Hallituksella syytä vetää Lex Nokia pois käsittelystä

Hallituksen esitys sähköisen viestinnän tietosuojalaista (sic!), eli tunnetummin Lex Nokia tai urkintalaki, tulee eduskunnan täysistunnon käsittelyyn tulevina viikkoina. Se korvaa nykyisen v. 2004 säädetyn lain, jonka tulkinta on ollut molempiin suuntiin (ylläpitäjän/työnantajan sekä työntekijän/verkon käyttäjän kannalta) niin sekava, että lakia ei käytännössä ole osattu soveltaa.

Itse olen perustuslakivaliokunnan jäsenenä käsitellyt asiaa jo vuoden, ja ilmaissut läpi prosessin kriittisyyteni lakihanketta kohtaan. Hyväksyin kuitenkin (ks. vihreä blogi 20.11.08) neuvottelutuloksena saavutetun kompromissin perustuslakivaliokunnan lausunnoksi, jossa lain tulkintaa rajattiin merkittävästi asettamatta kuitenkaan muodolliseksi edellytykseksi perustuslainsäätämisjärjestystä. Tulos täyttää suomalaisen perustuslakiharkinnan tulkintatradition edellytykset rimaa hipoen, vaikka ylpeä en tuloksesta ollut. Mielestäni vapausoikeuksien suoja pitää tulkita mieluiten laajasti kuin kapeimmalla mahdollisella tavalla. Perustuslakivaliokunta huomioi kuitenkin lähes kaikki laissa kritiikkiä herättäneet kohdat, ja useimpia on parannettu sen perusteella merkittävästi. (Monet julkisuudessa esitetyt väitteet lain porsaanrei'istä eivät siten enää pidä paikkaansa.)

Sanoin jo silloin, että kysymys laista on kuitenkin ennen kaikkea poliittinen, ei perustuslaillinen: haluammeko säätää ihmisten tietoyhteiskunnassa nauttimia perusoikeuksia rajoittavia lakeja, joiden julkilausuttua tarkoitusta itse laki ei edes kovin hyvin edistä?

Hallituksen olisi nyt syytä vielä miettiä tätä kysymystä. Parasta olisi, että hallitus viisastuisi ja vetäisi heikosti valmistellun esityksen takaisin. Laki pyrkii vastaamaan joihinkin tosiasiallisiin ongelmiin, mutta se voi paljastua Troijan hevoseksi. Hallituksessa on ollut yksimielisyys siitä, että verkko-omaisuuden ja yrityssalaisuuksien suojaa on parannettava, mutta liikenneministeriön esittämä keino ei yksinkertaisesti vastaa tavoitetta vaan on - eduskunnan tekemien lakia parantavien rajausten ja tarkistustenkin jälkeen - ylimitoitettu tai vähintään sekava.

Lex Nokia on huonosti valmisteltu laki, johon on sotkettu asioita joilla ei ole tekemistä keskenään:
- yrityssalaisuuksien vuodon estäminen suuryrityksissä viestien ym. tietoliikenneviestinnän tunnistetietojen tutkimisen avulla
- kenen tahansa ylläpitäjän mahdollisuus "luvattoman käytön" estämisen nimissä tutkia verkkoaan käyttävän viestien tunnistetietoja (litaniana erilaisia epämääräisesti rajattuja uhkia, minkä tulkintaa PeV tosin hyvin selkeästi rajasi)
- vastuuta rikosepäilyjen tutkinnasta yrityssalaisuuksien osalta on siirretty poliisilta yksityisille yrityksille ja verkon ylläpitäjille, jotka saavat poliisia laajemmat valtuudet tutkia viestien tunnistetietoja (tämä viranomaistyyppisten valtuuksien siirtäminen yksityiselle oli asia, jossa jäin perustuslakivaliokunnassa yksin vastustamaan. Valiokunnan lausunto vain rajasi tätä mahdollisuutta, eikä pitänyt tässä tapauksessa valtuuksia suoranaisina esitutkintavaltuuksina vaan tutkinnan valmisteluna. Kun sain muilta osin tärkeitä muutoksia lausuntoon, en kuitenkaan jättänyt tästä syystä eriävää mielipidettä.)
- käyttäjän ja yritysten tietoturvan vahvistaminen sekä kansallisen tietosuojavaltuutetun aseman parantaminen henkilösuojaa turvaavana viranomaisena (mikä pitäisi toteuttaa joka tapauksessa, tästä lakihankkeesta riippumatta)

