Tullin pääjohtajan outo sähköpostisotku

Yhdysvalloissa Hillary Clinton on ollut vaikeuksissa käytettyään omaa sähköpostipalvelintaan virka-asioiden hoitoon. Suomessa kohut ovat pienempiä, mutta vielä oudompia. Helsingin Sanomien mukaan Tullin pääjohtaja Antti Hartikainen olisi epäiltynä viestintäsalaisuuden loukkaamisesta ja virkavelvollisuuden rikkomisesta.

Outo sotku vahingossa lähetetystä sähköpostista.

Lehden tietojen mukaan Hartikainen olisi lähettänyt vahingossa viestin, jossa ei ollut mitään arkaluonteista, alaiselleen, joka on Tullissa "merkittävässä asemassa". Hartikainen oli pyytänyt vahingossa viestin saanutta tuhoamaan viestin, mutta saanut myöhemmin "tavalla tai toisella" selville, että alainen oli vastoin hänen pyyntöään välittänyt viestin eteenpäin.

Alainen oli tehnyt rikosilmoituksen koska uskoi, että pääjohtaja sai tiedon viestin eteenpäin välittämisestä laittomasti. Edelleen lehden tietojen mukaan poliisi on aloittanut esitutkinnan, joten rikosilmoituksen tueksi on olemassa jotain näyttöä.

Jokin tässä nyt klikkaa. Tietoyhteiskuntakaari (tämä kohta entinen sähköisen viestinnän tietosuojalaki) suojelee vahingossa lähetettyjä viestejä. Pykälässä 136 sanotaan näin:

Se, joka on ottanut vastaan tai muutoin saanut tiedon sähköisestä viestistä, radioviestinnästä tai välitystiedosta, jota ei ole hänelle tarkoitettu, ei saa ilman viestinnän osapuolen suostumusta ilmaista tai käyttää hyväksi viestin sisältöä, välitystietoa tai tietoa viestin olemassaolosta, ellei laissa toisin säädetä.

Tämän perusteella alainen, joka tiesi saaneensa viestin vahingossa, mutta välitti sen silti eteenpäin, syyllistyi itse lainvastaiseen tekoon. Kuitenkaan uutinen ei kirjoita mitään siitä, että häntä epäiltäisiin. Pääjohtajan toimintaan on mahdotonta ottaa kantaa, koska uutinen ei paljasta millä tavalla viestintäsalaisuuden loukkaaminen olisi tapahtunut.

Tämä on kuitenkin hyvä muistaa: jos saat sähköpostin, tekstiviestin tai muun vastaavan, joka ei selvästikään ole tarkoitettu sinulle, sinulla on velvollisuus unohtaa koko asia. Ainakaan viestissä olevaa tietoa ei saa levittää eteenpäin eikä käyttää edes omaksi hyödyksi. Velvollisuutta lähettäjän informointiin ei ole, mutta se on toki kohteliasta.

Jos lähettäjä on tehnyt yleisen mokan ja klikannut osoitekirjasta väärää nimeä, viesti tulee omalla nimellä, jolloin vahingon voi huomata vain asiayhteydestä ja viestin sisällöstä. Se ei kuitenkaan muuta pykälän merkitystä. Ja uutisen mukaan vastaanottajan erehdyksestä ei voinut olla kyse, koska lähettäjä huomautti asiasta.

Uutisointi on selvästikin puutteellista emmekä tiedä tapauksen taustoja. Toivottavasti ne kerrotaan julkisuuteen myöhemmin, jotta voimme kaikki oppia tästä esimerkistä jotain.

Lisäys 6.2.2016: Päivän Hesarin mukaan "Tullin pääjohtajan Antti Hartikaisen rikosepäily on aiheeton". Näyttöä sähköpostin tunnistetietojen hankkimisesta teknisin keinoin ei ole. Ilmeisesti tieto asiasta on kulkenut henkilöltä toiselle, ja sitä laki ei kiellä.

Tästä huolimatta valtiovarainministeriö kutsui perjantaina Hartikaisen kuultavaksi mahdollista virantoimituksesta pidättämistä varten ja poliisi teki kotietsinnän pääjohtajan työtiloihin Tullissa. Kuulostaa aika hurjalta näin lievässä rikosepäilyssä.

Eikä sanaakaan varsinaisesta laittomasta teosta: vahingossa saadun viestin välittämisestä lainvastaisesti eteenpäin.

Tuntuu kovin kummalliselta.

Lisäys 16.2.2016: Iltalehden uutisen mukaan myös ko. alaisesta on tehty tutkintapyyntö.

Lisäys 22.4.2016: Pääjohtajan tutkinta päättyi näytön puutteeseen, alaisen tutkinta teon vähäisyyteen. Syytteitä ei nosteta. Ilmeisesti 136. pykälän rikkominen katsotaan vähäiseksi teoksi. 

Urkintalaki v. 2.5

Hallitus antoi eilen 24.4. uusitun version sähköisen viestinnän tietosuojalain muutosesityksestä, jota kansanomaisesti kutsutaan nimellä urkintalaki tai Lex Nokia.

