Mitä CLOUD Act tarkoittaa ilmoituskanavalle?

Kun yritys kilpailuttaa ilmoituskanavaa, ensimmäinen tietoturvakysymys on yleensä, missä tiedot sijaitsevat, ja vastaus on useimmiten Eurooppa. Se jättää tärkeämmän kysymyksen auki: minkä maan lainsäädäntö ulottuu palveluntarjoajaan ja sen alihankkijoihin.

Mikä CLOUD Act on

CLOUD Act on vuonna 2018 säädetty yhdysvaltalainen laki. Sen nojalla Yhdysvaltain viranomaiset voivat velvoittaa yhdysvaltalaisen palveluntarjoajan luovuttamaan tietoja, jotka ovat sen hallussa tai hallinnassa.

Eurooppalainen konesali ei siis yksin suojaa tietoja, jos palvelua tarjoaa yhdysvaltalainen yhtiö tai sen tytäryhtiö. Jos eurooppalainen ohjelmistoyritys tallentaa ilmoitukset yhdysvaltalaisen pilvipalvelun tallennustilaan, palvelu kuuluu CLOUD Actin piiriin, vaikka tallennustila sijaitsisi Irlannissa tai Saksassa. Tilanne on tavallinen, koska suurin osa maailman pilvi-infrastruktuurista on yhdysvaltalaisten yhtiöiden omistuksessa, ja moni eurooppalainen palvelu hyödyntää niiden infrastruktuuria asiakkaan tietämättä.

Miksi tämä koskee ilmoituskanavaa erityisesti

Ilmoituskanavassa lainkäyttöalue ei ole abstrakti kysymys. Kanavaan kirjoitetaan epäilyjä väärinkäytöksistä, nimiä ja todisteita, joskus myös terveystietoja tai rikosepäilyjä. Ilmoittajansuojelulain mukaan ilmoituksia käsittelevien on pidettävä salassa sekä ilmoittajan että ilmoituksen kohteen henkilöllisyys (32 §), eikä salassapito ole enää yrityksen omissa käsissä, jos tiedot voidaan luovuttaa ulkomaiselle viranomaiselle yrityksen tietämättä. Lisäksi tietosuoja-asetus edellyttää, että henkilötietojen siirto Euroopan talousalueen ulkopuolelle perustuu asianmukaiseen oikeusperusteeseen ja riittäviin suojatoimiin.

Miten ratkaisimme asian RehtIO Whistlessä

Halusimme, että CLOUD Act ei ulotu ilmoituksiin lainkaan, jolloin arviota ei tarvitse tehdä ilmoitusten osalta. Tähän tarvittiin kolme valintaa, joista jokaisella on myös hintansa.

Ensimmäinen on sijainti ja palveluntarjoaja. Ilmoitukset säilytetään Helsingissä ISO 27001 -sertifioidussa infrastruktuurissa, jota ylläpitää suomalainen yritys, ja varmuuskopiot säilytetään salattuina toisessa konesalissa Suomessa. Yhdysvaltalainen pilvipalvelu ei käsittele ilmoituksia missään vaiheessa. Tämä rajaa pois suuren osan valmiista pilvipalveluista, joten moni asia on rakennettu itse.

Toinen on salaus ja erityisesti avainten sijainti. Jokaisella ilmoituksella on oma salausavaimensa, jolla ilmoituksen sisältö, viestit ja liitteet salataan. Avainta ei säilytetä salaamattomana, vaan sen suojaa eurooppalaisen palveluntarjoajan avainhallintapalvelu, ja palvelin purkaa salauksen vain silloin, kun nimetty käsittelijä tai ilmoittaja itse avaa ilmoituksen. Ilmoitusten lukeminen kirjataan tarkastuslokiin. Olennaista on, että lukko ja avain ovat eri yrityksillä, molemmat eurooppalaisia: tallennuspalvelu näkee vain salattua dataa, eikä avainhallintapalvelu näe ilmoituksia lainkaan.

Kolmas on se, ettei ilmoittajasta jää jälkeä. Emme tallenna IP-osoitteita emmekä käytä evästeitä tai laiteseurantaa ilmoituskanavalla, eikä kanava lataa kolmansien osapuolten skriptejä, fontteja tai analytiikkaa. Pääsykoodi on ainoa avain ilmoittajan tapaukseen.

Viisi kysymystä toimittajalle

Näillä kysymyksillä selviää, kenen lainsäädäntö tietoihinne ulottuu, olipa kanava jo käytössä tai vasta valinnassa. Vastaukset kannattaa pyytää kirjallisesti, sillä ne kuuluvat myös tietosuojan vaikutustenarviointiin.

1. Missä ilmoitukset ja niiden varmuuskopiot säilytetään? Varmuuskopiot unohtuvat usein.
2. Minkä maan yhtiö palvelua tarjoaa, ja kuka omistaa sen? Eurooppalaisella toimittajalla voi olla yhdysvaltalainen emoyhtiö.
3. Ketkä alihankkijat käsittelevät ilmoitusten sisältöä? Pyytäkää alihankkijaluettelo ja tarkistakaa jokaisen kotimaa, myös sähköpostin, virheseurannan ja tallennustilan osalta.
4. Kuka hallinnoi salausavaimia? Jos avaimet ovat saman pilvipalvelun hallussa kuin tiedot, salaus ei rajoita palveluntarjoajan pääsyä.
5. Lataako ilmoitussivu kolmansien osapuolten palveluita? Ulkoinen robottitunnistus, fonttipalvelu tai analytiikka saa ilmoittajan IP-osoitteen ennen kuin hän on kirjoittanut riviäkään.

Mitä tämä ei tarkoita

CLOUD Act ei tee yhdysvaltalaisessa pilvessä toimivasta ilmoituskanavasta automaattisesti lainvastaista, ja moni yritys arvioi riskin hyväksyttäväksi. Pointtini on, että arvio pitäisi tehdä tietoisesti eikä olettaa eurooppalaisen konesalin ratkaisevan kysymystä. Me rakensimme palvelun niin, ettei arviota tarvitse tehdä ilmoitusten osalta, koska ilmoitukset ovat yrityksen arkaluonteisinta tietoa ja niiden kohtalon pitäisi mielestäni ratkaista Suomen ja EU:n lainsäädäntö.

Jos listalta puuttuu kysymys, joka teillä on osoittautunut tärkeäksi, kuulen siitä mielelläni. Lisää siitä, miten RehtIO Whistle suojaa ilmoituksia, löydätte usein kysytyistä kysymyksistä. Jos vastausta ei löydy, voitte olla yhteydessä.