Huhtikuussa 2026 Euroopan komissio julkisti ikätunnistussovelluksen jonka virallinen tarkoitus on suojella lapsia haitalliselta sisällöltä verkossa. Samaan aikaan EU:n DAC7-direktiivi velvoittaa jokaisen digitaalisen kauppapaikan ilmoittamaan verottajalle kaikki sinun myyntisi henkilötietoineen. Heinäkuussa 2026 EU palautti voimaan kiistellyn "Chat Control" -viestiskannauksen äänestyksessä, jossa äänestäneiden enemmistö äänesti sitä vastaan. Ja Britanniassa ihmisiä on tuomittu vankilaan somepostausten perusteella. Nämä kehityskulut eivät ole erillisiä ilmiöitä – ne ovat merkkejä siitä, miten digitaalinen infrastruktuuri, verotusseuranta ja sananvapauden rajat muuttuvat samanaikaisesti Euroopassa. Tämä artikkeli käy läpi faktat jokaisesta ilman sensaatiota, ja antaa sinulle sen tiedon jonka tarvitset muodostaaksesi oman arvion.
EU:n ikätunnistussovellus – teknisesti vaikuttava, poliittisesti kiinnostava
Euroopan komissio julkaisi 15. huhtikuuta 2026 ikätunnistussovelluksen viitemallin, jonka kehittäjäsivu sijaitsee osoitteessa ageverification.dev. Sovelluksen tekninen perusta on Euroopan digitaalinen henkilöllisyyslompakko eli EUDI Wallet, ja se rakentuu niin sanottuihin nollatietotodistuksiin eli Zero-Knowledge Proof -kryptografiaan. Tämä on teknologiaa josta kannattaa tietää, koska se on aidosti merkittävä yksityisyydensuojan kannalta – mutta ei sillä tavalla miten sen markkinointi antaa ymmärtää.
Nollatietotodistus tarkoittaa, että sinun ei tarvitse paljastaa henkilötietojasi todistaaksesi esimerkiksi olevasi täysi-ikäinen. Sovellus lähettää palvelulle vain kyllä- tai ei-vastauksen kysymykseen "onko käyttäjä yli 18?" ilman, että syntymäaikasi tai nimesi välittyy eteenpäin. Eri palveluissa tehtyjä tunnistautumisia ei voi yhdistää toisiinsa teknologian suunnittelun takia. Tältä osin EU:n viestintä on teknisesti pääosin totta: relying party eli tunnistuksen vastaanottava palvelu ei saa tietää kuka olet.
Mutta tässä on se olennainen yksityiskohta jota ei korosteta: EUDI Wallet -infrastruktuuri tietää kuka olet. Sovellus pohjautuu kansalliseen digitaaliseen henkilöllisyystodistukseen tai vastaavaan viralliseen asiakirjaan, jonka myöntäjätaho – käytännössä valtio tai sen valtuuttama toimija – on varmentanut henkilöllisyytesi. Nollatietotodistus piilottaa identiteettisi yksittäiseltä sivustolta, mutta ei infrastruktuurilta kokonaisuutena. Pilottimaat ovat Ranska, Tanska, Kreikka, Italia, Espanja, Kypros ja Irlanti. Suomi ei ole pilottivaiheessa mukana.
Komissio perustelee sovelluksen digitaalisten palvelujen asetuksen eli DSA:n 28. artiklalla, joka velvoittaa alustat suojelemaan alaikäisiä haitalliselta sisällöltä. Tämä on laillinen ja todellinen velvoite, eikä suojelu sinänsä ole kyseenalaista. Kiinnostavaa on se, millainen infrastruktuuri sen toteuttamiseksi rakennetaan: EU-tasoinen ikätunnistusjärjestelmä on käytännössä EU-tasoinen digitaalinen henkilöllisyysjärjestelmä, riippumatta siitä miten tietovirta teknisesti kulkee. Se, mihin tätä infrastruktuuria tulevaisuudessa käytetään, on poliittinen eikä tekninen kysymys.
