Säännöt digialustoille: sisällönhallinta, markkinapaikat, portinvartijoiden velvoitteet.
Mikä se on DSA (digipalvelusäädös, asetus (EU) 2022/2065) ja DMA (digimarkkinasäädös, asetus (EU) 2022/1925) ovat kaksi erillistä mutta toisiaan täydentävää EU-asetusta, jotka sääntelevät verkkoalustoja. DSA asettaa kaikille verkossa sisältöä välittäville palveluille perusvelvoitteet: kuka vastaa laittoman sisällön ilmoituksiin, miten käyttöehdot kirjoitetaan ja miten sisällön poistoista kerrotaan käyttäjälle. DMA taas kohdistuu vain komission erikseen nimeämiin "portinvartijoihin" — tällä hetkellä Alphabetiin, Amazoniin, Appleen, ByteDanceen, Metaan, Microsoftiin ja Booking.comiin — ja pakottaa nämä avaamaan alustansa reilummin kilpailijoille ja yritysasiakkaille. Molemmat asetukset ovat olleet voimassa ja sovellettavissa koko EU:ssa jo vuosia: DMA:ta on sovellettu 2.5.2023 alkaen ja DSA:ta kaikkiin välityspalveluihin 17.2.2024 alkaen. Vuosina 2025–2026 valvonta on muuttunut hyvin konkreettiseksi: ensimmäiset DSA- ja DMA-sakot on jo määrätty, ja summat ovat kasvaneet sadoista miljoonista lähemmäs miljardia euroa. Koskeeko sinua DSA koskee lähes varmasti sinua, jos yrityksesi tarjoaa verkkopalvelua EU:n käyttäjille — myös silloin, kun kyse on pienestä SaaS-tuotteesta tai muutaman hengen verkkokaupasta. Perusvelvoitteet (yhteyshenkilö, selkeät käyttöehdot, ilmoitus- ja toimintamenettely) eivät tunne kokorajaa. Ainoastaan raskaampi "verkkoalustan" lisäkerros — sisäinen valituskäsittely, mainosläpinäkyvyys, luotettujen ilmoittajien etuoikeus — on rajattu pois mikro- ja pienyrityksiltä (alle 50 työntekijää ja liikevaihto tai tase enintään 10 milj. €), kunhan yritys ei ole erittäin suuri alusta. DMA sen sijaan koskee suoraan vain komission nimeämiä portinvartijoita. Tavallinen suomalainen yritys ei koskaan joudu itse DMA:n suoraksi kohteeksi. Epäsuorasti DMA vaikuttaa silti moneen: jos myyt sovelluskaupan tai markkinapaikan kautta, mainostat portinvartijan alustalla tai rakennat sen käyttöjärjestelmän tai selaimen päälle, DMA:n ohjaus- ja itsesuosintakiellot muuttavat sitä, mitä portinvartija saa tehdä sinulle. Keskeiset velvoitteet Yhteyshenkilö viranomaisille (11 artikla) ja käyttäjille (12 artikla) sekä selkeät käyttöehdot, joissa kuvataan sisällönhallinnan periaatteet (14 artikla). Toimiva ilmoitus- ja toimintamenettely: käyttäjän on voitava helposti ilmoittaa laittomasta sisällöstä, ja ilmoitus kuitataan ja käsitellään (16 artikla). Perusteltu ilmoitus aina, kun sisältöä poistetaan, rajoitetaan tai tili suljetaan lain tai käyttöehtojen perusteella (17 artikla); laittomaan sisältöön tai käyttöehtorikkomukseen liittyvät päätökset kirjataan myös EU:n läpinäkyvyystietokantaan. Ei harhaanjohtavia käyttöliittymäratkaisuja missään verkkoalustalla (25 artikla) — koskee esimerkiksi verkkokaupan kassaa ja evästebanneria. Markkinapaikoilla lisäksi kauppiaan tunnistaminen ennen kaupankäynnin aloittamista (30 artikla, "tunne yritysasiakkaasi"), rajapinnan suunnittelu niin että myyjä voi täyttää omat tiedonantovelvoitteensa (31 artikla), ja kuluttajien informointi, jos myyty tuote osoittautuu laittomaksi (32 artikla). Mikro- ja pienyritykset on vapautettu raskaammasta "verkkoalustan" kerroksesta (19 artikla) — ei kuitenkaan markkinapaikkasäännöistä eikä perusvelvoitteista. Jos olet portinvartijan yritysasiakas: DMA antaa oikeuden ohjata asiakkaita vaihtoehtoisiin maksu- ja ostokanaviin ilman portinvartijan puuttumista, ja kieltää portinvartijaa suosimasta omia palvelujaan hakutuloksissa tai sovelluskaupassa. Sakot ovat todellisia myös pienemmille: Traficom voi määrätä hallinnollisia sakkoja jopa 6 % maailmanlaajuisesta liikevaihdosta, jos yritys on Suomen lainkäyttövallan alainen eikä noudata DSA:ta. Ilmoitus- ja