Luonnos hallituksen esitykseksi sähköisen viestinnän tietosuojalain muuttamiseksi. Lausuntokokoelma

Transkriptio

1 Luonnos hallituksen esitykseksi sähköisen viestinnän tietosuojalain muuttamiseksi Lausuntokokoelma

2 Sisällysluettelo 2 1. CSC - TIETEELLINEN LASKENTA OY / FUNET RY ELINKEINOELÄMÄN KESKUSLIITTO ELISA OYJ FICOM RY FINNET-LIITTO RY FORTUM OYJ GRAMEX RY HELSINGIN YLIOPISTO ILMAILULAITOS IT SECMAN KESKUSKAUPPAKAMARI KILPAILUVIRASTO KULUTTAJAT KONSUMENTERNA RY KULUTTAJAVIRASTO MAINOSTAJIEN LIITTO NOKIA OYJ OULUN YLIOPISTO PÄÄESIKUNTA RAHOITUSTARKASTUS SAK JA STTK STAKES SUN MICROSYSTEMS OY SUOJELUPOLIISI SUOMEN ASIANAJAJALIITTO SUOMEN JOURNALISTILIITTO FINLANDS JOURNALISTFÖRBUND RY SUOMEN KAUPAN LIITTO...57

3 3 27. SUOMEN KIINTEISTÖLIITTO RY SUOMEN PANKKIYHDISTYS SUOMEN KUNTALIITTO SUOMEN POSTI OYJ SUOMEN SUORAMARKKINOINTILIITTO RY SUOMEN YRITTÄJÄT RY SÄTEILYTURVAKESKUS TEKES TEKIJÄNOIKEUDEN TIEDOTUS- JA VALVONTAKESKUS RY TEKNILLINEN KORKEAKOULU TELEFORUM RY TELIASONERA FINLAND OYJ TIEKE TIETOTURVA RY TNNET OY TURUN KAUPPAKORKEAKOULU TURUN YLIOPISTO VIESTINNÄN KESKUSLIITTO RY VIESTINTÄVIRASTO...100

4 4 1. CSC - Tieteellinen laskenta Oy / Funet ry Viite Lausuntopyyntö luonnoksesta esitykseksi sähköisen viestinnän tietosuojalain muuttamisesta (LVM 745/05// ) Funetin lausunto Kiitämme Funet ry:n saamasta lausuntopyynnöstä. Suomen yliopisto- ja tutkimusverkko Funet palvelee yli 80 suomalaista tutkimusorganisaatiota. Palveluista vastaa tieteen tietotekniikan keskus CSC (CSC Tieteellinen laskenta Oy). Esitys on selvä parannus nykyiseen lakiin. Yliopistot, jotka luokitellaan yhteisötilaajiksi, ovat kaivanneet täsmennyksiä oikeuksiinsa käsitellä tunnistetietoja. Myös tunnistetietojen käsittelyoikeuksien selventämiseen tilastointitarkoituksiin ja tietoturvasta huolehtimiseen on ollut selkeää tarvetta. Viestintävirastolla on lain nojalla oikeus luovuttaa tietyin edellytyksin tunnistetietoja niille tahoille, joita on käytetty hyväksi tietoturvaloukkauksessa tai jotka ovat joutuneet tietoturvaloukkauksen kohteeksi. Kuten esityksen perusteluissakin todetaan, käytännön työssä on osoittautunut välttämättömäksi myös luovuttaa tietoja jo ennen kuin tietoturvaloukkaus on tapahtunut. Esityksessä on lisäys, jossa huomioidaan Viestintäviraston CERT-FI ryhmää vastaavat ulkomaiset toimijat (34 b ). Näitä vastaavia ryhmiä toimii myös Suomessa, esimerkiksi Funet CERT. Nämä CERT-ryhmät tekevät vastaavantyyppistä työtä kuin CERT- FI, vaikka asiakaskunta onkin rajatumpi. Omassa työssään nekin tarvitsevat vastaavia tietoja yhteistyön takaamiseksi ja uhkien torjumiseksi omalla alueellaan. Tällä hetkellä useimmat CERT-ryhmät toiminevat teleyritysten piirissä, mutta työssään ne joskus tarvitsevat välttämättä tietoja myös oman teleyrityksen ulkopuolelta. Toivomme, että myös nämä suomalaiset CERT-toimijat huomioitaisiin esityksessä. Ystävällisin terveisin CSC TIETEELLINEN LASKENTA OY Leif Laaksonen kehitysjohtaja

5 5 2. Elinkeinoelämän Keskusliitto HE SÄHKÖISEN VIESTINNÄN TIETOSUOJALAIN MUUTTAMISEKSI Liikenne- ja viestintäministeriö on pyytänyt meiltä lausuntoa esityksestä sähköisen viestinnän tietosuojalain muuttamiseksi. Pyydettynä lausuntona esitämme kunnioittavasti seuraavaa. Esityksen tavoitteena on muun muassa selkeyttää ja täsmentää yhteisötilaajan oikeutta käsitellä sähköisessä viestinnässä syntyviä tunnistamistietoja. Muutosesitykset perustuvat toisaalta siihen, että voimassa olevan lain tulkinta on muodostunut toiseksi kuin lakia säädettäessä tarkoitettiin ja toisaalta siihen, että nykyisen lain säännökset eivät anna yhteisötilaajalle riittäviä toimintavaltuuksia esimerkiksi silloin, kun siihen on kohdistunut rikos. Myös poliisin toimintavaltuudet ovat olleet epäselviä. Pidämme lainmuutosta tärkeänä ja kiireellisenä. Esitetyt muutokset eivät kuitenkaan yksinään riitä takaamaan sitä, että yrityksillä olisi sähköisen viestinnän osalta riittävät toimintaedellytykset Suomessa. Esimerkiksi esityksen 36 a :ssä on lähdetty siitä, että yhteisötilaajalla olisi oikeus luovuttaa tunnistamistietoja poliisille silloin, kun epäillään yritysvakoilua. Yhteisötilaajalla ei olisi oikeutta käsitellä tunnistamistietoja laajemmin kuin tietojen luovuttaminen poliisille edellyttää. Esitetty 36 a on välttämätön parannus nykytilanteeseen, mutta lopullisena tavoitteena on oltava se, että lakiin otetaan säännökset siitä, että yhteisötilaajalla on oikeus itsenäisesti käsitellä tunnistamistietoja epäiltäessä yritysvakoilua ja muita vastaavia rikoksia. Tämä on käsittääksemme ollut myös liikenne- ja viestintäministeriön tarkoituksena. Yrityssalaisuudet ovat suomalaisten yritysten keskeinen kilpailutekijä, ja lainsäätäjän asiana on huolehtia siitä, että yritysten toimintaedellytykset Suomessa eivät ole tältä osin huonommat kuin kilpailijamaissamme. On valitettavaa, että hallituksen esitysluonnokseen ei ole otettu tavanomaista kansainvälistä vertailua lainsäädännön sisällöstä meille tärkeissä maissa. Käsityksemme mukaan yhteisötilaajan oikeus käsitellä sähköisen viestinnän tunnistamistietoja on useissa EU-maissa huomattavasti laajempi kuin Suomessa tällä hetkellä ja kuin nyt esitetään. Näin ollen ainakaan EUoikeus ei voi olla näiden oikeuksien laajentamisen esteenä. Kuten edellä olemme todenneet, pidämme esitettyä lainmuutosta tarpeellisena ja kiireellisenä. Ehdotetut muutokset ovat pääosin hyväksyttävissä, mutta eräiltä osin esitystä on vielä muokattava. Esimerkiksi lakiesityksen 13 ja 36 a :n säännösehdotuksissa ja niiden perusteluissa on merkittäviä ristiriitaisuuksia. Yksittäisten säännösehdotusten osalta toteamme seuraavaa. Yhteisötilaajan määritelmä (2 ) Säännösehdotuksen perusteluista saa sen vaikutelman, että yhteisötilaajan oikeus saada tunnistamistietoja omista liittymistään tai päätelaitteistaan sulkisi pois sen mahdollisuuden, että kyseinen yhteisötilaaja käsittelisi tunnistamistietoja itse. Tätä ei liene tarkoitettu, joten perusteluja tulisi täsmentää siten, että vaihtoehdot eivät ole toisiaan poissulkevia. Käsittely teknistä kehittämistä varten (12 ) Lakiesityksen 12 :n mukaan yhteisötilaaja voisi käsitellä tunnistamistietoja oman viestintäverkkonsa ja siihen liitettyjen palvelujen teknistä kehittämistä varten. Käyttäjille olisi ennen

6 käsittelyn aloittamista ilmoitettava, millaisia tunnistamistietoja käsitellään ja kuinka kauan niiden käsittely kestää. Lakiesitystä valmisteltaessa ei ole ilmeisesti selvitetty perusteellisemmin sitä, mitä tällainen ilmoitusvelvollisuus merkitsisi yhteisötilaajille käytännössä. Teknistä kehittämistyötä tehdään koko ajan, ja pahimmillaan säännös saattaisi edellyttää jatkuvaa ilmoitusten tekemistä. Mielestämme säännöstä voidaan kuitenkin tulkita niin, että ilmoitus voisi olla myös melko yleisluontoinen ja kertaluonteinen ja koskea ajallisesti pitkääkin ajanjaksoa. Ainoastaan poikkeuksellisista ja merkityksellisistä toimista voitaisiin vaatia erillinen ilmoitus. Ehdotammekin, että tällainen pykälän sanamuotoon hyvin sopiva lisäys tehtäisiin pykälän perusteluihin. 6 Käsittely luvattoman käytön tilanteissa (13.2 ) Ehdotuksen 13.2 :n mukaan yhteisötilaaja voisi käsitellä tunnistamistietoja viestintäverkkojensa ja palvelujensa luvattoman käytön ja käytöstä aiheutuvien kustannusten havaitsemiseksi, estämiseksi ja selvittämiseksi sekä esitutkintaan saattamiseksi. Ehdotetun säännöksen sanamuoto on mielestämme hyvä, mutta säännöksen perustelut eivät ole kaikilta osin yhdenmukaiset itse pykälätekstin kanssa. Perustelut näyttäisivät rajaavan säännöksen käyttöalaa sellaisella tavalla, joka ei ilmene itse pykälätekstistä ja jota ei voida pitää hyväksyttävänä. Eräiltä osin säännösehdotuksen perusteluissa on myös sisäisiä ristiriitaisuuksia. Säännöksen soveltamisessa on olennaista se, mitä luvattomalla käytöllä tarkoitetaan. Puhtaasti kielellisenä ilmaisuna luvattomuus tarkoittaa nähdäksemme ainakin kahta asiaa: - sellaista toimintaa, joka on suoranaisesti lain vastaista, esimerkiksi rikollista - sellaista toimintaa, joka vastoin sitä, mitä jossain sopimussuhteessa on noudatettava. Perustelujen nojalla näyttäisi selvältä, että ainakin kaikki sellainen luvaton käyttö, joka muodostaa rikoslaissa tarkoitetun rikoksen, kuuluisi säännöksen soveltamispiiriin. Sen sijaan perustelujen valossa on hyvin epäselvää, miten säännöstä olisi sovellettava sellaiseen luvattomaan käyttöön, joka ei ole välttämättä rikos mutta joka olisi luvatonta jossakin sopimussuhteessa kuten työsuhteessa. Perustelussa todetaan esimerkiksi, että kysymykseen ei myöskään voisi tulla palvelun sisältöön liittyvä mahdollinen sopimuksenvastaisuus. Toisaalta perusteluissa todetaan että silloin, kun jonkun omaisuutta käytetään luvattomasti joko käyttötarkoitusta vastaamattomalla tavalla tai jollain muulla tavalla, on sen, jonka omaisuudesta on kyse, voitava puuttua asiaan. Pidämme tärkeänä sitä, että säännösehdotuksen perusteluja muokataan niin, että ne ovat yhdenmukaiset pykälätekstin kanssa. Perusteluista on käytävä selkeästi ilmi se pykälätekstin mukainen tulkinta, että jos tietty käyttö on luvatonta jossakin sopimussuhteessa, niin tällainen käyttö oikeuttaa myös tunnistamistietojen käsittelemiseen pykälässä tarkoitetulla tavalla. Tyypillinen esimerkki edellä mainitusta tilanteesta olisi se, että työsuhteessa on sallittu viestivälineiden käyttö tiettyihin tarkoituksiin ja kielletty muihin tarkoituksiin. Viimeksi mainittu käyttö on kiistatta luvatonta käyttöä ja tällaisen käytön estämiseksi työnantajalla on oltava oikeus käsitellä tunnistamistietoja.

7 Viestintäviraston ja tietosuojavaltuutetun toimivalta (13.4 ) 7 Sivukalastelu (20.2 ) Ehdotuksen 13.4 ja sen perustelut eivät ole keskenään yhteneväiset. Pykälätekstin mukaan Viestintävirasto voisi antaa tarkempia määräyksiä pykälän 1 momentin tilanteissa eli silloin, kun toimijoina ovat teleyritys tai lisäarvopalvelun tarjoaja. Perustelujen mukaan Viestintävirasto voisi kuitenkin antaa määräyksiä myös yhteisötilaajalle. Katsomme, että määräysten antaminen yhteisötilaajille sopisi luontevasti tietosuojavaltuutetulle, joka myös valvoisi yhteisötilaajien tunnistamistietojen käsittelyä. Lakiehdotuksen 20.2 :ssä määritellään, missä tilanteissa teleyrityksellä, lisäarvopalvelujen tarjoajalla ja yhteisötilaajalla on oikeus ryhtyä pykälän 1 momentin mukaisiin toimenpiteisiin. Edellytyksenä on se, että toimet ovat välttämättömiä viestinnän turvaamiseksi tai laajamittaisesti toteutettavien maksuvälinepetosten valmistelun ehkäisemiseksi. Mielestämme pykälän soveltamisala on liian suppea, ja sen ulkopuolelle jää ainakin yrityssalaisuusrikosten valmistelu, joka on vakavuudeltaan rinnastettavissa edellä mainittuihin rikoksiin. Pidämme välttämättömänä sitä, että säännöksen soveltamisalaa laajennetaan kattamaan myös nämä rikokset. Lakia tulisi ylipäätäänkin kehittää niin, että tietoturvasäännöksiä ei sidottaisi pelkästään tämän hetken ilmiöihin. Laissa olisi säädettävä perusperiaatteista ja sen tulisi olla teknologianeutraali. Automaattinen sisällön analyysi (20.4 ) Lakiehdotuksen 20.4 :stä on esityksessä kaksi erilaista versiota. Ensimmäisessä versiossa on virke, jonka mukaan automaattisesta sisällöllisestä analyysistä ja sen tuloksesta on lisättävä merkintä viestin otsikkotietoihin, jos se on teknisesti mahdollista. Jälkimmäisessä versiossa tätä vaatimusta ei ole. Katsomme, että tällaista vaatimusta ei pidä ottaa lakiin. Käytännössä lähes kaikki viestit käyvät läpi ainakin jonkinlaisen virusskannauksen, joten vaatimus koskisi lähes kaikkia viestejä. Vaatimus aiheuttaisi tarpeetonta työtä, eikä siitä olisi käytännön hyötyä. Yhteyskohtaisen erittelyn antaminen (24.3 ) Ehdotuksen mukaan teleyrityksen olisi annettava erikseen tilattava yhteyskohtainen erittely käyttäjälle maksutta. Lakiesitystä valmisteltaessa ei ole selvitetty tai arvioitu tämän ehdotuksen kustannusvaikutuksia. Mielestämme lakiesitystä ei tulisi tältä osin viedä eteenpäin ennen kuin sen kustannusvaikutukset on selvitetty. Jälkikäteen tilattavan yhteyskohtaisen erittelyn tuottaminen aiheuttaa teleyrityksille kustannuksia, jotka johtuvat tietojen keräämisestä, tulostamisesta ja postittamisesta. Kyse on myös siitä, millä tavalla nämä kustannukset jaetaan oikeudenmukaisella tavalla eri toimijoiden kesken. Tietojen luovuttaminen eräille muille viranomaisille (36 a ) Lakiehdotuksen 36 a :n otsikkona on tietojen luovuttaminen eräille muille viranomaisille, mutta tosiasiassa pykälässä säädettäisiin ainoastaan tietojen luovuttamisesta poliisille. Katsomme, että lakiin on otettava säännökset myös yhteisötilaajan oikeudesta luovuttaa tunnistamistietoja CERT-FI:lle. Tunnistamistietojen luovuttamisoikeus on olennaista koko tietoturvajärjestelmän toimivuuden kannalta, ja ilman nimenomaista säännöstä tällaista luovuttamisoikeutta ei ilmeisesti voitaisi katsoa olevan olemassa. Luontevin paikka tälle säännökselle olisi ehdotuksen 36 a.