Chat Control – kun enemmistö äänesti vastaan mutta laki meni silti läpi
Samaan aikaan kun ikätunnistusinfrastruktuuria rakennetaan, EU käy kädenvääntöä laista, joka koskee suoraan sitä miten yksityisiä viestejäsi käsitellään. Kriitikot kutsuvat sitä nimellä "Chat Control", ja heinäkuussa 2026 se tarjosi poikkeuksellisen selkeän esimerkin juuri siitä, mistä tämä artikkeli varoittaa: infrastruktuurista, joka rakennetaan hyvistä syistä, ja siitä miten sen valvonta – ei tekninen arkkitehtuuri – ratkaisee lopputuloksen.
Ensin on ymmärrettävä, että "Chat Controlia" on itse asiassa kaksi eri asiaa, ja uutisointi menee pahasti sekaisin juuri siksi että ne niputetaan yhteen. Chat Control 1.0 ei ole uusi laki vaan vuodesta 2021 voimassa ollut väliaikainen poikkeus EU:n sähköisen viestinnän tietosuojadirektiivistä eli ePrivacy-direktiivistä (asetus 2021/1232). Se antaa palveluntarjoajille luvan – mutta ei velvollisuutta – skannata käyttäjien yksityisviestejä lapsiin kohdistuvan seksuaaliväkivaltamateriaalin eli CSAM:n löytämiseksi. Käytännössä sitä käyttävät lähinnä salaamattomat yhdysvaltalaispalvelut kuten Gmail, Facebook- ja Instagram-viestit, Skype, Snapchat, iCloud-sähköposti ja Xbox. Chat Control 2.0 puolestaan on pysyvä lakiehdotus (CSA-asetus, CSAR), joka tekisi skannauksesta lakisääteisen velvoitteen ja joka on edelleen neuvottelupöydällä.
Chat Control 1.0:n kohtalo kuvaa EU:n päätöksentekoa niin hyvin, että se kannattaa käydä läpi vaihe vaiheelta. Maaliskuussa 2026 Euroopan parlamentti hylkäsi väliaikaisen poikkeuksen jatkamisen, ja se raukesi 3. huhtikuuta 2026. Tässä vaiheessa moni piti asiaa selvitettynä. Google, Meta, Microsoft ja Snap ilmoittivat kuitenkin omien sanojensa mukaan jatkavansa viestien skannausta ilman laillista perustaa. Sitten tuli käänne: 2. heinäkuuta neuvosto hyväksyi komission alkuperäisen tekstin toisen käsittelyn kannakseen, mikä muutti koko äänestysmatematiikan. Toisessa käsittelyssä parlamentti ei äänestä lain hyväksymisestä vaan sen hylkäämisestä, ja hylkääminen vaatii kaikkien 720 jäsenen ehdottoman enemmistön eli 361 ääntä – ei vain paikalla olevien enemmistöä.
9. heinäkuuta 2026 tapahtui jotain, mikä ansaitsee huomiota riippumatta siitä mitä asiasta ajattelee. Selvä enemmistö äänestäneistä mepeistä – 314 – äänesti Chat Control 1.0:aa vastaan, ja vain 276 sen puolesta, 17 pidättyessä äänestämästä. Tavallisella logiikalla laki olisi kaatunut. Mutta koska hylkäysesitys jäi 47 ääntä vaille vaadittua 361:tä, esitys raukesi ja poikkeus tuli takaisin voimaan – aina huhtikuuhun 2028 asti. Poissaolot ja tyhjät äänet toimivat käytännössä ääninä neuvoston tekstin puolesta. Erillinen muutosesitys, joka olisi rajannut skannauksen vain tuomioistuimen tunnistamiin epäiltyihin, sai jopa 322 ääntä mutta kaatui samaan kynnykseen. Entinen meppi ja digioikeusaktivisti Patrick Breyer kutsui lopputulosta "farssiksi", joka "vahingoittaa demokratiaa".
