Suomen valtion verkkopalvelu tallentaa henkilötietoja pilvipalveluun Yhdysvalloissa – ”Kuin antaisi vieraan vallan sihteerille avaimet kassakaappiin”

Effi ry valitti hallinto-oikeuteen Digi- ja väestötietoviraston päätöksestä. Virasto ei kommentoi keskeneräistä asiaa.

Kansalaisten digitaalisia oikeuksia puolustava Electronic Frontier Finland ry (Effi) valitti lokakuun lopulla Helsingin hallinto-oikeuteen Digi- ja väestötietoviraston (DVV) päätöksestä, joka liittyi Suomi.fi-tunnistautumiskanavan tietosuojaan.

Suomi.fi on valtion virallinen verkkopalvelu, jossa kansalainen voi asioida julkisen hallinnon kuten Verohallinnon tai Kelan palveluissa yhdellä kirjautumisella.

Valitus koskee sitä, että DVV kieltäytyi luovuttamasta Effille tietoja siitä, miten Suomi.fi:n käyttäjien henkilötiedot salataan. Taustalla on se, että Suomi.fi-palvelu käyttää yhdysvaltalaista Amazon Web Services -pilvipalvelua.

Effin mukaan voi olla mahdollista, että Suomen kansalaisten henkilötietoja vuotaa laajamittaisesti Yhdysvaltain tiedusteluohjelmien kautta maan tiedusteluviranomaisille.

DVV puolestaan perusteli ratkaisuaan muun muassa sillä, että salaukseen liittyvän yksityiskohtaisen tiedon luovuttaminen saattaisi vaarantaa Suomi.fi-palvelun tietoturvan.

Kysyimme Effin varapuheenjohtajalta Elias Aarniolta, mikä Suomi.fi:n tietosuojassa epäilyttää.

”Suomen kansalaisen kannalta kyse on siitä, voiko hän asioida viranomaisen kanssa käyttäen Suomi.fi-palveluita ilman, että palvelussa käsiteltävät tiedot mahdollisesti vuotavat.”

”Kaikkien yhdysvaltalaisyhtiöiden tietojen käsittelypaikkaa koskevissa määritelmissä on Yhdysvaltain oman lainsäädännön takia takaportti, joka mahdollistaa tietojen käsittelyn myös muualla kuin EU- ja ETA-alueella.”

”Tämä puolestaan mahdollistaa sellaisten Yhdysvaltojen lakien käyttämisen tiedon hankintaan, joiden perusteella tehdyistä tietopyynnöistä ei voi ilmaisukiellon takia kertoa kenellekään. Tämä on selkeässä ristiriidassa EU:n yleisen tietosuoja-asetuksen kanssa.”

Aarnio viittaa EU-tuomioistuimen ratkaisuun niin sanotussa Schrems II -jutussa. Siinä EU-tuomioistuin katsoi laittomaksi Privacy Shield -sopimuksen, jonka varjolla yhtiöt ovat voineet luovuttaa käyttäjien tietoja EU-maista Yhdysvaltoihin.

Kyse on siitä, että sikäläisestä tiedustelulainsäädännöstä johtuen Yhdysvaltojen tietosuoja ei ole EU:n tasolla, eikä EU:n kansalaisella ole riittäviä oikeussuojakeinoja tiedustelua vastaan Yhdysvalloissa.

Jos AWS:n pilvipalvelu on huono vaihtoehto tietojen tallentamiseen, mikä olisi parempi?

”Kyse ei ole pelkästään siitä, onko AWS tai jokin muu palveluntarjoaja luotettava. Kyse on Yhdysvaltojen hallinnosta, johon ei millään objektiivisella kriteerillä arvioiden ole syytä luottaa”, Aarnio sanoo.

”Salauksen osalta on olennaista ymmärtää, että jos datalle tehdään pilvessä operaatioita, se tarkoittaa sitä, että datan salauksen purkuavain on myös siellä pilvessä.”

”Tämä taas tarkoittaa sitä, että valtiotason toimijan on mahdollista päästä avaimiin käsiksi ja purkaa data. Tilannetta voisi verrata siihen, että annetaan toisen yrityksen palveluksessa ja toisen maan lainsäädännön alaisena olevalle toimistosihteerille avaimet kassakaappiin.”

Jos siirrettävä tieto salattaisiin riittävän vahvasti ennen siirtoa ja pilveä käytettäisiin vain datavarastona, tilanne olisi Aarnion mukaan turvallinen.

”Tällöin kuitenkaan AWS:n käytössä ei olisi mitään järkeä, koska se on suunniteltu nimenomaan pilvessä tehtyjä dataoperaatioita varten. Se on myös kustannuksiltaan kalliimpi kuin pelkkä datavarastona toimiva levytila.”

DVV:n mukaan henkilötiedot salataan ennen AWS:n palvelimille siirtoa. Mikset luota viranomaisen sanaan?

”Salauksen periaatteet olisi hyvä tietää, että saataisiin kuva siitä, kuinka turvallisissa käsissä suomalaisten tiedot ovat. Kunnolla tehdystä salausjärjestelystä voi kertoa kaiken muun paitsi salausavaimet. Jos yksityiskohtia ei voi kertoa tietoturvan vaarantumisen takia, salaus on tietoturva-ammattilaisen näkökulmasta liian huono”, Aarnio sanoo.

”Saamani materiaalin perusteella minulla ei ole mitään syytä uskoa, että data salattaisiin ennen AWS:n palvelimille siirtämistä.”

Kysyimme Digi- ja väestötietovirastosta, miten suomalaisten tietosuoja turvataan tietojen siirrossa ja miten virasto vastaa Effin esittämiin huolenaiheisiin. DVV kieltäytyi kommentoimasta vedoten keskeneräiseen valitusasiaan.

”Digi- ja väestötietovirasto on antanut hallinto-oikeudelle lausunnon asiasta ja sen käsittely on tällä hetkellä kesken. Valitettavasti virasto ei tässä vaiheessa kommentoi kesken olevaa asiaa.”

Silmiä avaavia juttuja, ei mainoksia

Kommentit (4)

Minä ainakin lopetan Suomi.fi palvelun käytön kunnes asia on tyydyttävästi selvitetty. Etenkin kun toisen puolesta asiointikin kiertää sen kautta.

Vaikka tämä ei vaikutakaan kivalta, niin vielä vähemmän kivoja ovat esim. kiinalaiset reitittimet ja muut laitteet, joita taloudet ovat väärällään.

No onneksemme tämä Amazon Web on kuitenkin länsimaisen organisaatin hallussa. Ei venäjän eikä kiinan!

Jos vaihtoehdot olisi Kiina tai USA valitsisin ehdottomasti Venäjän. Mieluiten kuitenkin valitsin vaikka palveluntarjoajan kotimaasta.

Vastaa

Sähköpostiosoitettasi ei julkaista.