Pikaviestinten käyttö on helppoa, mutta niissä piilee myös riskejä. Pikaviestinsovelluksia käytetään laajasti monissa eri tilanteissa, niiden helppouden ja monesti maksuttomuuden takia. Asia on kuitenkin kaksiteräinen miekka ja taustalla piileekin ongelmia, joita moni ei ole tiedostanut. Vuoden 2019 alusta voimaan astunut kansallinen tietosuojalaki (1050/2018), monelle ehkä tuttavallisemmin GDPR-asetus, on asettanut aiempaa tiukempia vaatimuksia tietosuojaan.
Ja mitäs ne henkilötiedot olivatkaan? Tietosuojavaltuutetun toimisto tarjoaa oheisen listaa suuntaa antavaksi. Lista ei ole täydellinen, mutta siitä saa hyvän kuvan asiasta:
Henkilötiedoiksi luokitellaan mm:
Anonymisoiduilla tiedoilla tarkoitetaan sitä, että tiedot esimerkiksi muutettu tilastolliseen muotoon, josta henkilöitä tai yksittäisiä tietoja ei voida enää tunnistaa. Tiedot on myös mahdollista koodata, niin ettei tietoja saada auki ilman erillistä koodiavainta. Koodiavain tulee tällöin olla hallussa vain niillä henkilöillä, joilla on lupa tietojen salaus purkaa.
Tässä blogissa käsittelen erityisesti WhatsApp-pikaviestisovellukseen liittyviä ongelmia henkilötietoja käsiteltäessä, koska WhatsAppiin löytyy parikin varsin tuoretta tietosuojavaltuutetun käsittelemään tapausta. Vastaavia ongelmia liittyy varmasti useimpiin vastaaviin sovelluksiin, joiden käsittelystä saisi jo kirjan aikaiseksi.
Hyvä esimerkki WhatsAppiin liittyvistä ongelmista on tietosuojavaltuutetun päätös (Dnro 9024/181/19) 29.10.2021 koskien asiakkaiden henkilötietojen käsittelyä WhatsApp-pikaviestinsovelluksessa.
Tapauksessa siivousalan yritys oli käyttänyt vuotena 2019 ja aiemmin WhatsAppia asiakastietojen välittämiseen yrityksen työntekijöille. Välitettyihin tietoihin oli kuulunut esim. asiakkaiden nimet, osoitteet, puhelinnumerot, ovikoodit ja avainboksien numerot.
WhatsAppin kaltaisia pikaviestinsovelluksia käytettäessä yritys ei pysty varmistamaan, että työntekijät työsuhteen päättyessä poistavat henkilötiedot hallussaan olevista puhelimista tai, että tietoja ei ole jäänyt sovelluksen varmuuskopioihin talteen. Sama koskee luonnollisesti myös yhdistyksiä ja julkishallintoa. Vääriin käsiin päätyessään osoitteiden, avainboksien ja ovikoodien tiedot voivat aiheuttaa sivulliselle selkeää haittaa.
Siivousalan yritys ei ollut informoitu asiakkaitaan WhatsApp-sovelluksen käytöstä. Yleinen tietosuoja-asetus asettaa vaatimuksen, jonka mukaan henkilötietojen rekisterinpitäjän (tässä tapauksessa siivousalan yritys) on informoitava, missä ja miten tietoja käsitellään. Tuohon henkilötietojen sijaintiin liittyen törmätään heti uuteen ongelmaan.
WhatsApp sovelluksen käyttö johtaa asiakkaan henkilötietojen siirtoon kolmansiin maihin, ml. Yhdysvaltoihin. Yhdysvaltojen sisäinen säännöstö mahdollistaa Yhdysvaltojen viranomaisten pääsyn EU:sta Yhdysvaltoihin siirrettyihin henkilötietoihin, mikä vaarantaa kansalliseen tietosuojalakiin perustuvaa henkilötietojen suojan tasoa.
WhatsApp-palvelun sovellusta käytettäessä sopimussuhde on yksityishenkilön ja Facebookin välillä. Yksityishenkilön kanssa tehtävään sopimukseen sisältyvät vastuunrajoituslausekkeet eivät ole lähtökohtaisesti yhteensopivia yrityskäytön kanssa.
WhatsApp-sovellusta hyödynnettäessä rekisterinpitäjällä ei ole myöskään keinoja valvoa, miten henkilötietoja palvelussa käytetään, tai asettaa muutoinkaan käytölle rajoituksia. Puhelimen katoamistilanteessa, puhelimeen pääsy mahdollistaa käytännössä myös WhatsApp-sovellukseen pääsyn.
Tässä kyseisessä tapauksessa siivousalan yritys selvisi tähän mennessä huomautuksella. Kuluksi jäi vain kaikki se ylimääräinen selvitystyö, jota yritys joutui tekemään välttyäkseen seuraamusmaksulta ja toki yrityksen oli muutettava omia toimintatapojaan, jotta se ei enää rikkoisi tietosuojalakia.
Tietosuoja-asiat on hyvä ottaa vakavasti, koska seuraamusmaksu tietosuojalain vaatimusten rikkomuksista voi olla pahimmillaan 4 % liikevaihdosta tai 20 miljoonaa euroa. Tapaus ei ole ainut laatuaan ja valitettavasti uskon vastaavia tapauksia ilmaantuvan jatkossa varmasti lisääkin.
Hyviä ratkaisuja näiden edellä mainittujen ongelmien taklaamiseen löytyy meiltä Marskidatalta useita. Kaikille ei samat toimi ja ratkaisut pyrimmekin määrittämään yhdessä asiakkaan kanssa niin, että ne tukevat nykyistä tekemistä. Henkilötietojen dokumenttien suojaamiseen löytyy meiltä mm. MD Turva 365 -palvelu, jonka avulla dokumentit voidaan luokitella dokumenttien sisällön mukaan. On mahdollista määrittää, ettei henkilötietoja sisältäviä dokumentteja pysty avaamaan kuin vain henkilöt, joilla on siihen lupa. MD Turva 365:sta voit lukea lisää Jounin kirjoittamasta blogista tai sitten ihan vaan kysymällä meiltä.
Toinen toimivaksi havaittu ratkaisu on Microsoftin Intune-lisäpalvelu, jonka avulla käytettävät mobiililaitteet saadaan keskitettyyn hallintaan. Keskitetyn hallinnan kautta järjestelmänvalvoja voi varmistaa, että mobiililaitteet täyttävät yrityksen tietoturvavaatimukset ja tarvittaessa poistaa yrityksen data laitteesta, mahdollisen häviämis- tai varkaustapauksen sattuessa. Intunesta on Tomas kirjoitellut loistavan blogin, joka kannattaa myös lukea.
Monessa organisaatiossa on nimetty tietosuojavastaava, joka vastuulle kuuluu seurata, että organisaatio noudattaa tietosuojalakia sekä siihen liittyviä asetuksia. Jos toimit tietosuojavastaavana tai muuten vastaat samoista asioista olisi sinun hyvä:
