Yksityisistä turvallisuuspalveluista annetun lain soveltaminen tietomurtojen paljastamiseen ja tutkimiseen

Transkriptio

1 Yksityisistä turvallisuuspalveluista annetun lain soveltaminen tietomurtojen paljastamiseen ja tutkimiseen Itä-Suomen yliopisto Oikeustieteiden laitos J Kandidaatin seminaari, rikos- ja prosessioikeus, 10 op Thor Kottelin, Ohjaaja: Mika Launiala

2 Sisällys Thor Kottelin, Lähteet... V Kirjallisuus... V Virallislähteet... V Hallituksen esitykset... V Oikeustapaukset... VI Muut... VI Internetlähteet... VI Lyhenteet... VIII 1 Yhteenveto Johdanto Tietomurto Tietomurron tunnusmerkit Rangaistukset ja kvalifiointiperusteet Yleisyys ja rangaistukset vuosina Tietomurto Tietomurron yritys Törkeä tietomurto ja törkeä tietomurron yritys Viestintäviraston tilastoja Oikeuskäytäntö muutoksenhakuasteissa Lähirikoksia Tietomurron tutkiminen Rikostenpaljastamistoiminnan sääntelyn historiaa Turvapalvelulaki tietomurtojen paljastamisen ja tutkimisen näkökulmasta Omavartiointi... 8 II

3 6.2 Rikosten paljastaminen ja hälytysten vastaanottaminen Thor Kottelin, vartioimisliiketoimintana Vartioimisliikelupa, henkilöhyväksynnät ja koulutusvaatimukset Muita velvoitteita Vartijan asun käyttäminen Velvollisuus antaa tietoja poliisille Tapahtumailmoitus Koiran mukana pitämisen edellytykset Turvapalvelulain rikkomisen seuraamuksia Rangaistussäännöksiä Yleisyys ja rangaistukset vuosina Vartioimisliikerikkomus Vartioimisliikerikos Voiko rangaistuksesta vapautua laintulkintavaikeuksien perusteella? Esitutkintapakko ja toimenpiteistä luopuminen Kieltoerehdys Rangaistuksen tuomitsematta jättäminen Hyväksymisiin kohdistuvia seuraamuksia Turvapalvelulain soveltuvuus tietomurtojen paljastamiseen Yleistä Lain tulkitsemisen periaatteita Lingvistinen argumentti sekä yleinen intentiotulkinta Teleologinen tulkinta sekä sosiaaliadekvanssi Perusoikeusmyönteinen tulkinta In dubio mitius -periaate Kontekstualistinen tulkintamahdollisuus III

4 9 Johtopäätöksiä Yleistä Kehitysehdotuksia Pätevyysvaatimukset Muut velvoitteet IV

5 Lähteet Kirjallisuus Aarnio, Aulis (2006). Tulkinnan taito. Werner Söderström Osakeyhtiö. Dobrucki, Marcin (2002). Priorities in the deployment of network intrusion detection systems. Teknillinen korkeakoulu. Fredman, Markku & Järvinen, Petteri (2003). Korkeimmasta oikeudesta. Defensor Legis 4/2003. Sivut Frände, Dan (2005). Yleinen rikosoikeus. Suomentanut Wahlberg, Markus. Edita Publishing Oy. Hautamäki, Veli-Pekka (2004). Teleologisk tolkningsinställning och judiciell aktivism några teoretiska synpunkter. Tidskrift utgiven av Juridiska Föreningen i Finland 2/2004, sivut Heinämäki, Anna-Kaisa (2009). Yksityinen turvallisuusala turvallisuuspalveluiden tuottajana. Sisäasiainministeriö. Hirvonen, Teemu (2009). Rikoksen yrityksen rangaistavuuden edellytyksistä ja perusteista. Turun yliopisto. Jareborg, Nils (1989). Brotten; första häftet. P.A. Norstedt & Söners förlag. Kerttula, Timo (2010). Vartijat ja järjestyksenvalvojat julkisen vallan käyttäjinä. Helsingin yliopisto. Pyöriä, Pasi (2001). Hajautettu työ. Teoksessa: Blom, Raimo; Melin, Harri & Pyöriä, Pasi. Tietotyö ja työelämän muutos. Sivut Gaudeamus. Tapani, Jussi (2009). Sattumaa vai ei korkein oikeus, kieltoerehdys ja tahallisuuden kohde. Lakimies 3/2009. Sivut Virallislähteet Hallituksen esitykset HE 94/1993 vp. Hallituksen esitys eduskunnalle rikoslainsäädännön kokonaisuudistuksen toisen vaiheen käsittäviksi rikoslain ja eräiden muiden lakien muutoksiksi. V