8 8 Tietojen luovuttaminen poliisille (36 a 1 momentti) Ehdotetun 36 a :n 1 momentin mukaan yhteisötilaaja voisi luovuttaa 13 :n ja 20 :n perusteella käsittelemiään tunnistamistietoja poliisille. Pykälä on tarpeellinen, mutta kiinnitämme tältäkin osin huomiota siihen, että pykäläteksti ja sen perustelut eivät ole aivan linjassa keskenään. Pykälätekstin mukaan 13 :n ja 20 :n perusteella käsiteltyjä tunnistamistietoja voisi luovuttaa kahdessa eri tarkoituksessa: - luvattoman käytön selvittämiseksi - tietoturvallisuudelle haittaa aiheuttavien toimenpiteiden selvittämiseksi. Pykälän perusteluissa säännöksen soveltamisala on kuitenkin kuvattu huomattavasti suppeampana. Sivulla 20 todetaan, että pykälä koskisi ainoastaan yhteisötilaajan viestintäverkkojen tai niihin liitettyjen palveluiden käytettävyydelle haittaa aiheuttavia toimenpiteitä. Pykäläteksti ei tue tällaista tulkintaa, vaan lähtee siitä, että kun tunnistamistietoja on käsitelty esimerkiksi luvattoman käytön perustella, tiedot saa luovuttaa poliisille. Luovuttamisoikeus ei rajoitu pykälätekstin mukaan koskemaan vain niitä tilanteita, joissa viestintäverkoille tai niihin liitetyille palveluille on aiheutunut haittaa. Säännösehdotuksen perustelut on tältä osin korjattava pykälätekstin mukaisiksi. Yritysvakoilu, yrityssalaisuuden rikkominen ym. (36 a 2 momentti) Kiinnitämme tältäkin osin huomiota siihen, että pykäläteksti ja perustelut eivät ole aivan yhdenmukaiset. Säännösehdotuksen perusteluissa todetaan sivulla 20, että yhteisötilaajalla tulisi säännöksen mukaan olla perusteltu syy epäillä väärinkäyttöä. Säännöksessä ei kuitenkaan ole tällaista edellytystä, vaikka perusteluissa niin sanotaan. Mikäli pykälätekstiin halutaan lisätä tämäntyyppinen edellytys, niin mielestämme olisi riittävää todeta esimerkiksi kun yhteisötilaajalla on syy epäillä. Esitämme täydennystä myös toisen momentin perusteluihin. Perusteluissa todetaan nyt, että yhteisötilaaja olisi näin oikeutettu esimerkiksi rajaamaan tarvittavat tunnistamistiedot luovuttamista varten. Esimerkki antaa mielestämme turhan suppean kuvan niistä toimista, joita tarvitaan tietojen luovuttamiseksi poliisille. Kyseinen virke voisi kuulua esimerkiksi seuraavasti: Yhteisötilaaja olisi näin ollen oikeutettu esimerkiksi rajaamaan tarvittavat tiedot luovuttamista varten, ottamaan ne talteen sekä säilyttämään ne siihen saakka, kunnes niiden luovuttaminen poliisille toteutuu poliisin kanssa sovitulla tavalla. Tämäntyyppinen lisäys kuvaisi realistisesti niitä toimenpiteitä, joita tietojen luovuttaminen edellyttää, ja lisäys sopisi mielestämme hyvin ehdotetun pykälän sanamuodon piiriin. Kunnioittavasti ELINKEINOELÄMÄN KESKUSLIITTO

9 9 3. Elisa Oyj Liikenne- ja viestintäministeriö LVM 745/05/2006 SÄHKÖISEN VIESTINNÄN TIETOSUOJALAIN MUUTOSEHDOTUS LASKUN ERITTELY Kiitämme mahdollisuudesta lausua näkemyksemme lakiluonnoksesta. Seuraavassa keskitymme laskun erittelyä (24 ) ja muutamiin yhteisötilaajan oikeuksia koskeviin ehdotuksiin (12 a, 13, 19 ja 20 ). Lisämaksullisten tekstiviestinumeroiden näyttäminen kokonaisuudessaan laskussa on teleyritysten asiakkaille tervetullut uudistus. Luonnoksen 24 :ssä on tulkintamme mukaan kaksi asiaa toisin, kuin asiaa käsitelleessä työryhmässä on sovittu: 1) Ehdotuksen on tarkoitus koskea vain itse laskun erittelyä (ei nk. puheluerittelyä). Laskun erittely on eri asia kuin laskun yhteyskohtainen erittely. Tässä lakiehdotuksessa on käsittääksemme tarkoitus säätää LASKUN ERITTELYSTÄ eli niistä tiedoista, jotka asiakas voi lukea suoraan siitä laskusta, jonka asiakas saa maksettavakseen joko postissa tai sähköisesti. Tällä hetkellä laskun erittelystä säädetään viestintämarkkinalain 80 :ssä ja laskun yhteyskohtaisesta erittelystä sähköisen viestinnän tietosuojalain 24 :ssä. Ei ole mitään estettä sille, että laskun erittelystä säädettäisiin viestintämarkkinalain 80 :n sijasta SVTSL 24 :ssä, mutta säädöstekstissä pitää olla hyvin selvästi esillä, että kyse on laskun erittelystä, ei laskun yhteyskohtaista erittelystä. Esitämme, että ilmaisusta erittely luovutaan tässä yhteydessä. Koska tiedot on tarkoitus antaa laskussa ei erillisessä erittelyssä, siitä seuraa kaksi asiaa: 1.1) Laskun yhteyskohtainen erittely voi olla maksullinen. Koska lasku on asiakkaalle maksuton, tarkoittaa se sitä, että lisämaksulliset tekstiviestinumerot teleyritykset ovat valmiita lisäämään laskuun ilman, että siitä peritään maksu asiakkaalta. Nk. puheluerittely (eli laskun yhteyskohtainen erittely ) on erikseen tilattava palvelu, joka on maksullinen. Sitä että teleyrityksillä on oikeus saada korvaus laskun yhteyskohtaisesta erittelystä on moneen kertaan käsitelty jo nykyisen lain säätämisvaiheessa, ja jos sitä halutaan nyt muuttaa, pitää muutokselle olla hyvät perustelut. Teleyritys joutuu toteuttamaan laskun loppusummasta riippumatta samat toimenpiteet täydellisen tai peitetyn tuottamiseksi. Erittelyn tuottaminen aiheuttaa kustannuksia, jotka voitava kattaa palvelua käyttävältä asiakkaalta. 1.2) Lisämaksulliset tekstiviestinumerot saa tietää kuka tahansa laskun maksaja. Koska tiedot on tarkoitettu annettavaksi suoraan laskussa, ne saa tietää se henkilö, jolla lasku lähetään. Tämä henkilö voi olla tilaaja tai käyttäjä, mutta myös joku muu, nk. maksaja, jolle tilaaja on pyytänyt lähettämään las-

10 kun tai kuka tahansa henkilö joka tosiasiassa maksaa laskun, esimerkiksi aviopuoliso. Maksaja ei ole vastuussa laskun maksamisesta. Näitä tilanteita on hyvin paljon, kyse ei ole mistään poikkeustapauksesta. Jos tiedot annetaan suoraan laskussa, ei niiden saamista voi rajoittaa tilaajaan tai käyttäjään. 2) Ehdotuksen on tarkoitus koskea vain lisämaksullisten tekstiviestipalveluiden käyttöä (logot, soittoäänet, chat jne). Ehdotus: Teleyritykset ovat työryhmässään hyväksyneet sen, että laskuun voidaan suoraan merkitä ne numerot, joihin asiakas on lähettänyt tekstiviestin saadakseen nk. lisämaksullisen tekstiviestipalvelun (logot, soittoäänet, chat jne). Jos laissa halutaan säätää muidenkin tietojen antamisesta, on perustettava uusi valmisteleva työryhmä. Sen estämättä, mitä 2 momentissa säädetään, teleyrityksen on annettava tilaajalle tai käyttäjälle täydellinen erittely palveluittain sellaisista yhteyksistä ESI- TETTÄVÄ LASKUSSA TAI SEN LIITTEESSÄ TÄYDELLISINÄ SELLAI- SET LISÄMAKSULLISET TEKSTIVIESTINUMEROT, joista aiheutuu tilaajalle tai käyttäjälle muita kuin viestintäpalvelun käytöstä johtuvia maksuja. 10 YHTEISÖTILAAJAN OIKEUDET KÄSITELLÄ TUNNISTAMISTIETOJA SISÄISESSÄ VIES- TINTÄVERKOSSAAN Sisäisen viestintäverkon tietoturva (19 ja 20 ) 1. Tietoturvaloukkausten ja uhkien kuvaus: Ehdotukset ovat oikeasuuntaisia, vaikkakin useimpiin nyt esitettyihin yhteisötilaajan tietoturvatarpeisiin riittäisi tulkintamme kukaan nykyinenkin lainsäädäntö. Koska tietoturvaloukkaukset ja -uhkat ja toimenpiteet, joihin on oikeus ryhtyä niiden torjumiseksi, on selkeästi määritelty Viestintäviraston määräyksissä ja niihin liittyvissä suosituksissa ja ohjeissa, toivomme, ettei niitä kuvattaisi lakiehdotuksessa poikkeavalla tavalla. Viestintäviraston määräykset velvoittavat vain teleyrityksiä, mutta olemme tulkinneet niin, että vastaavat tietoturvaloukkaukset ja uhat oikeuttavat luonnollisesti myös yhteisötilaajan estotoimenpiteisiin sisäisessä verkossaan. Myös kalastelu sisältyy mielestämme Viestintäviraston kuvauksiin tietoturvaloukkauksista ja uhkista. Ehdotamme että teleyritysten ja yhteisötilaajan oikeudet puuttua tietoturvaloukkauksiin ja uhkiin yhdenmukaistetaan, koska niiden torjumisessa joudutaan tekemään yhteistyötä teleyritysten, niiden yritysasiakkaiden ja viranomaisten välillä. 2. Tietoyhteiskunnan palvelun tarjoaja on viestinnän osapuoli: Ehdotetussa 19 :ssä on ongelmana sen lisäys [viestintäverkkonsa] ja niihin liitettyjen palvelujen. Säännös oikeuttaisi yhteisötilaajaa huolehtimaan tietoturvasta järjestelmissä, jotka eivät kuulu sen viestintäverkkoon ja joita se hyödyntää erilaistan palveluiden tarjoamisessa. Esimerkkinä ehdotuksen perusteluissa on hakemistopalvelu, joka on internet- tai SMS-palveluna nk. tietoyhteiskunnan palvelu. Yhteisötilaaja on tietoyhteiskunnan palveluita tarjotessaan viestinnän osapuoli, jonka oikeus käsitellä tunnistamistietoja ei rajoitu SVTSL 9-14 :iin. Siksi lisäys ei ole tarpeen. 3. Ei-toivottu suoramarkkinointi on tietoturvauhka:

11 Lisäksi pyydämme kiinnittämään huomioita säännöksen perusteluihin, joissa viitataan eitoivottuun suoramarkkinointiin (s. 15): Haittaa aiheuttavia toimenpiteitä ovat esimerkiksi tahallisten haittaohjelmien laaja levittäminen ja käyttö. Lisäksi tällaisia toimenpiteitä ovat ei-toivottujen suoramarkkinointiviestien tai muiden viestien käyttö tietoliikenteen tai tietojärjestelmien lamauttamiseen tai toimintakyvyn kannalta muut hyvin vakavat toimet tai häiriöt. Ei-toivottu suoramarkkinointi on yleensä täysin laillista SVTSL 27 :n nojalla. Teleyrityksille olisi :ien uudistuksen yhteydessä tärkeä antaa oikeus selvittää, mistä laajakaistaliittymästä ei-toivotut (mutta SVTSL 27 :n mukaiset) sähköpostimainokset tulevat ja ottamaan asiakkaaseensa yhteyttä. Muussa tapauksessa on vaara, että teleyritys joutuu nk. estolistoille, mikä haittaa kaikkien ko. teleyrityksen asiakkaiden viestintää. 11 Tiedot tarjouskilpailua varten (12 a ) Uusi pykälä on mielestämme tarpeeton kolmella perusteella: 1) Teleyrityksen yritys- ja yhteisöasiakas voi kilpailuttaa viestintäpalvelunsa teleyrityksen raportointipalvelujen avulla. Tarjouspyyntöä varten ei tarvita tunnistamistietoja yhteyden osapuolista. Elisan yritys- ja yhteisöasiakkaalla on käytössään kaikkien tietoliikennelajien raportointipalvelut, myös matkaviestintäliittymien osalta: Web-pohjainen Elisa Matkaviestinnän Raportointipalvelu tarjoaa asiakkaalle extranet- ympäristössä itsepalveluna tietoa liittymistä, käyttäjistä ja palveluista. Se helpottaa matkapuhelinliikenteen ja siitä aiheutuvien kustannusten kehittymisen seuraamista. Osa Elisa Matkaviestinnän Raportointipalvelun sisältämistä tiedoista on asiakkaan saatavilla heidän laskuissaan, puheluerittelyissään tai liittymäsopimuksissa. Selkeä, yhtenäinen ja jatkuva raportointi helpottaa kokonaiskuvan luomista ja mahdollistaa asioiden tarkan seurannan ilman asiakkaan puolelta vaadittavaa merkittävää työpanosta. Elisa Matkaviestinnän Raportointipalvelun raporttitiedot tulevat Elisan laskutusjärjestelmästä. Palvelua tarjotaan kaikille Elisan yritysasiakkaille. 2) Raportointipalvelut ovat tilastotietoa, jonka käsittely ei rajoitu Viestintäviraston tulkinnan mukaan SVTSL:n 9-14 :iin. Tiedot raportointipalveluja varten hankitaan yleisestä viestintäverkosta. Heti SVTSL:n voimaantulon jälkeen on saattanut olla tilanteita, jolloin teleyrityksissä on ollut epävarmuutta siitä, mitä raportointitietoja voi yritysasiakkaalle antaa. Viestintävirastokin tutki teleyritysten raportointipalveluiden laillisuutta. Nyt tulkinta on vakiintunut: sikäli kuin raportointipalvelut ovat tilastotietoa (anonymisoitua tietoa), ei niiden sisältämien tietojen käsittely rajoitu SVTSL 9-14 :n käyttötarkoituksiin. Siten myöskään yhteisötilaajan määritelmää 2 :ssä ei ole tarvetta muuttaa. 3) Sikäli kun yhteisötilaajan sisäisen viestintäverkon tiedot riittävät tarjouskilpailua varten, riittää myös nykyinen laki siihen, että yhteisötilaajalla on oikeus käsitellä sisäisen viestintäverkkonsa tunnistamistietoja tarjouskilpailua varten. Nykyisen lain 12 :n nojalla nimittäin Yhteisötilaaja voi käsitellä tunnistamistietoja oman toimintansa teknistä kehittämistä varten. Koska Viestintäviraston tulkinnan mukaan tekninen kehittäminen kulkee käsi kädessä kaupallisen kehittämisen kanssa, säännös voidaan tulkita niin, että oikeus hyödyntää tunnistamistietoja tarjouspyynnössä on olemassa. Lisäksi toivomme, että 12 a :n perusteluissa (s. 10) korjataan virheellinen tieto teleyrityksen roolista yhteisötilaajan alihankkijana: On myös huomattava, että joissakin tilanteissa teleyri-

12 tys voi toimia myös yhteisötila ajan lukuun ja yhteisötilaajan vastuulla, jolloin kyse on teleyrityksen yhteisötilaajalle tuottamasta tiedosta. Näin on esimerkiksi silloin, kun teleyritys ylläpitää yhteisötilaajan omia järjestelmiä. Yritys- ja yhteisöasiakkaansa alihankkijana (tämän sisäisen verkon osalta) teleyritys ei toimi teleyrityksen vaan alihankkijan roolissa, kuten mikä tahansa yritys. Ensisijainen vastuu yhteisötilaajan sisäisen verkon tietosuojasta on yhteisötilaajalla itsellään, eikä se pysty siirtämään ulkoistuksen avulla vastuuta alihankkijalleen, ei vaikka alihankkija sattuisi olemaan teleyritys. Tämä asia on kuvattu oikein perustelujen sivulla Sisäisen viestintäverkon luvaton käyttö (13 ) Luonnoksen 13 :ssä on säännöksiä kapasiteetin riittävyydestä huolehtimisesta, jotka eivät mielestämme ole tarpeellisia, koska se on luonnollinen osa teknistä kehittämistä. Nykyisen lain 12 :n nojalla nimittäin Yhteisötilaaja voi käsitellä tunnistamistietoja oman toimintansa teknistä kehittämistä varten ja perusteluissa sanotaan nimen omaa, että Teknisellä kehittämisellä tarkoitetaan esimerkiksi teknisen suorituskyvyn parantamista tai käytettävyyden lisäämistä. Mielestämme se riittää kapasiteetin riittävyydestä huolehtimiseksi. Sikäli kun yhteisötilaaja on tietoyhteiskunnan palveluiden tarjoaja, sen oikeus tutkia esimerkiksi maksujen laiminlyöntejä ei viestinnän osapuolena rajoitu SVTSL 9-14 :iin. 13 :n perusteluissa on kuvauksia, joiden perusteella hämärtyy, mitä kuuluu työnantajan oikeuksiin havainnoida työntekijöidensä viestintää, kuten On selvää, että silloin, kun jonkun omaisuutta käytetään luvattomasti joko käyttötarkoitusta vastaamattomalla tavalla tai jollakin muulla tavalla, on sen, jonka omaisuudesta on kyse, voitava puuttua asiaan. (s. 11). Vaikka työnantajan on ennen päätöksentekoa varattava työntekijöille tai heidän edustajilleen tilaisuus tulla kuulluksi edellä mainituista asioista, ongelmana on, ettei laki ota selvää kantaa siihen, miten pitkälti työnantaja voi sopia näistä asioista työntekijöiden edustajien kanssa eli milloin kyse on työntekijän pakottavasta tietosuojasta. Lisätietoja antaa Ansa Nikander, Elisa Oyj, Lakiasiat, p Elisa Oyj Lakiasiat Ansa Nikander