Menettelyllinen yksityiskohta on tässä koko juttu. Parlamentin puhemies Roberta Metsola avasi kesäkuun lopussa jo raukeamaan päästetyn tiedoston uudelleen ja lähetti sen neuvostolle vedoten siihen, että vanhentuneet säännöt jättivät vaarallisen aukon lasten suojeluun. Suurin ryhmä eli EPP vei asian kiireellisenä suoraan täysistuntoäänestykseen ohittaen tavanomaisen valiokuntakäsittelyn juuri ennen kesätaukoa. Tämä on laillista menettelyä, mutta se osoittaa jotain olennaista: laki, joka ei saa taakseen suoraa parlamentin enemmistöä, voi silti jäädä voimaan, kun vastustus ei ylitä korkeampaa hylkäyskynnystä.
Parlamentti hyväksyi samalla muutosesityksen, joka rajaa päästä-päähän-salatut palvelut kuten WhatsAppin, Signalin ja iMessagen skannauksen ulkopuolelle. Käytännön merkitys on kuitenkin rajallinen, sillä näiden palveluiden tekninen rakenne tarkoittaa jo valmiiksi, ettei palveluntarjoaja pysty lukemaan viestien sisältöä. Tämä poikkeus koskee vain väliaikaista 1.0-raidetta, ja koska parlamentti muutti neuvoston tekstiä, muutos palaa nyt neuvoston käsittelyyn, jolla on noin lokakuun 9. päivään 2026 asti aikaa hyväksyä tai hylätä se.
Tässä on kohta, joka sitoo Chat Controlin suoraan tämän artikkelin alkuun. Pysyvän CSA-asetuksen eli Chat Control 2.0:n kiistanalaisin jäljellä oleva osa ei ole enää salauksen murtaminen – Tanskan puheenjohtajakausi luopui pakollisesta laitepuolen skannauksesta marraskuussa 2025 – vaan pakollinen ikätunnistus. Komissio ja neuvosto haluavat tehdä ikätarkistuksesta pakollisen kaikille palveluille, jotka asetuksen riskiluokittelu katsoo riskialttiiksi. Digioikeusjärjestö EDRi varoittaa, että luokittelu on niin ongelmallinen, että käytännössä jokainen turvallinen ja yksityisyyttä kunnioittava palvelu tulkittaisiin automaattisesti riskialttiiksi. Toteutuessaan tämä tarkoittaisi, että yksityisviestin lähettäminen Signalissa tai WhatsAppissa, sähköpostin lähettäminen tai sovelluksen lataaminen edellyttäisi henkilöllisyystodistuksen tai kasvodatan esittämistä.
Ja mikä olisi todennäköisin tekninen toteutustapa tälle ikätunnistukselle? Sama EUDI Wallet, jota käsiteltiin edellä. Kun neuvoston CSA-kanta vaatii ikätarkistusta kaikilla alustoilla, myös salatuilla viestipalveluilla, lompakosta tulee luonteva toteutuskanava. Signalin käyttäjä Saksassa todistaisi olevansa yli 18 esittämällä lompakon todisteen – ja vaikka todiste on tekniikaltaan valikoivasti paljastava, sen sitova avain on jäsenvaltion viranomaisen hallussa. Tämä on juuri se kaava, josta artikkeli varoittaa: ikätunnistuksesta alkava infrastruktuuri, joka voidaan yhdistää toiseen lakiin, joka perustellaan toisella konkreettisella ongelmalla. Kannattaa myös huomata, että Chat Control 2.0:n neuvottelut jatkuvat syyskuussa 2026 Irlannin puheenjohtajakaudella – asiaa ei siis ole ratkaistu.
Yksi seikka ansaitsee vielä maininnan tasapuolisuuden vuoksi. Neuvoston oma oikeuspalvelu – sen sisäiset lakimiehet – arvioi kesäkuussa 2026, että "vapaaehtoinenkin" skannaus muodostaa yleisen ja epäillyistä riippumattoman viestinnän skannauksen, joka on ristiriidassa EU:n perusoikeuskirjan 7. artiklan kanssa ilman perusteltua epäilyä ja ennakollista tuomioistuimen lupaa. Toisin sanoen sama elin, joka vie tekstiä eteenpäin, sai omilta lakimiehiltään varoituksen siitä, ettei lähestymistapa välttämättä kestä EU-tuomioistuimessa. Oikeudellinen haaste unionin tuomioistuimessa pidetäänkin todennäköisenä. Tämä ei ole salaliittoteoria vaan julkisesti raportoitu tosiseikka, joka kertoo siitä, kuinka kiistanalaisesta lainsäädännöstä on kyse.
