AsOy Yhteisötilaajan näkökulma uuteen tietosuojalakiin
Urkintalaiksi ja Lex Nokiaksi nimitetty sähköisen viestinnän uusi tietosuojalaki näyttää menevän eduskunnassa läpi. Laki tulee asettamaan melkoisia velvoitteita kaikille yhteisötilaajille. Muun muassa allekirjoittaneelle.
Perustuslakivaliokunnan puheenjohtaja Kimmo Sasi (kok.) peräänkuulutti tiistaisessa eduskuntakeskustelussa niitä taloyhtiöitä, jotka ovat verkkopalveluiden yhteisötilaajia. Sasin mukaan yhtään sellaista taloyhtiötä ei ole löytynyt, joka olisi yhteisötilaaja.
Hoi! Täältä löytyy!
Oma 63-huoneistoinen helsinkiläinen taloyhtiömme on yhteisötilaaja. Ja niin on jokainen taloyhtiö, jossa on omassa hallinnassa oleva reititinpalvelin. On puhdasta roskaa väittää muuta.
Suora lainaus LVM:stä määrittelee yhteisötilaajan: ”Yhteisötilaajia ovat organisaatiot, jotka itse huolehtivat viestintäverkkonsa käyttäjien sähköisten viestintäpalvelujen toteuttamisesta.”. Ei sähköpostipalvelimella ole tämän määritteen kanssa mitään tekemistä – semminkin kun jopa suuretkin yritykset ulkoistavat sähköpostipalvelimensa ulkoisille palveluntarjoajille. Oleellista on se, kenellä on valta ja voima ylläpitää verkkoa ja sen kytkentöjä ulkomaailmaan. Tässä asiassa Effi on harvinaisen oikeassa. Lindénin viesti on ristiriidassa jo itsensä kanssa.
Taloomme on hankittu Nebulalta erinomaisesti toimiva taloyhtiökäyttöön tarkoitettu 24/3 Mbit/s nopeuksinen Internet-liittymä ja valtaosa talomme asukkaista käyttää tätä. Kustannukset liittymästä ovat noin viisi euroa per huoneisto kuukaudessa. Kustannusvertailussa Nebulan liittymä voittaa Soneran tai Elisan taloyhtiöliittymät ylivoimaisesti: niissä kuukausikustannukset ovat noin kymmenkertaiset nykyjärjestelyymme verrattuna.
Liittymässä mukana olevat ovat sitoutuneet sääntöihin, joitten mukaan liittymä on tarkoitettu ns. aikuismaiseen kotikäyttöön. Eli omia palvelimia ja piraatti2piraatti –vertaisverkkoliikennettä ei ole sallittu.
Kolmen vuoden käytön aikana verkko on toiminut hyvin ja merkittäviä vikatilanteita on tullut vain kolme:
- 1. Eräs asukas kytki erehdyksessä verkkoon DHCP-palvelimen, joka sotki osoitepalvelut
- 2. Reititin on kertaalleen hajonnut ja korvattu uudella
- 3. Tietoliikenteen väärinkäyttötapaus
Näistä viimeisin on varsin relevantti uuden lain kannalta. Eräs asukas oli löytänyt uuden jännän tavan ladata elokuvia netistä ja kytki päälle vertaisverkko-ohjelman, jota sitten käytti leffojen waretukseen. Seuraus tästä oli, että verkko tukkeutui tyystin erityisesti uloslähtevän kaistan osalta.
Verkkoyhteyden puuhamiehenä tuskastelin ongelman kanssa. Kustannussyistä emme käytä hallittavia kytkimiä, joten ylikuormituksen aiheuttavan huoneiston löytäminen ei ollut aivan yksinkertaista.
Lopulta päädyin ratkaisemaan asian Brute Force –menetelmällä: seurasin reititinpalvelimen accesslogia erityisen pahan kuormituspiikin aikana ja kiinnitin huomiota erääseen osoitteeseen, josta otettiin runsaasti yhteyksiä eri puolille maailmaa satunnaisiin portteihin. Selvä tapaus. Joku warettaa P2P-ohjelmalla.
Reititinpalvelimen DHCP-osoitepalvelimesta löytyi sitten koneen nimi ja verkkokortin MAC-osoite. Estin tämän verkkosovittimen liikennöinnin verkkoon ja verkon kokonaiskuormitus putosi hetimiten yli 95% lukemista kymmenesosaan.
Myöhemmin koneen omistaja päätti nauttivansa elokuvien lataamisesta sen verran, että siirtyi pois talon verkosta erään teleyhtiön harm.. siis asiakkaaksi.
