Viralliset lähteet CRM-hankintaan: lait, viranomaiset ja neuvonta Suomessa

CRM-hankintaan liittyvät säännöt ovat hajallaan useassa laissa ja usean viranomaisen ohjeissa. Tähän oppaaseen on koottu tärkeimmät säädökset, viranomaiset ja niiden tehtävät sekä se, mitä kustakin lähteestä kannattaa tarkistaa ennen CRM:n tilaamista tai markkinoinnin aloittamista. Lait löytyvät ajantasaisina Finlexistä, EU-säädökset EUR-Lexistä. Tarkista aina ajantasainen versio, sillä säädöksiä muutetaan. Opas kuuluu kokonaisuuteen Miksi CRM jää käyttämättä.

Keskeiset säädökset

Säädös	Mitä se koskee CRM:ssä	Opas
Tietosuoja-asetus (EU) 2016/679	Käsittelyperusteet, käsittelysopimus (28 art.), rekisteröidyn oikeudet, tietoturvaloukkaukset	CRM ja tietosuoja
Tietosuojalaki 1050/2018	Kansalliset täsmennykset, tietosuojavaltuutetun asema	CRM ja tietosuoja
Laki sähköisen viestinnän palveluista 917/2014, 200–204 §	Sähköinen suoramarkkinointi kuluttajille ja yhteisöille	Sähköinen suoramarkkinointi
Sama laki, 205 §	Evästeet ja vastaavat tunnisteet	Evästeet ja seuranta
Kuluttajansuojalaki 38/1978, 6 luku	Puhelinmyynti ja etämyynti kuluttajille, 12 a § jälkikäteinen hyväksyntä	Puhelinmyynti
Laki elinkeinonharjoittajien välisten sopimusehtojen sääntelystä 1062/1993	Kohtuuttomat ehdot yritysten välillä	Sopimusehdot
Oikeustoimilaki 228/1929, 36 §	Kohtuuttoman ehdon sovittelu	Sopimusehdot
Datasäädös (EU) 2023/2854	Pilvipalvelun vaihto, vienti ja vaihtomaksut	Tietojen vienti
Arvonlisäverolaki 1501/1993	Käännetty verovelvollisuus (9 §), yleinen verokanta 25,5 % (84 §)	Dollarihinnat ja ALV
Laki sähköisestä laskutuksesta 241/2019	Oikeus saada verkkolasku (4 §)	Integraatiot

Viranomaiset ja niiden roolit

Tietosuojavaltuutetun toimisto (tietosuoja.fi) on GDPR:n kansallinen valvontaviranomainen. Se valvoo myös sähköistä suoramarkkinointia koskevia lain 917/2014 200 ja 202–204 §:iä. Tarkista: ohjeet rekisterinpitäjille, käsittelysopimukset, suoramarkkinointi, tietoturvaloukkausten ilmoittaminen. Sivusto voi estää automaattiset hakijat, mutta on selaimella käytettävissä.

Traficomin Kyberturvallisuuskeskus (kyberturvallisuuskeskus.fi) valvoo evästeitä ja muita päätelaitteelle tallennettavia tietoja koskevaa 205 §:ää ja julkaisee evästeohjeistuksen palveluntarjoajille. Lisäksi se tarjoaa tietoturvaohjeita pienyrityksille. Traficom on myös EU:n datasäädöksen datakoordinaattori ja pääasiallinen valvova viranomainen Suomessa (laki datan hallinnan ja jakamisen valvonnasta 1148/2025, 2 §). Traficomin päälinkki: traficom.fi.

Kilpailu- ja kuluttajavirasto KKV ja kuluttaja-asiamies (kkv.fi) valvovat kuluttajansuojalain noudattamista, kuten markkinointia ja sopimusehtoja kuluttajasuhteissa. Puhelinmyyntiä kuluttajille harjoittavan yrityksen kannattaa lukea kuluttaja-asiamiehen ohjeet.

Markkinaoikeus voi lain 1062/1993 nojalla kieltää elinkeinonharjoittajaa käyttämästä kohtuutonta sopimusehtoa yritysten välisissä sopimuksissa.

Verohallinto (vero.fi) ohjeistaa arvonlisäverosta, mukaan lukien ulkomailta ostettujen palvelujen käännetyn verovelvollisuuden ja ALV-ilmoituksen kohdat. Ilmoitukset tehdään OmaVerossa.

Valtiokonttori (valtiokonttori.fi) toimii Suomen Peppol-viranomaisena. Tarkista: verkkolaskutus ja Peppol-verkko, jos CRM:n tarjoukset siirtyvät laskutukseen.

YTJ (ytj.fi) on Patentti- ja rekisterihallituksen ja Verohallinnon yhteinen yritystietopalvelu, josta tarkistat yrityksen Y-tunnuksen ja perustiedot CRM:n asiakasrekisteriin.

Muut hyödylliset tahot

ASML, Suomen Asiakkuusmarkkinointiliitto (asml.fi): kuluttajien puhelintarjonnan ja osoitteellisen suoramainonnan rajoituspalvelut, joiden tiedoilla markkinoijat suodattavat listansa lisenssillä.
Suomen Yrittäjät (yrittajat.fi): jäsenille neuvontaa sopimuksista ja juridiikasta.
Suomen Pankki (suomenpankki.fi): euron viitekurssit dollarihintaisten palvelujen laskelmiin.
Euroopan tietosuojaneuvosto (edpb.europa.eu): EU-tason tietosuojasuuntaviivat esimerkiksi oikeutetusta edusta.
Business Finland (businessfinland.fi) ja elinvoimakeskukset (elinvoimakeskus.fi): yritysten kehittämisrahoitus. Pienen CRM-hankinnan rahoitus on harvinaista; tarkista ajankohtaiset haut.

