Lausunto liikenne- ja viestintäministeriölle Dnro 2006/71/2479 8.5.2006 LUONNOS HALLITUKSEN ESITYKSEKSI SÄHKÖISEN VIESTINNÄN TIETOSUOJALAIN MUUTTAMISESTA Olette pyytäneet lausuntoa luonnoksesta hallituksen esitykseksi sähköisen viestinnän tietosuojalain muuttamisesta. Kuluttajavirasto esittää lausuntonaan kunnioittavasti seuraavaa. 1. Laskun yhteyskohtainen erittely 1.1 Ehdotettujen muutosten välttämättömyys Ehdotuksella lisättäisiin 24 :ään laskunerittelyä koskeva säännös, jonka mukaan teleyrityksen tulisi antaa käyttäjälle yhteyksien täydellinen erittely maksutta. Tämän lisäksi teleyrityksen tulisi antaa muista kuin viestintäpalvelun käytöstä aiheutuvista maksuista laskun erittely tilaajalle tai käyttäjälle täydellisesti eriteltynä palveluittain. Muita kuin viestintäpalvelun käytöstä johtuvia maksuja ovat esitöiden mukaan esimerkiksi erilaisten soittoäänien ja logojen tilaamisesta aiheutuvat maksut. Samoin näitä ovat esimerkiksi matkapuhelimella tilattujen matkalippujen maksut tai juoma-automaatista juoman tilaamisesta aiheutuneet maksut. Kuluttajavirasto pitää kannatettavana ehdotettuja laskuerittelyä koskevia muutoksia. Kyse on niiden periaatteiden vahvistamisesta, joita Kuluttajavirasto on jo pitkään edellyttänyt alalta nyt jo voimassa olevien lainsäännösten sekä yleisten sopimus- ja kuluttajaoikeudellisten perusperiaatteiden nojalla. Nyt ehdotetuilla säännöksillä turvataan kuluttajien oikeus maksuttomaan täydellisesti eriteltyyn laskutukseen. 1.2 Nykyinen oikeustila Matkapuhelin maksuvälineenä eroaa tällä hetkellä täysin muista maksutavoista maksajan puutteellisen oikeussuojan takia. Yksi kuluttajansuojan vakiintuneista perusperiaatteista on, että kuluttaja voi varmistua laskutuksensa oikeellisuudesta. Käyttäessään maksamiseen matkapuhelinta kuluttaja ei tällä hetkellä voi kuitenkaan tarkistaa laskunsa virheettömyyttä. Kuluttaja saa maksusta yhteyskohtaisen erittelyn, mutta silloinkaan hän ei yleensä saa tietää miltä palveluntarjoajalta ostetusta palvelusta on kysymys eikä sitä, minkälainen palvelu on kyseessä. Numerosta voi myös olla peitettynä kolme viimeistä numeroa. Erittelystä pyydetyt maksut ovat lisäksi laskun loppusummaan nähden kohtuuttomia. Tilanne eroaa siten täydellisesti perinteisestä etämyynnistä. Esimerkiksi postimyynnissä kuluttaja saa maksutta selkeän tiedon siitä, kuka häntä laskuttaa ja mistä tuotteesta hän maksaa. Jo tällä hetkellä sähköisen viestinnän tietosuojalain 24 :n 4 momentissa säädetään, että teleyrityksen on annettava tilaajalle erittely palvelutyypeittäin sellaisista yhteyksistä, joista aiheutuu tilaajalle muita kuin viestintäpalvelun käytöstä johtuvia maksuja. Esitöiden mukaan tällaisia palvelutyyppejä voisivat olla esimerkiksi paikannuspalvelut, elokuvaliput ja cd-levyt. Ostetuista matkoista voisi saada palvelutyyppikohtaisen erittelyn esimerkiksi junalipuista, raitiovaunulipuista ja linja-autolipuista (HE 125/2003). Tästä säännöksestä huolimatta kuluttajalle ei tällä hetkellä eritellä puhelinlaskussa em. säännöksessä vaaditulla tavalla yhteyksiä palvelutyypeittään. Syynä tähän ala on vedonnut mm. teknisiin vaikeuksiin. Kuluttajavirasto on jo pitkään mm. tietoyhteiskunnan palveluihin liittyvissä lausunnoissaan tuonut esille nimenomaan sitä tärkeää peruslähtökohtaa, että tietoyhteiskuntaa kehitettäessä ja uusia sähköisiä palveluita luotaessa olisi kiinnitettävä huomiota siihen, että jo palveluiden luomisvaiheessa varmistettaisiin lainsäädännön asettamien vaatimusten huomioon ottaminen. Teknisiin järjestelmiin vedoten ei voida sivuuttaa lainsäännöksiä eikä esimerkiksi yleisiä vakiintuneita sopimusoikeudellisia periaatteita.
