WhatsApp yrityskäytössä on monessa organisaatiossa arkipäivää, mutta on tärkeää ymmärtää, että sen käyttöön liittyy merkittäviä tietosuojariskejä. WhatsAppin kaltaisia pikaviestinsovelluksia käytetään laajasti monissa eri tilanteissa niiden helppouden ja monesti maksuttomuuden takia. Asia on kuitenkin kaksiteräinen miekka, ja taustalla piilee ongelmia, joita moni ei ole tiedostanut.
WhatsApp on nopein tapa hoitaa työasiat ja rikkoa samalla tietosuojaa.
EU:n tietosuoja-asetus (GDPR) sekä kansallinen tietosuojalaki (1050/2018) ovat ehtineet olla voimassa jo useamman vuoden, ja niiden soveltamista valvotaan nykyisin yhä aktiivisemmin. Silti monessa organisaatiossa henkilötietojen käsittelyyn liittyy epäselvyyksiä arjen tekemisessä. Entä mitäs ne henkilötiedot olivatkaan?
Mitä henkilötiedoilla tarkoitetaan?
Tietosuojasta puhuttaessa ensimmäinen askel on ymmärtää, mitä henkilötiedoilla oikeastaan tarkoitetaan. Tietosuojavaltuutetun toimisto tarjoaa oheisen listan suuntaa antavaksi. Lista ei ole täydellinen, mutta siitä saa hyvän kuvan asiasta.
Henkilötiedoiksi luokitellaan mm:
- nimi
- kotiosoite
- sähköpostiosoite, kuten etunimi.sukunimi@yritys.com
- puhelinnumero
- henkilökortin numero
- auton rekisterinumero
- paikannustiedot (esim. matkapuhelimen paikannustiedot)
- IP-osoite
- potilastiedot
- lemmikin eläinlääkäritiedot
- isoisoisovanhempien perinnöllisiä sairauksia koskevat tiedot.
Henkilötiedoiksi puolestaan ei luokitella:
- yrityksen rekisteritunnus
- yleinen sähköpostiosoite, kuten info@yritys.com
- anonymisoidut tiedot.
Anonymisoiduilla tiedoilla tarkoitetaan sitä, että tiedot on esimerkiksi muutettu tilastolliseen muotoon, josta yksittäisiä henkilöitä tai tietoja ei voida enää tunnistaa. Tiedot on myös mahdollista koodata niin ettei tietoja saada auki ilman erillistä koodiavainta. Koodiavain tulee tällöin olla hallussa vain niillä henkilöillä, joilla on lupa tietojen salaus purkaa.
WhatsApp-pikaviestinsovelluksen ongelmat
Tässä kirjoituksessa käyn läpi erityisesti WhatsApp-pikaviestisovellukseen liittyviä ongelmia henkilötietoja käsiteltäessä. WhatsApp yrityskäytössä ja siihen liittyvät tietosuojariskit ovat olleet myös tietosuojavaltuutetun käsittelemien tapausten listalla. Lisäksi vastaavia ongelmia liittyy varmasti useimpiin vastaaviin sovelluksiin, joiden käsittelystä saisi jo kirjan aikaiseksi.
Konkreettinen esimerkki WhatsAppiin liittyvistä ongelmista on tietosuojavaltuutetun päätös (Dnro 9024/181/19) 29.10.2021 koskien asiakkaiden henkilötietojen käsittelyä WhatsApp-pikaviestinsovelluksessa. Esimerkkitapauksessa siivousalan yritys oli käyttänyt vuonna 2019 ja aiemmin WhatsAppia asiakastietojen välittämiseen yrityksen työntekijöille.
Tapauksessa välitettyihin tietoihin kuuluivat esimerkiksi asiakkaiden nimet, osoitteet, puhelinnumerot, ovikoodit ja avainboksien numerot. Tapaus osoittaa, kuinka arkaluonteisten henkilötietojen jakaminen kuluttajakäyttöön tarkoitetuissa viestisovelluksissa voi johtaa tietosuojariskeihin ja viranomaisen huomautukseen. Vaikka esimerkki keskittyy WhatsAppiin, vastaavia haasteita voi liittyä myös muihin pikaviestinsovelluksiin.
Miksi WhatsApp yrityskäytössä on tietosuojariski?
WhatsAppin kaltaisia pikaviestinsovelluksia käytettäessä yritys ei pysty varmistamaan, että työntekijät työsuhteen päättyessä poistavat henkilötiedot hallussaan olevista puhelimista tai, että tietoja ei ole jäänyt sovelluksen varmuuskopioihin talteen. Sama koskee luonnollisesti myös yhdistyksiä ja julkishallintoa. Vääriin käsiin päätyessään muun muassa osoitteiden, avainboksien ja ovikoodien tiedot voivat aiheuttaa sivulliselle selkeää haittaa.
Aiemmassa esimerkissä siivousalan yritys ei ollut informoinut asiakkaitaan WhatsApp-sovelluksen käytöstä. Yleinen tietosuoja-asetus kuitenkin asettaa vaatimuksen, jonka mukaan henkilötietojen rekisterinpitäjän on informoitava, missä ja miten tietoja käsitellään. Tuohon henkilötietojen sijaintiin liittyen törmätään heti uuteen ongelmaan.
