STOPCOVID: Kiistanalaisen sovelluksen matka

STOPCOVID: Kiistanalaisen sovelluksen matkaEi mene päivääkään ilman, että väestön "rajoitusten purkamista" käsiteltäisiin niin Ranskassa kuin muuallakin viruksen ja sitä levittävien henkilöiden jäljittämisen yhteydessä.

Viimeaikaisissa tapahtumissa mainitaan tartunnan saaneiden seurantatiedoston luominen, jonka tiedot toimitetaan CNIL:n tarkastettavaksi.

Media uutisoi myös GAFAMin ja hallituksen välisestä pattitilanteesta hyveellisimmän "stopCovid"-sovelluksen toteuttamiseksi.

Vaikka parlamentaariset keskustelut tästä hakemuksesta ovat tällä hetkellä keskeytettyinä, voimmeko saada selkeän kuvan tällaisen digitaalisen valvonnan ongelmista ja vaikutuksista?

Onko kyse kansallisesta itsemääräämisoikeudesta, tiedonhallinnasta vai, arkipäiväisemmin sanottuna, "yksinkertaisista" teknisistä valinnoista?

Kysymys on tärkeä, koska se koskee paitsi Ranskaa, myös useimpia Euroopan maita ja muita pandemiaa hallitsevia valtioita.

Protokollat ja niiden vaikutus tietojenkäsittelyyn

PEPP-PT-projekti (Privacy Preserving Proximity Tracing) oli alun perin tarkoitettu mahdollistamaan sovellusten kehittäminen Euroopassa yhdenmukaisesti ja lakia noudattaen.

Tavoitteena on ilmoittaa henkilölle älypuhelimen Bluetooth-tekniikan avulla, että hän on ollut yhteydessä tartunnan saaneeseen henkilöön, ilman henkilön paikannusta.

Vaikka PEPP-PT aluksi näytti saavan kannatusta, useat sadat tiedemiehet etäännytti itsensä siitä ja ottivat avoimessa kirjeessä kantaa hajautettuun lähestymistapaan perustuvaan protokollaan, kuten DP-3T:hen (hajautettu yksityisyyden suojaava läheisyysseuranta), jossa tiedot pysyvät paikallisesti tallennettuina. Tämä tarjoaisi paremmat takeet tietoturvan ja kolmansien osapuolten suorittaman tietojen väärinkäytön tai käytön muihin tarkoituksiin riskeistä.

Muistakaamme, että tietojen säilyttäminen paikallisesti on suhteellisuusperiaate ja sisäänrakennetun yksityisyyden suojan periaate, jota on käytetty muissa yhteyksissä, kuten biometristen tietojen käsittelyssä.

CNIL:llä on selkeä kanta tähän asiaan, joka ilmenee erityisesti sen tiedonannosta biometristen tietojen käytöstä älypuhelimissa tai työpaikoilla. 

Googlen ja Applen toteuttamat työkalut kehitettiin (erityisesti) tätä DP-3T-protokollassa suositeltua paikallisen tallennuksen näkökulmaa käyttäen, jotta estetään käyttäjien kannettavien tietokoneiden tietojen liian tunkeileva käyttö.

Ongelma on siinä, että Ranska (ja aluksi Saksa, joka on sittemmin muuttanut mielensä) kehittää Robert-protokollaan perustuvan sovelluksen (ROBust- ja yksityisyyttä suojaavaa läheisyysseurantaa varten), joka ei voi toimia Applen ja Googlen ehdottamien toimintojen pohjalta, sillä niillä on erityisvaatimuksia Bluetoothin ja tiedon keskittämisen suhteen (yksityiskohdat selitetään selkeästi täällä).

Tämä ei sinänsä tarkoita, että ranskalainen hakemus rikkoisi tietosuojaperiaatteita: takeet (erityisesti pseudonymisoinnin osalta) on annettu, ja CNIL on antanut myönteisen lausunnon, vaikka onkin esittänyt joitakin huomautuksia.

Mutta siinä missä Ranska ryhtyy varotoimiin, kuinka moni muu enemmän tai vähemmän demokraattinen maa hyödyntäisi Applen ja Googlen tarjoamia "à la carte" -ominaisuuksia harjoittaakseen paljon tunkeilevampaa väestönsä valvontaa?

Tämä selittää – osittain – verkkojättien vastahakoisuuden ja tilanteen nykyisen umpikujan.

Eurooppa-neuvoston puheenjohtajavaltio on ottanut tämän asian 5. toukokuuta pidettävän kokouksensa esityslistalle, jossa EU:n televiestintäministerit pyrkivät hyväksymään yhteisen lähestymistavan.

Oikeudellinen kehys

Näiden teknisten näkökohtien lisäksi yhteystietojen hallinta tämän tyyppisen sovelluksen kautta herättää yleisiä oikeudellisia ongelmia: tarkennamme heti alkuun, että tiedot eivät ole anonyymejä vaan pseudonymisoituja, mikä johtaa GDPR:n ja televiestintätietojen suojan periaatteiden soveltamiseen.