13 13 4. FiCom ry HALLITUKSEN ESITYS SÄHKÖISEN VIESTINNÄN TIETOSUOJALAIN MUUTTAMISESTA Liikenne- ja viestintäministeriö on pyytänyt lausuntoa ehdotuksesta hallituksen esitykseksi sähköisen viestinnän tietosuojalain muuttamisesta. Tietoliikenteen ja tietotekniikan keskusliitto, FiCom ry, lausuu asiasta kunnioittaen seuraavaa: Yleistä Ehdotuksella pyritään selkiyttämään ja täsmentämään yhteisötilaajan oikeutta käsitellä sähköisessä viestinnässä syntyviä tunnistamistietoja. Ehdotettavat muutokset pohjautuvat siihen, että nykyisen lain tulkinta on muodostunut erilaiseksi kuin mitä lakia säädettäessä oli tavoitteena ja toisaalta myös siihen, että voimassa olevan lain säännökset eivät anna yhteisötilaajalle riittäviä toimintavaltuuksia esimerkiksi siihen kohdistuneiden rikosten selvittämistä siihen. Tällä ehdotettavalla lainmuutoksella tavoiteltavia parannuksia yhteisötilaajan asemaan ei kuitenkaan voida pitää riittävinä takaamaan yrityksille tarpeelliset toimintaedellytykset sähköisen viestinnän osalta. FiCom pitää hyvin valitettavana, että ehdotuksen lausuntoaika on varattu kohtuuttoman lyhyeksi. Lisäksi pidämme ei-toivottavana lainvalmistelukäytäntönä sitä, että ehdotukseen ei sisälly minkäänlaista taloudellisten vaikutusten arviointia. Käsityksemme mukaan olennaisia taloudellisia vaikutuksia aiheutuu erityisesti 24 :n muutosehdotuksesta, jonka osalta olisi vähintäänkin pitänyt olla vaikutusarviointi tehtynä. Hallituksen esitysluonnokseen ei sisälly myöskään kansainvälistä vertailuosiota. Nämä molemmat em. osiot tulisi sisällyttää eduskunnalle annettavaan hallituksen esitykseen. FiCom katsoo, ettei lakiehdotuksesta käy riittävän selkeästi ilmi milloin yritys (teleyritys, yhteisötilaaja) on viestinnän osapuolena ja milloin varsinaisessa roolissa yhteisötilaajana tai teleyrityksenä oikeutettu käsittelemään tunnistamistietoja. Ensimmäiseen ryhmään sovelletaan lain 8 :n säännöksiä ja jälkimmäiseen 9-14 :n säännöksiä. Esimerkkinä tästä epäjohdonmukaisuudesta on pidettävä 9 :n ja :n perusteluihin kirjoitettuja esimerkkejä, jotka koskevat yritystä viestinnän osapuolena, jolloin yrityksen toimintaa tunnistamistietojen käsittelyn suhteen tulisi säädellä em. säännöskohtien sijasta lain 8 :n mukaan. Tällaisesta tilanteesta, jossa yritys on viestinnän osapuolena, voidaan mainita esimerkkinä yrityksen asiakaspalvelunumeroon tulevat viestit. Yksityiskohtaiset säännösehdotukset 2 Yhteisötilaajan määritelmä FiComin mielestä yhteisötilaajan määritelmä on liian epäselvä. Kun yhteisötilaaja on viestinnän osapuoli, siihen soveltuu 8 :n yleissäännös, eikä määritelmään ole tarvetta tehdä ehdotettua lisäystä asiaa sekoittamaan. FiCom pitää erittäin tärkeänä, että yhteisötilaajan määritelmää ei tule muuttaa. Säännösehdotuksen perusteluita lukiessa tulee herkästi siihen käsitykseen, että yhteisötilaajan oikeus saada tunnistamistietoja omista liittymistään tai päätelaitteistaan sulkisi pois mahdollisuuden siihen, että yhteisötilaaja käsittelisi tunnistamistietoja itse. Tämä ei varmaankaan ole ollut perustelujen tarkoitus, minkä johdosta perusteluja tulee tältä osin täsmentää.

14 14 12 Käsittely teknistä kehittämistä varten FiCom pitää merkittävänä epäkohtana, että 12 :n 2 momentissa ei ole määritelty termiä palvelu. Ehdotuksessa jää epäselväksi, kuinka laajasti yhteisötilaajan viestintäverkkoon liitetty palvelu voidaan käsittää (esim. domain name palvelu, pankkipalvelu)? FiComin mielestä palvelu - termin käyttö ehdotetussa muodossa jättää liikaa tulkinnanvaraa, minkä johdosta se tulisi joko määritellä omana kohtanaan 2 :ssä tai sitten ilmaista ko. säännöskohdassa selvästi, että kysymys on tämän lain soveltamisalaan kuuluvista viestintäpalveluista. FiCom herättää tässä kohtaa myös kysymyksen siitä tarkoitetaanko muissa ehdotuksen säännösmuotoiluissa (19.1, ja 24.3 ) käytetyllä palvelu - sanalla samaa asiaa kuin em. säännöskohdan palvelulla? FiCom katsoo, että tunnistamistietoja tulee voida käsitellä paitsi teknistä kehittämistä, myös palvelujen kehittämistä varten. Yrityksessä on oltava mahdollisuus seurata viestintäpalvelujen käyttöä ja sitä kautta poistaa käyttämättömiä palveluita toiminnasta. Tämä olisi syytä kirjata pykälätasolle ja sitä tulisi voida soveltaa sekä yhteisötilaajaan että teleyritykseen. Nykyisessä muodossaan ehdotus asettaa yhteisötilaajan ja teleyrityksen keskenään eriarvoiseen asemaan. Säännösehdotuksen mukaan yhteisötilaajalla on velvollisuus ilmoittaa käyttäjälle, millaisia tunnistamistietoja käsitellään ja kuinka kauan niiden käsittely kestää. Tämä kohta voi merkitä yhteisötilaajalle jatkuvaa ilmoitusten tekemistä. Ehdotuksen valmistelun yhteydessä ei ole tehty vaikutusarviointia siitä, mitä tällainen ilmoitusvelvollisuus yhteisötilaajalle käytännössä merkitsisi. Ehdotamme, että perusteluihin lisätään, että ilmoitukseksi riittää yleinen kertaluonteinen ilmoitus, jolla on ajallisesti pitkä ulottuvuus. Jokaista käsittelykertaa varten ei voida edellyttää erillistä ilmoitusta, sillä yrityksissä tehdään jatkuvasti teknistä kehittämistä. 13 Luvaton käyttö Ehdotuksen 13.2 :n mukaan yhteisötilaaja voisi käsitellä tunnistamistietoja viestintäverkkojensa ja palvelujensa luvattoman käytön ja käytöstä aiheutuvien kustannusten havaitsemiseksi, estämiseksi ja selvittämiseksi sekä esitutkintaan saattamiseksi. Ehdotettu säännös on kannatettava, mutta sitä koskevat perustelut eivät ole kaikilta osin yhdenmukaiset säännösehdotuksen kanssa. Perustelut kaventavat säännöskohdan soveltamista sellaisella tavalla, jota ei voida pitää hyväksyttävänä. Säännöksen soveltamisen kannalta olennaista on, mitä luvattomalla käytöllä tarkoitetaan. Se voi tarkoittaa ainakin suoraan lainvastaista toimintaa tai sitten toimintaa, joka ei ole sopimussuhteessa luvallista (sovitun mukaista). Säännösehdotuksen perusteluiden mukaan näyttäisi siltä, että luvaton käyttö soveltuisi rikosoikeudellisen tunnusmerkistön täyttävään toimintaan, mutta ei sopimussuhteen vastaiseen toimintaan. Pidämme tärkeänä, että perusteluosaa täydennetään niin, että se kattaa myös sopimussuhteessa luvattoman toiminnan. Näissä molemmissa em. tilanteissa täytyy olla mahdollisuus tunnistamistietojen käsittelyyn säännösehdotuksessa tarkoitetulla tavalla. Säännösehdotuksen 4 momentin perustelujen mukaan Viestintävirasto antaisi määräyksiä sekä teleyrityksille, lisäarvopalvelujen tarjoajille että yhteisötilaajille. Pykäläehdotuksen viittaus 1 momenttiin ei sisällä lainkaan yhteisötilaajia, minkä johdosta halutun oikeustilan saavuttaminen edellyttää säännöskohtaan lisättäväksi viittauksen myös 2 momenttiin. 20 Toimenpiteet tietoturvan toteuttamiseksi Ehdotuksen 20.2 määrittelee ne tilanteet, jolloin teleyritys, yhteisötilaaja tai lisäarvopalvelujen tarjoaja voi ryhtyä säännöksen 1 momentin mukaisiin toimiin. Edellytyksenä on, että toimet ovat välttämättömiä verkkopalvelujen, viestintäpalvelujen, lisäarvopalvelujen tai yhteisötilaajan viestintäverkkojen tai niihin liitettyjen palvelujen tai viestin vastaanottajan viestintä-

