Vahva sähköinen tunnistaminen ja sähköinen allekirjoitus

Transkriptio

1 Helsinki Liikenne- ja viestintäministeriö Kirsi Miettinen Viite: Lausuntopyyntönne 1862/30/2008 Vahva sähköinen tunnistaminen ja sähköinen allekirjoitus Viestinnän Keskusliitto esittää lausuntonaan vahvaa sähköistä tunnistamista ja sähköistä allekirjoitusta koskevasta hallituksen esityksestä seuraavaa. Pääviestit 1. Viestinnän Keskusliitto pitää myönteisenä lakiesityksen tavoitetta edistää sähköistä liiketoimintaa myös avaamalla vahvan sähköisen tunnistamisen palvelut uusille palveluntarjoajille. Liitto kannattaa tältä osin sääntelyn uudistamista. 2. Yrityksillä tulee kuitenkin olla vapaus valita, mitä tunnistusmenetelmää käyttää. Sääntelyllä ei tule pakottaa tai ohjata oikeustoimia erityisesti vahvan tunnistamisen menetelmän piiriin. Myöskään heikkoa tunnistusta tai muita tunnistusmenetelmiä ei tule rajoittaa lainsäädännöllisin keinoin. 3. Uuden vahvan sähköisen tunnistuspalvelun kehittämis- ja käyttöönottovaiheessa haasteeksi voivat muodostua kustannusten siirtyminen kuluttajahintoihin ja kuluttajien luottamuksen saaminen uusiin menetelmiin. Valvontamaksujen ja muiden tunnistusmenetelmiin liittyvien maksusuoritteiden tulisi olla lisäksi riittävän alhaisia ja valvonnan yksinkertaista, jotteivät ne muiden kustannustekijöiden ohella heikennä aitojen palvelumarkkinoiden syntymistä. 4. Kuluttajien ja palveluntarjoajien luottamuksen syntyminen uusiin vahvan tunnistamisen muotoihin saattaa kaivata tuekseen valtiovallan tukea ja tiedonvälitystä. Sähköinen tunnistus edistämään sähköistä liiketoimintaa Liikenne- ja viestintäministeriö on valmistellut esityksen vahvaa sähköistä tunnistamista ja sähköistä allekirjoitusta koskevaksi laiksi. Esitys on osa hallituskauden tietoyhteiskuntahankkeita. Valtioneuvoston periaatepäätös kansallisen tietoyhteiskuntapolitiikan tavoitteiksi vuosille asettaa yhdeksi painopisteekseen sähköisen tunnistamisen ja sähköisen liiketoiminnan edistämisen. Tavoitteiden käytännön toteutusta valvoo Arjen tietoyhteiskunnan neuvottelukunta ( Sähköisten palveluiden käyttö ja sähköisen liiketoiminnan kehittyminen edellyttävät esityksen mukaan luotettavia, turvallisia ja käyttäjäystävällisiä sähköisen tunnistamisen menetelmiä. Sähköisiä palveluita käytettäessä asiakas tulee tunnistaa luotettavasti ja varmasti. Toisaalta

2 2 asiakkaan tulee voida luottaa siihen, että palvelun hankinta tai sen maksaminen tapahtuu ehdottoman luotettavasti ja asiakkaan henkilötietojen vaarantumatta. Nettiympäristössä asiakkaan fyysistä henkilötunnistamista pyrkii vastaamaan sähköinen tunnistusmenetelmä. Vahva sähköinen tunnistaminen Sähköinen tunnistaminen voi olla sekä heikkoa että vahvaa. Heikossa tunnistamisessa henkilö voi luoda itselleen useita sähköisiä identiteettejä (ID). Niiden helppo vaihdettavuus sekä henkilötunnistamisen virhemahdollisuudet eivät kaikissa palveluissa tarjoa riittävää luotettavuutta asiakkaan ja palveluntarjoajan välisessä suhteessa. Esimerkiksi nettiyhteyttä käyttävissä maksupalveluissa luotettava henkilötunnistaminen on välttämätön edellytys. Vahvalle tunnistamiselle on ominaista, että tunnistaminen voidaan aina yhdistää henkilön todelliseen henkilöllisyyteen. Esimerkiksi pankkien asiakassuhteissaan käyttämässä TUPASjärjestelmässä asiakkaan pankilta saama asiakaskohtainen käyttäjätunnus sekä kirjautusmis- ja salasanalistat ja asiakkaan fyysinen ensitunnistaminen varmistavat sen, että maksupalvelu