Lausunto koskien hallituksen esitystä eduskunnalle digitaalista henkilöllisyyttä koskevaksi lainsäädännöksi.

Järjen Ääni ry vaatii valtiovarainministeriötä vetämään välittömästi pois digitaalista henkilöllisyyttä koskevan lainsäädäntöesityksen.

DIGI_ID lausunto diaarinumero: VN/18505/2021

Digitaalinen identiteetti 

Esitys digitaalista henkilöllisyyttä (digitaalinen identiteetti) koskevaksi lainsäädännöksi on yksi tärkeimmistä digitalisaatioon liittyvistä lakiesityksistä, koska se luo mekanismin, jolla vahvistetaan yksilöivä henkilöön liittyvä tieto ja siihen liitännäiset ominaisuudet.  

Yksilöivä ja varmennettu henkilötunnus on ydinosa digitaalista ekosysteemiä, johon sisältyy henkilöön liittyvää tietoa. Digitaalinen identiteetti voi toimia eräänlaisena yleisavaimena kaikkeen henkilöön liittyvään tietoon riippumatta siitä, kuinka paljon tätä tietoa on eri tietojärjestelmissä. Tämä laajempi kokonaisuus ja siihen liittyvät palvelut, laitteet, sovellukset ja seuraavan sukupolven teknologiat on monelta osin vasta kehitteillä. Digitaalista identiteettiä on siksi arvioitava jo tässä vaiheessa suhteessa infrastruktuuriin, jonka osaksi identiteetti tulee.

Digitalisaation myötä, mahdollisuudet näiden tietojen hyödyntämiselle ja jatkokäytölle eri tarkoituksiin ovat lähtökohtaisesti rajattomat, jos ei näihin tietoihin pääsyä, niiden yhteen kokoamista ja hyödyntämistä rajata. Näin ollen on jo tässä vaiheessa ennakoitava, paitsi digitaalisen identiteetin hyötyjä, myös sitä, millaisia riskejä tähän kokonaisuuteen liittyy.

Tässä lausunnossa painotus on digitaaliseen identiteettiin liittyvissä riskeissä perustellen näkökulmaa sillä, että digitaalinen ekosysteemi, johon identiteetti liittyy, on jatkossa palveluiden, sovellusten ja teknologioiden sekä maantieteellisen alan puolesta ennennäkemättömän laaja, mahdollisesti myös vähitellen globaali.



Digitaalisen identiteetin lähtökohdat

Tarve digi-ID:lle ei pohjaudu kansalliseen tarpeeseen ja valmisteluun. Esityksessä korostetaan kansallista ratkaisua, mutta myönnetään, että tällä pohjustetaan samalla rajat ylittävien identiteettien ratkaisuja. Kuten lakiluonnoksen perusteluissakin lausutaan, vaikuttaa hallituksen esityksen taustalla nimenomaan digitaalisia identiteettiratkaisuja koskeva kehitys EU:ssa, erityisesti eIDAS-asetus, joka on uusittavana, mutta digitaaliseen identiteettiin liittyy myös koko joukko muita EU-säädöksiä. Kyse on lähtökohtaisesti suuntautumisesta EU-tason digitaaliseen identiteettiin, asiointipalvelujen käyttöön eri jäsenvaltioissa ja rajat ylittävään tiedonvaihtoon

Digitaalisen identiteetin ja siihen liittyvien lakimuutosten taustalla on useita kansainvälisiä yhteishankkeita. EU-tasolla digitaalinen identiteetti liittyy EU:n digitaalisen ekosysteemin kokonaisuuteen ja strategioihin. EU:n digitaalisiin strategioihin puolestaan liittyy koko joukko erilaisia ohjelmia ja teknologian kehityshankkeita. 

Euroopan komissio antoi 3.6.2021 ehdotuksen COM (2021)281 Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 muuttamiseksi. Kyseinen ehdotus ja myöhemmin annettava varsinainen muutosasetus ovat luoneet lähtökohdat ja tulevat vaikuttamaan merkittävästi digitaalisen henkilöllisyyden ja siihen liittyvien palveluiden toteuttamiseen Suomessa. 

