Espanjalainen YouTube-tubettaja Carles Tamayo on jälleen osunut arkaan kohtaan tutulla rennolla, hauskalla ja terävällä tyylillään. Dokumenttisarjan Se nos ha ido de las manos (“Se on riistäytynyt käsistä”) päätösjaksossa, joka sai ensi-iltansa Espanjan julkisessa televisiossa huhtikuussa 2026, hän tarkastelee, miten yritykset ostavat ja myyvät henkilötietoja.

Jakso, jonka nimi on El activo eres tú (“Sinä olet hyödyke”), nostaa pöydälle epämukavan kysymyksen: Kenellä on tietomme, ja mitä niille tehdään? Ja mistä olemme valmiita luopumaan vastineeksi lupauksesta jostakin ilmaisesta? Saatuaan roskapuheluita yrityksiltä, jotka tiesivät hänestä liikaa, Tamayo muutti oman tuotantoyhtiönsä datavälittäjäksi nähdäkseen sisältä käsin, miten henkilötietoja kerätään ja kaupataan.

Tässä selitetään, miten datavälittäjien liiketoiminta toimii ja millaisia oikeuksia GDPR (yleinen tietosuoja-asetus) sinulle antaa.

Mikä datavälittäjä on ja miten ne tienaavat rahaa

Datavälittäjä on yritys, joka kerää, analysoi ja myy tietoja ihmisistä ja organisaatioista. Tietojen arvo ostajille syntyy siitä, miten ne voidaan yhdistää ja analysoida. Tapoja, kiinnostuksen kohteita, sijaintitietoja ja muita signaaleja voidaan yhdistää yhä useammin tekoälyn avulla käyttökelpoiseksi kokonaisuudeksi. Datavälittäjät myyvät raaka-aineen, jonka avulla voidaan rakentaa profiili lähes kenestä tahansa.

Tamayon raportissa esimerkiksi yksi datavälittäjä tarjoaa hänelle tietoja ihmisistä, joille on äskettäin syntynyt vauva. Nämä uudet vanhemmat olivat luovuttaneet tietonsa sairaalassa vastineeksi osallistumisesta vastasyntyneiden tuotteiden arvontaan.

Datavälittäjät keräävät tyypillisesti sähköpostiosoitteita, IP-osoitteita(uusi ikkuna), likimääräistä sijaintia, verkko-ostoksia, internethakuja, sovelluksessa valittuja kiinnostuksen kohteita ja laitteita, joita joku käyttää.

Oletko koskaan saanut puhelua puhelinyhtiöltä (tai miltä tahansa yritykseltä) ja miettinyt, mistä se sai numerosi? Se on yksinkertaisempaa kuin luulet. Evästeet, mobiilisovellukset ja verkkolomakkeet voivat kerätä tietojasi ja välittää ne datavälittäjille. Sama koskee offline-lähteitä, kuten kanta-asiakaskortteja, arvontoja ja julkisia rekistereitä.

Mitä evästeet ovat ja mihin niitä käytetään

Olet nähnyt ne jokaisella vierailemallasi verkkosivustolla: pieni ponnahdusikkuna, joka pyytää hyväksymään tai hylkäämään evästeet. Luultavasti silmäilet sen, hyväksyt evästeet(uusi ikkuna) ja jatkat eteenpäin miettimättä koskaan, mitä evästeet oikeastaan ovat(uusi ikkuna) tai mitä juuri suostuit antamaan yritysten tehdä tiedoillasi.

Evästeet ovat pieniä tiedostoja, joita verkkosivusto tallentaa selaimeesi muistaakseen tietoja vierailustasi. Datavälittäjiä kiinnostavat mainosevästeet, jotka on suunniteltu rakentamaan käyttäytymisprofiileja ja näyttämään personoituja mainoksia.

Mutta sinua voidaan nykyään seurata tavoilla, jotka menevät selvästi evästeitä pidemmälle. Esimerkiksi selaimen sormenjälki luo laitteesi ominaisuuksista ainutlaatuisen allekirjoituksen, kun taas sivustojen välinen seuranta seuraa toimintaasi siirtyessäsi verkkosivustolta toiselle. Mobiililaitteissa mainos-ID:t tekevät jotain vastaavaa sitomalla käyttäytymisesi pysyvään tunnisteeseen.