DAC7 – verottaja tietää jo nyt mitä myyt netissä
EU:n DAC7-direktiivi eli neuvoston direktiivi 2021/514 astui voimaan 1. tammikuuta 2023 ja on nyt täysimääräisesti käytössä kaikissa EU-maissa. Direktiivi velvoittaa kaikkia digitaalisia kauppapaikkoja keräämään ja raportoimaan tietoja myyjistään veroviranomaisille. Tämä koskee henkilökohtaisten palvelujen myyntiä, tavaroiden myyntiä, asuntojen ja tilojen vuokrausta sekä liikennevälineiden vuokrausta – käytännössä kaikkea mitä saatat myydä tai vuokrata Tori.fi:ssä, Airbnb:ssä, Fiverr:issä, Uber:issä tai vastaavassa palvelussa.
Mitä tietoja kerätään? Alustaoperaattorin on ilmoitettava Suomen Verohallinnon nimesi tai yrityksesi nimi, asuinvaltio, henkilötunnus tai yritystunnus, finanssitilitunnus eli pankkitilinumerosi, sekä alustalla saamiesi tulojen kokonaismäärä. Nämä tiedot toimitetaan Verohallinnolle kerran vuodessa, ja Suomi jakaa tiedot muiden EU-maiden veroviranomaisten kanssa vastavuoroisesti. Käytännössä se tarkoittaa, että jos myyt espanjalaisessa alustassa Suomesta käsin, Espanjan veroviranomainen lähettää tietosi Suomeen.
Direktiivissä on pienyrittäjäpoikkeus: jos myyt alle 2 000 eurolla ja alle 30 kauppaa vuodessa saman alustaoperaattorin kautta, sinut voidaan jättää raportoinnin ulkopuolelle. Tämä on kuitenkin alustaoperaattorin harkinnassa, eikä automaattinen. Ensimmäiset raportit vuodelta 2023 piti toimittaa tammikuun 2024 loppuun mennessä. Velvollisuus on siis jo todellisuutta, ei tuleva uhka.
DAC7:n virallinen peruste on verovälttelyn ehkäisy alustataloudessa, ja se on oikeutettu syy: paljon tuloja on jäänyt ilmoittamatta kun Airbnb-vuokrat tai Tori.fi-myynnit ovat olleet viranomaisten seurannan ulkopuolella. Silti on syytä huomata mikä on muuttunut: aiemmin digitaalinen kaupankäynti oli suhteellisen näkymätöntä veroviranomaisille. Nyt se ei ole. Jokaisesta alustamyynnistä jää jälki, joka kulkee automaattisesti EU:n veroviranomaisten tietojärjestelmiin.
Britannia näyttää suunnan – mistä somepostaukset ovat johtaneet tuomioon
Elokuussa 2024 Britanniassa tapahtui kolmen pienen tytön surma Southportissa. Väärä tieto rikostapauksesta levisi nopeasti sosiaalisessa mediassa, ja muutamassa päivässä laajoja mellakoita puhkesi eri puolilla Englantia. Viranomaisten reagointi oli poikkeuksellisen nopea ja laajamittainen. Elokuun loppuun mennessä lähes 200 ihmistä oli vangittu, ja tuomiot alkoivat tulla muutamassa viikossa. Medialle jaettiin tuomittujen nimiä ja kuvia, mikä oli harvinaista Britanniassa, ja joitain tuomioistunkäsittelyjä lähetettiin suorana televisiossa.
53-vuotias nainen tuomittiin 15 kuukauden vankeuteen Facebook-viestistä jossa hän kirjoitti, ettei moskeijoja tulisi suojella vaan "räjäyttää aikuisten kanssa". Hän oli myöntänyt kirjoittaneensa viestin ryhmässä jossa oli yli 5 000 jäsentä, ja syytteenä oli kuolemaa tai vakavaa vahinkoa uhkaavien viestien lähettäminen. Toinen mies tuomittiin kolmen vuoden vankeuteen Facebook-viestistä jossa hän kehotti muita hyökkäämään turvapaikanhakijoita majoittavalle hotellille. Tuomari perusteli tuomiota sillä, että viestin saivat alkuperäisen 1 500 Facebook-ystävän lisäksi näiden tuttavat, koska privacy-asetukset olivat auki.