Muitakin EU:n tekemiä päätöksiä erilaisista digitaalisen identiteetin ja rokotetodistuksen osista on jo liitetty Suomen lainsäädäntöön useamman vuoden ajan. Yksi esimerkki löytyy Valtioneuvoston U-kirjelmästä (U 41/2021 vp), jossa pyritään edistämään eurooppalaisen digitaalisen identiteetin kehyksen vahvistamista. Tähän toki valtioneuvosto kommentoi alustavasti näin:

“Valtioneuvosto pitää tarpeellisena, että sähköisen tunnistamisen järjestelmien ilmoittamiseen liittyvään menettelyyn luodaan uusi vaihtoehtoinen menettelytapa, sertifiointi, ja suhtautuu myönteisesti mahdollisuuteen osoittaa tunnistusjärjestelmän vaatimustenmukaisuus sertifioinnin avulla.”

Digitaalisella identiteetillä on liitäntä palveluihin, joiden luomiseen EU-maat on velvoitettu jo vuonna 2018 Single Digital Gateway -esityksen puitteissa. Vuoden 2023 loppuun mennessä on sitouduttu digitalisoimaan 21 julkista palvelua. 

Esityksessä digitaalisen identiteetin käytössä huomioidaan ensi sijassa julkiset palvelut, mutta eIDAS-asetuksen uudistamisen myötä käyttökohteet voivat laajentua myös yksityisiin palveluihin. Digitaalinen identiteetti siis tulevaisuudessa mahdollisesti kattaa julkiset ja yksityiset palvelut. 

EU:n digitaalisten strategioiden ja ohjelmien tavoitteista, tarpeista ja yhteyksistä digitaaliseen identiteettiin ei ole Suomessa käyty juuri lainkaan julkista keskustelua. Tämä vaikeuttaa sen arviointia, mistä digitaalisessa identiteetissä on kyse yhteyksissään, ja millaisia palveluja, tietovarastoja ja kokonaisuuksia se on jatkossa rakentamassa. 

 

Vaikeaselkoinen kokonaisuus

Digitaalinen identiteetti on jäänyt monille epäselväksi. Vaikka Suomessa on digi- ja dataosaamista, monen ymmärrys digitaalisuudesta, datasta, datansiirrosta, koodista, rajapinnoista ja näiden turvallisuudesta on erittäin puutteellinen. Näiden lisäksi on vaikea hahmottaa esitettyjen ratkaisujen yhteyksiä useampiin suomalaisiin digitalisaatiohankkeisiin ja niiden kytkentöjä EU-tason hankkeisiin, eikä tämä esitys tee näiden yhteyksien ymmärtämisestä helpompaa.

Myös kansanedustajilta kysyessä moni olettaa digitaalinen identiteetin olevan nykyistä Suomessa toimivaa sähköistä tunnistautumista vastaava järjestelmä. Näin asia ei ole, vaan hankkeessa on huomattavasti laajempia yhteyksiä, ja sen tekninen toteutus poikkeaa nykyisistä tunnistautumisen tavoista. Digitalisaatioon liittyvien lakiesityksien kokonaisuutta on vaikea hahmottaa myös siksi, kun digihankkeita tuodaan lainvalmisteluun useiden eri ministeriöiden ja eri hankkeiden kautta.

Vaikka valtioneuvosto on useissa lausunnoissaan eIDAS-asetukseen liittyen todennut jäsenmaiden rajat ylittävän sähköisen asioinnin ja liiketoiminnan olevan sinänsä hyvä asia, on valtioneuvosto myös kiinnittänyt huomiota siihen, että EU:ssa on lähivuosina annettu tai siellä on parhaillaan valmistelussa useita lainsäädäntöehdotuksia, jotka liittyvät rajat ylittävään sähköiseen asiointiin tai ovat merkityksellisiä nyt annetun ehdotuksen kannalta. Koska digitaalisella identiteetillä on näin laajoja yhteyksiä muuhun lainsäädäntöön, sen käsittely vaatisi laajempaa käsittelyä ja muun digitaaliseen kehitykseen liittyvän lainsäädännön kokonaisuuden hahmottamista.

Näin laajoja digitaalisia hankkeita ei tulisi edistää kiireessä ja keskellä kriisiaikaa (korona, Ukraina, inflaatio, energiakriisi, huoltovarmuus), eikä näin vähäisellä tiedon jakamisella, julkisella keskustelulla, yhteyksien ymmärryksellä ja juridis-eettisellä-pohdinnalla. 