WhatsApp-sovelluksen käyttö johtaa asiakkaan henkilötietojen siirtoon kolmansiin maihin, ml. Yhdysvaltoihin. Yhdysvaltojen sisäinen säännöstö mahdollistaa maan viranomaisten pääsyn EU:sta Yhdysvaltoihin siirrettyihin henkilötietoihin. Tämä vaarantaa merkittävästi kansalliseen tietosuojalakiin perustuvaa henkilötietojen suojan tasoa.
Henkilötietojen hallinnan haasteet
WhatsApp-sovellusta käytettäessä sopimussuhde on yksityishenkilön ja sovelluksen ylläpitäjä Metan (Facebookin emoyhtiö) välinen. Yksityishenkilön kanssa tehtävään sopimukseen sisältyvät vastuunrajoituslausekkeet eivät ole lähtökohtaisesti yhteensopivia yrityskäytön kanssa.
WhatsApp-sovellusta hyödynnettäessä rekisterinpitäjällä ei ole myöskään keinoja valvoa, miten henkilötietoja palvelussa käytetään, tai asettaa muutoinkaan käytölle rajoituksia. Puhelimen katoamistilanteessa puhelimeen pääsy mahdollistaa käytännössä myös WhatsApp-sovellukseen pääsyn.
Kirjoituksen esimerkkitapauksessa siivousalan yritys selvisi vielä pelkällä huomautuksella ja kuluksi jäi vain kaikki se ylimääräinen selvitystyö, jota yritys joutui tekemään välttyäkseen seuraamusmaksulta. Lisäksi yrityksen oli toki muutettava omia toimintatapojaan, jotta se ei enää rikkoisi tietosuojalakia.
Tietosuoja-asiat on hyvä ottaa vakavasti, koska seuraamusmaksu tietosuojalain vaatimusten rikkomuksista voi olla pahimmillaan 4 % liikevaihdosta tai 20 miljoonaa euroa.
WhatsAppin uudet uhat
Traficomin Kyberturvallisuuskeskus varoittaa tuoreessa kirjoituksessaan WhatsAppin uusista käyttäjätunnuksista, joiden käyttöönotto voi lisätä huijausyrityksiä. Näiden käyttäjätunnusten tarkoituksena on parantaa yksityisyyttä, koska viestittely onnistuu jatkossa ilman puhelinnumeron jakamista. Samalla ne kuitenkin tuovat mukanaan myös uusia tietoturvariskejä.
Käyttäjätunnuksiin liittyy erityisesti impersonoinnin riski, jossa henkilö esiintyy toisena käyttäjänä tai organisaationa. Tällöin huijari luo tunnuksen, joka muistuttaa erehdyttävästi yrityksen, viranomaisen tai tunnetun henkilön oikeaa tunnusta. Pienet erot kirjoitusasussa voivat jäädä helposti huomaamatta ja lisätä huijauksen uskottavuutta.
Yritysten on tärkeää huomioida, että WhatsAppiin liittyvät tietoturvariskit eivät jatkossa rajoitu pelkästään henkilötietojen käsittelyyn. Viestien tietosuojahaasteiden lisäksi myös niiden aitouden varmistaminen ja kyky tunnistaa huijauksia korostuvat jatkossa entistä enemmän. Tämä koskee erityisesti yritysten asiakkaita ja yhteistyökumppaneita.
Huijarit voivat esimerkiksi yrittää esiintyä yrityksen nimissä ja lähettää asiakkaille tai yhteistyökumppaneille uskottavia huijausviestejä. Yritysten onkin tärkeää viestiä asiakkailleen ja yhteistyökumppaneilleen selkeästi, mitä viestintäkanavia ne käyttävät ja miten niiden lähettämien viestien aitous voidaan varmistaa.
Viimeistään nyt organisaatioiden kannattaa pohtia, ovatko WhatsApp tai vastaavat pikaviestinsovellukset todella sopivia viestintäkanavia yrityskäyttöön.
Tietoturva kuntoon oikeilla työvälineillä
Marskidata auttaa asiakkaitaan rakentamaan tietoturvallisen toimintaympäristön Microsoft 365:n, laitehallinnan ja tietoturvaratkaisujen avulla. Kun käyttäjätunnukset, mobiililaitteet ja yrityksen data ovat keskitetysti hallittuja, henkilötietojen käsittelyä voidaan valvoa huomattavasti paremmin.
Toimiva tietoturva ei ole vain yksittäinen ohjelmisto tai projekti, vaan jatkuvaa riskienhallintaa. Oikeilla työvälineillä voidaan kuitenkin vähentää merkittävästi tietovuotoriskejä, hallita käyttöoikeuksia ja varmistaa, että organisaation data pysyy hallinnassa.
Tietosuojariskit hallintaan
Monessa organisaatiossa on nimetty tietosuojavastaava, jonka vastuulle kuuluu seurata, että organisaatio noudattaa tietosuojalakia sekä siihen liittyviä asetuksia. Jos toimit tietosuojavastaavana tai muuten vastaat siihen liittyvistä asioista, olisi sinun hyvä tietää:
- Miten juuri sinun organisaatiossasi käsitellään henkilötietoja
- Käytetäänkö henkilötietojen käsittelyyn pikaviestinsovelluksia
- Onko GDPR:n vaatima informointi, esim. tietosuojaseloste, kunnossa
Ota yhteyttä meihin niin käydään yhdessä läpi, mikä on teille sopiva ja turvallinen tapa viestiä. Tai jos yrityksesi työvälineet tarvitsevat päivitystä, onnistuu sekin meidän kauttamme.