6 HE 69/2001 vp. Hallituksen esitys eduskunnalle laiksi yksityisistä turvallisuuspalveluista sekä eräiksi siihen liittyviksi laeiksi. HE 44/2002 vp. Hallituksen esitys eduskunnalle rikosoikeuden yleisiä oppeja koskevan lainsäädännön uudistamiseksi. HE 194/2006 vp. Hallituksen esitys eduskunnalle tilintarkastuslaiksi ja siihen liittyväksi lainsäädännöksi. Oikeustapaukset KKO 2003:36 Itä-Suomen HO Turun HO Muut Opetushallitus (2003). Turvallisuusvalvojan erikoisammattitutkinto Määräys 21/011/2003. Opetushallitus (2006). Vartijan ammattitutkinto Määräys 44/011/2006. PeVL 28/2001 vp. Hallituksen esitys laiksi yksityisistä turvallisuuspalveluista sekä eräiksi siihen liittyviksi laeiksi. Viestintävirasto (2007). Ohje haittaohjelman saastuttamaksi epäillyn Windowsjärjestelmän tutkintaan. CERT-FI, ohje 1/2007. Internetlähteet Lappi-Seppälä, Tapio (2008). Seuraamusjärjestelmän pääpiirteet. Teoksessa Lappi- Seppälä, Tapio; Hakamies, Kaarlo; Koskinen, Pekka; Majanen, Martti; Melander, Sakari; Nuotio, Kimmo; Nuutila, Ari-Matti; Ojala, Timo & Rautio, Ilkka. Rikosoikeus. Saatavilla www-muodossa (Itä-Suomen yliopiston Nelli-portaalin kautta): 6. Luettu Latvala, Jari (2010). Kuka saa selvittää tietorikoksia? Saatavilla www-muodossa: Luettu VI

7 Nuotio, Kimmo (2005). Oikeuslähteet, supernormistot ja ratkaisujen perustelu. Saatavilla www-muodossa (Itä-Suomen yliopiston Nelli-portaalin kautta): Luettu Sanastokeskus TSK ry (2004). Tiivis tietoturvasanasto. Saatavilla www-muodossa: Luettu Sanastokeskus TSK ry (2011). Tietotekniikan termitalkoot. Saatavilla wwwmuodossa: Luettu Suomen Kennelliitto Finska Kennelklubben ry. (2011). Koira. Saatavilla wwwmuodossa: Luettu Tilastokeskus (2011). Suomen virallinen tilasto: Syytetyt, tuomitut ja rangaistukset. Saatavilla www-muodossa: Luettu Viestintävirasto (2011a). Yhteydenotot. Saatavilla www-muodossa: Luettu Viestintävirasto (2011b). Viestintäviraston CERT-FI-yksikön palvelukuvaus. Saatavilla www-muodossa: Luettu Virolainen, Jyrki (2007). Periaatteet prosessioikeudessa. Teoksessa Lappalainen, Juha; Frände, Dan; Havansi, Erkki; Koulu, Risto; Niemi, Johanna; Nylund, Anna; Rautio, Jaakko; Sihto, Juha & Virolainen, Jyrki. Prosessioikeus. Saatavilla wwwmuodossa (Itä-Suomen yliopiston Nelli-portaalin kautta): Luettu VII

8 Lyhenteet HE hallituksen esitys HO KKO hovioikeus korkein oikeus PeVL perustuslakivaliokunnan lausunto vp valtiopäivät VIII

9 1 Yhteenveto Tietomurto on rikoslakirikos, jossa on kyse oikeudettomasta tietojärjestelmään tunkeutumisesta, tai vaihtoehtoisesti tietojärjestelmässä olevan tiedon oikeudettomasta hankkimisesta erikoislaitteen avulla. Oikeuskäytännössä tietomurrosta on yleensä tuomittu sakkorangaistus. Käräjäoikeuksissa tietomurtoa tai sen yritystä koskevat asiat ovat harvinaisia, vaikka esimerkiksi haittaohjelmien levitykseen perustuvat tietoturvaloukkaukset ovat erittäin yleisiä. Tietomurtoja voidaan paljastaa ja tutkia muun muassa tunkeutumisenhavaitsemisjärjestelmien sekä teknisen tutkinnan avulla. Poliisimiehen oikeuksitta harjoitettu rikosten paljastaminen ja tutkiminen luettiin aikaisemmin yksityisetsivätoiminnaksi. Kun laki yksityisistä turvallisuuspalveluista (282/2002, jäljempänä turvapalvelulaki) astui voimaan, ansiotarkoituksessa tehtävästä toimeksiantoperusteisesta rikosten paljastamisesta ja tutkimisesta tuli vartioimisliiketoimintaa, jota lähtökohtaisesti koskevat samat velvollisuudet kuin esimerkiksi omaisuuden vartioimista. Tällaiset velvollisuudet koskevat muun muassa vartijahyväksymisiä, vastaavan hoitajan koulutusta, vartijan asun käyttämistä, tietojen antamista poliisille ja tapahtumailmoitusten laatimista. Velvollisuudet ovat relevantteja perinteisen omaisuusvartioinnin ja henkivartijatehtävien kannalta, mutta vastaavat sen sijaan monilta osin huonosti tietomurtojen paljastamiseen ja tutkimiseen tähtäävää toimintaa. Tietomurtoja koskeva rikostenpaljastamistoimintahan poikkeaa perinteisestä omaisuuden vartioimisesta huomattavasti: rikoksen tekijän kanssa ei yleensä olla välittömässä vuorovaikutuksessa, vaan toiminta painottuu tietojärjestelmistä esimerkiksi tunkeutumisenhavaitsemisjärjestelmistä ja potentiaalisista kohdejärjestelmistä saatavan tiedon jäsentämiseen. Esimerkiksi vartijalta ja vastaavalta hoitajalta vaadittavat koulutukset painottavat perinteistä omaisuuden vartiointia. Vartijan asun käyttämistä koskevissa säännöksissä ei ole huomioitu tietotyön monimuotoisuutta. Koiran mukana pitämistä koskevien säännösten noudattaminen voi esimerkiksi etätyötä tekevän tietoturva-analyytikon kohdalla johtaa absurdeihin seurauksiin. Tapahtumailmoitusten laatimista koskeva velvollisuuskin voi olla ongelmallinen, kun työhön liittyy suuri määrä yksittäisiä, no- 1