Ne muutokset, jotka perustuslakivaliokunnan sekä liikenne- ja viestintävaliokunnan käsittelyssä lisättiin lakiin, paransivat lakiesitystä huomattavasti. Tosiasiassa väärinkäytösten riski - siis tunnistetietojen laajamittainen ja perusteeton käsittely verkon käyttäjän oikeusturvaa heikentävällä tavalla - on merkittävästi vähentynyt. Ylipäätään koko automaattisen valvonnan käyttöönotto on niin laajan oikeusturva- ja hallintoprosessin takana, että kovin moni yritys ei sitä käyttöön ota. Siirtyminen automaattisesta valvonnasta manuaaliseen - jossa voidaan eritellä yksittäisen henkilön tunnistetietoja - edellyttää laajaa kontrollia tietosuojavaltuutetun toimesta ja vahvoja epäilyjä. Yrityssalaisuuksien osalta tunnistetietojen tutkiminen on viimesijainen keino, jota voidaan soveltaa vain kun voidaan perustella vuodon tapahtuminen tätä kautta ja kun kaikki muut keinot on käytetty.

Vihreiden edustajana liikenne- ja viestintävaliokunnassa toimiva Johanna Sumuvuori jätti lisäksi muutosehdotuksia, jotka rajaisivat lain koskemaan vain yrityssalaisuuksien vuotoa, ei luvattoman käytön valvontaa. (nämä ehdotukset eivät menneet läpi, mutta niistä äänestetään istunnossa) Jos Sumuvuoren ehdotukset menevät läpi, olisi laki jo kohtuullisessa kunnossa ja epäily laajasta perusoikeuksien rajoittumisesta olisi perusteeton.

Suurin ongelma laissa on rajausten jälkeen periaatteellinen: se on väärä signaali siitä kehityksestä, mihin ihmisten vapausoikeuksia tietoyhteiskunnassa ollaan suuntaamassa. Vaikka julkisuus on ollut osin kohtuutonta ja perustunut vääristyneeseen kuvaan lain tarjoamista valvontamahdollisuuksista, ei se vähennä lain symbolista ongelmallisuutta. Juridiselta kannalta kyseenalaisinta on kehitys, jossa esitutkinnan kaltaisia viranomaisvaltuuksia annetaan yksityiselle, olkoonkin että tietosuojavaltuutettu voi valvoa tarkkaan (resurssiensa puitteissa, mikä on myös yksi ongelma) näiden valtuuksien käyttöä.

Laajan kansalaisliikkeen, oikeusoppineiden, poliisin ja muiden asiaan perehtyneiden riippumattomien tahojen kritiikki on ollut niin murskaavaa, että hallituksen on harkittava tilannetta vielä kerran. Esitys olisi syytä vetää takaisin ja palattava tietoturvan parantamiseen, yrityssalaisuuksien suojaamiseen sekä verkon luvattoman käytön aiheuttamien haittojen torjuntaan järkevällä ja oikein mitoitetulla tavalla - uhkaamatta samalla ihmisten perusoikeuksien suojaa ja luomatta ennakkotapausta valvontayhteiskuntakehitykselle.

Suuryritysten yrityssalaisuuksien suojaa voidaan parantaa pakkokeinolain uusimisen yhteydessä, jolloin voidaan tarkkaan arvioida poliisin oikeudet tällaisiin rikoksiin puuttumisessa vaarantamatta kuitenkaan näin laajasti luottamuksellisen viestin suojaa ja antamatta yksityisille yrityksille viranomaisvaltuuksia. Verkon luvaton käyttö saattaa aiheuttaa suurten verkkojen ylläpitäjille (esimerkiksi yliopistoissa) suuren omaisuusriskin, mutta tällaisen omaisuuden puolustamiseksi ei tarvita näin laajaa puuttumista perusoikeuksiin, vaan se voidaan toteuttaa huomattavasti suppeammin. Työnantajan ja työntekijän välisestä suhteesta määritellään lukuisissa muissa yhteyksissä. Siihen ei muuten _todellakaan_ lukeudu ministeri Lindenin viimeisintä sammakkoa, eli oikeutta riisua työntekijä alasti.

Todellinen turvallisuus syntyy ihmisten vapaudesta, ei tämän vapauden häikäilemättömästä rajoittamisesta.