ja tiliasiointi pankin nettiyhteydessä on turvallista. Järjestelmä on otettu käyttöön myös muiden palveluntarjoajien nettipalvelujen maksuvälineenä. Palveluntarjoaja saa sopimusteitse ja maksua vastaan käyttöönsä yhteyden pankin TUPAS-varmennettuun maksujärjestelmään, jota käyttäen maksutapahtuman luotettavuus voidaan turvata niin palveluntarjoajan kuin asiakkaankin näkökulmasta. Suomessa vahvan tunnistuksen menetelmänä käytössä ovat ainoastaan pankkien TUPASjärjestelmä ja Väestörekisterikeskuksen sähköinen henkilökortti kansalaisvarmenteineen (mm.pki). Väestörekisterikeskuksen järjestelmä on ns. sähköisen allekirjoituksen järjestelmä. Sääntely perustuu EU:n sähköisiä allekirjoituksia koskevaan direktiiviin. Menetelmä on jonkin verran raskas ja monimutkainen, eikä sen julkishallintoa laajempi käyttöön otto ole onnistunut. Lakiesityksen mukaan vahvaa sähköistä tunnistamista edellyttävä sähköinen oikeustoimi on mahdollinen sähköisen allekirjoituksen lisäksi myös sähköisen vahvan tunnistamisen avulla. Vahva tunnistaminen on toteutettavissa sopimusteitse. Rakenteeltaan hieman monimutkaisempaa sähköistä allekirjoitusta tarvittaisiin esityksen mukaan ehdottomasti vain silloin, kun lainsäädännössä asetetaan oikeustoimelle muotovaatimuksia. Esityksen mukaan hyvin harvaa oikeustointa koskee Suomessa erityinen muotovaatimus. Tämän vuoksi vahva tunnistaminen tarjoaisi useimpiin oikeustoimiin riittävän tunnistusmenetelmän. Tämä ei poissulje sitä, että joissakin tapauksissa myös muu tunnistusmenetelmä on mahdollinen. Uusien palvelumarkkinoiden syntymistä vauhditetaan Suomessa ei ole voimassa lakia sähköisestä tunnistamisesta. Uudella lainsäädännöllä luotaisiin Suomessa perussäännöt ja puitteet sille, että vahvan tunnistamisen menetelmiä syntyisi ja niiden myötä voitaisiin vauhdittaa toimivien sähköisten palvelumarkkinoiden kehitystä. Tavoitteena on, että kuluttaja pystyy ostamaan sähköisiä palveluita eri palveluntarjoajilta yhtä itselleen sopivinta ja luotettavaa menetelmää käyttämällä. Käytössä voi olla useampia rinnakkaisia ja valinnaisia menetelmiä. Lailla varmistettaisiin myös palveluntarjoajien viranomaisvalvonta sekä palvelujen luotettavuus ja turvallisuus. Valvontaviranomaisena toimisi Viestintävirasto. Suomeen sijoittautuvat

3 3 ulkomaiset tunnistamispalvelun tarjoajat tekisivät toiminnastaan ilmoituksen Viestintävirastolle. Lakiesitykseen sisältyy lisäksi kuluttajansuojatavoitteita. Lailla on esityksen mukaan tarkoitus mahdollistaa kokonaan uudenlaisten palvelumarkkinoiden syntyminen Suomessa. Laki on ensimmäisiä luonteeltaan niin EU:ssa kuin kansainvälisestikin. Lain on tarkoitus tulla voimaan Sen kolmanteen lukuun sisällytettäisiin nykyisin sähköisistä allekirjoituksista annettuun lakiin sisältyvät säännökset sähköisestä allekirjoituksesta. Lain myötä nykyinen laki sähköisistä allekirjoituksista (14/2003) kumottaisiin. Uuden lain myötä sähköiseen tunnistamiseen liittyviä laatuvarmennepalveluita ei pidettäisi enää julkisen vallan käyttönä. Laatuvarmenteita tarjoavat jo nyt Väestörekisterikeskuksen ohella mm. useat eri tietoturvayritykset Suomessa. Ehdotuksen arviointia Viestintäalalla liiketoimintaa kehitetään enenevässä määrin verkkoympäristöön. Sähköisissä palveluissa asiakastunnistuksella on merkitystä lähes kaikkien palvelujen osalta, ilmaisia verkkolehtiä kenties lukuun ottamatta. Maksullisten palvelujen osalta henkilötunnistaminen on perusedellytys. Maksupalvelujen ohella