Kirjoitus julkaistu LinkedInissä.
Jouduin eilen kommentoimaan Iltalehden toimittajalle tätä #trafigate tapausta hiukan kylmiltään, joten koin hiukan velvollisuudekseni seurata tilannetta ja nyt kertoa näkökulmaani tarkemmin. Nyt kun olen ehtinyt tutustua tilanteeseen paremmin on eteen tullut kohtuullisen paljonkin tietosuojaan liittyviä puutteita palvelussa. En päässyt henkilökohtaisesti tutustumaan palveluun sen siirryttyä huoltokatkolle jo aiemmin. Tässä kuitenkin pieni tiivistys siitä mitä itselleni on aiheeseen perehdyttyä tullut tässä vaiheessa vastaan.
Lain mukaan Trafilla vaikuttaa olevan ihan oikea näkökanta siitä, että palvelussa saatavilla oleva tieto on julkista (Laki Liikenteen Palveluista 3 Luku §3 kohta 3). Tämä ei kuitenkaan tarkoita sitä, että ko. tietoa käsiteltäisiin tietosuoja-asetuksen mukaisesti oikeaoppisesti - Tietosuoja-asetuksen Artikla 5 sanoo henkilötiedoista "..niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä..".
Missä olisi ollut parantamisen varaa?
- Ei ilmeisesti lainkaan teknistä rajoitetta pyyntöjen määrälle - mahdollistaa käytännössä rajattoman määrän kyselyitä tekemisen palveluun ilman mitään esteitä. Captcha sentään oli laitettu rajaamaan palvelun käyttöä aivan holtittomasti.
- Palvelun kautta pystyi testaamaan henkilötunnuksia em. puutteen ansiosta varsin tehokkaasti. Syötä palveluun henkilötunnus, joko saat vastaukseksi aidon henkilön tai hakutulosjoukko oli tyhjä. Hetken arvailemalla olet saanut haluamasi henkilön henkilötunnuksen selville.
- Palvelusta löytyi alaikäisten ajokortin haltijoiden tietoja - alaikäisten henkilötietojen käsittelyssä pitäisi noudattaa erityistä varovaisuutta.
- Yhteystietojen luovutuskieltoa ei ilmeisesti huomioitu - asuinpaikkakunta näkyy suoraan palvelusta vaikka henkilö olisi yhteystietojensa luovutuskiellon asettanutkin maistraattiin. Määräaikainen turvakielto sen sijaan oli ilmeisesti palvelussa osattu huomioida.
- Palvelua ei tietääkseni ollut rajattu maantieteellisesti mitenkään, eli myös EU-alueen ulkopuolelta oli näin ollen mahdollisuus päästä käsiksi henkilön tietoihin. Trafin tietosuojaselosteessa mainittiin vain tietojen luovuttamisesta EU-alueen ulkopuolille viranomaisille tai viranomaistehtäviä varten. Tällainen täysin avoin palvelu mahdollistaa kuitenkin tietojen rajattoman käytön EU-alueen ulkopuolella mikäli erillisiä teknisiä rajoitteita palvelun käytölle ei ole asetettu. Näiden tekninen toteutus on lisäksi lähes mahdotonta julkisena toimivan palvelun osalta sillä rajoitteita voidaan helposti kiertää mm. erilaisten proxy-palveluiden avulla. Useat kuluttajat kiertävät esimerkiksi erilaisten suoratoistopalveluiden (esim. Netflix) maarajoitteita vastaavilla tavoilla.
- Anonyyminä käytettävä palvelu ei kirjaa mitenkään ylös ketkä ovat katselleet henkilön tietoja. Vaikka tieto olisikin julkista olisi mm. mahdollisten väärinkäytösten selvittämiseksi äärimmäisen tärkeää seurata kuka sitä käyttää.
- Trafille oli jo elokuussa aktiivisen kansalaisen toimesta ilmoitettu useista puutteista, mutta näitä ei otettu silloin vakavasti. Asiaan reagoitiin kunnolla vasta nyt kun siitä syntyi netissä pienimuotoinen kohu.
Ylläolevien puutteiden valossa Trafi ei ole kyllä kovin hyvin toteuttanut tietosuoja-asetuksen 25 artiklan "Sisäänrakennettu ja oletusarvoinen tietosuoja" näkökulmaa. Artiklassa lukee suoraan mm. "Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta." Nyt tiedot oli käytännössä koko internetin saatavilla ilman mitään rajoituksia ja mitään henkilön antamaa suostumusta asiasta.
Artiklan 5 osoitusvelvollisuuden toteuttaminen on myös kovin hataralla pohjalla palvelun ollessa täysin anonyymisti verkossa kaikkien netin käyttäjien saatavilla. Trafi ei pysty mitenkään osoittamaan kuka on nyt kenenkin tietoja palvelussa katsellut.
Pari korjausehdotusta Trafin suuntaan
- Palvelu tunnistautumisen taakse, jolloin saadaan talteen tieto kuka katselee kenenkin tietoja.
- Huomioidaan yllä mainitut sensitiiviset tiedot pois (alaikäiset & luovutuskiellon antaneet)
- Rajataan kyselyiden määrää per kyselijä väärinkäytösten minimoimiseksi. Mahdolliseen ammattikäyttöön erillinen rajapinta / palvelu tarvittaessa.
Lopuksi
Laki Liikenteen Palveluista asettaa tässä Trafin tapauksessa vahvoja raameja tietojen julkisuudelle, muttei näytä sanovan mitään käsittelyn tietosuojasta. Tietosuoja-asetus sen sijaan pyrkii suojaamaan henkilötietoja. Kahden lainsäädännön ristipaineessa (Tietosuojalainsäädäntö vs. kunkin alan erityislainsäädäntö) harjoitellaan kaikki nyt aika monella alalla, joten tarkkana kannattaa olla.
Identiteettivarkauksien määrä on ollut kasvussa, emme todellakaan kaipaa yhtään julkista palvelua joka helpottaa tätä entisestään.
-Perttu Marttila / SoulCore
Kirjoittaja toimii GDPRdesk tietosuojaratkaisun tuotepäällikkönä ja on konsultoinut tietosuoja-asioita useille keskisuurille ja suurille organisaatioille.
