Ammattisalaisuus digitaalisella aikakaudella

Ongelma, jota lähes kukaan ei näe

Asianajaja saa puhelimeensa asiakkaalta arkaluonteisen asiakirjan. Lääkäri keskustelee kollegan kanssa vaikeasta diagnoosista. Psykologi koordinoi potilaan hoitoa psykiatrin kanssa. Veroasiantuntija lähettää tarkastettavan ilmoituksen tiedot. Kaikki tekevät sen pikaviestimellä. Ja lähes kukaan ei pysähdy miettimään, mihin nuo viestit todellisuudessa päätyvät.

Vastaus on useimmissa tapauksissa sama: palvelimelle, jota ammattilainen ei hallitse, maahan, jonka lainsäädäntöä hän ei välttämättä tunne, ja yrityksen hallintaan, jonka liiketoimintamallina on – suorin taloudellisin termein – tiedon kerääminen. Viesti voi olla salattu siirron aikana. Mutta kun se saapuu palvelimelle, se on kopio kolmannen osapuolen infrastruktuurissa, alttiina tuon kolmannen osapuolen toiminnallisille, juridisille ja kaupallisille päätöksille. Ei ammattilaisen päätöksille.

Mitä lainsäädäntö sanoo

Euroopan yleinen tietosuoja-asetus on yksiselitteinen 32 artiklassaan: henkilötietojen käsittelijän on toteutettava "asianmukaiset" tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi. Toimenpiteiden asianmukaisuutta ei arvioida sen perusteella, "mitä sovellus sanoo tekevänsä", vaan todellisen riskin perusteella. Jos asiakkaan tiedot päätyvät palvelimelle, jonka lainkäyttövalta ei takaa Euroopan talousaluetta vastaavaa suojatasoa, rekisterinpitäjä – eli ammattilainen – ottaa riskin, josta hän ei todennäköisesti ole täysin tietoinen.

Eikä kyse ole vain GDPR:stä. Ammattisalaisuus, joka on säädetty erikseen asianajajille, lääkäreille, psykologeille, tilintarkastajille, toimittajille ja muille, edellyttää, että viestintä asiakkaan kanssa on luottamuksellista. Ei "mahdollisuuksien mukaan luottamuksellista", vaan ehdottoman luottamuksellista. Jos käytetty tekninen kanava ei voi taata tätä, ammattilainen ottaa riskin, jota hänen ammattietiikkansa ei salli.

Paradoksi on, että riski on näkymätön. Kukaan ei auditoi toimiston viestintää. Kukaan ei pyydä keskustelupalvelun tarjoajalta tietojenkäsittelysopimusta. Riski paljastuu vasta kun on liian myöhäistä: vuoto, julkaistu tietomurto tai toisella mantereella toteutettu oikeuden määräys ilman ilmoitusta käyttäjälle.

Mitä ammattilainen teknisesti tarvitsee

Mitä vaitiolovelvollinen ammattilainen tarvitsee, on vaatimusten näkökulmasta yllättävän yksinkertaista:

• Kanavan, jossa viestit kulkevat suoraan lähettäjän laitteesta vastaanottajan laitteeseen ilman välissä olevaa kopioita tallentavaa palvelinta.
• Infrastruktuurin, jonka lainkäyttövalta ja käytännöt on sovitettu GDPR:ään rakenteellisesti, ei vain julistuksilla.
• Tavan tunnistautua keskustelukumppanille luovuttamatta ammatillisia yhteystietoja (asiakkaiden nimiä, puhelinnumeroita, yhteystietoluetteloa) kolmannelle osapuolelle.
• Varmennettavan järjestelmän – joka ei perustu palveluntarjoajan sanaan – jolla vahvistetaan, että viesti saapui oikealle henkilölle.

Tämä ei ole vaativa lista. Se on itse asiassa se, mitä pidettiin itsestäänselvyytenä digitaalista aikaa edeltävässä ammatillisessa viestinnässä. Kirjattu kirje täytti kaikki nämä kriteerit. Samoin puhelu toimiston vaihteesta asiakkaan vaihteeseen. Outoa ei ole se, että näitä takuita vaaditaan tänään: outoa on se, että ne on menetetty digitaaliseen kanavaan siirryttäessä kenenkään huomaamatta.

Salaamisen ja tallentamatta jättämisen ero

On olemassa hyödyllinen vertauskuva. Viestin salaaminen ja sen tallentaminen palvelimelle vastaa asiakirjan laittamista tallelokeroon ja tallelokeron jättämistä tuntemattoman kotiin. Tallelokero on hyvä. Asiakirjaa ei periaatteessa voi lukea. Mutta asiakirja on silti jonkun toisen kotona. Ja tuo toinen voi saada oikeuden määräyksen, joutua tietohyökkäyksen kohteeksi, muuttaa palveluehtojaan, tulla toisen eettisesti erilaisen yrityksen ostamaksi tai kadota huomenna.

Rakenteellinen vaihtoehto – ei menettelyllinen, ei luottamukseen perustuva – on, ettei asiakirja koskaan poistu toimistosta. Että se matkaa suoraan ammattilaisen pöydältä asiakkaan pöydälle ilman mitään välikäsiä. Sitä laitteiden välinen vertaisviestintä teknisesti tekee: se poistaa välikäden. Kyse ei ole siitä, että välikäsi olisi paha. Kyse on siitä, että ammattisalaisuuden tapauksessa välikäsi on tarpeeton. Ja tarpeeton on jokaisessa turvallisuuteen pyrkivässä järjestelmässä poistettava periaatteellisesti.

Vastuukysymys

Lopulta kysymys, johon jokaisen vaitiolovelvollisen ammattilaisen tulisi voida vastata painokkaalla kyllä-vastauksella, on seuraava:

Jos huomenna keskustelu yhden asiakkaani kanssa vuotaa ja tuomioistuin tai ammattiliitto kysyy minulta, miten hallitsen luottamuksellisuutta, voinko osoittaa teknisesti, ettei käyttämäni kanava tallenna kopioita kolmannen osapuolen infrastruktuuriin? Voinko osoittaa, etteivät tiedot koskaan poistuneet keskusteluun osallistuneiden kahden henkilön laitteista? Voinko osoittaa, turvautumatta toisella mantereella sijaitsevan yrityksen sanaan, että luottamuksellisuus taattiin arkkitehtuurilla eikä lupauksella?

Jos vastaus on ei, ongelma ei ole tietty työkalu. Ongelma on se, että työkalulle on delegoitu vastuu, jota työkalu ei ole suunniteltu kantamaan. Se on kuin laittaisi luottamuksellisia asiakirjoja läpinäkyvään kirjekuoreen ja luottaisi siihen, ettei postinkantaja katso.

Työkalu, jonka ammattilainen valitsee viestintään asiakkaidensa kanssa, kertoo paljon siitä, miten hän arvostaa heidän luottamustaan. On olemassa työkaluja, jotka on suunniteltu niin, ettei tuo luottamus riipu lupauksista vaan arkkitehtuurista. Ja on työkaluja, joita ei ole suunniteltu niin. Eron tunteminen on osa työtä.