15 mahdollisuuksien turvaamiseksi tai laajamittaisesti toteutettavien maksuvälinepetosten valmistelun ehkäisemiseksi. Kyseisen säännösehdotuksen perusteluiden osalta pidämme tärkeänä, ettei tietoturvasäännöksiä sidota tämän hetken ilmiöihin, kuten phishingiin. Sähköisen viestinnän tietosuojalaki tulee pitää teknologianeutraalina ja laissa säätää vain perusperiaatteista. FiCom pitää ehdotuksen 20.4 :n osalta tarpeellisena täsmentää sitä, mihin ei saa jäädä merkintöjä automaattisesta sisällöllisestä analyysista. Tämä ei käy selville itse pykälätekstistä kuten ei myöskään yksityiskohtaisista perusteluista. FiCom katsoo, ettei teleyrityksellä tai muillakaan säännöksen piiriin kuuluvilla toimijoilla ole asiantuntemusta rikostunnusmerkistön toteutumisen arvioinnissa, eikä tällaisen arvioinnin tekeminen kuulu ko. tahojen tehtäviin. Pidämme tärkeänä, että tämän pykäläehdotuksen edellyttämä arviointi tulee kuulua viranomaiselle, esimerkiksi Viestintävirastolle. Viranomainen on se taho, jonka tulee esittää pyyntö tietoturvatoimenpiteisiin ryhtymiseksi. Näin muutettua ehdotusta tulisi täydentää kiiretilanteisiin liittyvällä menettelyllä, jossa teleyritykselle annettaisiin oikeus vastaaviin tietoturvatoimenpiteisiin ryhtymiseksi, mikäli toimenpiteen käynnistäminen ei sietäisi viivästymistä. Näin käynnistetyistä toimenpiteistä tulisi mahdollisimman nopeasti informoida Viestintävirastoa, joka tekisi päätöksen toimenpiteen jatkamisesta tai sen lopettamisesta. FiCom ei pidä hyvänä asiana, että pykäläehdotuksen perusteluihin ei ole kirjoitettu mitään vastuiden arvioinnista. Miten käy teleyrityksen, jos se käyttää oikeuttaan estää viestintää epäilemässään rikoslain kohdassa (RL 37:11 ) ja myöhemmin todetaan, ettei ko. rikostunnusmerkistö soveltunutkaan tapaukseen? Pidämme tärkeänä, että vastuun kohdentumisesta kirjoitetaan erikseen perusteluihin ja sinne lisätään myös selkeä maininta siitä, että teleyrityksellä on vain ja ainoastaan oikeus mutta ei velvollisuutta ryhtyä ko. toimenpiteisiin. Edellä esittämämme muutosehdotus ratkaisi myös tässä kuvatun ongelman. FiCom katsoo aiheelliseksi myös herättää lainvalmistelijalle pohdittavaksi kysymyksen siitä, tarkoittaako ko. pykäläehdotukseen kirjattu nimenomainen kielto tunnistamistietojen käsittelemisestä lähdesuojan selvittämiseksi (OK 17: mom.) sitä, että muissa kuin em. tapauksessa tunnistamistietojen käsittely 20 :ssä säädetyissä tapauksissa on siten katsottava sallituksi Laskun yhteyskohtainen erittely Ehdotuksen mukaan teleyrityksen tulee antaa 24 3 momentin mukaan käyttäjälle erikseen tilattava yhteyskohtainen erittely maksutta. Teleyritysten nykyinen käytäntö yhteyskohtaisen erittelyn maksun palauttamisesta tilanteessa, jossa laskutus osoittautuu virheelliseksi, on riittävä toimenpide. Yhteyskohtaisen erittelyn laatimisesta syntyy aina teleyritykselle kustannuksia. Kannatamme nykyisen käytännön säilyttämistä, jonka mukaan yhteyskohtainen erittely annetaan jälkikäteen ja asiakkaan erillisestä pyynnöstä. Pidämme hallituksen esitysluonnoksen kohtaan 2.3. (nykytilan arviointi) tehtyä kirjausta kuluttajilta on peritty laskuerittelyn toimittamisesta laskun loppusummaan nähden kohtuuttomia maksuja. virheellisenä. Faktinen tosiasia on, että teleyrityksille aiheutuu erittelyn laatimisesta aina kustannuksia, jotka ovat täysin riippumattomia laskun loppusummasta ja nämä kustannukset on voitava periä palvelua käyttäviltä asiakkailta. Näin ollen esitämme, että ko. maininta kohdasta 2.3. poistetaan perusteettomana. FiCom suhtautuu kielteisesti siihen, että ehdotuksessa ei ole arvioitu muutoksen kustannusvaikutuksia lainkaan. Kuten edellä on jo todettu jälkikäteen tilattavan yhteyskohtaisen erittelyn tuottaminen aiheuttaa teleyrityksille kustannuksia, jotka johtuvat mm. tietojen keräämisestä, tulostamisesta ja postittamisesta. Pidämme tärkeänä, että ko. lakiehdotukseen ei tehdä muutos-

16 ta ennen kuin esityksen taloudelliset vaikutukset teleyrityksille on aidosti selvitetty ja arvioitu kustannusten oikeudenmukaista jakautumista eri toimijoiden kesken. FiCom kiinnittää huomiota siihen, että perusteluista ei käy riittävän yksiselitteisesti ilmi mitä ehdotukseen kirjattu sana palvelu tarkoittaa. Vähintäänkin perusteluja tulee tältä osin täydentää. FiComin mielestä maksuja aiheuttavista yhteyksistä ei tulisi vaatia erittelyä palveluittain eikä myöskään palvelutyypeittäin. FiCom pitää tärkeänä, että tämä muutos tehdään sekä pykäläehdotukseen että perusteluihin. Mikäli lakiehdotus pysyisi kuitenkin tältä osin ehdotetussa muodossa, tulee laskutusjärjestelmiin ehdotettavien muutosten olla järkevässä suhteessa saataviin hyötyihin ja niiden toteuttamiseen on varattava riittävän pitkä aikaperiodi. Lisäksi erittelyn kehittämisen tulee tapahtua yhteistyössä teleyritysten ja sisältöpalveluntarjoajien kanssa Tietosuojavaltuutetun tehtävät FiCom esittää harkittavaksi, että teleyritysten lisäksi myös yhteisötilaajien tunnistamistietojen käsittelyn valvonta kuuluisi Viestintäviraston toimivaltaan. Näin vältettäisiin ristiriitaisia laintulkintoja eri viranomaisten kesken ja järkeistettäisiin valvontaresursseja. Mikäli kuitenkin tietosuojavaltuutetulle säädetään ehdotuksen mukainen valvontavelvoite, tulisi viranomaiselle varata riittävät resurssit tämän tehtävän hoitamiseen. 34 b Valvontaviranomaisen tietojen luovuttaminen FiCom katsoo, että ko. säännösehdotuksen 1 momentti on erittäin monimutkaisesti kirjoitettu ja sen ymmärrettävyyttä tulisi selkiyttää säännöstasolle tehtävällä muutoksella tai vähintäänkin avaamalla sanamuodon tulkintaa perusteluissa. Pidämme myös aiheellisena esittää varauksellisen suhtautumisemme pykäläehdotuksen 2 ja 3 momentista tehtäviin päätelmiin. Näkemyksemme mukaan ulkomaisille viranomaisille annettaisiin säännöskohtien mukaan oikeus saada laaja-alaisempia tietoja kuin mihin kansallisilla viranomaisilla olisi oikeus. 36 a Tietojen luovuttaminen eräille muille viranomaisille Säännösehdotuksen 36 a :n otsikko on hiukan harhaanjohtava, sillä useiden viranomaisten sijaan pykäläehdotuksessa säädetään ainoastaan tietojen luovutuksesta poliisille. FiCom katsoo, että otsikointia tulisi tältä osin täsmentää. FiComin mielestä säännösehdotuksen 2 momenttia tulisi muuttaa niin, että yhteisötilaajalla on oikeus luovuttaa tunnistamistiedot poliisille rikoksen esitutkinnan suorittamiseksi. Nykyinen sanamuoto..esitutkintaan saattamiseksi tuntuu tarpeettomalta oikeuksien kavennukselta ja se ei todennäköisesti ole ollut tässä kohtaa tarkoitus. Lisäksi todettakoon, että ko. pykäläehdotuksen sanamuoto ja perustelut eivät ole sopusoinnussa keskenään. Yksityiskohtaisten perusteluiden sivulla 20 esitetään, että yhteisötilaajalla tulisi säännöksen mukaan olla perusteltu syy epäillä, kun taas pykälän sanamuotoon tällaista vaatimusta ei sisälly. Jos säännökseen halutaan sisällytettävän ko. edellytys, tulee se saada näkyviin myös pykälätasolle esimerkiksi muotoilulla yhteisötilaajalla on syytä epäillä. Tietoliikenteen ja tietotekniikan keskusliitto, FiCom ry Reijo Svento Toimitusjohtaja

