Jos datan täytyy lähteä Kiinasta (esim. Suomeen palvelinparkkiin, globaaliin analytiikkaan), sinulla on kolme vaihtoehtoa PIPL:n Art. 38 mukaisesti:

  • CAC:n tietoturvallisuusarviointi (Security Assessment): Pakollinen, jos kyseessä on tärkeä tieto, ydin-tieto, tai suuri määrä (yli 1 miljoonaa henkilön tietoja / 10 000 arkaluontoista). Kesto 2-6 kuukautta. Maksu ei ole virallista, mutta asiantuntijakulut ovat merkittäviä.
  • Standardisopimus (Standard Contract / MSC): Soveltuu pienempiin siirtoihin. On allekirjoitettava CAC:n julkistaman mallin (v2.0, 2023) mukaisesti ja kirjattava paikalliseen CAC-konttoriin 10 päivän kuluessa allekirjoittamisesta. Huomio: Se ei poista velvollisuutta tietosuojavaikutusten arviointiin (PIA/DPIA) ennen allekirjoittamista.
  • Sertifiointi / Erityissopimus: Harvinaisempi, vaatii CAC:n hyväksymän sertifiointiorganisaation toimintaa.

3. Paikallinen tallennus (Data Localization)

DSL ja CSL vaativaat “kriittisen tietoalustan” (CII) operaattoreita tallentamaan tietoja Kiinassa. Daqingissa monet teollisuus-yritykset luokitellaan CII:ksi. Jos NordicFlow hostaa palvelunsa Daqingin pilvessä (esim. China Telecom, China Mobile, Huawei Cloud Daqing-solmu), datan on pysyttävä maassa. Poikkeus vaatii yllä mainitun arvioinnin.

4. Henkilötietojen suojaustarvike (PIA / DPIA) on “must have”

Ennen mitään korkean riskin käsittelyä (profilointi, massakäsittely, arkaluontoiset tiedot, rajat ylittävä siirto) on tehtävä PIA ja sen on säilytettävä arkistoidaan. Se ei lähetetä viranomaisille ennakkoon (paitsi arviointitilanteessa), mutta se on ensiaskeleena tarkastuksessa. Se on oltava kiinaksi.

Paikallinen asianajaja: Mitä hän tekee, mitä et voi tehdä itsesi

“Voinhan ladata mallin netistä ja kääntää sen DeepL:llä?” — Älä tee sitä.

Paikallinen Daqingissa / Harbinissa toimiva asianajaja (Chinese Lawyer), joka on erikoistunut foreign-related legal services (liiketoiminoikeus / compliance), tuo arvon, jota ei mallilla voi korvata:

  1. Paikallinen “filing” -prosessi (Beian / Reporting): Standardisopimuksen kirjaaminen paikalliseen CAC-konttoriin Daqingissa vaatii tiettyjä lomakkeita, liitetiedostoja (PIA-raportti, tietosuojailmoitus, yritysrekisteriotiedot) ja kiinalaista kielellistä selitystä. Virheellinen kirjaaminen = laiton siirto. Asianajaja tuntee paikallisen konttorin case-handlerit (kohtauksenkäsittelijät) ja heidän epäviralliset vaatimuksensa (esim. “lisää tietokartta”, “selvennä salausmenetelmä”).
  2. Sopimusjen “Kiinalaisuus” (Legal Localization): Kiinalainen sopimus on oltava bilinguaalinen (kiina-englanti), mutta kiinaksi kirjoitettu versio on väliä. Asianajaja varmistaa, että vastuujaot, rangaistusmaksut (liquidated damages), riitatilanteiden ratkaisu (arbitraali vs. tuomioistuin, paikka) ja force majeure -klausuulit toimivat kiinalaisessa oikeudessa. Esim. CIETAC/Shanghai vs. Daqing Intermediate People’s Court on strateginen valinta.
  3. Tarkastukseen valmius (Inspection Readiness): Paikallinen viranomaisvierailu (spot check) on todellisuutta. Asianajaja valmistaa “compliance binderin” – fyysisen tai digitaalisen kansion, jossa on: PIA, tietosuojailmoitus, suostumusroskat, työntekijöiden koulutusmerkinnöt, DPO (Data Protection Officer) nimitys (PIPL vaatii vastaavan henkilön, joka voi olla ulkomaalainen, mutta kontaktitiedot on ilmoitettava CAC:lle), tietovuokartta (data map).
  4. Riski-arviointi “Important Data” -kategorialle: Asianajaja, joka tuntee Daqingin teollisen kontekstin, voi argumentoida, miksi tietty data ei ole “Important Data”, säästäen kuukausia arviointiprosessissa. Ilman paikallista kontekstia yrittäjä yleensä yliklassisoi (turvallisuuden nimissä) tai aliklassisoi (riskin alla).