Digitaalista henkilöllisyyttä koskeva lainsäädäntö ei voi olla vain VM:n lausunnon ja lainvalmistelun varassa. Lakimuutokset digitaaliseen henkilöllisyyteen liittyen tulee käsitellä vielä laajasti myös sisäministeriön, puolustusministeriön, oikeusministeriön, liikenne- ja viestintäministeriön sekä työ- ja elinkeinoministeriön osalta. 

 

Digitaalista identiteettiä ei tarvita

Digitaalista henkilöllisyyttä koskevassa lainsäädäntöesityksessään hallitus kuvaa digitaalinen identiteetin perustaksi Pääministeri Marinin hallitusohjelman (https://valtioneuvosto.fi/marinin-hallitus/hallitusohjelma, s. 107) asetettua tavoitetta edelläkävijyydestä: 

“Suomi tunnetaan edelläkävijänä, jossa digitalisaation ja teknologisen kehityksen luomia mahdollisuuksia kehitetään ja otetaan käyttöön yli hallinto- ja toimialarajojen.”

Sähköisen tunnistautumisen osalta tämä hallituksen tavoite täyttyy jo ilman uutta digitaalisen identiteetin hanketta. Suomessa on jo ollut pitkään käytössä erilaisia sähköisiä tunnistautumisen toimintamalleja, jotka on olleet turvallisia ja toimivia. 

Näin ei toki ole kaikkialla muualla maailmassa tai edes Euroopassa. Sen vuoksi on ymmärrettävää, että näissä maissa käynnistetään sähköiseen tunnistautumiseen liittyviä hankkeita. Suomi voisi kuitenkin jo nykyisellään näyttää muille esimerkkiä toimivasta sähköisestä kirjautumisesta ilman uutta kansainvälistä rajapinnat ylittävää henkilö-, terveys- ja maksutietojen tietojärjestelmää ja datanvaihtoa.

EU:n eIDAS asetus tekee digitaalisen lompakkosovelluksen, johon myös tunnistaminen liittyy, pakolliseksi kaikissa EU-maissa. Kaikilla jäsenvaltioilla olisi velvollisuus tarjota vähintään 1 asetuksen mukainen lompakkosovellus. Esityksessä ei tule ilmi, miksi esimerkiksi pankkitunnuksilla kirjautuminen ja lompakon liittäminen tähän yhteyteen ei riittäisi täyttämään tämän velvoitteen.

Suomella olisi myös edelleen mahdollisuus päättää digitaalinen identiteetin osalta, otetaanko sitä Suomessa käyttöön ja laaditaanko siihen liittyen lausunnossa esitettyjä uusia lakeja ja kenelle annetaan näihin liittyviä toimivaltuuksia. Euroopan komissio voi ehdottaa, mutta Suomen eduskunta ja hallitus voi kansalliseen päätöksentekoon ja turvallisuuteen vedoten päättää myös toisin kuin komissio ehdottaa.

Lakiesityksessä todetaan myös eIDas-asetuksien osalta sama:

“eIDAS-asetus koskee sähköisen tunnistamisen osalta jäsenvaltioiden ilmoittamia eli notifioituja sähköisen tunnistamisen järjestelmiä. Kansallinen tunnistusmenetelmä voidaan ilmoittaa EU:n komissiolle eIDAS-asetuksen mukaisesti. Ilmoitettua tunnistusmenetelmää on mahdollista käyttää muiden jäsenvaltioiden julkishallinnossa asioimiseen. Asetuksessa säädetään, millaisia sähköisen tunnistamisen järjestelmiä jäsenvaltiot voivat ilmoittaa komissiolle, miten ilmoittaminen tapahtuu ja millaisia vaatimuksia ilmoitettaville tunnistamisjärjestelmille ja tunnistusmenetelmille on asetettu. Asetuksessa ja sen nojalla annetuissa täytäntöönpanosäädöksissä on määritelty tunnistuspalveluille kolme varmuustasoa: matala, korotettu ja korkea. Suomessa toimivilta vahvan sähköisen tunnistamisen järjestelmiltä vaaditaan vähintään samat luotettavuutta ja tietoturvaa koskevat vaatimukset kuin eIDAS-asetus täytäntöönpanosäädöksineen vaatii rajat ylittäviltä sähköisen tunnistamisen järjestelmiltä korotetulla varmuustasoilla.“

Korostamme, että Suomi voi tehdä omat ratkaisut ja käyttää nykyistä sähköisen tunnistuksen järjestelmää, mikäli digitaalisen henkilöllisyyden osalta ei oteta Suomessa käyttöön uutta näihin liittyvää lakiesityspakettia. EU ei voi vaatia Suomelta uutta kansainvälistä digitaalista identiteettiä tai tällaisiin hankkeisiin osallistumista.