Minä pidin puuttumista kuormitusongelmaan lähinnä teknisenä rutiiniasiana, mutta uuden Sähköisen tietosuojalain myötä myös meidän verkollemme tulee velvoitteita.
Ensimmäinen velvoite löytyy uuden lain 13 f –pykälästä:
13 f § Yhteisötilaajan tiedonantovelvollisuus käyttäjälle väärinkäytöstapauksissa
Yhteisötilaajan on laadittava 13 d §:n 1 ja 2 momentissa tarkoitetusta manuaalisesta tunnistamistietojen käsittelystä selvitys, josta käy ilmi:
1) käsittelyn peruste, ajankohta ja kesto;
2) syy, minkä vuoksi tunnistamistietojen manuaaliseen käsittelyyn on ryhdytty;
3) käsittelijät; sekä
4) käsittelystä päättänyt henkilö.Käsittelyyn osallistuneiden henkilöiden on allekirjoitettava selvitys. Selvitys on säilytettävä vähintään kaksi vuotta 13 d §:ssä tarkoitetun käsittelyn päättymisestä.
Edellä 1 momentissa tarkoitettu selvitys on annettava tiedoksi käsittelyn kohteena olevan viestintäverkon tai viestintäpalvelun käyttäjälle heti, kun se voi tapahtua käsittelyn tarkoitusta vaarantamatta. Selvitystä ei kuitenkaan tarvitse antaa niille käyttäjille, joiden tunnistamistietoja on käsitelty massamuotoisesti siten, että käyttäjien tunnistamistiedot eivät ole tulleet käsittelijän tietoon. Käyttäjällä on oikeus lakiin tai sopimukseen perustuvan salassapitovelvollisuuden estämättä luovuttaa selvitys ja sen yhteydessä saamansa tiedot etujaan tai oikeuksiaan koskevan asian käsittelyä varten.
Eli toimenpiteestä on tehtävä ilmoitus sekä kohteena olevalle, että verkon muille käyttäjille. Selvä. Onnistuu ja on jopa hyvän hallintotavan mukaista. Mutta kahden vuoden säilytysvelvoite on aika tiukka vaade.
Rivien välistä laissa mainitaan, että käsittelijän ja päättäjän olisi hyvä olla eri henkilöitä. meidän verkkomme osalta allekirjoittaneella on kumpainenkin rooli.
Velvoitteet lisääntyvät pykälästä 13 h:
13 h § Ennakkoilmoitus ja vuosittainen selvitys tietosuojavaltuutetulle väärinkäytöstapauksissa
Yhteisötilaajan on ilmoitettava ennalta tietosuojavaltuutetulle tunnistamistietojen käsittelyn aloittamisesta. Ennakkoilmoituksesta on käytävä ilmi:
1) 13 d §:ssä tarkoitetussa tunnistamistietojen käsittelyssä noudatettavien menettelyjen perusteet ja käytännöt;
2) 13 c §:n 1 momentissa tarkoitetut tehtävät; ja
3) miten yhteisötilaaja on järjestänyt 13 c §:n 2 momentin 2 kohdassa tai 3 momentissa tarkoitetun käsittelyä edeltävän tiedottamisvelvollisuutensa.Yhteisötilaajan on annettava tietosuojavaltuutetulle vuosittain jälkikäteen selvitys tunnistamistietojen manuaalisesta käsittelystä. Selvityksestä on käytävä ilmi, millä perusteella ja kuinka monta kertaa tunnistamistietoja on vuoden aikana käsitelty.
Eli nyt tekemäni toimenpiteen kaltaisesta käsittelystä pitää tehdä myös ilmoitus julkiselle viranomaiselle. Aikamoinen vaade meidän pienessä verkossamme. Ja jos oikein ymmärsin, tämän ilmoituksen jättämisestä tulee myös maksaa leimaveron kaltainen maksu. Laissa asia säädetään 32 §:n viimeisessä momentissa. Saapa nähdä miten nämä ennakko- ja vuosi-ilmoitukset vaikuttavat oman verkkomme kustannuksiin. Tuskin ainakaan hintoja laskevasti.
Ilmoituksia ei myöskään voi jättää tekemättä. Muuten syyllistyy 42 pykälän 9-kohdan mukaiseen laiminlyöntiin ja asettuu alttiiksi sakoille.
Uusi laki asettaa kieltämättä varsin tiukkoja velvoitteita ylläpitäjille. Jää sitten nähtäväksi miten tämä parantaa verkon käyttäjien asemaa.