17 17 5. Finnet-liitto ry Liikenne- ja viestintäministeriö on pyytänyt lausuntoa sähköisen viestinnän tietosuojalain muuttamisesta annetusta hallituksen esitysluonnoksesta. Finnet esittää lausuntonaan kunnioittavasti seuraavan. Yleistä Ensinnäkin Finnet katsoo, että hallituksen esitysluonnokselle varattu lausuntoaika on aivan liian lyhyt. Kiinnitämme huomiota myös siihen, että esitysluonnokseen ei sisälly osiota taloudellisten vaikutusten arvioinnista. Merkittäviä taloudellisia vaikutuksia aiheutuu näkemyksemme mukaan erityisesti ehdotetusta 24.4 :n muutoksesta. Olennaista lakiehdotuksessa on Finnetin näkemyksen mukaan rajanveto sen suhteen, milloin yritys (yhteisötilaaja tai teleyritys) on viestinnän osapuolena oikeutettu käsittelemään tunnistamistietoja (8 ), ja toisaalta milloin yrityksellä on varsinainen yhteisötilaajan tai teleyrityksen rooli, jolloin tunnistamistietojen käsittelemistä koskevat lain Lakiehdotuksessa tämä rajanveto jää osin epäselväksi ristiriitaisuuksien vuoksi. Ehdotettujen 9 ja :n yksityiskohtaisissa perusteluissa on esitetty esimerkkejä, jotka koskevat yritystä viestinnän osapuolena, jolloin kyseisten pykälien ei tulisi säännellä yrityksen toimintaa, vaan lain 8 :n. Esimerkkinä tällaisesta tilanteesta voidaan mainita yrityksen asiakaspalvelunumeroon tai - sähköpostiin tulevat viestit. Rajanveto on olennaista myös silloin, kun teleyritys toimii yritystai yhteisöasiakkaansa alihankkijana (asiakkaan sisäisen verkon osalta). Tällöin teleyritys ei toimi teleyrityksen roolissa, mihin onkin hennosti viitattu 12a :n yksityiskohtaisissa perusteluissa. Määritelmät (2 ) Finnetin mielestä yhteisötilaajan ehdotettu määritelmä on epäselvä. Näkemyksemme mukaan silloin, kun yhteisötilaaja on viestinnän osapuoli, siihen soveltuu 8 :n yleissäännös, jolloin määritelmään ehdotettu lisäys on omiaan sekoittamaan asiaa. Ehdotetun lisäyksen viittaus liittymän tai päätelaitteen tietoihin jättää myös epäselväksi, sisältyvätkö viestit ko. tietoihin. Edellä mainituilla perusteilla Finnet katsoo, että yhteisötilaajan määritelmää ei tulisi muuttaa. Tunnistamistietojen käsittely palvelujen toteuttamiseksi ja käyttämiseksi (9 ) Säännökseen ehdotettu viittaus tunnistamistietojen käsittelyksi tietoturvasta huolehtimiseksi laissa jäljempänä säädetyllä tavalla rajoittaa nykyistä oikeutta huolehtia tietoturvasta. Nykyinen säännös antaa sekä sanamuotonsa että perustelujensa puolesta laajat valtuudet tunnistamistietojen käsittelyyn tietoturvasta huolehtimiseksi. Finnet vastustaa muutosta, jos samalla ei varmistuta siitä, että muut tunnistamistietojen käsittelysäännökset kattavat varmasti myös kaikki tulevaisuudessa mahdollisesti esiintyvät tietoturvauhat. Käsittely teknistä kehittämistä varten (12 ) Finnet kiinnittää huomiota siihen, että tunnistamistietoja tulee voida käsitellä teknisen kehittämisen lisäksi palvelujen kehittämistä varten. Asiasta olisi syytä saada säännös lakiin. Tunnistamistietojen käsittelyä palvelujen kehittämistä varten puoltaa esitysluonnoksen kohdan 2.3 (Nykytilan arviointi) toteamus, että [viestintäpalvelujen] kehitystyöhön sisältyy piirteitä, jotka eivät ole luonteeltaan yksinomaan teknisiä, mutta ovat täysin välttämättömiä toiminnan kehittämisen kannalta. Esimerkiksi palvelujen käytön seuraamisen tulee olla mahdollista, jotta käyttämättömiä palveluja voitaisiin esim. lopettaa. Esimerkkinä voidaan mainita käyttämättömät sähköpostilaatikot, jotka varaavat turhaan palvelun kapasiteettia.

18 Edellä mainitussa perustelujen kohdassa lainsäädäntötoimenpiteitä ehdotetaan kuitenkin vain yhteisötilaajien osalta, sillä sen mukaan: Tästä syystä sääntelyn tulisi mahdollistaa yhteisötilaajille käsitellä tunnistamistietoja kehittääkseen palveluitaan ja toimintaansa muutoinkin kuin yksinomaan teknisessä mielessä. Sama asia on ensiarvoisen tärkeä myös teleyrityksille. Finnet katsoo, että teleyritykset ja yhteisötilaajat asetetaan asiassa perusteetta eriarvoiseen asemaan. Käsittely tilastointia varten (12a ) Uuden lainsäännöksen tulisi tuoda aiempaan sääntelyyn lisäarvoa; ko. tapauksessa antaa uusi, tarpeellinen oikeutus tunnistamistietojen käsittelemiseen. Finnetin näkemyksen mukaan perusteet säännökselle ovat hieman hatarat, sillä yhteisötilaajat eivät tarvitse tunnistamistietoja perusteluissa kuvatulla tavalla, vaan kyseiset raportit voidaan toimittaa heille nykyisenkin lain perusteella. Ehdotetun säännöksen yksityiskohtaisissa perusteluissa todetaan, että tilastointia voi voimassa olevan lain mukaan suorittaa ns. anonyymeistä tiedoista. Finnetin käsityksen mukaan nykyiset tunnistamistietojen käsittelyä koskevat säännökset mahdollistavat teleyritysten tekemän anonyymin tilastoinnin. Viestintäviraston tulkinta, joka löytyy mm. osoitteesta kuuluu: Tunnistamistietoja muutettaessa anonyymiin, yleensä tilastolliseen muotoon, voidaan tunnistamistietoihin kohdistaa hakukomentoja, joilla saadaan esiin halutunlaisia tilastollisia aineistoja. Tilastollisia aineistoja voidaan tuottaa muihinkin tarkoituksiin kuin sähköisen viestinnän tietosuojalaissa mainittuihin käsittelyn tarkoituksiin sillä edellytyksellä, ettei lopputuloksena saatua tietoa voida yhdistää yksittäiseen käyttäjään tai tilaajaan ja ettei tietojen käsittelyllä vaaranneta luottamuksellisen viestinnän taikka muuta yksityisyyden suojaa. Teleyritykset voivat käsitellä tilastollisia tietoaineistoja esimerkiksi palveluiden hinnoittelun ja yleisimminkin teletoiminnan taloudellisen suunnittelun tarpeisiin. Finnet edellyttää, että uudella säännöksellä ei kavenneta nykyisiä tilastointioikeuksia. Jotta oikeustila olisi asian suhteen selvä, tulisi säännöksessä olla maininta siitä, että se antaa uuden oikeutuksen tunnistamistietojen käsittelemiseksi. Tämän voisi ilmaista pykälän alussa esim. seuraavasti: Sen lisäksi, mitä muissa tunnistamistietojen käsittelyä koskevissa säännöksissä säädetään (3 luku ja 20 ). Jotta uusi säännös toisi lisäarvoa, tulisi myös sellaisen tilastollisen analyysin tekemisen olla Finnetin näkemyksen mukaan sallittua, josta ilmenee yksittäinen tilaaja, mutta ei viestintään liittyvää tietoa (profilointi, segmentointi). Tämä mahdollistaisi palvelujen paremman optimoinnin. Toiminta ei vaarantaisi viestinnän luottamuksellisuutta, sillä ainakin teleyrityksissä tunnistamistietoja käsittelevät vain siihen oikeutetut henkilöt, ja viestinnän sisältöä ei selvitettäisi. Profiilitietojen käsittelemistä sääntelee henkilötietolaki. Käsittely luvattoman käytön tilanteissa (13 ) Säännöksen perustelut ovat pitkät ja monimutkaiset. Ne eivät kuitenkaan valitettavasti anna vastausta kaikkiin esille nouseviin kysymyksiin, kuten siihen, miten pitkälle yhteisötilaaja voi tutkia esim. yrityssalaisuuden loukkausta ennen kuin tutkinta on siirrettävä poliisille tai siihen, kuinka rajoitetut käyttösäännöt yhteisötilaaja voi määritellä (sopia työntekijöiden edustajien kanssa) ja toteuttaa niiden valvontaa tunnistamistietoja käsittelemällä. Esimerkkinä käyttösäännöstä voidaan mainita kielto käyttää työvälineitä yksityiskäyttöön, jolloin käyttöä voisi valvoa viestiliikennettä seuraamalla. Finnet katsoo, että nämä asiat olisi syytä selvittää perusteluissa. Lisäksi näemme tärkeäksi saada tietää, oikeuttaako säännös teleyrityksen tutkimaan esim. sitä, mistä laajakaistaliittymästä tietomurtoyritykset tulevat ja ottamaan yhteyttä ko. asiakkaaseen. Finnet pitää tarpeellisena sen varmistamista, että säännös ei estä palvelujen tuotteistamista siten, että vain tietynlainen viestintä on mahdollista. Esimerkkinä voidaan mainita tietyn protokollan käytön estäminen. 18