2 Tässä yhteydessä voidaan tarkastella myös taustalla olevaa matkapuhelinliittymäsopimuksen ehtoa siitä, että operaattori voi laskuttaa kauttaan myös maksut matkapuhelimella tehdyistä ostotapahtumista. Ehto, jonka mukaan kaikki ostotapahtumat voitaisiin laskuttaa kuluttajalta ilman, että kuluttaja voisi selvittää laskutuksen oikeellisuuden, on kuluttajan kannalta kohtuuton. Sopijakumppanin, tässä tapauksessa operaattorin, velvollisuutena on säilyttää tiedot laskutuksen perusteista ja myös toisella sopijakumppanilla eli kuluttajalla tulee olla oikeus saada tietoonsa nämä perusteet. Yleinen oikeusperiaate kuitenkin on, että velkojan joka velkoo velkaansa, pitää esittää selvitys velkansa perusteesta. Lisäksi velallisen on aina pystyttävä reklamoidakseen velasta saada tietääkseen vähintään se, mihin yksilöityyn oikeustoimeen velka perustuu. Velallinen ei voi myöskään missään tilanteessa joutua maksamaan sen selvittämisestä, että hän pystyisi esittämään reklamaation velkojan väitettä vastaan. 1.3 Erittelyn maksuttomuus Kuluttajaviraston mielestä muista viestintäpalveluista annettavan erittelyn maksuttomuus tulisi käydä selvemmin ilmi laista tai ainakin sen perusteluista. Perusteluista jää epäselvä kuva siitä, täytyykö muista kuin viestintäpalvelun käytöstä aiheutuvista maksuista antaa laskun erittely maksutta. Tätä tarkoittanee kuitenkin perusteluihin kirjattu viittaus viestintämarkkinalain 80 :n 2 momenttiin, jonka mukaan teleyrityksen on laskun suuruudesta riippumatta ilman pyyntöä ja maksutta eriteltävä laskussa muista palveluista kuin viestintäpalveluista aiheutuneet maksut. Koska käytännössä on ollut epäselvyyttä jo voimassa olevien lainsäännösten tulkinnasta, Kuluttajavirasto pitää tärkeänä, että maksuttomuus todetaan selvästi laissa tai sen perusteluissa. (VML:sssa tarkoitettu maksuton erittely toteutetaan em. tavoin käytännössä tällä hetkellä siten, että laskussa olevasta erittelystä ei selviä maksajan kannalta tarpeellisia tietoja. Laskussa näkyvät pahimmillaan vain pari ensimmäistä numeroa lyhytnumerosta ja ostokset on esitetty yhteissummana). Kuten ehdotuksessa nyt todetaan, maksuttomuudella parannettaisiin kuluttajan mahdollisuutta valvoa maksujen kertymistä laskussaan. Kuluttajavirasto pitää hyvänä myös sitä, että perusteluihin on tuotu tärkeä viittaus EY:n tuomioistuimen ratkaisukäytäntöön, jonka mukaan käyttäjien saatavilla on oltava lisämaksutta määrättyä perustasoa vastaava eritelty laskutus, jotta he voisivat tarkistaa ja valvoa tehokkaasti kulujaan. EY:n tuomioistuin katsoi tuomiossaan nimenomaisesti, ettei kulutyypittäinen lasku ole tähän perustasoon nähden riittävä. 