Tarkistuslista: 7 askeleet PIPL-complianceen Daqing-toiminnalle

Ennen kuin laitat palvelimesi pystyyn Daqingin datakeskukseen tai allekirjoitat kumppanussopimuksen paikallisen integratorin kanssa:

  1. [ ] Tietokartta (Data Map): Luetteloi kaikki data-kohteet: mitä kerätään, 미수 (source), mihin se menee (storage/processing), kuka saa pääsyn (vendors), poistetaanko se (retention). Kieli: Kiina.
  2. [ ] Luokittelu: Merkitse jokainen kenttä: Yleinen PI / Arkaluontoinen PI / Ei-henkilötieto. Arvioi DSL:n “Important Data” -kriteerit (kartat, geeni, energia, venäläinen raja-alueen lähellä oleva data).
  3. [ ] Oikeudellinen perusta (Lawful Basis): Jokaiselle käsittelytarkoitukselle. Suostumus (Consent) on yleisin ulkomaalaisille yrityksille markkinoinnissa/profiloinnissa, mutta sopimuksen täyttö (Contract Performance) tai oikeudellinen velvoite (Legal Obligation) voivat olla vahvemmat perusteet HR-dataan tai laskutteluun.
  4. [ ] Tietosuojailmoitus (Privacy Notice): Julkinen, kiinaksi, PIPL:n Art. 17 mukainen: tunniste (identity), tarkoitus, menetelmä, säilytysaika, jakelu kolmansille osapuolille, rajat ylittävä siirto (jos on), oikeudet (Art. 44-49), yhteystiedot (DPO).
  5. [ ] Suostumusmekanismi (Consent Mechanism): Erillinen, aktiivinen toiminto (painike/allekirjoitus), ei valmiiksi valittu. Erillinen suostumus arkaluontoiseen dataan ja rajat ylittävään siirtoon. Lapsia (alle 14 v) koskeva data vaatii vanhempien suostumusta.
  6. [ ] Toimittajan hallinta (Vendor Management): Jos käytät Daqingin pilvipalveluntarjoajaa (MSP/ISP), teettää Tietosuojasopimus (DPA / Data Processing Agreement) PIPL:n Art. 22 mukaisesti. Asianajaja tarkistaa sen.
  7. [ ] Siirto-mekanismi (Transfer Mechanism): Jos data lähtee Kiinasta -> Valitse: CAC-arviointi, Standardisopimus (MSC) + kirjaaminen, tai Sertifiointi. Tee PIA ennen allekirjoittamista. Kirjaa MSC paikalliseen CAC:aan 10 pv sisällä.

🙋 UKK – Usein kysytyt kysymykset

K1: Me emme ole “kriittinen tietoalusta” (CII). Koskeeko PIPL/DSL meidät? V: Kyllä. PIPL koskee kaikkia henkilötietoja käsitteleviä organisaatioita Kiinassa, riippumatta koosta tai sektorista. DSL:n “Important Data” -vaatimukset voivat koskea myös ei-CII-yrityksiä, jos data on luonnostaan herkkä (esim. suuri mittakaava sijaintidata, biometria). Daqingissa energiateollisuuden lähellä toimiminen nostaa profiilia.

K2: Voimmeko käyttää GDPR:n DPIA:ta suoraan Kiinassa? V: Ei suositella. Kiinalaiset viranomaiset odottavat PIA:ta, joka noudattaa TC260-standardia (PIA Guide) ja viittaa PIPL:n artikkeleihin, DSL:n luokitteluun ja paikallisiin toimintaympäristöön (esim. Daqingin CAC:n ohjeet). GDPR-DPIA on hyvä pohja, mutta se on “kääntävä ja täydentävä”, ei valmis.

