Niin sanottu Lex Nokia, eli viimeisin Sähköisen viestinnän tietosuojalain muutos herätti viime kevääseen asti paljon porua julkisuudessa. Kohun ytimessä oli huoli siitä, että nyt ollaan antamassa yrityksille poliisiviranomaistakin laajempia valtuuksia suhteessa työntekijöihinsä ja lisättäisiin lain sallimia viestinnän urkintamahdollisuuksia. Lakimuutosta on kutsuttu myös nimellä urkintalaki.
Olen itsekin yksityishenkilönä kritisoinut muutosta ankarasti ja äänekkäästi mm. blogaajana ja erään kansalaisjärjestön aktiivina, enkä ole muuttanut mieltäni.
Nyt kun pöly on vähän laskeutunut, on kuitenkin aika todeta ääneen, että uudistuksessa oli myös hyviä puolia.
Ensinnäkin, yhteisötilaajien (tämä on lakitermi taholle, joka järjestää viestintäpalveluita jäsenilleen/työntekijöilleen/opiskelijoilleen/jne.) asemaa ei aiemmin laissa ollut kaikilta osin kovin täsmällisesti säädelty. Teleoperaattorien kyllä, mutta se, mitä esimerkiksi yhteisötilaajan palveluksessa oleva ylläpitohenkilöstö saa ja mitä ei saa tehdä, on ollut hieman tulkinnanvaraista. Tosin tulkinnanvaraisuuksia on yhä, ja niistä jäljempänä.
Toisekseen, lakimuutos luo aika tiukat kriteerit sille, milloin “urkintaa” saa harjoittaa. Näistä vaativin (ainakin imagostaan tarkoille yrityksille) lienee ennakkoilmoituksen tekeminen tietosuojavaltuutetulle.
Helsingin yliopisto ei tietääkseni ole (vielä?) tekemässä ko. ilmoitusta, eikä siksi saa ottaa käyttöön ns. lex Nokia -oikeuksia (SVTSL 13a–13k). Siitä huolimatta tunnistamistietoja saa käsitellä – kuten aiemminkin – esimerkiksi välittömien tietoturvauhkien torjunnassa, virhetilanteiden metsästyksessä tai palvelujen kehittämisessä (SVTSL 9 ja 20 §) eli lyhyesti sanottuna teknisistä syistä. Esimerkiksi roskapostia ja viruksia torjuttaessa tunnistamistietoja saa yleisesti ottaen käsitellä.
(Tunnistamistiedoilla tarkoitetaan tietoa siitä, kuka oli viestimässä kenelle ja koska. Käytännössä sähköpostiylläpitäjän työssä tyypillisin tapa “käsitellä tunnistamistietoja” on kurkistaa postipalvelimen järjestelmälokiin jonkun tietyn asian etsimiseksi tai toiminnan normaaliuden varmistamiseksi. Tällaisissa tapauksissa henkilöön liittyvät viestintätiedot eivät paljonkaan hypi silmille, vaikka sähköpostiosoitteita toki näkyykin.)
Se rajanveto, sovelletaanko SVTSL:n pykäliä 9 ja 20 vai ns. lex Nokia -oikeuksia (13a–k) tietoturvapoikkeamien kanssa, riippuu siitä, onko kyse välittömästä vai epäsuorasta tietoturvauhasta. Jos uhka ei ole niin välitön, tunnistamistietoja ei saa ollenkaan käsitellä ilman ennakkoilmoitusta (ym.).
Nyt kuitenkin kävi ilmi, että Viestintäviraston tulkinnan mukaan esimerkiksi se, että yhteisötilaaja uhkaa joutua kolmansien osapuolten ylläpitämille mustille listoille, ei olisikaan välitön vaan epäsuora tietoturvauhka, ja tällaista uhkaa torjuakseen siis ei saisi käsitellä tunnistamistietoja. Viestintävirasto ohjeistaa operaattoreita, ei yhteisötilaajia, mutta tulkinta soveltuu meillekin.
Käytännössä uhka on kuitenkin välitön ja yksi pahimmista uhista, mitä tällainen tavallinen sähköpostiylläpitäjä osaa kuvitella. Se nimittäin voisi käytännössä estää merkittävän osan organisaation postinkulusta ympäri maailmaa, ja estolistauksen poistumisesta ei olisi mitään takeita, vaikka sen aiheuttanut ongelma saataisiinkin hoidetuksi. Lisäksi ei olisi mitään keinoja saada selville (käyttäjien informoimiseksi), mikä kaikki postinkulku nyt estyi.
Jos tämä mielestäni väärä tulkinta pitää, joudun laajentamaan aiempia kantojani lex Nokiaa koskien. Lienee myös syytä tiedustella – virallisia ohjeita yhä odotellessa – kollegoilta, miten asiaan tulisi suhtautua, ja pitäisikö ennakkoilmoitusta tässäkin organisaatiossa harkita.
Eräs poliisivirkailija nimitti aikanaan epävirallisessa yhteydessä Sähköisen viestinnän tietosuojalakia “rikollisen viestinnän tietosuojalaiksi”, koska poliisien mielestä se antaa liian vähän toimivaltuuksia poliisille ja liikaa yksityisyyttä yksityishenkilöille (vaikka sehän on lain tarkoitus). Vaikka huumoria olikin, tuntui minusta silloin karmivalta ajatukselta, että poliisissa ajatellaan noin.
Mutta yllä kuvattu esimerkki kyllä todisti itselleni, että tällä kolikolla on ainakin kaksi puolta. Tietoturva ja yksityisyys. Tavallisesti ne ovat olleet samalla puolen kolikkoa.
PS.
Kummallista, ettei Viestintävirasto julkaise kaikkia ohjeitaan. Koska kyse lienee viranomaisen lausumasta, niihin ei ole tekijänoikeutta eikä mikään siis estä julkaisemasta niitä esim. täällä. Viittasin siis yllä ohjeeseen 5/6020/2007 (kaksi dokumenttia), päivätty 10.1.2007 ja 4.10.2007. Viitteet näihin löytyy tietosuojavaltuutetun Asiaa tietosuojasta 1/2009 -julkaisusta.
