Salaus ei tarkoita yksityisyyttä

Lukko, joka ei suojaa kaikkea

Suuri osa nykyisistä viestipalveluista mainostaa päästä päähän -salausta. Ja se on totta: viestien sisältö siirtyy salattuna siten, ettei kukaan matkan varrella, ei edes palveluntarjoaja, voi lukea tekstiä sen ollessa siirrettävänä. Siihen asti väite pitää paikkansa.

Ongelmana on, että sisältö on vain osa totuutta. Vaikka kukaan ei voi lukea mitä sanot, palvelu tietää muita asioita erittäin tarkasti: kenen kanssa puhut, mihin aikaan, kuinka usein, mistä likimääräisestä sijainnista, millä laitteella, kuinka monta viestiä lähetät ja vastaanotat, kuinka monta tiedostoa jaat. Tätä kaikkea kutsutaan metatiedoksi. Ja metatiedot kertovat monissa tapauksissa lähes yhtä paljon kuin itse viesti.

Mitä metatiedot paljastavat

Viestiä ei tarvitse lukea tietääkseen monia asioita. Jos henkilö soittaa tai kirjoittaa onkologille joka tiistai-aamu kello yhdeksän kuuden kuukauden ajan, keskustelua ei tarvitse kuulla arvatakseen, mitä on meneillään. Jos kaksi henkilöä vaihtaa sata viestiä päivässä ja yhtäkkiä lopettaa, viestejä ei tarvitse lukea ymmärtääkseen, mitä on tapahtunut. Jos veroasiantuntija saa kaksikymmentä viestiä peräkkäin samalta asiakkaalta neljännesvuosittaisen tilinpäätöksen aattona, viestintämalli puhuu puolestaan.

Metatiedot paljastavat käyttäytymismalleja: kuka on tekemisissä kenen kanssa, millaiset aikataulut kullakin on, milloin he ovat valveilla, milloin he nukkuvat, milloin he matkustavat, ketkä asiakkaat ovat aktiivisimpia, mitkä ammatilliset suhteet ovat tiiviimpiä. Metatietoja keräävä palvelin voi rakentaa yksityiskohtaisen profiilin kenen tahansa käyttäjän henkilökohtaisesta ja ammatillisesta elämästä lukematta koskaan sanaakaan siitä, mitä hän kirjoittaa.

On olemassa historiallinen esimerkki, joka havainnollistaa tätä karusti. NSA:n entinen johtaja Michael Hayden muotoili asian suoraan vuonna 2014: "We kill people based on metadata". Väite viittasi Yhdysvaltain sotilasoperaatioihin kohteita vastaan, jotka tunnistettiin pelkästään heidän viestintämalliensa perusteella. Ei yhtäkään luettua viestiä. Vain kontaktiverkosto ja aikataulut.

Se, että palvelu kerää metatietoja, tarkoittaa, että sillä on valmius käyttää niitä käyttäjiään vastaan. Sama valmius on myös kolmannella osapuolella, jolla on pääsy näihin tietoihin – oikeuden määräyksellä, tietoturvamurron seurauksena tai tietojen myynnin kautta, jos käyttöehdot sen sallivat.

Pääsy yhteystietoihin

Toinen vektori, joka jää lähes huomaamatta: yhteystietoluettelo. Suuri osa viestintäpalveluista pyytää pääsyä puhelimen yhteystietoihin rekisteröitymisen yhteydessä. Ne lataavat kaikki numerot palvelimelleen näyttääkseen, kuka muu käyttää palvelua. Siitä hetkestä lähtien yrityksellä on täydellinen kartta käyttäjän suhteista, vaikka tämä ei olisi koskaan kirjoittanut yhtäkään viestiä kenellekään.

Ammatissaan vaitiolovelvolliselle – asianajajalle, lääkärille, psykologille, konsultille – tuo luettelo sisältää asiakkaita. Jos yhteystiedot on ladattu kolmannen osapuolen palvelimelle, asiakkaiden nimet ovat infrastruktuurissa, jonka lainkäyttövaltaa ja käytäntöjä ammattilainen ei hallitse. Ammattisalaisuus ei murru sinä päivänä, kun joku vuotaa keskustelun: se murtui jo paljon aiemmin, siinä hetkessä kun lataus hyväksyttiin.

Ero salaamisen ja keräämättä jättämisen välillä

Salaaminen on sisällön suojaamista. Yksityisyys on sitä, ettei kerätä sellaista, mitä ei tarvita. Ne ovat eri asioita, ja ero on toiminnallisesti kriittinen. Palvelu voi salata kaikki viestit täydellisesti ja samalla tietää lähes kaiken käyttäjistään metatietojen kautta. Nämä kaksi asiaa ovat täysin yhteensopivia. Itse asiassa se on alan hallitseva liiketoimintamalli.

Oikea kysymys palvelun todellisen yksityisyyden arvioimiseksi ei ole "salaako se sisällön?". Siihen on vastattu jo vuosia sitten. Oikea kysymys on: "mitä metatietoja se luo ja missä niitä säilytetään?". Ja ennen kaikkea: "mitä metatietoja sen ei tarvitse luoda?".

Arkkitehtuuri, joka minimoi metatiedot rakenteellisesti – ei lupauksilla, ei sisäisillä käytännöillä – on rakenteellisesti yksityisempi kuin arkkitehtuuri, joka kerää ja salaa ne. Sillä tietoja, joita ei ole olemassa, ei voida vuotaa, myydä, luovuttaa oikeuden määräyksellä eikä menettää tietomurrossa.

Lukko ja kartta

Markkinoiden kehittynein lukko ei kerro mitään siitä kartasta, joka jää sen ulkopuolelle. Palvelu voi salata jokaisen viestin täydellisesti ja samalla tietää, kenen kanssa puhut, milloin, kuinka monta kertaa ja mistä —lukematta ainoatakaan sanaasi. Ammattisalaisuuksia käsitteleville todella tärkeä kysymys ei ole se, matkustaako viesti salattuna: tärkeää on se, mitä salauksen ulkopuolelle on jätetty kenenkään pyytämättä.

Rehellinen vastaus useimmissa yksityisinä mainostetuissa palveluissa on: melkein kaikki.

---

Tämä artikkeli on ensimmäinen sarjassa, joka käsittelee ammatillisten viestintätyökalujen todellista toimintaa. Seuraavissa osissa käsitellään GDPR-vaatimustenmukaisuutta viestinnässä ja ammattisalaisuuden käsitettä digitaalisella aikakaudella.