10 pein toimenpitein käsiteltäviä tapahtumia. Velvollisuuksia on tehostettu rangaistussäännöksin: vartioimisliikerikkomuksesta tuomitaan sakkoon, ja luvaton vartioimisliiketoiminta voi johtaa jopa vankeusrangaistukseen. Sen puolesta, että turvapalvelulakia olisi sovellettava tietomurtojen paljastamiseen ja tutkimiseen, puhuu erityisesti lain kirjaimellinen tulkinta: lainsäätäjän oletetaan lähtökohtaisesti tarkoittavan täyttä totta. Toisaalta säädöksen ja sen esitöiden sanamuoto tarjoavat myös vasta-argumentin: turvapalvelulakia koskevassa hallituksen esityksessä tietoturvallisuus mainitaan vain kahdesti, ja nämäkin maininnat ovat esittelynomaisia, vaikka esityksessä sen sijaan selitetään laajasti, kuinka lain säännöksiä on tarkoitettu sovellettavan perinteiseen omaisuusvartiointiin. Tietomurtojen paljastamiseen ja tutkimiseen ei myöskään liity samanlaista tarvetta suojella samoja oikeushyviä kuin perinteisen omaisuusvartioinnin osalta. On siis vaikea arvioida, millaiseksi syyttämis- ja oikeuskäytäntö muodostuisi esimerkiksi asiassa, jossa tietomurtoja ilman vartioimisliikelupaa paljastanutta tietoturvaanalyytikkoa syytettäisiin vartioimisliikerikoksesta. Epäselvä tilanne on oikeusvarmuuden kannalta kielteinen. Oikeusvarmuutta voitaisiin kohentaa rajaamalla tieto- ja viestintärikosten paljastaminen ja tutkiminen pois turvapalvelulain soveltamisalasta. Toisaalta olisi johdonmukaista, että yksityisiä turvallisuuspalveluja koskevalla lainsäädännöllä säänneltäisiin kaikkien rikosten tutkintaa. Tällöin sääntely olisi kuitenkin segmentoitava vastaamaan turvallisuuden eri osa-alueiden piirteitä nykyistä paremmin. Jos tietomurtojen paljastamista ja tutkimista harjoittavilta henkilöiltä edellytetään yhdenmukaista vartijan koulutusta, tätä olisi kehitettävä niin, että tieto- ja viestintärikosten paljastamiseen ja tutkimiseen suuntautunut opiskelija hyötyisi siitä. Kunnes tämä on mahdollista, tieto- ja viestintärikoksia paljastavat ja tutkivat henkilöt voitaisiin saattaa turvapalvelulain piiriin siirtymäsäännöksen avulla, kuten yksityisetsivät vuonna Henkilöhyväksyntöjen myöntämisessä on lisäksi huomioitava, että tietomurtojen paljastaminen ja tutkiminen eivät aseta samanlaisia fyysisiä vaatimuksia kuin perinteinen omaisuuden vartiointi vaan saattavat sopia myös vajaakuntoisen henkilön työtehtäviksi. 2