Sovelluksen käytön vapaaehtoisuuden lisäksi hallitus voi käsitellä tämän tyyppisiä arkaluonteisia tietoja vain, jos sillä on siihen oikeus tiettyyn lakiin perustuen.

Lisäksi on varmistettava käsittelyn läpinäkyvyys, tiedot on suojattava ja niiden poistaminen on suunniteltava tiukkojen aikarajojen puitteissa.

Olipa kyseessä sitten CNIL, EDPB (eurooppalaisten "CNIL-ryhmien ryhmä"), Euroopan tietosuojavaltuutettu (EDPS) senaatin kuulemistilaisuudessa 27. huhtikuuta tai Euroopan neuvosto, valvontaviranomaiset huomauttavat, ettei mikään järjestelmä voi täysin välttää haavoittuvuuksia ja uudelleentunnistamisen riskejä, olipa kyseessä sitten keskitetty tai hajautettu järjestelmä.

He ovat yhtä mieltä sovellusten suunnittelussa ja käytössä noudatettavista varotoimista, mutta he korostavat myös ennen kaikkea tämän tyyppisen työkalun merkityksellisyyttä ja mainitsevat riskin pitkittää hätätilanteita ja väestön tottumisriskin piilevään valvontaan. 

Samalla tavalla voimme mainita opiskelijoita, joiden on nykyään totuttava opettajan ottamaan säännölliseen näyttökuvaan heidän päätteestään etäkokeen aikana ja jotka saattavat lopulta pitää tällaista tunkeilua normaalina muissa yhteyksissä.

Kyse on siis ennen kaikkea siitä, ettei pidä väistellä toimenpiteen tarpeellisuuden, sen vaikutusten ja sen oikeasuhteisuuden perustavanlaatuista kysymystä suhteessa yksilöiden perusoikeuksiin kohdistuviin seurauksiin.

Ja myös:

• Ranskassa:

Merkittävän määrän lisäksi pandemian hallintaan liittyvät käytännön ohjeet CNIL on juuri käynnistänyt tieteellisen tutkimuksen, työmarkkinasuhteiden ja yksilöiden seurannan yhteydessä julkinen kuuleminen alaikäisten oikeuksista digitaalisessa ympäristössä. Tämä on avoinna 1. kesäkuuta 2020 asti.

• Eurooppa ja kansainvälisesti:

Euroopan tietosuojaneuvosto (EDPB)) hyväksyi useita asiakirjoja, joiden tarkoituksena on ohjata viranomaisia ja yrityksiä tiedonhallinnassa pandemian yhteydessä: siinä keskityttiin erityisesti lääketieteellisen tutkimuksen tarkoituksiin tapahtuvan tietojen käsittelyn edellytyksiin, näiden tietojen kansainvälisiin siirtoihin sekä seurantaan ja paikantamiseen mobiilipäätteiden avulla.

Kansainvälisellä tasolla kaikkien viranomaisten asiakirjat ovat saatavilla Global Privacy Assemblyn verkkosivuilla.

BEUC (Euroopan kuluttajajärjestö) ilmoitti 21. huhtikuuta yhteisestä toiminnasta yli 40 kuluttajanoikeuksia ja -vapauksia ajavan järjestön kanssa koskien mainosteknologia-alan laajalle levinnyttä valvontaa ja digitaalista seurantaa.

Belgia Tietosuojaviranomainen on määrännyt 50 000 euron sakko tietosuojavastaavan riippumattomuusperiaatteen rikkomisesta Riitojenratkaisuelin katsoi näin ollen, että tämän tehtävän yhdistäminen riski-, tarkastus- ja vaatimustenmukaisuusosastojen johtajan tehtäviin muodosti eturistiriidan.

Alankomaat: Alankomaiden valvontaviranomainen määräsi huhtikuun lopussa korkeimman sakkonsa, joka on suuruudeltaan 725 000 €, yritystä vastaan, joka käsitteli työntekijöidensä sormenjälkiä ilman todellista perustetta turvallisuuden kannalta.

Anne Christine Lacoste

Tietosuojalainsäädäntöön erikoistuneena lakimiehenä hän toimi Euroopan tietosuojavaltuutetun kansainvälisten suhteiden päällikkönä ja työskenteli GDPR:n täytäntöönpanon parissa Euroopan unionissa.

Osana etätyön laajentamista viranomainen on myös tehnyt erittäin yksityiskohtaisen vertailun tärkeimmistä videoneuvottelujärjestelmistä tietosuojan osalta. Verkossa on saatavilla vain hollanninkielinen versio, minkä vuoksi liitämme mukaan epävirallisen englanninkielisen käännöksen kokonaisuudessaan (kiitos Christopher Schmidtille). Tähän luetteloon on lisättävä myös CNIL:n videoneuvotteluja koskevissa suosituksissaan mainitsema ja ANSSI:n sertifioima Tixeo-ratkaisu.