FiComin lausunto tiedustelulain säännöksistä

Liikenne- ja viestintävaliokunnalle sekä puolustusvaliokunnalle
Asia: HE 202/2017 vp ja 203/2017 vp

Tietoliikenteen ja tietotekniikan keskusliitto, FiCom ry kiittää mahdollisuudesta tulla kuulluksi asiassa ja esittää lausuntonaan seuraavaa:

Pääviestit

• FiComin, sen jäsenyritysten ja tiedustelulakiehdotusten valmistelijoiden yhteistyö on ollut hyvää.
• Sotilastiedusteluehdotuksen perusteluissa on esitetty, että salaisten pakkokeinojen käyttäminen teleyritysten laitetiloissa on kielletty. Vastaava kielto tulisi olla voimassa myös siviilitiedustelun osalta, joten valiokunnan lausunnossa olisi erittäin tarpeellista olla tätä koskeva täydennys.
• Siviilitiedustelulain 22 §:n tiedonsiirtäjän tiedonantovelvoitteen yksityiskohtaiset perustelut olisi valiokunnan lausunnossa erittäin tarpeellista oikaista vastaamaan sotilastiedustelulain perusteluja.
• Salaisten pakkokeinojen käytön kielto on syytä laajentaa myös tietoyhteiskunnan palvelun tarjoajiin: Suomi on pilvipalvelujen käytössä EU:n kärkeä, joten selvennys on tärkeä.
• Yrityksillä tulee olla oikeus täyteen korvaukseen viranomaisten avustamisesta.
• On hyvä, että tiedustelutoiminnan valvonnasta annetussa esityksessä on nimenomaisesti todettu, että kantelun voi tehdä myös oikeushenkilö.

Esitysten valmistelusta

Siviili- ja sotilastiedusteluehdotusten valmistelussa on tehty tiivistä yhteistyötä valmistelijoiden sekä FiComin ja sen jäsenyritysten välillä, ja ehdotuksia on useilta osin yhteistyössä kehitetty. Muutosten myötä esitysten toiminta käytännössä on hyvällä pohjalla.

Salaisten pakkokeinojen käyttäminen

Siviili- ja sotilastiedusteluesitysten mukaan tiedusteluviranomaisilla olisi oikeus asentaa salaa valvontaan, seurantaan tai tarkkailuun soveltuva laite toimenpiteen kohteena olevaan esineeseen tai tilaan. Toimivaltuuksien soveltamisalasta on suljettu pois kotirauhan perusteella vakituiseen asumiseen käytettävä tila.

Valtuuksia ehdotetaan siviilitiedusteluehdotuksen poliisilain 5 luvun 16 §:ään ja sotilastiedustelulain 40 §:ään. Sotilastiedusteluehdotuksen yksityiskohtaisissa perusteluissa (s. 252) on selvitetty, että ”laitteen, menetelmän tai ohjelmiston asentaminen ei käytännössä kohdistuisi kokonaisuudessaan esimerkiksi tietojärjestelmiin, joissa käsiteltäisiin ennalta rajaamattoman käyttäjäjoukon tietoja, sillä tiedustelumenetelmän käytön kohteena olevan tahon tietojen hankkiminen näin ei olisi tarkoituksen mukaista eikä sallittua.”

Teleyritysten on käytännössä hyvin vaikea huolehtia tietoyhteiskuntakaaren 29 luvun mukaisista viestintäverkkojen laatuvaatimuksista, jos viranomaisilla on oikeus omatoimisesti päästä teleyritysten tietämättä niiden laitetiloihin ja kytkeä verkkoihin teleyritysten tietämättä laitteita. Teleyritykset käsittelevät toiminnassaan käytännössä kaikkien yli kouluikäisten suomalaisten henkilötietoja. Paitsi viestintälainsäädännön ja palveluiden käyttäjien yksityisyyden suojan, myös toukokuussa 2018 voimaantulevan yleisen henkilötietoasetuksen tietoturvaloukkauksien seuraamusten vuoksi on ehdottoman tärkeää, että tiedusteluviranomaisilla ei ole mahdollisuutta päästä salaa yleisten viestintäverkkojen laitetiloihin. Ulkopuolisten yksityisyyden suojaamiseksi kielto on tarpeen ulottaa koskemaan myös tietoyhteiskunnan palveluiden tarjoajia. 

FiCom pitää tärkeänä, että valiokunta lausuu selvästi siitä, että laitteiden asentaminen salaa teleyritysten ja tietoyhteiskunnan palvelujen tarjoajien laitetiloihin on kiellettyä.

Tiedonsiirtäjän tiedonantovelvollisuus – yhdenmukaisuus siviili- ja sotilasesityksissä

FiComin, sen jäsenyritysten ja lakiesitysten valmistelijoiden kesken kehitettiin tiedonsiirtäjien tiedonantovelvollisuuden yksityiskohtia. Tämän yhteistyön perusteella muotoutuivat sotilastiedusteluehdotuksen 9 luvun 95 § perustelut. Keskeistä oli, että tiedon siirtäjällä ei ole velvollisuutta luovuttaa tiedusteluviranomaisille asiakaskohtaisia tietoja, vaan tietoja verkon teknisestä toteuttamistavasta ja topologiasta.