11 2 Johdanto Thor Kottelin, Pyrin tällä tutkielmalla selvittämään, kuinka yksityisistä turvallisuuspalveluista annettu laki (282/2002, jäljempänä turvapalvelulaki) soveltuu tietomurtojen ammattimaiseen paljastamiseen ja tutkimiseen eli sellaisten yrittäjien ja työntekijöiden toimintaan, jotka paljastavat ja tutkivat tietomurtoja ansiotarkoituksessa ja toimeksiantosopimuksen perusteella. 3 Tietomurto Rikoslain (39/1889) 38 luvun 8 ja 8 a :ssä on kriminalisoitu tietomurto ja törkeä tietomurto. Näitä säännöksiä sovelletaan, jos teosta ei ole muualla laissa säädetty ankarampaa tai yhtä ankaraa rangaistusta. Kriminalisoinnilla pyritään suojaamaan tietojärjestelmiä ulkopuolista tunkeutumista vastaan sekä tietokonetyöskentelyn yksityisyyttä sellaista ulkopuolista tarkkailua vastaan, jossa ei ole kysymys salakuuntelusta tai salakatselusta 1. Rikos täyttyy, kun tekijä läpäisee tietojärjestelmän tunnistuskontrollin kuitenkin rangaistava. 3.1 Tietomurron tunnusmerkit teko kohdistuu tietojärjestelmään, jossa sähköisesti tai muulla vastaavalla teknisellä keinolla käsitellään, varastoidaan tai siirretään tietoja, tai sellaisen järjestelmän erikseen suojattuun osaan, ja o tekijä tunkeutuu oikeudettomasti tietojärjestelmään murtamalla (eli läpäisemällä luvattomasti) turvajärjestely, esimerkiksi käyttämällä hänelle kuulumatonta käyttäjätunnusta, tai o tekijä ottaa teknisen erikoislaitteen avulla oikeudettomasti selon tietojärjestelmässä olevasta tiedosta tunkeutumatta tietojärjestelmään tai sen osaan Myös yritys on 1 HE 94/1993 vp, sivu HE 94/1993 vp, sivu

12 3.2 Rangaistukset ja kvalifiointiperusteet Tietomurrosta tuomitaan rikoslain 38 luvun 8 :n 1 momentin nojalla sakkoon tai vankeuteen enintään yhdeksi vuodeksi. Tietomurto on törkeä, jos se tehdään osana rikoslain 17 luvun 1 a :n 4 momentissa tarkoitetun järjestäytyneen rikollisryhmän toimintaa tai erityisen suunnitelmallisesti. Lisäksi edellytetään, että tietomurto on myös kokonaisuutena arvostellen törkeä. Törkeästä tietomurrosta tuomitaan sakkoon tai vankeuteen enintään kahdeksi vuodeksi. 3.3 Yleisyys ja rangaistukset vuosina Tietomurto Syyksi luetut rikokset Tapaukset, joissa tuomittu rangaistus Keskimääräinen rangaistus (päiväsakkoa) 5 30,0 40, , Tietomurron yritys Syyksi luetut rikokset Tapaukset, joissa tuomittu rangaistus 5 1 Keskimääräinen rangaistus (päiväsakkoa) 7 10,0 20,0 3 Tällaisella teknisellä erikoislaitteella tarkoitetaan esimerkiksi laitetta, joka tietojärjestelmän hajasäteilyn perusteella pystyy selvittämään järjestelmässä käsiteltävän tiedon sisällön. Ks. HE 94/1993 vp, sivu Tilastokeskus Vapausrangaistuksia ei tuomittu. 6 Tilastokeskus Vapausrangaistuksia ei tuomittu. 4

13 3.3.3 Törkeä tietomurto ja törkeä tietomurron yritys Käräjäoikeuksissa ei vuosina ratkaistu törkeää tietomurtoa tai sen yritystä koskevia syytteitä Viestintäviraston tilastoja Viestintävirastossa toimii Suomen kansallinen tietoturvaloukkauksia käsittelevä viranomainen CERT-FI 9. Yksikköön on otettu yhteys tietomurtoja koskevissa asioissa seuraavasti 10 : vuosi yhteydenottojen määrä CERT-FI tuottaa myös Autoreporter-palvelua, joka kokoaa automaattisesti suomalaisia verkkoja koskevia haittaohjelma- ja tietoturvaloukkaushavaintoja. Vuonna 2010 palvelu lähetti ilmoitusta tietoturvaloukkauksista ja haittaohjelmista. Ilmoitukset koskivat yhteensä eri IP-osoitetta Oikeuskäytäntö muutoksenhakuasteissa Korkein oikeus on antanut yhden tietomurtoa koskevan ennakkopäätöksen. Päätös on vuodelta Asiassa oli kyse tietomurron yrityksen tunnusmerkistön täyttymisestä sekä vahingonkorvauksen sovittelemisesta. Syytetty oli tehnyt erään pankin verkkoa vastaan niin kutsutun porttiskannauksen, jolla hän oli etsinyt avoimia välityspalvelimia. Turun hovioikeus oli tuominnut syytetyn sakkorangaistukseen ja velvoittanut hänet suorittamaan vahingonkorvauksena asianomistajille yhteensä markkaa (ilman aika-arvokorjausta ,09 euroa) korkoineen. Korkein oikeus katsoi, että syytetty oli suorittanut skannauksen hankkiakseen tietojärjestelmään tunkeutumisessa hyödynnettävää tietoa, eikä muuttanut hovioikeuden tuomion 8 Tilastokeskus Viestintävirasto 2011b. 10 Viestintävirasto 2011a. 11 IP-osoite on internetiin kytketyn tietojenkäsittely- tai tiedonsiirtolaitteen tai verkkoliittymän yksilöivä tunnus. Sanastokeskus TSK ry 2011, lekseemi IP-osoite. 5