1.4. Ehdotuksen tarpeellisuus tietoyhteiskuntakehityksen kannalta Kuten esitysluonnoksessakin todetaan, laskun tarkastamismahdollisuuden turvaamisella mahdollistettaisiin samalla entistä paremmin myös muiden palvelujen ja tuotteiden maksaminen matkapuhelinliittymällä. Kestävän tietoyhteiskunnan rakentumista ja kuluttajien luottamusta edistää nimenomaisesti kuluttajan aseman huomioon ottaminen jo uusia palveluja ja niiden jakelukanavia suunniteltaessa. Myös liikenne- ja viestintäministeri Susanna Huovinen on korostanut linjauksissaan, että eurooppalaisen viestintälainsäädännön tulee vahvistaa käyttäjien luottamusta uuteen tietoyhteiskuntaan ja nosti esille kuluttajan oikeudet yhtenä tulevaisuuden viestintälainsäädännössä nykyistä ratkaisevasti tärkeämpinä kysymyksinä. Kuluttajien on voitava varmistua laskun oikeellisuudesta tarkistamalla soitettujen puheluiden ja lähetettyjen tekstiviestien lisäksi myös ostotapahtumiensa virheettömyys. Kuten esitysluonnoksessa on todettu, sekä kuluttajien oikeuksien parantamiseksi että palvelujen kehittymisen kannalta on tärkeää varmistaa, että silloin, kun kyse on palvelujen ja tavaroiden maksamisesta matkapuhelinta maksuvälineenä käyttäen (eikä perinteisestä viestinnästä), kuluttaja saa tiedon ostotapahtumista täydellisesti sekä ilman kustannuksia. 1.5 Täydellisen erittelyn sisältö Täydellisellä erittelyllä tarkoitetaan ehdotuksen mukaan erittelyä, jossa on näkyvissä laskutuksen kannalta välttämättömät tiedot, kuten esimerkiksi se, mistä osoitteesta taikka puhelinnumerosta palvelu on tilattu, ostettu palvelu ja ajankohta, jolloin palvelua on käytetty sekä palvelusta aiheutunut kustannus. Kun erittely annettaisiin palveluittain, käyttäjä tai tilaaja saisi suoraan tiedon kustakin käytetystä palvelusta. Voimassa olevan säännöksen mukainen palvelutyyppikohtainen erittely ei anna tarkkaa tietoa siitä, mitä palvelua milloinkin on käytetty ja paljonko yksittäinen ostos on maksanut.
3 Esityksen sanoin täydellisellä erittelyllä tarkoitetaan laskutuksen kannalta välttämättömiä tietoja eli niitä yksilöityjä tietoja, joiden perusteella kuluttajaa voidaan ylipäätänsä laskuttaa. Nämä välttämättömät tiedot on kuitenkin esityksessä kuvattu esimerkinomaisesti. Olisi varmistettava, ettei tämä esimerkkiluonteinen perustelu aiheuta epätietoisuutta käytännössä. Kuluttajan kannalta on olennaista, että erittely sisältää hänelle riittävät tiedot, joiden avulla hän pystyy tarkistamaan laskutuksen oikeellisuuden. Pelkkä puhelinnumero ei riitä, koska vain sen sisältämä erittely edellyttää kuluttajalta liian paljon omia toimia laskutuksensa selvittämiseksi. Olennaista on esityksessä mainituin tavoin tieto siitä, mistä palvelusta on kysymys sekä myös ajankohta, milloin palvelu on ostettu. Kertynyt kustannus tulee luonnollisesti myös olla nähtävillä. Vaikka puhelinnumero ei yksin riitä, se on kuitenkin tärkeä palveluntarjoajan selvittämiseksi. Koska operaattorit toimivat palveluiden laskuttajina, heidän tulee antaa palveluntarjoajan yhteystiedot kuluttajille vaivatta kuluttajan kertoman numeron perusteella. Kuluttajavirasto pitää kannatettavana, että perusteluihin lisättäisiin myös maininta palvelun tarjoajan nimestä. Vaikka palveluntarjoajan toiminnassaan käyttämä nimi eroaisi paljon laskulla näkyvästä palvelun tarjoajan virallisesta nimestä, se olisi kuluttajan kannalta hyödyllinen ja nopeuttava lisätieto monessa tilanteessa. Perusteluissa todetaan, että matkapuhelimella suoritettavat tavaroiden ja palveluiden maksut ovat nykypäivää ja kyseessä on samankaltainen maksuväline kuin luottokortti. Tämän