Nämä tapaukset on tärkeää kuvata tarkasti ennen kuin niistä tekee johtopäätöksiä. Tuomitut eivät istuneet vankilaan mielipiteistään: ensimmäinen tapaus koski suoraa väkivaltauhkausta rakennuksessa olevia ihmisiä kohtaan, toinen tapaus koski yllytystä hyökkäykseen tunnistettuun kohteeseen. Molemmat ovat Britanniassa pitkään kriminalisoituja tekoja. Nämä eivät siis olleet ensimmäiset tapaukset joissa somepostaus johti tuomioon Britanniassa.
Se mikä on uutta ja merkittävää on tuomioiden nopeus, mittakaava ja julkisuus. Yli tuhat ihmistä pidätettiin, tuomiot tulivat viikkojen eikä vuosien sisällä tapahtumista, ja viranomainen aktiivisesti julkisti tuomittujen henkilötietoja pelotevaikutukseksi. Pääministeri Keir Starmer sanoi suoraan, että tapaukset ovat "muistutus kaikille, että olipa suoraan osallinen tai toimit kaukaa käsin, laki koskee sinua". Tämä on poliittinen viesti jonka funktio on ohjata käyttäytymistä ennalta, ei vain rangaista jo tapahtuneesta.
Neljä kehityskulkua – miten ne liittyvät toisiinsa
EU:n ikätunnistussovellus, Chat Control -viestiskannaus, DAC7-direktiivi ja Britannian sometuomiot edustavat samaa laajempaa muutosta, vaikka niillä on eri perustelut, eri oikeusperusteet ja eri toteuttajat. Se muutos on tämä: eurooppalaisille valtioille ja EU:lle on syntymässä tekninen ja oikeudellinen infrastruktuuri jolla digitaalinen elämä on seurattavissa tavalla joka ei aiemmin ollut mahdollista.
EUDI Wallet luo EU-tasoisen digitaalisen henkilöllisyyden. DAC7 luo EU-tasoisen näkyvyyden taloudelliseen toimintaan alustoilla. Chat Control – sekä voimaan palautunut väliaikainen 1.0 että neuvoteltavana oleva pysyvä 2.0 – luo oikeudellisen kehyksen yksityisviestien käsittelylle ja mahdollisesti pakollisen ikätunnistuksen, joka nojaisi juuri samaan EUDI Wallet -infrastruktuuriin. Britannian Online Safety Act, joka on DSA:n henkirikoskavenus, loi uusia velvollisuuksia alustoille poistaa "laillista mutta haitallista" sisältöä – määritelmä joka on tahallisen epämääräinen. EU:n Digital Services Act sisältää vastaavia velvoitteita, ja sen täytäntöönpanosta vastaavan viranomaisen toimintaa seurataan tarkasti.
Chat Controlin heinäkuinen äänestys valaisee myös toisen ulottuvuuden, joka on helppo sivuuttaa: itse päätöksentekomenettelyn. Kun laki, jota äänestäneiden enemmistö vastusti, jää silti voimaan menettelyllisen kynnyksen ansiosta, kyse ei ole enää pelkästään infrastruktuurin olemassaolosta vaan siitä, kuinka herkästi sitä koskevat rajoitukset voidaan purkaa tai palauttaa. Sama koskee EUDI Walletin laajennuksia ja DAC7:n kaltaisten raportointivelvoitteiden kynnysarvoja: se, mikä tänään on vapaaehtoista tai rajattua, voidaan huomenna tehdä pakolliseksi tai laajaksi ilman että kansalainen käytännössä ehtii reagoida.
Yksittäin jokainen näistä toimenpiteistä voidaan perustella: lasten suojelu, verovälttelun ehkäisy, väkivaltaan yllyttämisen rankaiseminen. Nämä ovat oikeita yhteiskunnallisia ongelmia jotka ansaitsevat ratkaisuja. Kriittinen kysymys ei ole onko kyseinen ongelma todellinen vaan mitä infrastruktuuria sen ratkaisemiseksi rakennetaan ja kenen käytettävissä se on tulevaisuudessa. Infrastruktuuri, joka rakennetaan hyvistä syistä, voidaan tulevaisuudessa käyttää muihin tarkoituksiin.