Mikäli nykyiset sähköiset tunnistautumisen järjestelmät muutetaan tai korvataan uudella digitaalisella henkilöllisyydellä ja sen käyttöä voidaan edellyttää maan sisäisten palveluiden saamiseen, maksamiseen, lainansaantiin, työelämään pääsemiseen ja mikäli siihen liittyy myös IT- ja tietoturva-asiat, tulee asiaa käsitellä myös paljon nykyistä laajemmin ja nykyistä pidemmällä kaavalla



Vallan ja valtuuksien siirto

EU on useaan kertaan ottanut kantaa tietosuojaan GDPR-lainsäädäntöön liittyen. On kiinnitetty huomioita ja kritisoitu suurten teknologiajättien keräämää dataa ja datan keräämiseen, tallentamiseen ja käyttöön liittyviä riskejä. EU:n/Suomen digitaalisella henkilöllisyydellä ja siihen liittyvällä lainsäädännöllä astutaan kuitenkin GDPR:n ja tietoturvan osalta erittäin isoon miinakenttään.

Kyse ei ole enää vain ihmisten itse sosiaaliseen mediaan jakamista kuvista, tiedoista, mielipiteistä ja digitaalisesta käyttäytymisestä. Kyse ei myöskään ole enää yksittäisten terveyspalveluita tarjoavien organisaatioiden tietojärjestelmistä ja niiden tietoturvallisuudesta.

EU:n/ Suomen ja muiden maiden yhteisellä digitaalisella henkilöllisyydellä ollaan luomassa useiden maiden yhteistä tietopankkia, tietojärjestelmää, joka kokoaa ihmisten henkilö-, terveys- ja pankkitietoja samaan pilvipalveluun. Palveluun, jonka hallinta, käyttö ja lainsäädäntö ovat komission vastuulla. 

Korostammekin, että valtioneuvoston ja VM:n tulisi ottaa vähintäänkin varovainen, mieluiten kriittinen ja kielteinen kanta digitaalisen henkilöllisyyden lainsäädäntöhankkeiden edistämiseen ja näiden mahdolliseen liittämiseen kansainvälisiin tietojärjestelmiin. Erityisen riskialtista olisi digitaaliseen identiteettiä ja henkilöön liittyviä tietoja koskeva vallansiirto EU:lle. 

Esimerkki valtuuksien siirron rajaamisesta löytyy Valtioneuvoston U-kirjelmästä (U 41/2021 vp), jossa pyritään edistämään eurooppalaisen digitaalisen identiteetin kehyksen vahvistamista, johon  valtioneuvosto kommentoi alustavasti näin:  

“Jatkovalmistelussa on huolehdittava, että komissiolle annettavat valtuudet ovat oikeasuhtaisia, tarkoituksenmukaisia, selkeitä ja tarkasti rajattuja. Valtioneuvosto kiinnittää huomiota siihen, että säädös- ja täytäntöönpanovaltaa ei voida kuitenkaan siirtää komissiolle säädöksen keskeisten osien osalta.“

On huomioitava, että säädös- ja täytäntöönpanovaltaa ei voida siirtää komissiolle säädöksen keskeisten tai muidenkaan osien osalta. Näin valtioneuvosto on linjannut aiemminkin ja tätä samaa linjaa on syytä jatkaa kansalaisten turvallisuuden ja kansallisen päätäntävallan säilyttämiseksi myös jatkossa.

Vaadimme, että myös digitaalisen henkilöllisyyden ja siihen liittyvän lainsäädännön osalta on kiinnitettävä erityisesti huomiota henkilötietojen suojan sääntelyyn, ja täytäntöönpanovaiheessa olevaan yhteistä digitaalista palveluväylää (SDG) koskevaan sääntelykokonaisuuteen. 

 

Kontrollijärjestelmien riskit

Riskien hallintaa ja käsittelyä ei voida sivuuttaa tai mainita vain ohimennen sivulauseessa.