erilaiset asiakkuuteen liittyvät palvelut tarvitsevat asiakastunnistusta. Vahva sähköinen tunnistaminen muidenkin kuin maksupalvelujen osalta tarjoaa uusia mahdollisuuksia. Esimerkkinä voidaan ottaa verkkolehtien keskustelupalstat. Keskustelupalstoilla vahva sähköinen tunnistaminen voisi korvata nykyiset raskaat rekisteröintimenettelyt ja tarjota toimivan vaihtoehdon keskustelupalstojen kävijöiden tunnistamismenettelyssä, silloin kun julkaisija haluaa korostaa lähteen tunnistamista tai luotettavuutta. Vahva tunnistaminen voi helpottaa myös sisältövastuun kohdentamisessa. Alaikäisille suunnattujen verkkolehtien ja sivustojen käytössä vahvalla tunnistamisella voitaisiin saada myös lisättyä alaikäisten suojelua ja tietoturvallisuutta. Monipuolisten, interaktiivisten sisältöpalvelujen toteuttamista kuluttajille voitaisiin edistää verkkoympäristössä myös sillä, että kävijöiden tuottaman sisällön tekijänoikeuksia voitaisiin vahvan tunnistamismenettelyn tukemana siirtää tehokkaasti ja luotettavasti palvelun sisällöstä vastaavalle taholle, kuten julkaisijalle. Esitetyllä sääntelyllä on siten laajaa vaikutusta kannattavan, osapuolten välistä luottamusta hyödyntävän verkkoliiketoiminnan ja viestinnän kehittämisessä. Tämä edellyttää kuitenkin sitä, että valinnainen vahva sähköinen tunnistaminen voidaan järjestää palvelumarkkinoilla aidosti helpoksi, kustannuksiltaan edulliseksi ja yksityisille henkilöille turvalliseksi palveluksi. Nykyisin käytössä olevilla sähköisen tunnistuksen välineillä ei vielä kateta kaikkia edellä mainittuja tarpeita. TUPAS-menetelmä soveltuu parhaiten maksupalveluihin. Toisaalta esimerkiksi alaikäiselle ei tämänkään järjestelmän hyödyntäminen välttämättä ole mahdollista. Väestörekisterikeskuksen varmentama sähköinen henkilökortti ei vieläkään ole kovin laajasti käytettävissä, yksityisissä verkkopalveluissa ei lainkaan. Tämän vuoksi uusille markkinaehtoisille sähköisille tunnistusmenetelmille on tarvetta.

4 4 Viestinnän Keskusliitto pitää siksi myönteisenä lakiesityksen tavoitetta edistää sähköistä liiketoimintaa luomalla puitteet ja avaamalla mahdollisuudet vahvan sähköisen tunnistamisen palvelujen tuottamiselle. Markkinoiden syntyminen luo myös kilpailua, joka sinällään on tervetullutta. Myös uudenlaiset välineet, kuten mobiilimaksaminen ja muut mobiilipalvelut, saattavat vauhdittua lakiesityksen myötä. Lakiesityksessä korostetaan käyttäjälähtöisyyttä uusien tunnistamispalvelujen tarjonnassa. Käyttäjän tulisi voida valita itselleen sopivin vahvan tunnisteen väline. Samaa välinettä tulisi myös voida käyttää mahdollisimman monessa tunnistamista edellyttävässä palvelussa. Viestinnän Keskusliitto pitää käyttäjälähtöisyyden huomioimista tärkeänä. Tällä on kuitenkin joitakin seurannaisvaikutuksia. Uusien tunnistusvälineiden kehittämis- ja käyttöönottovaiheessa haasteeksi voi muodostua kustannusten siirtyminen suoraan kuluttajahintoihin. Toisaalta liiketoiminnassa tunnistamisjärjestelmien lisääntyminen johtaa myös lisääntyneisiin vaatimuksiin eri tunnistusjärjestelmien tukemisessa. Tämä aiheuttaa liiketoiminnalle lisäkustannuksia, ellei vapaa kilpailu alenna hintaa siten, että se kompensoisi järjestelmävaatimuksista aiheutuvia lisäkustannuksia. Kuluttajahintojen nousu ja lisääntyneet järjestelmien ylläpitokulut saattavat heikentää aitojen palvelumarkkinoiden syntymistä. Viestinnän Keskusliitto kiinnittää huomiota siihen, että verkkoympäristössä toimivilla yrityksillä tai muilla