19 Yksityiskohtaisissa perusteluissa on käsitelty viestin sisällön merkityssisältöä. Finnet kaipaa perusteluihin tarkennusta siltä osin, ovatko esim. sähköpostiviestin otsikko tai tiedoston nimi viestin sisältöä. Säännöksen 4 momentin perustelujen mukaan Viestintävirasto antaisi määräyksiä sekä teleyrityksille ja lisäarvopalvelujen tarjoajille että yhteisötilaajille. Pykälän 4 momentin viittaus kohdistuu kuitenkin ainoastaan teleyrityksiä ja lisäarvopalveluntarjoajia koskevaan 1 momenttiin, joten halutun oikeustilan saavuttamiseksi viittauksen tulisi sisältää myös 2 momentti. Käsittely teknisen vian tai virheen havaitsemiseksi (14 ) Finnet kannattaa säännöksen täsmentämistä. Velvollisuus huolehtia tietoturvasta (19 ) Finnet kannattaa säännöksen täsmentämistä. Toimenpiteet tietoturvan toteuttamiseksi (20 ) Säännökseen sisältyy rikoslain tunnusmerkistöjen arviointia. Finnet korostaa, että teleyrityksillä tai muillakaan säännöksen subjekteilla ei ole asiantuntemusta rikostunnusmerkistön toteutumisen arvioinnissa, eikä tällaisen arvioinnin tulisi kuulua kyseisten oikeushenkilöiden tehtäviin. Finnet katsoo, että rikostunnusmerkistöjen arvioinnin tulee kuulua viranomaisille. Finnet pitää tarpeellisena sääntelyn perustumista siihen, että viranomaisen, esim. poliisin tai Viestintäviraston, tulisi esittää pyyntö pykälässä esitettyihin rikostunnusmerkistön arviointia edellyttäviin tietoturvatoimenpiteisiin ryhtymiseksi. Säännöksen perusteluissa ei ole käsitelty vastuiden arviointia. Esimerkkinä voidaan mainita, minkälainen vastuu esim. teleyritykselle syntyy, jos se käyttää oikeutta estää viestintää epäilemässään rikoslain 37:11 :n tapauksessa, ja myöhemmin ilmeneekin, että kyse ei ollutkaan RL 37:11 :n tapauksesta. Finnet katsoo, että vastuukysymykset olisi syytä selvittää esityksen perusteluissa. Finnet edellyttää lisäksi, että perusteluihin lisätään maininta siitä, että teleyrityksellä tulee olla ainoastaan oikeus ko. toimenpiteisiin ryhtymiseksi, mutta ei velvollisuutta. Phishingin osalta huomautamme, että se sisältyy jo Viestintäviraston laatimaan tietoturvauhkien kuvaukseen, joten kyseistä asiaa koskevat lisäykset lakiin ovat turhia. Finnet kannattaa lähdesuojaa koskevan momentin lisäämistä säännökseen. Laskun yhteyskohtainen erittely (24 ) Finnet yhtyy näkemykseen, että mitä enemmän matkapuhelimella voi käyttää ja maksaa erilaisia palveluita, sitä tärkeämpää on selkeän laskun saaminen. Finnet vastustaa kuitenkin laskun yhteyskohtaisen erittelyn maksuttomuutta. Katsomme, että teleyritysten nykyinen käytäntö, jonka mukaan yhteyskohtaisen erittelyn maksu palautetaan, jos laskutus osoittautuu virheelliseksi, on riittävä ja oikeasuhtainen toimenpide. Huomautamme, että yhteyskohtaisen laskuerittelyn maksajana on viime kädessä kuitenkin asiakas. Finnet kannattaa sitä, että yhteyskohtainen erittely tulee antaa vain pyynnöstä ja jälkikäteen, kuten nykyään. Laskutuksen kehittämistä on käsitelty teleyritysten, sisältöpalveluntarjoajien ja viranomaisten keskinäisessä projektissa, jonka tuloksena syntyi ehdotus matkaviestinliittymän laskun selkeyttämisestä ja yhteyskohtaisen erittelyn tarkentamisesta. Ratkaisuehdotus sisältää sen, että asiakkaan tulisi saada tietää matkapuhelimen viesti- tai Wap -toiminnon kautta ostamansa sisältöpalvelun tarjoajan yhteystieto eli se numero tai osoite, josta hän on palvelun tilannut. Tämä ratkaisumalli vastaa kaikkien asiakkaiden tarpeita, edesauttaa laskutuksen oikeellisuuden tarkastamista, lisää laskun informatiivisuutta sekä vastaa viranomaisvaatimuksiin; paremmin kuin palveluluokkien tai palveluiden eritteleminen. Palveluluokkien luominen olisi 19

20 käytännössä sekä teknisesti että taloudellisesti erittäin haastavaa. Lisäksi palveluluokkien luominen ei välttämättä edesauttaisi laskun oikeellisuuden selvittämistä, vaan voisi päinvastoin heikentää laskun luotettavuutta. Ehdotetun säännöksen mukaan palvelut pitäisi esittää laskuerittelyllä palveluittain. Säännösehdotus ei siten tue saavutettua ratkaisumallia. Yksityiskohtaisissa perusteluissa matkapuhelin rinnastetaan samankaltaiseksi maksuvälineeksi kuin luottokortti. Finnet huomauttaa, että erittelyn antaminen palveluittain on kuitenkin yksityiskohtaisempi toteutustapa kuin ns. luottokorttilaskutus. Luottokortin laskulla näkyy vain se oikeushenkilö, jolta ostoksia on tehty, ei tarkempaa selvitystä hankitusta palvelusta. Näin ollen Finnet edellyttää, että säännöksen sanamuodon lisäksi sen perusteluista tulee poistaa maininnat erittelyn yksilöimisestä palveluittain. Perusteluissa kerrottaisiin siten, että erittelyssä tulisi olla tieto siitä, minkä osoitteen tai puhelinnumeron kautta palvelu on välitetty, palvelun hankkimisen ajankohta ja palvelusta aiheutunut kustannus. Palvelua ei siis tulisi eritellä yksityiskohtaisemmin; ei palveluittain eikä nykyisen lain mukaisesti palvelutyypeittäin. Jotta em. sisältöpalvelujen erittely voitaisiin liittää työryhmän ratkaisuehdotuksen mukaisesti asiakkaalle lähetettävään laskuun, tulisi säännöksen 4 momentista poistaa maininta tilaajasta ja käyttäjästä. Teleyritysten käytäntönä nimittäin on, että tilaajan ja käyttäjän lisäksi liittymällä voi olla maksajaksi ilmoitettu taho. Ehdotetussa muodossa säännös asettaisi maksajaksi ilmoitetun tahon huonompaan asemaan laskun oikeellisuuden tarkastamisessa kuin käyttäjän tai tilaajan. Koska ko. sisältöpalveluissa ei ole kyse viestinnästä, kuten yksityiskohtaisissa perusteluissakin todetaan, ei viestinnän luottamuksellisuus vaarantuisi. Johtopäätöksenä Finnet esittää, että 24.4 :n tulisi kuulua: Sen estämättä, mitä 2 ja 3 momentissa säädetään, teleyrityksen on annettava täydellinen erittely matkaviestinliittymällä otetuista sellaisista yhteyksistä, joista aiheutuu muita kuin viestintäpalvelun käytöstä johtuvia maksuja, pois lukien puhepalveluna toimitettavat sisältöpalvelut. Näin muotoiltuna kyse on nimenomaan palveluiden ja tavaroiden maksamisesta matkapuhelinta maksuvälineenä käyttäen. Säännöksen ulkopuolelle tulee siis rajata puhepalveluna toimitettavat sisältöpalvelut (esim. aikuisviihdepuhelut), jotta luottamuksellisen viestinnän suojaa ei loukattaisi. Mikäli laki jäisi ehdotettuun muotoonsa, huomautamme, että laskutusjärjestelmiin mahdollisesti tehtävien muutosten tulee olla pitkäjänteisiä ja järkevässä suhteessa saataviin hyötyihin. Lisäksi laskun yhteyskohtaisen erittelyn kehittäminen ja aikataulutus tulee tehdä teleyritysten ja sisältöpalveluntarjoajien kanssa yhdessä. Kyse on koko sisältöpalvelutuotannon läpileikkaavasta asiasta, jota ei voida viedä läpi järjestäytyneesti ilman koordinoituja yhteisiä muutoksia. Muutoin riskinä on, että laskutusta tulee entistä epäselvempi. Laskun yksityiskohtaisen erittelyn tarkoitushan on laskun oikeellisuuden tarkistaminen. Korostamme sitä, että yksityiskohtaisissa perusteluissa mainitun laskun lähettämisen sekä tilaajalle että käyttäjälle ei tule olla pakollista, vaan yksi teleyrityksen kilpailukeinoista. Kokemuksemme mukaan liittymän käyttäjä ei pääsääntöisesti halua omaa laskua; useimmat käyttäjät ovat joko yrityksen työntekijöitä tai alaikäisiä lapsia. Lisäksi kahden laskun lähettäminen vaatisi isoja muutoksia laskutusjärjestelmään ja tarkoittaisi korkeita kustannuksia. Lakiesityksen kohdassa 2.3 (Nykytilan arviointi) on esitetty, että kuluttajilta on peritty täydellisten laskuerittelyjen toimittamisesta laskun loppusummaan nähden kohtuuttomia maksuja. Esitetty antaa yksipuolisen ja osin virheellisen kuvan yhteyskohtaisesta erittelystä, sillä erittelyn toteuttamisesta aiheutuu teleyritykselle laskun loppusummasta riippumattomat kustannukset, jotka on voitava kattaa palvelua käyttävältä asiakkaalta. Näin ollen pyydämme poistamaan kyseisen perustelun. Huomautamme lisäksi sekä yleis- että yksityiskohtaisiin perusteluihin liittyen, että laskuerittelyä käytetään vakiintuneesti kuvaamaan viestintämarkkinalain 80 :n mukaista telelaskun erittelyä; sähköisen viestinnän tietosuojalaissa taas säädetään laskun yhteyskohtaisesta erittelystä. Tietosuojavaltuutetun tehtävät (32 ) 20