Evästeiden hylkääminen parantaa yksityisyyttäsi, mutta ei takaa sitä täysin. Ja kun alat kysyä, minne tietosi menevät, kuka niitä hallitsee ja miten niitä käytetään, törmäät väistämättä kysymykseen siitä, onko tiedoillasi käytävä kauppa ylipäätään laillista.

Miten GDPR suojaa sinua

GDPR on Euroopan unionin sääntökirja, joka määrittää, miten organisaatiot ja yritykset keräävät, käyttävät, jakavat ja tallentavat kaikkien EU:ssa olevien henkilöiden henkilötietoja. Sitä sovelletaan myös EU:n ulkopuolella toimiviin yrityksiin, jotka kohdistavat toimintaansa EU:ssa oleviin ihmisiin. Espanjassa vaatimustenmukaisuutta valvoo Espanjan tietosuojavirasto (AEPD), joka käsittelee myös valitukset, kun yritys loukkaa näitä oikeuksia.

GDPR:ssä säädetään useista perusoikeuksista:

Oikeus saada pääsy tietoihin: Ota selvää, mitä henkilötietoja yrityksellä on sinusta, mihin se käyttää niitä, kenelle se on ne jakanut ja mistä se sai ne. Voit myös pyytää kopion.

Oikeus tietojen oikaisemiseen: Korjauta virheelliset tai vanhentuneet tiedot.

Oikeus tietojen poistamiseen: Tunnetaan myös “oikeutena tulla unohdetuksi”. Sen avulla voit pyytää tietojesi poistamista, kun yritys ei enää tarvitse niitä, kun peruutat suostumuksesi tai vastustat tietojesi käyttöä tai kun ne on käsitelty lainvastaisesti.

Oikeus vastustaa: Voit kieltäytyä tietyntyyppisestä käsittelystä, kuten tietojesi käyttämisestä mainontaan. Suoramarkkinoinnin osalta tämä oikeus on ehdoton: kun vastustat, yrityksen on lopetettava.

Oikeus siirtää tiedot järjestelmästä toiseen: Saat yritykselle antamasi henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa, jotta voit siirtää ne toiselle palveluntarjoajalle. Tämä koskee tilanteita, joissa yritys käsittelee tietojasi suostumuksesi tai sopimuksen perusteella automaattisesti.

GDPR antaa ihmisille täytäntöönpanokelpoisia oikeuksia ja niiden tueksi on säädetty sakkoja, mutta monet eivät tajua voivansa käyttää näitä oikeuksia maksutta. Yritys voi periä maksun tai kieltäytyä vain, jos pyyntö on selvästi perusteeton tai kohtuuton.

Kuten Tamayon raportti osoittaa, lain tarjoamien takeiden ja tavallisen kansalaisen tietämyksen välillä on suuri kuilu, kun on kyse henkilötietojensa suojaamisesta. Tämä kuilu vaikeuttaa ihmisten mahdollisuuksia käyttää käytettävissään olevia oikeudellisia keinoja ja ottaa tietonsa takaisin hallintaansa.

Miten käyttää GDPR-oikeuksiasi datavälittäjiä vastaan

Edellä kuvatut oikeudet toimivat vain, jos niitä käyttää. Mikään niistä ei vaadi asianajajaa tai erityistä lomaketta: riittää, että lähettää sähköpostia yrityksen tietosuojayhteyshenkilölle.

Kysy, mistä tietosi ovat peräisin. Jos yritys ottaa sinuun yhteyttä etkä ole koskaan antanut sille tietojasi, kysy sen lähdettä. Oikeus saada pääsy tietoihin velvoittaa sen kertomaan, ja vastaus johtaa usein suoraan datavälittäjän luo.

Lähetä tietopyyntö. Kysy yritykseltä tai välittäjältä, mitä tietoja sillä on sinusta, mihin se käyttää niitä ja kenelle se on ne jakanut, ja pyydä kopio. Pyyntö on maksuton, ja yrityksen on vastattava kuukauden kuluessa. Se voi pidentää määräaikaa monimutkaisissa pyynnöissä kahdella kuukaudella, mutta sen on kerrottava siitä sinulle.