Mikäli otetaan huomioon, että kansalaisten turvallisuuteen on kiinnitetty esim. puolustusvoimien hankintojen ja menojen osalta miljardien verran euroja vain varmuuden vuoksi vuosikymmenten ajan, tulisi samaa riskiperiaatetta käyttää myös muissa kansalaisten turvallisuuteen ja perusoikeuksiin liittyvissä hankkeissa.

Digitalisaatiokehityksen tässä vaiheessa olemme siirtämässä datan ja asioinnin yhä syvemmin verkkoon. Olisi ymmärrettävä, että tämä ei ole toimintamalleiltaan, sisällöllisesti, eikä teknologisesti neutraali rakennelmaa, vaan sitä voidaan käyttää hyviin ja huonoihin tarkoituksiin ja erilaisten osapuolten intressien ajamiseen (julkiset, yksityiset, globaalit, paikalliset, rikolliset, sodankäynti). Lisäksi riskinä on vallan keskittyminen, poliittisen tahdon ja yhteiskunnan pelisääntöjen muuttuminen tavalla, josta on ennakoimattomia seurauksia.

Kansalaisjärjestö EFF on esittänyt myös samankaltaisia huolia poliittisen kehityksen suunnasta koskien digitaalisen identiteetin taustalla olevaa eIDAS-asetusta.

Eurooppalainen digitaalisia oikeuksia puolustava kansalaisjärjestö EDRI, puolestaan nostaa esille kansalaisten seurantaan, profilointiin ja tiedon kohdentamiseen liittyvät ongelmat.

Kiinassa näemme juuri näitä ongelmallisia toimintamalleja, ja niiden vakavia seurauksia ihmisoikeuksille.  Kiinassa on käytössä sosiaalinen luottoluokitus, joka perustuu erittäin vahvasti digitaalisten laitteiden ja tietojärjestelmien hyödyntämiseen ja hyväksikäyttöön. Näemme hyvin, millaiset valvontayhteiskunnan rakenteet Kiinassa ovat toteutuneet digitalisaation ja teknologioiden tuella, joita myös EU:n digitaalisen kehityksen tavoitteisiin sisältyy. 

Suomen tuleekin siksi huomioida ajoissa riskit, joita sisältyy EU:n digitaaliseen identiteettiin liittyviin hankkeisiin mukaan lukien esimerkiksi digitaalinen rokotustodistus, digitaalinen kompassi ja digilompakko, etenkin näihin hankkeisiin ja tietojärjestelmiin liittyvät mahdolliset datan ja toiminnallisuuden yhdistämiseen liittyvät riskit. Riskit paitsi tietojen yhdistelystä ja niiden ennakoimista vaikutuksista jatkossa, myös näiden kaikkien väärinkäytöstä ja joutumisesta ulkopuolisten käsiin kasvavat. 

On arvioitava riskit kansallisen ja kansalaisten turvallisuuden näkökulmasta sekä laadittava lakeja, joilla turvataan omien kansalaisten vapaa liikkuvuus, mahdollisuus työn tekemiseen ja elinkeinon harjoittamiseen sekä huolehdittava henkilö-, terveys- ja talousasioiden tietoturvasta.

Erityistä huomiota tulee kiinnittää siihen, ettei näillä toimilla ja lakimuutoksilla missään muodossa koskaan ole mahdollista toteuttaa kansalaisten tai yritysten sosiaalista luottoluokitus- ja seurantajärjestelmää.

 

Tietosuoja 

Esityksessä todetaan, että henkilötietojen laajamittainen käsittely yhdistettynä uusien teknisten ratkaisujen käyttöön merkitsee todennäköisesti tietosuoja-asetuksen mukaista korkeaa riskiä henkilötietojen käsittelylle. Tämän todetaan myös edellyttävän tietosuojavaikutusten arvioinnin päivittämistä sekä erityislainsäädäntöä, koska kansalaisten identiteettitietoihin liittyy tavanomaista korkeampia riskejä (s. 88). Tämä huomio on esitetään muutamassa lauseessa, mutta pitää sisällään laajan skaalan erilaisia ongelmia. 