jälkeen todetaan, että toistaiseksi matkapuhelinta ei tosin vielä voi yhtä laajasti käyttää maksamisen välineenä. Kuluttajavirasto pitää erittäin tärkeänä sitä, että perusteluissa viitataan matkapuhelimeen samanlaisena maksuvälineenä kuin mitä luottokortti on. Kuluttajavirasto on jo pitkään tuonut esille tätä matkapuhelimen ominaisuutta ja kiinnittänyt huomiota sen mukanaan tuomiin ongelmiin. Tässä yhteydessä vertaus liittyy pitkälti luottokorttiostoksista saatuun laskuun ja sen sisältämään erittelyyn. Luottokorttilaskusta näkyy pääsääntöisesti ainakin palvelun/tavaran myyjä ja ostoksen hinta. Vaikka luottokorttilaskusta ei useinkaan näy sitä, mitä ostoksia kuluttaja on kortilla tehnyt, tilanne eroaa kuitenkin olennaisesti matkapuhelimella tehdyistä ostoksista. Kuluttaja saa luottokortilla ostaessaan ostoksista kuitin, jonka hän voi säilyttää myöhempää laskun tarkastamista varten. Matkapuhelimella maksaessaan kuluttaja ei saa samanlaista kuittia. Vaikka tilauksesta tulisikin puhelimeen mahdollisesti jonkinlainen kuittaus, tämä kuittaus ei sisällä kuluttajan kannalta tarpeellisia ja välttämättömiä tietoja. Toinen lause matkapuhelimen nykyisestä luonteesta ei ole tarpeellinen. Sen sijaan voisi nimenomaan korostaa tulevaisuuden kehitystä siitä, että matkapuhelin on koko ajan yhä enemmän luottokortin kaltainen. 1.6 Jälkikäteinen pyyntö Perusteluiden mukaan maksuton yhteyskohtainen erittely voitaisiin antaa täydentävänä erittelynä, käyttäjän sitä pyytäessä jälkikäteen. Kuluttajavirasto pitää hyväksyttävänä sitä, että täydellinen yhteyskohtainen erittely voidaan antaa pyynnöstä jälkikäteen. Tällöin vältyttäisiin siltä, että jokaiselle kuluttajalle lähtisi pääsääntöisesti viestintäpalveluista otetuista yhteyksistä mahdollisesti hyvinkin monisivuinen lasku. Ehdottomana edellytyksenä tulisi kuitenkin olla se, että jos kuluttaja haluaa säännöllisesti täydellisen yhteyskohtaisen erittelyn, tämä oikeus turvataan. Kuluttajan kannalta ei ole kohtuullista, että hän joutuisi pyytämään sitä joka kerta erikseen. Tämä asia olisi tärkeää lisätä myös perusteluihin. Muista kuin viestintäpalvelun käytöstä aiheutuvista maksuista laskun erittely tulee kuitenkin viestintämarkkinalain 80 :n 2 momentin perusteella antaa aina ilman pyyntöä. Tämän tulisi käydä selvästi ilmi perusteluissa. 2. Toimenpiteet tietoturvan toteuttamiseksi Ehdotuksen mukaan tietoturvatoimenpiteitä koskevaa 20 :ää selkeytettäisiin ja laajennettaisiin. Ehdotuksen mukaan nykyistä 20 :n 1 momentin mukaista tietoturvaloukkausten torjuntaa tarkennettaisiin ja konkretisoitaisiin. Lain 20 :n 1 momenttia selkeytettäisiin lisäämällä tunnistamistietojen käsittelyoikeus tietoturvallisuudelle haittaa aiheuttavien toimenpiteiden havaitsemiseksi, estämiseksi ja esitutkintaan saattamiseksi. Tämän lisäksi pyrittäisiin viestin vastaanottamisen ja välittämisen kannalta lievempään toimintaan kuin koko viestin välityksen estämiseen, antamalla mahdollisuus myös rajoittaa viestin välittämistä tai vastaanottamista.
