Ammattisalaisuus digitaalisella aikakaudella

Ongelma, jota lähes kukaan ei näe

Asianajaja vastaanottaa puhelimeensa arkaluonteisen asiakirjan asiakkaaltaan. Lääkäri keskustelee kollegansa kanssa arkaluontoisesta diagnoosista, kun taas psykologi koordinoi potilaan hoitoa psykiatrin kanssa. Verokonsultti lähettää samalla kanavalla tarkastettavana olevan veroilmoituksen tiedot. Kaikki tekevät sen pikaviestimien kautta. Ja tuskin kukaan pysähtyy miettimään, mihin nuo viestit todella päätyvät.

Vastaus on useimmiten sama: palvelimelle, jota ammattilainen ei hallitse, maassa, jonka lainsäädäntöä hän ei välttämättä tunne, ja jota ylläpitää yritys, jonka liiketoimintamalli on suorassa taloudellisessa mielessä tietojen kerääminen. Viesti saattaa olla salattu siirron aikana. Mutta kun se saapuu palvelimelle, se on kolmannen osapuolen infrastruktuuriin tallennettu kopio, joka on tämän kolmannen osapuolen operatiivisten, oikeudellisten ja kaupallisten päätösten alainen. Ei ammattilaisen.

Mitä lainsäädäntö sanoo

Euroopan yleinen tietosuoja-asetus on yksiselitteinen 32 artiklassaan: henkilötietojen käsittelijän on toteutettava "asianmukaiset" tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi. Toimenpiteiden asianmukaisuutta ei arvioida sen perusteella, "mitä sovellus sanoo tekevänsä", vaan todellisen riskin perusteella. Jos asiakkaan tiedot päätyvät palvelimelle, jonka lainkäyttövalta ei takaa Euroopan talousaluetta vastaavaa suojatasoa, rekisterinpitäjä – eli ammattilainen – ottaa riskin, josta hän ei todennäköisesti ole täysin tietoinen.

Eikä kyse ole vain GDPR:stä. Ammattisalaisuus, joka on säädetty erikseen asianajajille, lääkäreille, psykologeille, tilintarkastajille, toimittajille ja muille, edellyttää, että viestintä asiakkaan kanssa on luottamuksellista. Ei "mahdollisuuksien mukaan luottamuksellista", vaan ehdottoman luottamuksellista. Jos käytetty tekninen kanava ei voi taata tätä, ammattilainen ottaa riskin, jota hänen ammattietiikkansa ei salli.

Paradoksi on, että riski on näkymätön. Kukaan ei auditoi toimiston viestintää. Kukaan ei pyydä keskustelupalvelun tarjoajalta tietojenkäsittelysopimusta. Riski paljastuu vasta kun on liian myöhäistä: vuoto, julkaistu tietomurto tai toisella mantereella toteutettu oikeuden määräys ilman ilmoitusta käyttäjälle.

Mitä ammattilainen teknisesti tarvitsee

Mitä vaitiolovelvollinen ammattilainen tarvitsee, on vaatimusten näkökulmasta yllättävän yksinkertaista:

• Kanavan, jossa viestit kulkevat suoraan lähettäjän laitteesta vastaanottajan laitteeseen ilman välissä olevaa kopioita tallentavaa palvelinta.
• Infrastruktuurin, jonka lainkäyttövalta ja käytännöt on sovitettu GDPR:ään rakenteellisesti, ei vain julistuksilla.
• Tavan tunnistautua keskustelukumppanille luovuttamatta ammatillisia yhteystietoja (asiakkaiden nimiä, puhelinnumeroita, yhteystietoluetteloa) kolmannelle osapuolelle.
• Varmennettavan järjestelmän – joka ei perustu palveluntarjoajan sanaan – jolla vahvistetaan, että viesti saapui oikealle henkilölle.

Tämä ei ole vaativa lista. Se on itse asiassa se, mitä pidettiin itsestäänselvyytenä digitaalista aikaa edeltävässä ammatillisessa viestinnässä. Kirjattu kirje täytti kaikki nämä kriteerit. Samoin puhelu toimiston vaihteesta asiakkaan vaihteeseen. Outoa ei ole se, että näitä takuita vaaditaan tänään: outoa on se, että ne on menetetty digitaaliseen kanavaan siirryttäessä kenenkään huomaamatta.

Salaamisen ja tallentamatta jättämisen ero

On olemassa hyödyllinen vertauskuva. Viestin salaaminen ja sen tallentaminen palvelimelle vastaa asiakirjan laittamista tallelokeroon ja tallelokeron jättämistä tuntemattoman kotiin. Tallelokero on hyvä. Asiakirjaa ei periaatteessa voi lukea. Mutta asiakirja on silti jonkun toisen kotona. Ja tuo toinen voi saada oikeuden määräyksen, joutua tietohyökkäyksen kohteeksi, muuttaa palveluehtojaan, tulla toisen eettisesti erilaisen yrityksen ostamaksi tai kadota huomenna.

Rakenteellinen vaihtoehto, joka ei perustu menettelytapoihin tai luottamukseen, on se, että asiakirja ei koskaan poistu toimistosta. Että se matkustaa suoraan ammattilaisen pöydältä asiakkaan pöydälle ilman yhtäkään välikättä. Tätä laitteiden välinen päästä päähän -viestintä teknisesti tekee: se poistaa välikäden. Välikäsi ei ole paha: ammattisalaisuuden tapauksessa hän on yksinkertaisesti tarpeeton. Ja kaikki tarpeeton tulisi poistaa periaatteellisista syistä mistä tahansa järjestelmästä, joka pyrkii olemaan turvallinen.

Vastuukysymys

Lopulta kysymys, johon jokaisen vaitiolovelvollisen ammattilaisen tulisi voida vastata painokkaalla kyllä-vastauksella, on seuraava:

Jos huomenna keskustelu yhden asiakkaani kanssa vuotaa ja tuomioistuin tai ammattiliitto kysyy minulta, miten hallitsen luottamuksellisuutta, voinko osoittaa teknisesti, ettei käyttämäni kanava tallenna kopioita kolmannen osapuolen infrastruktuuriin? Voinko osoittaa, etteivät tiedot koskaan poistuneet keskusteluun osallistuneiden kahden henkilön laitteista? Voinko osoittaa, turvautumatta toisella mantereella sijaitsevan yrityksen sanaan, että luottamuksellisuus taattiin arkkitehtuurilla eikä lupauksella?

Jos vastaus on ei, kyseessä ei ole tietyn työkalun ongelma: kyse on siitä, että sille on siirretty vastuu, jota varten sitä ei ole suunniteltu. Se on sama kuin laittaisi luottamuksellisia asiakirjoja läpinäkyvään kirjekuoreen ja luottaisi siihen, että postinkantaja ei katso.

Työkalu, jonka ammattilainen valitsee viestintään asiakkaidensa kanssa, kertoo paljon siitä, miten hän arvostaa heidän luottamustaan. On olemassa työkaluja, jotka on suunniteltu niin, ettei tuo luottamus riipu lupauksista vaan arkkitehtuurista. Ja on työkaluja, joita ei ole suunniteltu niin. Eron tunteminen on osa työtä.