Käytännössä tämä tarkoittaa riskejä, jotka syntyvät henkilöön liittyvien tietojen hyödyntämisen ja käsittelyn tavoista julkisissa ja yksityisissä palveluissa. Joten tietosuojan ongelmat eivät kosketa vain henkilötunnusta ja henkilötietoja, vaan sitä, että yksilöivään ja varmistettuun henkilötieto voi tulla yleisavaimeksi kaikkeen häneen liittyvään tietoon ja tämän tiedon käsittely tuottaa ennakoimattomia haavoittuvuuksia. Lisäksi viranomaistenkaan henkilötietoon pääsyn säätely ei välttämättä ole aina täyttänyt oikeudellisia perusteluja.

Tietosuojan ongelmat moninkertaistuvatkin siinä sovellusten ja tietovarastojen kerroksessa, jotka ovat tunnistamista hyödyntävien palvelujen puolella. Henkilöön liittyvät tiedot ovat jo pitkään olleet keskeisiä esimerkiksi kansainvälisille internet-toimijoille, joiden liiketoimintakonsepti perustuu vahvasti henkilöön liittyvien tietojen massadataan, analysointiin ja näiden päälle rakennettavaan toiminnallisuuteen tai datan myyntiin kolmansille osapuolille. 

Uudet teknologiat, kuten biometrinen tunnistus, automaattinen päätöksenteko ja tekoälysovellukset tuottavat lisää riskejä. Henkilötietojen välittämiseen sovellusten kesken voi liittyä esimerkiksi automaattista luvan antamista palvelujen väliselle tiedon välitykselle. Digitaalisen identiteetin päälle rakennettu palvelujen, teknologioiden ja datan rakennelma tulee olemaan niin maantieteellisesti laaja-alainen (globaali) ja teknologian puolesta kauaskantoinen (internet of things, automaattinen päätöksenteko, tekoäly), että meillä on vain kalpea aavistus niistä riskeistä ja haavoittuvuuksista, joita tämän päälle voi rakentua esimerkiksi datan väärinkäyttöinä, kontrollimekanismeina ja laajamittaisena valvontana. Tässä vaiheessa kaikki nämä riskit on käytännössä ilmaistu vain lauseessa, jossa viitataan teknologioiden ja tietosuojan ongelmiin.

Digitaalisen identiteetin päälle rakennettu rakennelma tulee olemaan niin maantieteellisesti laaja-alainen (globaali) ja teknologian puolesta kauaskantoinen (internet of things, automaattinen päätöksenteko, tekoäly), että meillä on vain kalpea aavistus siitä, mitä sen varaan käydään rakentamaan jatkossa.

Tietosuojaan liittyvät kerrannaiset ongelmat ovat laajoja, ja niihin tulisi perehtyä digitalisaatiokehityksen myötä syvällisesti, koska järjestelmien rakennelma, joka henkilödatan päälle syntyy on vaikutuksiltaan yksilöivän tunnistamisen takia entistä tarkempi, lisääntyvän automaation takia nopea ja vaikutuksiltaan mahdollisesti laaja-alainen. 

Digitaalisen identiteetin hankkeella ja siihen liittyvällä lainsäädännöllä avataan Pandoran lipas todella suurille datan ja henkilötietojen väärinkäytöksille. Digitaalisen identiteetin päälle rakennettu palvelujen, teknologioiden ja datan rakennelma tulee olemaan niin maantieteellisesti laaja-alainen (globaali) ja teknologian puolesta kauaskantoinen (internet of things, automaattinen päätöksenteko, tekoäly), että sen riskit olisi ehdottomasti arvioitava tarkemmin.



Tietoturva

Digitaaliseen identiteettiin / henkilöllisyyteen liittyviä tietoturvariskejä, muiden maiden esimerkkejä sekä EU:ssa tehtyjä lainsäädännön muutoksia on myös hyvä nostaa esiin.  EU:n ID2020 / Suomen digitaalista henkilöllisyyttä koskeva lainsäädäntö ja näihin liittyvä toiminta perustuu tietojärjestelmien väliseen tiedonvaihtoon sekä erilaisiin IT-ratkaisuihin. Näitä hankkeita ja niihin liittyviä sovelluksen kehittäjiä ei kuitenkaan ole kilpailutettu hankintalain mukaisesti. Niissä ei myöskään ole kiinnitetty huomiota sovellusta kehittävän IT-yrityksen ja sen hallituksen taloustietoihin tai rikostaustaan, kuten monien muiden isojen IT-hankkeiden osalta toimitaan.