K3: Mikä on Standardisopimuksen (MSC) kirjaamisen (filing) kesto ja kustannus Daqingissa? V: Kirjaamisen on tehtävä 10 arkipäivän kuluessa allekirjoittamisesta. Paikallinen CAC-konttori (Daqing / Heilongjiang) tarkastaa asiakirjat. Formaalisti kesto on muutama viikko, mutta “täydentä pyynnöt” (supplementary requests) ovat normaaleja. Kustannus: 0 virallista makua, mutta asiantuntijakulut (lawyer fees) tyypillisesti 20 000 – 60 000 RMB (2 500 – 7 500 EUR) riippuen monimutkaisuudesta.

K4: Tarvitsemmeko DPO:n (Data Protection Officer), joka asuu Kiinassa? V: PIPL vaatii “vastaavan henkilön” (Person in Charge) ja sen kontaktitiedot on ilmoitettava CAC:lle (filing). Hän ei pakollisesti ole asuttava Kiinassa, mutta hän on oltava saavutettavissa ja pystyvä vastaamaan viranomaisten kyselyihin kiinaksi. Useimmat ulkomaalaiset yritykset nimeävät paikallisen compliance-vastaavan tai asianajajatoimiston yhteyshenkilön tähän rooliin.

🧩 Yhteenveto: Mitä tästä on hyötyä ja mitä tehdään seuraavaksi

Daqing on Suomen yrittäjille kiinnostava, mutta regulatiivisesti vaativa ympäristö. Tietosuojalaki (PIPL) ei ole “Kiinan GDPR” – se on omansa, tiukempi rajat ylittävisissä siirroissa ja vahvemmin sidoksissa kansalliseen turvallisuuteen (DSL/CSL). Paikallinen asiantuntija ei ole “kulu”, vaan riskienhallintatyökalu.

Toimenpiteet tällä viikolla:

  • Tee pieni tietokartta (Excel riittää aluksi) nykyisestä datavirrasta Daqing-suuntaan.
  • Tunnista: siirretäänkö dataa takaisin EU:heen? Jos kyllä -> MSC + Kirjaus on pakko.
  • Ota yhteyttä paikalliseen asiantuntijaan (Daqing / Harbin) ennen sopimusten allekirjoittamista. Kysy hinta MSC:n laatimisesta + kirjaamisesta + PIA:sta.
  • Varmista, että DPO-yhteystiedot on ilmoitettu CAC:lle (jos jo toimitaan).

📣 Haluatko välttää hukkapolun Daqingissa?

Olemme pieni tiimi, mutta kymmenen vuoden kokemuksen jälkeen olemme oppineet pitämään asiat yksinkertaisina: ei pikakuvioita, ei tyhjiä lupauksia. Emme voi garant tuloksia — mutta garantimme läpinäkyvyyden, luotettavuuden ja oikeaa kokemusta.

Maailma on suuri, ja rajat ylittävien yrittäjien matka on vielä suurempi. Lvga yhdistää luotettavia kiinalaisia paikallisia asianajajia Suomen yrittäjiin, jotta navigoitte Kiinassa selkeyden ja varmuuden myötä.

👋 Onko Kiinan oikeudellisista kysymyksistä juttua? Laita meile sähköpostia: lvga2015@qq.com. Jos sähköposti ei sovi, lisää JingJing WeChatissa (WeChat ID: lvga2015) varayhteytenä, jotta voimme jatkaa keskustelua artikkelin aiheen ympärillä. Puhutaan, välttääksemme umpikujat ja säästääksemme turhalta opiskelumaksulta.

📚 Lisälukemista

Ei käytettävissä tarkistettuja lähteitä tälle artikkelille.

📌 Vastuuvapaus

Tärkeä huomio: Lvga.com on palvelualusta, ei asianajotoimisto. Tämä sisältö on tarkoitettu ainoastaan tietotarkoituksiin ja se on luotu tekoälyn avulla. Se ei muodosta oikeudellista neuvoa.

  1. Lainsäädäntö ja viranomaisten käytännöt vaihtelevat alueittain ja ajan myötä — tarkista aina viralliset lähteet ja paikalliset asiantuntijat.
  2. Emme vastaa päätöksistä, jotka on tehty tämän artikkelin perusteella.
  3. Jos havaitset virheellistä tai vanhentunutta tietoa, ota yhteyttä meihin (lvga2015@qq.com), jotta voimme korjata asian.