4 Kuluttajavirasto pitää kannatettavana ehdotukseen sisältyviä muutoksia, jotka koskevat sallittuja toimenpiteitä tietoturvan toteuttamiseksi. Kuten esityksessäkin on todettu, tietoturva on hyvin nopeasti muuttuva ja kehittyvä alue ja tietoturvaa koskeva sääntely edellyttää siksi jatkuvaa kehitystyötä. Perusteluissa todetaankin onnistuneesti, että tässä vaiheessa on jo tarpeen täydentää voimassa olevaa sääntelyä sen varmistamiseksi, että teleyritykset, lisäarvopalvelun tarjoajat ja yhteisötilaajat pystyvät toteuttamaan kaikki tietoturvasta huolehtimista koskevat toimenpiteet järjestelmissään ja verkoissaan. Tietoturvan turvaamisen perusedellytys on nimenomaisesti nopeasti ja riittävän ajoissa tehdyt oikeat toimenpiteet. On tärkeää, että tietoturvaloukkausten torjuntaa koskevia säännöksiä tarkennetaan ja konkretisoidaan siten, että toimijoilla on selkeät käsitykset siitä, mitä toimia tietoturvan takaamiseksi voidaan tehdä ja että nämä toimet voidaan tehdä tarvittaessa nopeasti. Tämän vuoksi on tärkeää, että toimiin voidaan ryhtyä jo tilanteessa, jossa kyse on haittaa aiheuttavien toimenpiteiden havaitsemisesta. Myös esimerkiksi OECD on hiljattain julkaissut roskapostin torjunnan tehostamista koskevan suosituksen, jonka laadintaan myös Kuluttajavirasto on osallistunut. Tämänkin suosituksen yksi perusviesteistä on nopea toiminta, koska roskaposti muuttuu jatkuvasti yhä haitallisemmaksi niin kuluttajien kuin yritystenkin näkökulmasta. Lain 20 :n 2 momentin ehdotetaan lisättäväksi myös oikeus ryhtyä muun muassa viestin perillemenon estämiseen, jos kyse olisi viestintäpalveluiden kautta laajamittaisesti toteutettavien rikoslain 37 luvun 11 :n mukaisten maksuvälinepetosten valmistelun ehkäisemisestä. Kyse on niin sanotusta phishingistä, jolle ei ole vielä hyvää suomennosta, mutta josta käytetään termiä sivukalastelu tai lyhyemmin kalastelu. Kuluttajavirasto pitää kannatettavana uutta phishingiä koskevaa säännöstä. On tärkeää, että uusiin ilmiöihin puututaan mahdollisimman ripeästi ja näin selvällä säännöksellä. Lisäksi phishingissä on usein kyse toiminnasta, josta voi syntyä kuluttajille suuret taloudelliset vahingot. Nykytilanteessa laki antaa tietyissä tietoturvatilanteissa mahdollisuuden puuttua viestin sisältöön ainoastaan teknisin keinoin viestin tarkastamiseksi tai poistamiseksi. Kuluttajavirasto pitää kannatettavana, että rajaus teknisistä keinoista poistetaan, koska 3 momentissa on lueteltu erityiset edellytykset tarkastamisen ja poistamisen aloittamiselle. Kuluttajavirasto pitää kannatettavana myös näihin edellytyksiin ehdotettuja lisäyksiä (viestiä todennäköisin syin käytettäisiin laajamittaiseen rikoslain 37 luvun 11 :ssä säädettyyn maksuvälinepetoksen valmisteluun tai tämän lain 7 luvun vastaiseen suoramarkkinointiin). Lain 20 :n uudeksi 4 momentiksi ehdotetaan säännöstä, jonka mukaan viestille saisi suorittaa automaattisen sisällöllisen analyysin. Automaattinen sisällöllinen analyysi mahdollistaa esityksen sanoin tietoturvatoimien edellytyksiksi asetettujen todennäköisten syiden toteamisen sellaisten teknisten analyysiohjelmien avulla, joilla automaattisesti arvioidaan esimerkiksi sähköpostiviestin tekstin sisältämien englanninkielisten sanojen ja sanaryhmien avulla, onko kyseessä asiallinen viesti vai roskaposti. Kuten esitysluonnoksessa todetaan, em. muutokset selkeällä tavalla oikeuttaisivat toimiin kalastelun ja roskapostituksen vaikutusten vähentämiseksi. Tämä on tärkeää, koska kyse on laajamittaisista kuluttajien asemaa vaarantavista toimista. On kuitenkin aina korostettava sitä, että