Keskustelualueiden ja aamun lehtien kommenteista päätellen vastaanotto on yhtä tyrmäävä kuin pari vuotta sitten. Uudistuksen ensimmäinen versio tuli julkisuuteen elokuussa 2006, jolloin se herätti runsaasti keskustelua. Kohun seurauksena silloinen liikenne- ja viestintäministeri Huovinen pyysi oikeuskansleria ottamaan kantaa asiaan. Syyskuussa 2006 valmistunut lausunto kritisoi lakia ja se palautettiin uuteen valmisteluun.

Toinen versio lakiehdotuksesta julkistettiin viime vuoden kesäkuussa kommentointia ja lausuntoja varten. Niiden pohjalta on syntynyt jo kolmas versio lakimuutoksen tekstiksi.

Lain kiistanalaisin kohta liittyy yrityksen oikeuteen seurata sähköpostiviestinnän tunnistetietoja (ei siis itse viestejä) epäillyissä väärinkäyttötapauksissa. Keskustelupalstoilla lain on väitetty johtavan kyttäysyhteiskuntaan, antavan yrityksille poliisia laajemmat valtuudet, tuovan Kiinan ja Stasin toimintatavat yrityksiin sekä polkevan työntekijän perusoikeuksia. Huh, huh!

Syystä, jota en täysin ymmärrä, asia on erityisen herkkä Suomessa. Tietääkseni missään muussa maassa asiasta ei ole edes noussut julkista keskustelua, vaikka yrityksille on annettu Suomea laajemmat oikeudet. Kansainvälinen vertailu käy hyvin ilmi lakiehdotuksen perusteluista. Suomessa työntekijän oikeus yksityisyyteen on niin ehdoton, että se ajaa kaiken muun yli. Muissa maissa tunnustetaan sekä yrityksen että työntekijän oikeudet, joten kiistatilanteissa suoritetaan intressipunnintaa.

Yksityisyyden suoja tietoyhteiskunnassa on tärkeä asia. On kuitenkin erotettava, milloin on kyse työsuhteesta ja milloin kansalaisen yksityiselämästä. Työsuhteessa ihminen luopuu rajoitetusti joistakin perusoikeuksista palkkaa vastaan. Työnantajalla on esimerkiksi oikeus rajoittaa työntekijän vapaata liikkumista työaikana ja määrätä hänet oleskelemaan työpaikalla. Lisäksi yrityksen sähköposti on tarkoitettu työvälineeksi. Yksityistä viestintää varten jokainen voi hankkia oman osoitteen, johon työnantajalla tai valtiolla ei ole mitään asiaa.

Yritysten budjetit, liiketoimintasuunnitelmat, Excel-mallit, kytkentäkaaviot ja valtava määrä muuta tietoa liikkuu nykyään sähköpostissa. Tiedostoihin sitoutuu suuria taloudellisia arvoja, joiden suojaaminen on monelle korkean teknologian yritykselle elintärkeää.

Lakimuutoksen vastustajat vetoavat siihen, että olisi hölmöä lähettää tiedostoja ulos talosta sähköpostilla, kun ne voi yhtä hyvin tulostaa paperille tai kopioida usb-tikulle. Oleellista onkin se, että kaikesta muusta toiminnasta jää jälki, jota yritys saa laillisesti seurata ja teknisesti estää. Esimerkiksi tieto 100-sivuisen pdf-tiedoston tulostaminen yrityksen kirjoittimella tallentuu palvelimen lokiin, puhumattakaan pitkän tulostuksen aiheuttamasta riskistä. Excel-malleja ja monia binääritiedostoja ei edes voi tulostaa - ne toimivat vain tiedostoina.

Tiedostoja voi kopioida usb-tikuille, mutta niiden käyttö yrityksissä voidaan kieltää ja tietokoneiden portit suojata niin, ettei kopiointi edes onnistu. Erittäin kriittisissä paikoissa muistitikkujen tuonti ja vienti voidaan kieltää, ja talosta poistuvien taskut tarkistaa, mikäli on syytä epäillä väärinkäyttöä. Kaikki tämä laillisesti.

Vain yrityksen sähköposti on nykyisellään kaiken valvonnan ulkopuolella. Siksi se on kaikkein paras ja vaivattomin kanava tiedostojen vuotamiseen.

Nyt ehdotettu lakimuutos on muihin maihin verrattuna hyvin lievä. Tunnistetietojen seurannassa on monia rajoituksia ja esimerkiksi www-selaimella käytettävät postit jäisivät kokonaan lain ulkopuolelle. Voikin kysyä, ovatko lain sallimat uudet keinot kaiken kohun ja vaivan arvoisia.

Lisäksi eri maissa toimivat yritykset voivat ratkaista ongelman paljon helpommin ja tehokkaammin siirtämällä tuotekehitystä maihin, joissa laki turvaa työnantajan oikeudet paremmin.