Esimerkiksi Terveyden ja hyvinvoinnin laitos (THL) hankki koronatodistusten tarkastussovelluksen suorahankintana ilman kilpailutusta. Asia käy ilmi Tivin tietopyynnöllä THL:ltä saamasta, heinäkuun 14. päivä allekirjoitusta hankintapäätöksestä. Samoin on toimittu monien muiden digihankkeiden osalta.

Myös Ulkoministeriön käynnistämän Virtual Finland -hankkeen kokeiluympäristönä hyödynnettävän Sitran IHAN Testbed -alustan osalta tullaan samojen kysymysten äärelle. (Lisätietoa https://um.fi/virtual-finland-hanke ) Virtual Finland -hanke on ollut mukana Yrityksen digitalous -hankkeen kokeilussa, jossa pilotoitiin rajat ylittävää yritystiedonvaihtoa Norjan, Ruotsin ja Suomen välillä. Taustalla on visio pohjoismaisesta digitaalisesta talousalueesta.

Näiden digihankkeisiin liittyvien sovellusten käyttö on niin Suomessa kuin maailmalla villi länsi. Esimerkkinä koronapassi sovellus ja sen käyttö kansainvälisesti. Käytännössä kuka tahansa voi kysyä kansalaisten koronapassia/ QR-koodia ja monet suostuvat siihen päästäkseen tiloihin, toisten koteihin, tapahtumiin. Sovellus voi käytännössä olla minkä tahansa maan tai organisaation tarjoama sovellus, joten yhtä lailla kansalaisten QR-koodin sisältämät tiedot voivat päätyä esimerkiksi skotlantilaisen lukulaitesovelluksen kautta kolmansille osapuolille tai jonkin kiinalaisen tai venäläisen sovelluksen kautta näiden maiden tietojärjestelmiin.

Skotlannin yksi maan suurimmista aikakauslehdistä The Scottish Sun kertoo artikkelissaan (24.10.2021) Skotlantilaisen koronapassisovellus NHS Scotland Covid jakaneen dataa henkilötietoineen muun muassa Amazonille, Microsoftille, ServiceNow:lle, Royal Mail:lle sekä tekoälypohjaiseen kasvojentunnistusyritykseen. Asia ilmenee koronapassisovelluksen tietosuojatiedoista, jotka paljastavat että sen käyttäjien henkilökohtaiset tiedot jaetaan Albasoftin, Amazon Web Servicesin, CFH Docmailin, Gov.uk Notify Servicen, iProovin, Jumion, Microsoft Azuren, NetCompanyn, Royal Mailin ja NetCompanyn kanssa.

Digitaalisen henkilötunnuksen tietoturvariskit vaikuttavat esimerkiksi pankkitunnuksien käyttöön verrattuna korkeammilta, koska sovellus ja siihen liittyvä tunnistedata sijaitsevat käyttäjän älypuhelimessa. Tietoturva-asiantuntijat ovat myös hiljattain varoittaneet, että mobiililaitteisiin kohdistuneet uhkat ovat lisääntyneet.

Älypuhelimien turvallisuus vaihtelee eri laitteiden välillä. Kuinka moni edes ymmärtää tietoturvariskit, jotka syntyvät esimerkiksi älypuhelimen kadottamisesta, varastamisesta tai hakkeroinnista? Moniko muistaa poistattaa sovelluksen ja tiedot älypuhelimeltaan, kun luopuu laitteen käytöstä? 

Millä turvataan kansalaisten tietoturva, mikäli kuka tahansa ja mikä taho tahansa voi lukea kansalaisten tietoja esim. QR-koodista ja jakaa niitä eteen päin? Miten turvataan tietoturva, mikäli samaan tietojärjestelmään lisätään useita eri tietoja terveystiedoista henkilötietoihin ja pankkitietoihin? Entä jos niitä tulostetaan ulos QR-koodina? Eli koodinpätkänä, jota käyttäjä ei itse ymmärrä eikä kykene tarkistamaan jakamansa tiedon sisältöä ja määrää. Miten turvataan kansalaisten yksityisyys ja vapaus?