Sotilastiedusteluehdotuksen 9 luvun 93 §:n yksityiskohtaisissa perusteluissa (s. 328) on seuraava kirjaus:

Pykälän tarkoittamat tietoliikennetiedustelun kohdentamiseksi välttämättömät tiedot koskisivat verkon teknistä toteuttamistapaa ja topologiaa esimerkiksi tietyn maantieteellisen alueen osalta. Pykälän mukaan tiedonsiirtäjää ei voitaisi velvoittaa luovuttamaan asiakkaana olevaa yksittäiseen luonnolliseen tai oikeushenkilöön liittyviä tietoja.

Sen sijaan siviilitiedustelulakiehdotuksen 22 §:n yksityiskohtaisiin perusteluihin (s. 261) on jäänyt, ilmeisesti epähuomiossa, lausuntoversiossa ollut kirjaus:

Pykälän tarkoittaman tiedonantovelvollisuuden piiriin kuuluvat tiedot koskisivat ennen kaikkea sitä, mitkä asiakasorganisaatiot ovat varanneet tiedonsiirtäjältä siirtokapasiteettia käyttöönsä ja mitä tiedonsiirtäjän hallitsemia rajan ylittävän viestintäverkon osia tällaiset varaukset koskevat. Pykälä velvoittaisi tiedonsiirtäjän antamaan tietoja myös muista mahdollisista seikoista, jotka vaikuttavat tietoliikenteen reitittymistodennäköisyyteen sen ylittäessä Suomen rajan tiedonsiirtäjän omistamassa tai sen hallinnassa olevassa viestintäverkon osassa. On syytä korostaa, että pykälä velvoittaisi tiedonsiirtäjän antamaan tietoja vain siltä kapasiteettia varanneista asiakasorganisaatioista, ei sen sijaan viestintätapahtumien osapuolena olevista kuluttaja-asiakkaistaan. Pykälä ei muutenkaan perustaisi suojelupoliisille oikeutta hankkia tai saada tietoja yksittäisistä viestintätapahtumista tai niiden osapuolina olevista henkilöistä.

Lakien systematiikan vuoksi tietojenantovelvollisuuden on oltava sisällöltään samanlainen sekä sotilas- että siviilitiedustelulaeissa. Esityksistä sotilastiedustelulain yksityiskohtaiset perustelut ovat sisällöltään ne, jotka on toimialan kanssa yhteistyössä kehitetty.

FiCom esittää, että liikenne- ja viestintävaliokunta korjaa edellä tarkoitetun ristiriidan lausunnossaan esimerkiksi seuraavasti:

Valiokunta toteaa hallituksen esityksen siviilitiedustelulain 22 §:n yksityiskohtaisten perusteluiden kolmannesta kappaleesta poiketen, että siviilitiedustelulain 22 §:ssä tarkoitetuilla Suomen rajan ylittävän viestintäverkon rakenteeseen ja siinä kulkevan tietoliikenteen reitittymiseen liittyvillä teknisillä tiedoilla tarkoitetaan tietoja, jotka koskevat verkon teknistä toteuttamistapaa ja topologiaa esimerkiksi tietyn maantieteellisen alueen osalta. Pykälän mukaan tiedonsiirtäjää ei voitaisi velvoittaa luovuttamaan asiakkaana olevaa yksittäiseen luonnolliseen tai oikeushenkilöön liittyviä tietoja.

Yrityksille aiheutuvien kustannusten korvaaminen

Ehdotetuista säännöksistä johtuisi teleyrityksille ja tiedonsiirtäjille kustannuksia, joiden määrä riippuisi poliisilain ehdotetun 5 a luvussa tarkoitettujen menetelmien sekä siviili- ja sotilastiedustelulaeissa tarkoitetun tiedustelun ja tiedonsiirtäjiltä vaadittavien toimenpiteiden kokonaismäärästä. Tiedustelumenetelmien tai -toimenpiteiden kokonaismäärä ei ole teleyritysten eikä tiedonsiirtäjien ennakoitavissa eikä kontrolloitavissa. Esityksen perusteella ei liioin pysty ennakoimaan, minkälaisiksi tiedustelutoimenpiteistä johtuvat kustannukset tulisivat teleyrityksille tai tiedonsiirtäjille muodostumaan. Joka tapauksessa on selvää, että teleyrityksiin ja tiedonsiirtäjiin tulisi ehdotuksen perusteella olemaan yhteydessä sellaisia uusia tahoja, joille nykyiset viranomaisyhteistyön käytännöt eivät ole niiden päivittäisessä toiminnassa tuttuja.

Vuoden 2015 alusta muuttuneen tietoyhteiskuntakaaren kustannusten korvauskäytännön mukaan teleyritykset eivät ole enää saaneet korvausta viranomaisten avustamisesta aiheutuneesta työstä, mutta järjestelmäkustannukset on edelleen korvattu. Ehdotuksessa poliisilain tiedustelumenetelmistä aiheutuvat toimenpiteet korvattaisiin tietoyhteiskuntakaaren mukaan.

Tiedustelun säädösympäristöä muuten kehitettäessä on syytä oikaista kustannusten korvauksen sääntely siten, että teleyrityksillä ja tiedonsiirtäjillä on aina oikeus täysimääräiseen korvaukseen viranomaisten avustamisesta aiheutuneista kustannuksista. Nykyinen käytäntö on omiaan johtamaan tehottomiin toimintatapoihin, kun järjestelmien kehittämisen asemesta tyydyttäisiin ei-korvattaviin manuaalisesti tehtäviin toimenpiteisiin.