14 lopputulosta. 12 Ratkaisua on tosin arvosteltu näkökulmasta, jonka mukaan porttiskannausta ei olisi pidettävä rikoksen yrityksenä vaan kohteen havainnointiin verrattavana, rankaisemattomana valmistelutoimena 13. Lisäksi Turun hovioikeus on vuonna 2009 ratkaissut tietomurtoa koskeneen asian. Syytteen mukaan syytetty oli hänelle kuulumatonta käyttäjätunnusta käyttämällä kahdesti tunkeutunut asianomistajayhtiön sähköpostijärjestelmään. Syytetty kiisti syytteen. Käräjäoikeus ja hovioikeus eivät pitäneet syytettä toteennäytettynä. Syytetyllä ei ollut motiivia tunkeutua asianomistajan sähköpostijärjestelmään, eikä hänellä ollut hallussaan tunkeutumisessa käytettyjä salasanoja. Vaikka syytetty oli asuinnaapurinsa suojaamattoman langattoman lähiverkon välityksellä käyttänyt sitä internetliittymää, jonka kautta tietomurto oli tehty, oli mahdollista, että myös joku muu oli käyttänyt samaa liittymää ja että tämä henkilö oli tehnyt syytteessä tarkoitetun tietomurron Lähirikoksia Muita sellaisia tieto- ja viestintärikoksia, joita tyypillisesti tehdään tietoverkon välityksellä, ovat viestintäsalaisuuden loukkaus (rikoslain 8 luvun 3 ), törkeä viestintäsalaisuuden loukkaus (4 ), tietoliikenteen häirintä (5 ), törkeä tietoliikenteen häirintä (6 ), lievä tietoliikenteen häirintä (7 ), tietojärjestelmän häirintä (7 a ) ja törkeä tietojärjestelmän häirintä (7 b ) 15. Tässä tekstissä mainitsemiani seikkoja voidaankin joissain määrin soveltaa myös näihin rikoksiin. 4 Tietomurron tutkiminen Tietomurtoja voidaan paljastaa ja tutkia muun muassa tunkeutumisenhavaitsemisjärjestelmiä käyttämällä ja teknisen tutkinnan avulla. 12 KKO 2003: Fredman Järvinen 2003, sivut Turun HO Tietojärjestelmän häirintää, törkeää tietojärjestelmän häirintää tai niiden yrityksiä käsitellään äärimmäisen harvoin oikeudessa: vuosina tapauksia oli vain yksi. Tilastokeskus

15 Tunkeutumisenhavaitsemisjärjestelmä on tekninen järjestelmä, jonka on tarkoitus havaita, kun tietojärjestelmään tunkeudutaan tai siihen yritetään tunkeutua 16. Tunkeutumisenhavaitsemisjärjestelmän tärkeimpiä ominaisuuksia ovat väärien hälytysten vähentäminen ja tapahtumien jatkoselvityksen automatisointi 17. Kyseessä on tosiaikainen toiminta, joten tunkeutumisenhavaitsemisjärjestelmää voidaan verrata rikosilmoitusjärjestelmään. Tieto- ja viestintärikoksia voidaan tutkia myös jälkikäteen, teknisen tutkinnan keinoin. Tietomurtoa epäiltäessä voidaan esimerkiksi jäljentää tietojärjestelmän massamuistin sisältö tutkittavaksi. Tällaisessa tutkinnassa voidaan löytää esimerkiksi piilohallintaohjelmia tai muita järjestelmään luvattomasti asennettuja sovelluksia Koska tunkeutuminen tietojärjestelmään turvajärjestelyn murtamalla, myös yrityksen asteelle jäädessään, täyttää tietomurron tunnusmerkistön, tunkeutumisenhavaitsemisjärjestelmillä paljastetaan rikoksia. Vastaavasti myös tekninen tutkinta tietomurron paljastamiseksi tai selvittämiseksi on rikostenpaljastamistoimintaa Rikostenpaljastamistoiminnan sääntelyn historiaa Asetus yksityisetsivän ammatista (112/1944, kumottu, jäljempänä yksityisetsiväasetus) tuli voimaan Asetuksen 1 :n 2 momentin mukaan säädöksessä tarkoitettiin yksityisetsivän ammatilla sellaista jatkuvaa toimintaa ansion tai elatuksen hankkimiseksi, jossa ammatin harjoittaja asiakkaittensa toimeksiannosta poliisimiehen oikeuksitta suorittaa rikosten tutkimista ja selvittämistä. Yksityisetsiväasetuksen keskeisimmät säännökset koskivat yksityisetsivän ammatin luvanvaraisuutta (1 :n 1 momentti) vaatimusta ammatin harjoittamiseen tarvittavasta luotettavuudesta ja taidosta (3 :n 2 momentti) velvollisuutta dokumentoida vastaanotetut toimeksiannot (7 :n 1 momentti) 16 Sanastokeskus TSK ry 2004, lekseemi tunkeutumisenhavaitsemisjärjestelmä. 17 Dobrucki 2002, sivu ⅲ. 18 Viestintävirasto