Kuka on vastuussa, mikäli sovelluksen tietosuojailmoituksessa on tehty selväksi tietojen jakaminen toimituskumppaneiden kanssa, mutta kansalainen on velvoitettu näyttämään QR-koodinsa tietämättä minne se sen jälkeen päätyy?

Tietoturvaan liittyvät ongelmat tulisi käsitellä laajasti huomioiden älypuhelinten, sovelluksen ja henkilöiden itsensä ja mahdollisten rikollisten käyttöjen aiheuttamat riskitekijät.



Itsehallittavuus 

Digitaalisen henkilötunnuksen etuna pidetään henkilötietojen esittämisen itsehallintaa. Digi- ja väestötietovirasto luovuttaisi henkilön tiedot sovellukselle, joka on hänen laitteellaan ja joka on käytännössä älypuhelin. Tällä tarkoitetaan sitä, että tunnistautuessa käyttäjä voi itse valita vahvistetut tiedot, jotka hän haluaa osoittaa palvelulle. Tähän saakka asiointipalvelu on määritellyt ne tiedot, joita se tarvitsee ja jotka se hankkii käyttäjästä tunnistamista tarjoavilta tunnistuspalveluilta. 

Käyttäjä ei kuitenkaan hallitse omia tietojaan muilta osin, kuin valikoimalla ne tunnistetiedot, jotka lähettää palvelulle, jossa hän asioi. Koska palvelut saattavat myös edellyttää tiettyjen tietojen lähettämistä, ei tietojen säätely jatkossakaan ole yksinomaan käyttäjästä riippuvaista. Lisäksi lokitietoja henkilön tunnistusvälineen hallinnoinnista ja käytöstä kertyy Digi- ja väestötietovirastolle. 

Mielikuva käyttäjän itse hallinnoimista tiedoista on jossain määrin harhaanjohtava.



Yhdenvertaisuus

Digitaalisen identiteetin arvioidaan esityksen mukaan edistävän kansalaisten yhdenvertaista asemaa. Käytännössä digitaalinen identiteetti ja lompakko edellyttää kuitenkin tietyntyyppistä mobiililaitetta, jonka tietoturva tulisi vielä olla tietyllä tasolla, jotta turvallinen käyttö olisi varmistettu. Miten nykyinen pankkitunnuksilla palveluihin kirjautuminen ei onnistuisi näille käyttäjäryhmille vähintäänkin yhtä hyvin? Lisäksi tietoturva on varmempi, kun tunnukset ja sovellukset eivät sijaitse käyttäjän laitteella.  

Ei voida sanoa, että järjestely lisäisi yhdenvertaisuutta, vaan vahvistaa eriarvoisuutta vähävaraisten ja teknisiltä taidoiltaan rajoittuneiden henkilöiden osalta, joilla ei ole varaa älypuhelimeen tai osaamista sen käyttöön sähköisissä asiointipalveluissa. Mahdollisesti myös sovelluksen ja tietojen sijainti omalla mobiililaitteella lisää tietoturvaongelmia.



Palvelujen käytön oikeudet ja tuki

Digitaalisen identiteetin ei katsota vaikuttavan henkilön oikeuteen käyttää yhteiskunnan digitaalisia palveluja. Käytännössä palvelujen tarjolla olevat käyttötavat kuitenkin luovat tosiasiallisen rajoituksen sille, miten palveluja voidaan käyttää. 

Jatkossa olisi pyrittävä mahdollistamaan, että digitaalisista palveluista ei synny ns. julkisten palvelujen kylmäasemia, vaan että henkilön tavoittaminen tarvittaessa ja fyysinen paikan päällä tapahtuva asiointi ovat mahdollisia vaihtoehtoja. 

Digitaalisten palvelujen vaatimat tukipalvelut, ongelmanratkaisu ja järjestelmien toimintahäiriöt tai esimerkiksi sähkökatkosten aiheuttamat ongelmat tulisi myös huomioida.   

Mikä on meidän vastuumme yhteiskuntakehityksen suunnasta?  Ydinkysymys on: millaiset digitaaliset jalanjäljet digitaalinen identiteetti, digilompakko ja digitaalinen rokotetodistus jättävät ja kenelle? Digitaalisuuteen liittyvän kansalaisturvallisuus on myös nostettava entistä paremmin esiin.


Kirjoittajina 
Elina Lappalainen
Päivikki Karhula

Järjen Ääni ry

Lisää kannanottoja