toiminnanharjoittajilla tulisi voida olla vapaus valita, mitä sähköistä tunnistusmenetelmää käyttää. Edelleen yrityksen tulisi voida valita, mitä vahvaa sähköisen tunnistamisen välinettä yritys käyttää verkkopalveluissaan silloin kun vahva tunnistaminen on soveliain menettely. Lakiesityksessä todetaan aivan oikein, ettei palveluntarjoajia tulisi pakottaa hyväksymään jotakin sähköisen tunnistamisen välinettä tai vahvan sähköisen tunnistamisen palvelun tarjoajaa. Tältä osin tullevat kuitenkin huomioitaviksi kuluttajien yhdenvertaista kohtelua, palvelujen läpinäkyvyyttä (EU:n telesääntelyvelvoitteet) ja mm. kilpailua koskevat vaatimukset. Liitto toivookin, että edellä esitetty otettaisiin huomioon myös Arjen tietoyhteiskunnan sähköisen tunnistamisen kehittämisryhmän jatkotyössä. Lakiesityksessä todetaan, että palveluissa, jotka eivät itsessään edellytä vahvaa tunnistamista, tulisi pyrkiä siihen, että käyttäjät voivat valita itselleen tutun ja helpon vahvan tunnistamisen menetelmän. Liitto viittaa edellä esittämäänsä ja katsoo, että jo elinkeinonharjoittamisen vapaudesta ja kustannussyistä johtuen yritysten tulee voida vapaasti valita pitäytyäkö heikossa tunnistamisessa vai ottaako käyttöön myös vahvan tunnistamisen menetelmä eri palveluissaan. Elleivät erityiset tietoturvasyyt sitä puolla, heikkoa tunnistusta ei tulisi rajoittaa, etenkään lainsäädännöllisin keinoin. Myös muiden tunnistusmenetelmien käyttäminen ja kehittäminen tulee olla mahdollista rajoituksitta. Vapaus valita eri tunnistusmuotojen välillä on tärkeää myös siksi, että muu saattaa johtaa kotimaisten verkkotoimijoiden epäedullisempaan asemaan verkkoympäristössä suhteessa ulkomaisiin kilpailijoihin. Viestinnän Keskusliitto kiinnittää vielä huomiota lakiesityksessä kaavailtuun sähköisten tunnistamispalvelujen sekä mahdolliseen palveluntarjoajien valvontaan. Valvontaviranomaiseksi on esitetty keskitetysti Viestintävirastoa. Palvelumarkkinoiden synnyn edistämiseksi on syytä kiinnittää jatkovalmisteluissa huomiota siihen, ettei vireillä olevasta muusta lainsäädännöstä tosiasiallisesti seuraa usean viranomaisen toteuttamaa tai päällekkäistä valvontamenettelyä. Valvontamaksujen ja muiden tunnistusmenetelmiin liittyvien maksusuoritteiden tulisi pysyä riittävän alhaisina ja valvonnan yksinkertaisena, jotteivät ne

5 5 muiden kustannustekijöiden ohella heikennä tosiasiallisesti aitojen palvelumarkkinoiden syntymistä. Lopuksi Liitto kiinnittää huomiota siihen, että kuluttajien luottamuksen syntyminen uusiin vahvan tunnistamisen muotoihin taikka heikosta tunnistamisesta vahvaan tunnistamiseen siirtyminen saattaa kaivata tuekseen valtiovallan tukea ja tiedonvälitystä. Viestinnän Keskusliitto ry Håkan Gabrielsson Toimitusjohtaja Viestinnän Keskusliitto on joukkoviestintäalan ja graafisen teollisuuden kattojärjestö, joka edistää toimialan yleisiä toimintaedellytyksiä tavoitteenaan turvata monipuoliset viestintäpalvelut suomalaisille. Viestinnän Keskusliitto edustaa noin 800 yritystä ja yhteisöä, jotka työllistävät noin henkilöä. Edustettujen yritysten osuus joukkoviestintämarkkinoista on noin 80 %. Keskusliiton jäseniä ovat Aikakauslehtien Liitto, Graafinen Teollisuus, Sanomalehtien Liitto, Suomen Kustannusyhdistys, Suomen Radioiden Liitto ja Suomen Televisioiden Liitto. Lisätietoja lausuntoon liittyen antavat tarvittaessa: Håkan Gabrielsson Satu Kangas Toimitusjohtaja Johtaja, lakiasiat ja viestintäpolitiikka Puhelin Puhelin GSM GSM