16 velvollisuutta alistaa yksityisetsivän tehtäviin palkattavaa henkilökuntaa koskevat rekrytointipäätökset poliisiviranomaiselle (8 :n 1 2 momentit) velvollisuutta pitää mukana yksityisetsivän toimikorttia (10 :n 1 momentti) poliisin velvollisuutta valvoa yksityisetsivätoimintaa ja sen oikeus tarkastaa yksityisetsivätoiminnan asiakirjoja (11 ) lääninhallituksen sanktioita, kuten varoitusta sekä liikkeen sulkemista määräajaksi tai kokonaan (14 ). Yksityisetsiväasetus kumottiin turvapalvelulain 63 3 momentilla Turvapalvelulaki tietomurtojen paljastamisen ja tutkimisen näkökulmasta Turvapalvelulain säätämisen keskeisiä tavoitteita olivat: turvallisuustoimenpiteiden kohteina olevien henkilöiden oikeusturvan parantaminen turvallisuuspalveluja ostavien asiakkaiden kuluttajansuojan parantaminen julkisen vallan ja yksityisen turva-alan välisen työnjaon selkeyttäminen kokonaisturvallisuuden lisääminen tehostamalla turvallisuusviranomaisten ja yksityisen turva-alan välistä yhteistyötä 19. Turvapalvelulain voimaantulosta alkaen rikostenpaljastamistehtävät on luettu vartioimisliiketoiminnaksi. Lainsäätäjä pyrki tällä säännöksellä tehostamaan rikostenpaljastamistoimintaan kohdistuvaa viranomaisvalvontaa20. Sellaiset rikostenpaljastamistehtävät, joita toimija suorittaa omaan lukuunsa eli omavartiointina, eivät kuitenkaan kuulu turvapalvelulain piiriin Omavartiointi Omavartiointi tapahtuu jokamiehenoikeuksin. Rikoksia omaan lukuunsa tai työnantajansa lukuun paljastavalla ja/tai tutkivalla henkilöllä ei siis ole turvapalvelulain 19 HE 69/2001 vp, sivu HE 69/2001 vp, sivu HE 69/2001 vp, sivu 41. Asiaintilaa on arvosteltu siitä, että viranomaisvalvonnan ulottumattomiin jää ihmisten perusoikeuksiin ammattimaisesti puuttuvia tahoja. Kerttula 2010, sivut 124 ja

17 28 :ssä säädettyjä vartijan oikeuksia. Tällaiset oikeudet koskevat esimerkiksi henkilön poistamista vartioimisalueelta, rikoksentekijän kiinni ottamista, turvallisuustarkastuksen suorittamista kiinniotetulle ja näihin toimenpiteiden edellyttämien voimakeinojen käyttämistä. Henkilön poistaminen vartioimisalueelta tosin lienee tarpeen lähinnä omaisuuden vartiointia koskevien toimeksiantojen yhteydessä, ei niinkään rikostenpaljastamistehtävissä 22. Vartijalle säädetty kiinniotto-oikeus voimankäyttöoikeuksineen puolestaan eroaa pakkokeinolain (450/1987) 1 luvun 1 :n 1 momentissa säädetystä jokamiehen kiinniottooikeudesta vain siten, että vartijalla on kiinniotto-oikeutta käyttäessään oikeus suorittaa kiinni otetulle edellä mainitun turvallisuustarkastuksen. Vartija saa siis tarkastaa kiinni otetun sekä tämän mukana olevat tavarat sen varmistamiseksi, ettei kiinni otetulla ole hallussaan esineitä tai aineita, joilla hän voi aiheuttaa vaaraa itselleen tai muille. Vartija saa myös ottaa pois tarkastuksessa tavatut vaaralliset esineet tai aineet poliisille luovutettaviksi. 6.2 Rikosten paljastaminen ja hälytysten vastaanottaminen vartioimisliiketoimintana Vartioimistehtävät määritellään turvapalvelulain 2 :n 3 kohdassa. Niitä ovat omaisuuden vartioiminen, henkilön koskemattomuuden suojaaminen sekä vartioimiskohteeseen tai toimeksiantajaan kohdistuneiden rikosten paljastaminen. Vartioimistehtävänä pidetään saman kohdan nojalla myös minkä tahansa tällaisen tehtävän valvomista 23. Rikosten paljastamisella tarkoitetaan muiden kuin viranomaisten suorittamaa rikosten ilmisaattamista ja sellaisia siihen liittyviä rikosten alustavista selvittämistoimenpiteistä, joiden avulla hankitaan riittävät tiedot viranomaisille tehtävää rikosilmoitusta varten sekä paljastuneen rikoksen vuoksi mahdollisesti suoritettavat lisäselvitystoimenpiteet 24. Toimeksiantajaan kohdistuneiden rikosten paljastaminen on siis vartioimistehtävä. Myös sellaisten hälytysten vastaanottaminen ja välittäminen, joista ainakin osa on 22 Kerttula 2010, sivu Vartioimistehtävien valvominen tarkoittaa lähinnä työn välitöntä johtamista, ei vartioimisliikkeen johtamista. HE 69/2001 vp, sivut HE 69/2001 vp, sivu 30. 9