Vastusta ja pyydä poistoa. Samassa sähköpostissa voit vastustaa tietojesi käyttämistä markkinointiin ja pyytää niiden poistamista. Yrityksen on myös välitettävä poisto kaikille tahoille, joiden kanssa se on jakanut tietojasi, paitsi jos se on mahdotonta tai vaatisi kohtuutonta vaivaa.

Rekisteröidy Lista Robinson -listalle. Espanjassa suoramarkkinointia lähettävien yritysten on tarkistettava tämä mainonnan kieltolista ennen sinuun yhteyden ottamista. Rekisteröityminen on maksutonta.

Tee valitus AEPD:lle. Jos yritys jättää sinut huomiotta, kieltäytyy ilman pätevää syytä tai myöhästyy määräajasta, voit tehdä maksuttoman valituksen Espanjan tietosuojavirastolle.

Rajoita sitä, mitä datavälittäjät voivat ylipäätään kerätä

GDPR-oikeutesi siivoavat sitä, mikä on jo liikkeellä. Muutama yksinkertainen tapa vähentää uusien tietojen päätymistä välittäjille.

Käy läpi sovellusten käyttöoikeudet ja poista käytöstä kaikki käyttöoikeudet, joita sovellus ei tarvitse toimiakseen, erityisesti oikeudet, joilla on pääsy sijaintiisi, yhteystietoihisi tai kuviisi.

Hylkää ei-välttämättömät evästeet. EU:n verkkosivustoilla hylkäämisen pitäisi olla yhtä helppoa kuin hyväksymisen, ja se estää mainosevästeet, jotka ruokkivat käyttäytymisprofiileja.

Pysy kirjautumatta sisään verkkosivustoille ja palveluihin, kun vain selaa. Kun olet kirjautuneena Googleen, YouTubeen, Amazoniin tai uutissivustolle, kaikki mitä haet, katsot, luet tai ostat, yhdistetään tiliisi. Uloskirjautuneena selaaminen antaa yrityksille vähemmän yhdistettävää sinuun.

Käytä yksityisyyteen keskittyvää selainta, kuten Firefoxia tai Bravea, jotka estävät monia seurantatyökaluja oletuksena. Voit myös tutustua eurooppalaisiin vaihtoehtoisiin verkkoselaimiin, jotka keskittyvät yksityisyyteen.

Vaihda Proton Mailiin, yksityiseen ja turvalliseen sähköpostipalveluun, joka ei voi lukea sähköpostejasi eikä skannaa saapuneita viestejäsi mainosten, seurannan tai valvonnan vuoksi. Se estää myös seurantapikselit, joita markkinoijat tyypillisesti käyttävät nähdäkseen, milloin avaat viestin (ja muita indikaattoreita).

Käytä VPN:ää(uusi ikkuna) piilottaaksesi IP-osoitteesi verkkosivustoilta, sovelluksilta ja mainosverkoilta, jotta ne eivät voi käyttää sitä sijaintisi arvioimiseen tai toimintasi yhdistämiseen eri verkkosivustoilla. Proton VPN:ssä on myös NetShield-niminen ominaisuus, joka estää mainokset ja seurantatyökalut ennen kuin ne latautuvat. Sillä on riippumattomasti auditoitu ei lokeja -käytäntö(uusi ikkuna), joten se ei pidä kirjaa siitä, mitä teet verkossa.

Käytä salattua salasananhallintaa vahvojen ja ainutlaatuisten salasanojen luomiseen, jotta yksi tietomurron kohteeksi joutunut tili ei paljasta muita. Proton Pass tarjoaa myös hide-my-email-aliaksia uutiskirjeitä, arvontoja ja verkkokauppoja varten. Jos johonkin alkaa tulla roskapostia, voit nähdä, kuka sen on mahdollisesti jakanut tai vuotanut, ja poistaa aliaksen käytöstä.

Kuten Tamayon raportista käy selvästi ilmi, datavälittäjät ovat osa liiketoimintamallia, joka rakentuu tietojemme varaan. Mutta GDPR ja yksityisyyttämme suojaavat työkalut antavat meille keinoja ottaa hallinta takaisin. Tavoitteena ei ole kadota internetistä, vaan päättää tietoisesti, kuka saa käyttää tietojamme ja mihin tarkoitukseen.