toimintamenettelyn, suositusjärjestelmien ja mainonnan kohdentamisen käsittely tarvitsee myös GDPR:n mukaisen käsittelyperusteen — ks. GDPR . Näin sovellat käytännössä Pk-SaaS, joka tallentaa käyttäjien tiedostoja (esimerkiksi projektinhallinta- tai dokumenttityökalu, 20 työntekijää): nimeä yhteyshenkilö viranomaisille ja käyttäjille, kirjoita selkeät käyttöehdot sisällönhallinnan periaatteineen ja rakenna toimiva kanava laittoman sisällön ilmoituksille. Koska yritys on mikro- tai pienyritys, se on vapautettu raskaammasta "verkkoalustan" kerroksesta (sisäinen valituskäsittely, mainosläpinäkyvyys, luotetut ilmoittajat) — kunnes se kasvaa rajan yli tai kokoaa poikkeuksellisen suuren käyttäjäkunnan. Verkkokauppa, joka myy vain omia tuotteitaan ilman kolmansien osapuolten myyjiä: on DSA:n mielessä lähinnä hosting-palvelu esimerkiksi arvostelujen tai kommenttien osalta, ei markkinapaikka — kauppiaan tunnistamisvelvoitteet (30–32 artikla) eivät siis koske sitä. Silti kannattaa tarkistaa kassan ja peruutusprosessin käyttöliittymä harhaanjohtavien ratkaisujen varalta (25 artikla) ja varmistaa, ettei alaikäisille kohdisteta mainontaa erityisten tietoryhmien perusteella (28 artikla). Suomalainen markkinapaikka, joka yhdistää paikallisia käsityöläisiä ja kuluttajia : kannattaa rakentaa myyjän tunnistava liittymisprosessi (30 artikla, yritystunnus, yhteystiedot, maksutiedot), myyjänäkymä, joka näyttää myyjän omat lakisääteiset tiedot ostajalle (31 artikla), sekä prosessi, jolla ostajille kerrotaan, jos tuote osoittautuu laittomaksi tai turvattomaksi (32 artikla). Juuri tämä aihe — laittomat tai turvattomat tuotteet — on ollut Temun ja Sheinin DSA-tapausten ytimessä, joten valvonnan paine markkinapaikkoihin on tällä hetkellä korkea. B2B-ohjelmistotalo, joka myy pääosin portinvartijan sovelluskaupan tai mainosalustan kautta (esimerkiksi Google Playn tai Meta-mainonnan varassa): kannattaa seurata portinvartijan DMA-määräaikoja, sillä portinvartijan käytösmuutokset (ohjaussäännöt, itsesuosinnan poisto, yhteentoimivuus) muuttavat suoraan sitä, mitä myyjä saa kaupallisesti tehdä alustalla. Google-päätöksen jälkeen kannattaa seurata digital-markets-act.ec.europa.eu-sivustoa yhteensopivuussuunnitelman päivityksistä. Suomessa Suomen kansallinen laki verkon välityspalvelujen valvonnasta (18/2024) tuli voimaan 17.2.2024, samana päivänä kun Traficom (Liikenne- ja viestintävirasto) nimettiin Suomen digipalvelukoordinaattoriksi. Laki antaa Traficomille valtuudet tutkia, määrätä korjaavia toimia ja asettaa hallinnollisia sakkoja Suomen lainkäyttövallan alaisille yrityksille, sekä vastuun sertifioida ulkopuoliset riidanratkaisuelimet ja luotetut ilmoittajat. Valvonta on Suomessa jaettu kolmen viranomaisen kesken: Traficom vastaa yleisestä koordinaatiosta, ilmoitus- ja toimintamenettelystä sekä läpinäkyvyydestä; kuluttaja-asiamies (KKV) valvoo harhaanjohtavaa mainontaa, manipuloivia käyttöliittymäratkaisuja (ns. dark patterns) ja myyjän tunnistettavuutta markkinapaikoilla; tietosuojavaltuutetun toimisto valvoo henkilötietoulottuvuutta, kuten suositusjärjestelmiä ja mainonnan kohdentamista. Vuonna 2025 komissio joutui viemään useita jäsenmaita EU-tuomioistuimeen puutteellisen DSA-täytäntöönpanon vuoksi — Suomi ei ollut niiden joukossa, ja sekä Traficom että laki 18/2024 olivat voimassa määräajassa. Suomenkielistä ohjeistusta löytyy Traficomin sivulta "Kysymyksiä ja vastauksia digipalveluasetuksesta" sekä tietosuojavaltuutetun sivulta "Usein kysyttyä digipalveluasetuksesta". Toistaiseksi yhtään suomalaiseen yritykseen kohdistuvaa vahvistettua DSA-sakkoa tai muodollista menettelyä ei ole tullut julki — suomalainen valvonta vaikuttaa tähän mennessä painottuneen ohjeistukseen rangaistusten sijaan, mutta tämä ei tarkoita, etteikö tapauksia voisi olla vireillä.