Näin luet säädöksiä Finlexissä

Hae säädös numerolla, esimerkiksi 917/2014.
Valitse ajantasainen versio, jossa muutokset on yhdistetty alkuperäiseen tekstiin.
Tarkista pykälän muutoshistoria ja voimaantulo: joskus muutos on hyväksytty, mutta tulee voimaan myöhemmin.
Lue myös siirtymäsäännökset, jos sopimus on tehty ennen muutosta.

Esimerkki: kuluttajansuojalain puhelinmyyntiä koskeva 6 luvun 12 a § lisättiin lailla 693/2022, joka tuli voimaan 1.1.2023. Ennen sitä tehtyihin sopimuksiin sovelletaan aiempia säännöksiä.

Tarkistusrutiini pienyritykselle

Milloin	Mitä tarkistetaan	Lähde
Ennen CRM-tilausta	Käsittelysopimus, tietojen sijainti, ehdot	Toimittajan ehdot, tietosuojavaltuutettu
Ennen ensimmäistä uutiskirjettä	Markkinointiperusteet, kieltolinkki	Laki 917/2014, tietosuojavaltuutettu
Ennen verkkosivun seurantakoodia	Evästesuostumus	Kyberturvallisuuskeskus
Ennen puhelinkampanjaa	12 a §, kieltopalvelut	Kuluttajansuojalaki, KKV, ASML
Ulkomaisen palvelun ensimmäinen lasku	Käännetty ALV	Verohallinto
Kerran vuodessa	Lakimuutokset, ehtojen päivitykset	Finlex, viranomaisten tiedotteet

Kun lähde ja käytäntö näyttävät ristiriitaisilta

Toisinaan toimittajan ohjeet, alan blogit ja viranomaisen ohje antavat eri kuvan. Silloin järjestys on: ensin laki Finlexistä tai EU-säädös EUR-Lexistä, sitten valvovan viranomaisen ohje, ja vasta sen jälkeen toimittajan ja muiden kirjoittajien tulkinnat. Toimittajan ohje kertoo, miten sen järjestelmä toimii, mutta ei sitä, onko toiminta Suomen lain mukainen juuri sinun yrityksessäsi. Kirjaa ristiriidat ja ratkaisusi perustelut, jotta ne voi tarkistaa myöhemmin.

Milloin kääntyä asiantuntijan puoleen

Kysy juristilta, jos sopimuksen arvo tai vastuunrajoitus on yrityksellesi merkittävä tai syntyy riita. Kysy tietosuoja-asiantuntijalta, jos käsittelet erityisiä henkilötietoryhmiä, profiloit laajasti tai siirrät tietoja EU:n ulkopuolelle. Kysy tilitoimistolta arvonlisäveron ja kirjaamisen yksityiskohdista. Tämä sivusto ei anna oikeudellista tai veroneuvontaa.

Sanasto

Rekisterinpitäjä: yritys, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot, eli CRM:ää käyttävä yritys.
Henkilötietojen käsittelijä: taho, joka käsittelee tietoja rekisterinpitäjän lukuun, yleensä CRM-toimittaja.
Alikäsittelijä: käsittelijän käyttämä alihankkija, esimerkiksi palvelinkeskus.
Käsittelysopimus (DPA): GDPR:n 28 artiklan mukainen sopimus rekisterinpitäjän ja käsittelijän välillä.
Suoramarkkinointi: tietylle vastaanottajalle kohdistettu markkinointiviesti, esimerkiksi sähköposti tai tekstiviesti.
Yhteisö: lain 917/2014 202 §:ssä tarkoitettu vastaanottaja, kuten yritys tai yhdistys, erotuksena luonnollisesta henkilöstä.
Käännetty verovelvollisuus: ostaja ilmoittaa arvonlisäveron myyjän sijaan.
Pysyvä tapa: tallennustapa, jolla vastaanottaja voi säilyttää ja toisintaa tiedon muuttumattomana, esimerkiksi sähköposti tai PDF.
Vaihtomaksu: datasäädöksessä palveluntarjoajan perimä maksu toiseen palveluun vaihtamisesta.

Usein kysytyt kysymykset

Mistä tiedän, onko laki muuttunut?

Finlexin ajantasaisessa versiossa näkyvät muutokset ja voimaantulopäivät. Viranomaisten verkkosivuilla on ajankohtaisia tiedotteita.

Ovatko viranomaisten ohjeet sitovia?

Ohjeet kertovat viranomaisen tulkinnan. Ne eivät ole lakia, mutta niiden noudattaminen on käytännössä paras tapa toimia lainmukaisesti.

Kuka valvoo sähköpostimarkkinointia?

Tietosuojavaltuutettu valvoo lain 917/2014 suoramarkkinointia koskevia säännöksiä. Kuluttajiin kohdistuvan markkinoinnin asianmukaisuutta valvoo lisäksi kuluttaja-asiamies.

Löytyykö CRM-järjestelmistä virallista vertailua?

Ei. Viranomaiset eivät vertaile tai suosittele kaupallisia CRM-järjestelmiä. Viranomaislähteistä saat säännöt, joiden mukaan järjestelmää ja asiakastietoja käytetään; järjestelmän valinta on yrityksen oma päätös. Käytä valintaan menetelmää, joka on kuvattu oppaassa Paras CRM pienyritykselle? Näin löydät sopivimman.

Lähteet

Finlex – ajantasainen lainsäädäntö
EUR-Lex – EU-säädökset
Tietosuojavaltuutetun toimisto – tietosuoja ja suoramarkkinointi
Kyberturvallisuuskeskus (Traficom) – evästeet
Kilpailu- ja kuluttajavirasto – kuluttajansuoja