Mitä tämä tarkoittaa sinulle nyt ja lähitulevaisuudessa
Käytännössä tällä hetkellä: jos myyt tavaraa tai palveluita digitaalisilla alustoilla yli 2 000 euron edestä vuodessa tai teet yli 30 kauppaa, Verohallinto saa tiedon näistä myynneistä automaattisesti. Tämä on lainsäädäntöä joka on jo voimassa, ei tuleva uhka. Jos sinulla on sellaisia tuloja joita et ole ilmoittanut, tilanne on muuttunut.
EU:n ikätunnistussovellus ei kosketa Suomea vielä pilottivaiheessa, mutta infrastruktuuri jota rakennetaan tulee olemaan koko EU:n käytettävissä. EUDI Wallet -kehitys etenee kaikissa jäsenmaissa, ja Suomessa tätä kehittää Digi- ja väestötietovirasto. Digitaalisen henkilöllisyyslompakon käyttöönotto tulee todennäköisesti laajenemaan vuosien mittaan.
Somepostausten osalta Suomen lainsäädäntö eroaa Britannian laista, mutta ei siinä määrin kuin moni luulee. Suomessa kiihottaminen kansanryhmää vastaan on rikos, ja yllytys rikokseen on rikos. Vakavia uhkauksia ja väkivaltaan yllytystä voidaan tutkia. Näistä ei toistaiseksi ole Britanniaa vastaavaa julkista ja nopeaa rankaisukampanjaa, mutta lainsäädännöllinen pohja on olemassa. EU:n Digital Services Act velvoittaa myös suomalaisille suunnattuja palveluita poistamaan "laitonta sisältöä" nopeammin kuin aiemmin.
Chat Controlin osalta käytännön tilanne heinäkuussa 2026 on tämä: väliaikainen 1.0-poikkeus on palautettu voimaan huhtikuuhun 2028 asti, joten salaamattomia yhdysvaltalaispalveluita kuten Gmailia, iCloud-sähköpostia, Instagram-viestejä ja Snapchatia käyttävien viestejä voidaan skannata ilman epäilyä tai tuomioistuimen lupaa. Päästä-päähän-salatut palvelut kuten Signal ja WhatsApp on rajattu ulos, joten niiden käyttö on tältä osin yksityisyyden kannalta perustellumpaa. Pysyvä Chat Control 2.0 ratkeaa aikaisintaan loppuvuodesta 2026, ja sen olennaisin kysymys suomalaiselle käyttäjälle on, tuleeko ikätunnistuksesta pakollista myös yksityisviestintään. Jos näin käy, se tarkoittaa käytännössä henkilöllisyyden sitomista viestintään – ja todennäköisesti juuri EUDI Walletin kautta.
Se mistä kannattaa pitää silmät auki on infrastruktuurin laajentuminen. EUDI Wallet alkaa ikätunnistuksesta, mutta sen arkkitehtuuri on suunniteltu niin, että siihen voidaan lisätä muita attribuutteja: ammatillisia pätevyyksiä, terveystietoja, ajolupia, pankkitietoja. Jokainen laajennus on teknisesti helppo kun perusta on olemassa, ja poliittisesti se voidaan perustella jollakin uudella konkreettisella ongelmalla. Tämä on se kehityspolku jota kannattaa seurata eikä vain yksittäistä sovellusta.
Kuten internet-botteja käsittelevässä artikkelissamme käydään läpi, digitaalinen infrastruktuuri on harvoin neutraali. Se kenen rakentama, kenen valvoma ja mihin tarkoitukseen käytettävissä, ratkaisee enemmän kuin tekninen arkkitehtuuri. Sama periaate jota sovelletaan tutkimusrahoitukseen pätee digitaaliseen infrastruktuuriin: kysy kuka hyötyy ja kuka päättää käytöstä ennen kuin hyväksyt perustelun nimellisarvossaan.