18 rikosperusteisia, on vartioimistehtävä 25. Turvapalvelulain 2 :n 2 kohdasta johtuu, että vartioimistehtävät puolestaan ovat vartioimisliiketoimintaa, kun niitä suoritetaan ansiotarkoituksessa ja toimeksiantosopimuksen perusteella. 6.3 Vartioimisliikelupa, henkilöhyväksynnät ja koulutusvaatimukset Vartioimisliiketoiminta edellyttää turvapalvelulain 3 :n 1 momentin mukaan vartioimisliikelupaa ja lain 15 :n 1 momentin nojalla sitä, että vartioimisliikkeen palveluksessa on yksi tai useampi vastaava hoitaja. Vastaava hoitaja on liikkeen vartioimistoiminnan operatiivinen johtaja ja valvontaviranomaisten yhteyshenkilö 26. Jotta henkilö voitaisiin hyväksyä vastaavaksi hoitajaksi, häneltä edellytetään lain 20 :n 1 momentin nojalla muun muassa vastaavan hoitajan koulutuksen suorittamista. Tämä koulutus perustuu turvallisuusvalvojan erikoisammattitutkintoon, johon voidaan sisällyttää myös tietoturvallisuutta koskeva osa 27. Turvapalvelulain 16 :n 1 2 momenteissa säädetään, että vartioimisliike saa teettää vartioimistehtäviä vain sellaisella palveluksessaan olevalla, jonka hyväksyminen vartijaksi on voimassa, tai toisella vartioimisliikkeellä. Vartijaksi hyväksyminen edellyttää lain 24 :n 1 momentin nojalla muun muassa, että henkilö on suorittanut vartijan peruskoulutuksen, että hänet tunnetaan rehelliseksi ja luotettavaksi ja että hän on henkilökohtaisilta ominaisuuksiltaan sopiva vartijaksi. Näistä vaatimuksista poiketen vartioimisliikkeellä saa lain 16 3 momentin nojalla olla palveluksessaan yksi väliaikainen vartija jokaista kolmea edellä mainitun koulutuksen saanutta, vartioimistehtäviä suorittavaa vartijaa kohti. Väliaikaiselta vartijalta edellytettävä koulutus, josta säädetään lain 25 1 momentissa, on vartijan koulutusta lyhyempi. Vartijaksi hyväksyttävältä henkilöltä edellytettävästä koulutuksesta säädetään vartioimisliikkeen vastaavan hoitajan ja vartijan koulutuksesta annetussa asetuksessa (780/2002). Väliaikaisen vartijan koulutus on 40 tunnin pituinen. Koulutukseen sisältyy muun muassa 6 tunnin pituinen opetusaihe Vartiointi, jossa vartiointimuodoista ja -tehtävistä käsitellään paikallisvartiointia, piirivartiointia, hälytysvartiointia, myymälätarkkailua, henkivartijatehtäviä ja arvokuljetusta. Opetusaihe Vartijan toiminta on 25 HE 69/2001 vp, sivu HE 69/2001 vp, sivu Opetushallitus 2003, sivut 6 ja

