Google tietää kaiken. Jos etsin tietoa jonkin yrityksen sivuilta, eteen saattaa tulla mainos, joka esittelee sähkökitaroita. Tai moottoripyöriä. Mutta onko näiden selaustietojen kerääminen sallittua? Ainakin se vähenee ensi vuonna, kun myös Googlen Chrome lakkaa tukemasta kolmansien osapuolten keksejä.
Tutkimuslaitos IDC järjesti tänään Future of Trust -verkkoseminaarin, jossa käsiteltiin datan käsittelyn tietoturvaa hyvin monista näkökulmista. Pauligin tietoturvajohtajana nykyään työskentelevä Tero Tammisalo tarttui kolmansien osapuolten käyttämisen keksien tietoturvaongelmaan esityksessään.
Tammisalon mukaan keskeinen ongelma näiden keksien suhteen on se, että niiden kohdalla sekä palveluntarjoaja että käyttäjä menettävät kontrollin. – Esimerkiksi GDPR-säännöistä tulee paljon suostumukseen liittyviä vaatimuksia ja silti eväste sellaisenaan on suostumus datan käyttöön.
Kerätäänkö eväisteillä sitten sellaista dataa, jonka kerääminen on GDPR:n mukaan kielletty? Tammisalo haluaisi tulkita tällaiseksi dataksi hyvin tiukasti määritellyn informaation. - Mikä tahansa tieto, mikä liittyy tunnistettavaan tai tunnistettavissa olevaan henkilöön, kaikki uniikki tieto on mielestäni henkilötietoa.
GDPR:n mukaan henkilöistä ei saa kerätä sellaista datamassaa, johon hänellä itsellään ei ole vaikutusvaltaa. – Mielestäni kolmansien osapuolten evästeet keräävät tällaista tietoa ja ainoa keino on estää nämä evästeet, Tammisalo katsoo.
Tammisalon mukaan GDPR:n ja evästeiden suhde osoittaa, että regulaatiolla on vaikeuksia pysyä teknologian perässä. Jo GDPR osoittaa regulaation, teknologian ja prosessien tulkintavaikeuden. - Jos sakkoja on määrätty siksi, että rekisterinpitäjä ei ole riittävän hyvin informoinut tietojen käsittelystä, tai suostumuksen peruminen on liian hankalaa, ollaan tilanteessa, jossa eri jäsenvaltioissa tulee erilaisia tulkintoja ja toimijat ovat eriarvoisessa asemassa.
Regulaatio on apuväline. Olennaista on kuitenkin yritysten toiminta. Kun sivustoja suunnitellaan, on olennaista tietää, miksi ja mitä tarkoitusta varten mitäkin tietoa tarvitaan.
- Yritysten sisällä 3. osapuolen evästeisiin tulisi suhteutua kuten henkilötietoihin. Tällöin käyttötarkoitus, elinkaari ym. asiat tulevat jo oletusarvoisesti määriteltyä, eikä käyttäjää seuraavia träkkereitä aseteta vain siksi, että "kaikki muutkin".
Chromen osalta kolmansien osapuolten keksien käyttäminen loppuu ensi vuonna. Firefoxin ja Safarin osalta tuki on loppunut jo aiemmin, mutta Chromen päätyminen samaan tarkoittaa käytännössä 3. osapuolten evästeiden kuolemaa, kuten moni analyytikko on arvioinut.
Keksit eivät ole totaalisen pahoja. Kuten alussa sanottiin, ne osaavat näyttää moottoripyörämainoksia aiheesta kiinnostuneille. Ja todennäköisesti kehittäjät keksivät jonkin muun tavan seurata surfaajia. Sen pitäisi vain perustua tekniikkaan ja menetelmään, joka kunnioittaa jokaisen yksityisyyttä.