kyse on yksilön oikeudesta luottamuksellisen viestin suojaan ja esityksessä todetuin tavoin peruslähtökohtana on aina oltava tietoturvatoimien salliminen vain, jos toimet ovat välttämättömiä verkkopalvelujen tai viestintäpalvelujen taikka viestin vastaanottajan viestintämahdollisuuksien turvaamiseksi. Siten hyvänä tarkentavana lisäyksenä on pidettävä ehdotettua lievemmän puuttumisen periaatteen turvaamista. Jos rajoittaminen riittää toimenpiteeksi, on tärkeää, ettei viestien välittämistä estetä kokonaan. Lopuksi on syytä kuitenkin korostaa kohtuullisen vastuunjaon toteutumista alan yritysten ja kuluttajan välillä tietoturvakysymyksissä. Tietoyhteiskunnan koko ajan kehittyessä hyvin ripeässä tahdissa ja viestintäpalveluihin tyypillisesti liittyessä hyvin vaikeita teknisiä asioita, kuluttajan vastuulle ei voida kaataa kaikkea roskapostiin, phishingiin yms. huijauksiin liittyviä riskejä. Siksi on korostettava myös lain 19 :ää, jossa säädetään teleyrityksen, lisäarvopalvelun tarjoajan ja nyt selvästi myös yhteisötilaajan velvollisuudesta huolehtia tietoturvasta.
5 3. Oikeus tietojen luovuttamiseen / Riittävät valvontakeinot Valvontaviranomaisille ehdotetaan tietoturvaloukkausten ehkäisemiseksi ja selvittämiseksi laajempia tietojenluovutusoikeuksia. Ehdotuksella täsmennettäisiin myös teleyritysten, lisäarvopalvelun tarjoajien ja yhteisötilaajien oikeuksia luovuttaa tunnistamistietoja poliisille. Tavoitteena on varmistaa, että toimijoihin kohdistuvia tietoturvaloukkauksia ja yrityssalaisuuksiin kohdistuvia rikoksia pystyttäisiin selvittämään mahdollisimman tehokkaasti poliisin toimesta. Kuluttajavirasto pitää erittäin tärkeänä myös sen varmistamista, että valvontaviranomaisille taataan mahdollisuus selvittää tietoturvaloukkauksia ja mahdollisia rikoksia tehokkaasti. Hyvilläkään lainsäännöksillä ei ole käytännön merkitystä, jos viranomaisilla ei ole käytössään riittäviä keinoja lainsäädännön vaatimusten edellyttämiseksi. Kuluttajavirasto pitää siten kannatettavana esityksessä valvontaviranomaisille ehdotettuja laajempia tietojenluovutusoikeuksia tietoturvaloukkausten ehkäisemiseksi ja selvittämiseksi. On toivottavaa, että Viestintävirastolle säädetään oikeus myös luovuttaa tietoja jo ennen kuin tietoturvaloukkaus on tapahtunut. Samoin tietojen luovuttaminen Viestintäviraston CERT-iä vastaaville ulkomaisille toimijoille yhteistyön takaamiseksi ja uhkien torjumiseksi olisi välttämätöntä. Kuten esityksessäkin todetaan, Viestintäviraston tietojen luovuttamista koskevien muutosten tarkoituksena on saada aikaan käytännössä toimiva tietoturvallisuusuhkien torjunnan ja selvittämisen mahdollistama toiminta. Myös em. OECD:n suosituksessa kansainvälisen yhteistyön verkostot nähdään olennaisena osana tehokasta torjuntaa. Kuluttajavirasto pitää kannatettavana myös sääntelyn selkiyttämistä teleyrityksen, lisäarvopalvelun tarjoajan ja yhteisötilaajan oikeudesta luovuttaa väärinkäytöstilanteissa ja tietoturvallisuutta uhkaavissa tilanteissa tunnistamistietoja poliisille ja poliisin oikeudesta käsitellä näitä tietoja. Myös OECD:n suosituksessa korostetaan yhteistyön merkitystä. Koska yhtä ainoaa ratkaisumallia sähköpostin välityksellä liikkuvan roskapostin vähentämiseen ei ole, on tärkeää saada aikaan tehokas yhteistoiminta eri rintamilla.