19 9 tunnin pituinen, ja siinä käsitellään muun muassa kohteiden avaimia sekä valaisimia, voimankäyttövälineitä, suojausvälineitä, koiraa ja vartioimistyössä tarvittavien viesti-, kuljetus- sekä muiden välineiden toimintaperiaatteita ja käyttöä. Samassa opetusaiheessa käsitellään edelleen muun pääsyn estämistä sekä poistamista, omaisuuden takaisin ottamista ja turvallisuustarkastusta. Samassa asetuksessa säädetään myös 60 tunnin pituisesta vartijan koulutuksesta, joka suoritetaan väliaikaisen vartijan koulutuksen jälkeen. Vartijan koulutuksen laajin opetusaihe on 19 tunnin pituinen Vartijan toiminta ja tilannehallinta, jossa syvennetään väliaikaisen vartijan koulutuksen edellä mainittua Vartiointi-opetusaihetta. Jo koulutuksen sisällön perusteella on selvää, että se on laadittu perinteisen omaisuusvartioinnin ehdoilla. Sen sijaan henkilölle, joka esimerkiksi käyttää työnantajansa asiakkaiden tunkeutumisenhavaitsemisjärjestelmiä etäyhteyden kautta tai suorittaa tietojärjestelmien teknistä tutkintaa, merkittävä osa edellä mainitusta opetussisällöstä on hänen käytännön tehtäviensä kannalta epäolennaista. Pitkän aikavälin tavoitteeksi on asetettu, että enemmistö vartijoista suorittaa vartijan ammattitutkinnon 28. Nykyisellään vartijan ammattitutkintokaan ei tosin sisällä tietoturvallisuuteen keskittyvää osaa 29. Vartijan henkilökohtaisten ominaisuuksien arvioimisesta todetaan turvapalvelulain esitöissä muun muassa, että huomiota olisi kiinnitettävä sellaisiin vammoihin ja sairauksiin, jotka saattaisivat heikentää olennaisesti hakijan kykyä toimia vartijana tai täyttää vartijalle asetettuja velvollisuuksia. Samassa yhteydessä todetaan, että eräitä vartioimistehtäviä, esimerkiksi hälytyskeskuspäivystystä, voivat menestyksellisesti hoitaa myös liikuntarajoitteiset henkilöt Muita velvoitteita Turvapalvelulaissa on säädetty lukuisia velvollisuuksia muun muassa vartioimisliikkeille ja vartijoille. Käsittelen näistä velvoitteista muutamia sellaisia, jotka voivat olla tietomurtojen paljastamisen ja tutkimisen kanssa erityisen ongelmallisia. 28 HE 69/2001 vp, sivu Opetushallitus HE 69/2001 vp, sivu

20 6.4.1 Vartijan asun käyttäminen Turvapalvelulain 32 1 momentissa säädetään, että vartijan on vartioimistehtävissä oltava pukeutunut vartijan asuun ja että saman vartioimisliikkeen palveluksessa olevien, samanlaisia tehtäviä suorittavien vartijoiden on oltava pukeutuneita yhdenmukaisesti. Vartijan asun tulee lain 33 1 momentin nojalla olla siisti ja asianmukainen. Lain 32 :n 3 momentissa säädetään, että vartijan asua saa käyttää vain vartija vartioimistehtävissä. Vapaa-aikanaan vartija ei siis saa käyttää vartijan asua. Vartijan asun käyttämistä koskevilla säännöksillä pyritään lisäämään vartioimistoiminnan avoimuutta ja vartijan toimenpiteiden kohteeksi joutuneen henkilön oikeusturvaa sekä osoittamaan, millaiset valtuudet vartijalla on. Yksityisistä turvallisuuspalveluista annetussa valtioneuvoston asetuksen (534/2002) 9 :ssä säädetään vartijan asun merkeistä ja teksteistä. Vartijan asun rintamuksen vasemmalle puolelle on merkittävä sana vartija suomeksi, ruotsiksi ja/tai muulla kielellä siten, kuin pykälässä tarkemmin säädetään, sekä vartioimisliikkeen nimi tai nimilyhenne taikka vakiintunut liikemerkki. Nämä tiedot saadaan merkitä myös vartijan mahdolliseen päähineeseen. Vartijan ammattitutkinnon suorittaneen vartijan asun olkapoletteihin on merkittävä vähintään 15 millimetrin korkuinen A-kirjain. Myös vartijan asussa mahdollisesti käytettävät arvomerkit on kiinnitettävä olkapoletteihin. Vartijan asun rintamuksessa saa olla irrotettavissa oleva vartijan henkilöllisyyttä ja asemaa osoittava laatta. Vartijan asussa ei saa näkyä muita merkkejä ja tekstejä. Turvapalvelulain 32 2 momentin nojalla vartija saa muun muassa myymälätarkkailussa ja muissa vastaavissa rikosten paljastamiseen liittyvissä tehtävissä sekä henkivartijatehtävissä ja arvokuljetustehtävissä muuta kuin vartijan asua, jos tehtävä sitä edellyttää. Lain esitöistä ilmenee, että momenttia tulisi soveltaa lähinnä tilanteisiin, joissa rikollisen toiminnan paljastamisen onnistuminen edellyttää siviiliasussa esiintymistä tai joissa siviiliasua käyttämällä estettäisiin turvaamista tarvitsevan vartioimiskohteen paljastuminen 32. Momentissa säädetään myös, että muun kuin vartijan asun käyttämisestä päättää vastaava hoitaja toimeksiannoittain HE 69/2001 vp, sivut HE 69/2001 vp, sivu