Lex Nokia merkitsee, että Nokia saa valvoa henkilökunnan sähköpostiliikennettä – kenelle on postia lähetelty mutta ei sisältöä – jotta työpöydän koneilta ei saisi lähettää liikesalaisuuksia suoraan kilpailijalle. Uskotaanko Nokialla, että rikosta suunnittelevat insinöörit ovat niin laiskoja, etteivät viitsi vai niin tyhmiä, etteivät ymmärrä lähettää sitä kotikoneelta?
Lehti tiesi kertoa kaiken oleellisen jo viime huhtikuussa: http://lehti.samizdat.info/2008/04/24/2312/
Lex Nokia on yksinkertaisesti käsittämätön. Se antaa yhteisötilaaajien (kuka tahansa toimija, joka tarjoaa internet-yhteyttä) oikeudesta valvoa käyttäjiä!
Kyseinen laki EI RAJOITU sähköpostiin, vaan mahdollistaa KAIKEN ip-pohjaisen liikennöinin tarkkailun, mukaanlukien mm. VoIP-puhelut.
Jos halutaan lisätä yrityksen oikeuksia tarkkailla työntekijöidensä toimintaa, muutos pitää tehdä lakiin yksityisyyden suojasta työelämässä.
Lisätietoa:
http://blog.valontuoja.net/2008/11/19/effi-alert-effi-alert-lex-nokia-menossa-lapi-eduskunnassa/
http://www.effi.org/blog/2008-11-19-Ville-Oksanen.html
Tai työpaikan koneelta muulta kuin työnantajan tarjoamalta sähköpostitililtä. Tällöinkään työnantaja ei näe, mitä viestejä on lähetetty.
En tiedä uskooko Nokia, mutta ministeri uskoo täysin suljettuun ja täydellisesti valvottuun tietojärjestelmään. Mikä on huomattavasti huolestuttavampaa.
”Julkisuudessa on väitetty, että tätä lainmuutosta ei tarvita, koska yrityssalaisuudet vuodetaan muistitikkuun kopioimalla eikä sähköpostia lähettämällä. Selvästi luullaan, että tiedon kopiointi on menetelmä, jota ei voida seurata. Näin ei kuitenkaan ole. Olemassa oleva teknologia mahdollistaa sen, että tallennukset ja cd-levylle polttamiset voidaan dokumentoida: saadaan tietää kuka on tallentanut, mitä on tallentanut ja koska on tallentanut.
”Asioistaan huolehtivat yritykset voivat myös tehdä avainosaajiensa kanssa salassapito- ja kilpailukieltosopimuksen. Kirjepostista voidaan pitää kirjaa. Puhelinlaskusta näkee suunnilleen, mihin on soitettu. Arkistoon voidaan laittaa kamera, arkiston oven kulunvalvonnasta selviää kuka huoneessa on käynyt. Entä sähköposti? Sähköposti on tietyllä tavalla tällä hetkellä musta aukko, josta ei nykylainsäädännöllä voida selvittää kuka on toimittanut piirustukset kilpailijalle, vaikka olisi kuinka selvää, että oman tuotteen kopio on jo kilpailijan katalogissa.”
http://www.suvilinden.com/blogi/blogi/ei-urkintaa-vaan-yrityssalaisuuksien-suojaa.html
Sanotaan nyt näin, että jos yrityksen tietoturvapäällikkö silmät sinisenä selittäisi tällaita huttua, niin hän todennäköisesti pääsisi päivittämään CV:nsä. Kaikkien yllämainittujen turvatoimien kiertäminen on naurettavan helppoa, esimerkiksi mikä pakko sen insinöörin on käyttää työntantajansa puhelinta? Tai mikä estää ohittamasta sitä kopiointia seuraavaa järjestelmää?
Oikeasti, suljettujen tietojärjestelmien josta tietoa ei yksinkertaisesti voi siirtää ulos tekeminen on mahdollista. Tietyt vakavasti ja usein syystäkin vainoharhaiset organisaatiot käyttävät tällaisia.
Ensinnäkin, ei ole minkäänlaisia output-laitteita. Ei USB-portteja, ei CD-asemia, ei edes kirjoitinta, eikä varsinkaan kannettavia. Tekniikka on jonkinlaisia tyhmiä päätteitä. Järjestelmä huolehtii siitä että tietoturvaluokitus menee käyttöliittymän saakka, esim. alemman tietoturvaluokan ikkunaan ei voi kopioida korkeamman luokan ikkunasta. Eikä tietenkään lähettää sähköpostia muille kuin niille joiden tietoturvaluokka on riittävän korkea.
Jotta tietoturva toimii tarvitaan myös erittäin korkeaa fyysistä tietoturvaa, eli kulunvalvonta, tarkastuksia, ja anekdoottina ihan oikeasti käytetään jopa esimerkiksi suojattuja näyttökaapeleita jotta näitä ei voida kuunnella. Eräs edellinen kansainvälinen työnantajani teki mm. tällaisi järjestelmiä, ja ulkomaan elävien pyynnöstä koetimme löytää Suomestakin asiakkaita.
Ei löytynyt, Suomessa ei yksinkertaisesti ole tahoja ainakaan yksityisellä sektorilla, joilla olisi tuollaisia tietoturvatarpeita. Tuollainen järjestelmä on äärimmäisen työläs ylläpitää, työläs käyttää, ja kaikin puolin kallis ja kankea. Jos Nokian tuotekehitys toimisi tuollaisella alustalla, niin teollisuusvakoilusta päästäisiin jo ihan sillä että tuotekehitys on niin hidasta ettei se ketään kiinnosta.
Periatteessa tällä hetkällä ainoat syyt lakiin on olettaa insinöörin tyhmyys tai laiskuus. Tulevaisuudessa välttämättä ei.
Suomessa kehitetty ”holvaus-menetelmä” voi hyvinkin estää tiedon viemisen sähköisessä muodossa pois yrityksessä(kotikoneelle). En ole alanasiantuntija, mutta idea on kai, että kaikki yrityksen tietokoneilta tallennettava tieto, tallennetaan vai osittain muistitikulle(etc). Osa tiedostoista on yrityksen aina palvelimella. Näin ollen tiedostoja voi lukea vain ollessaan yhteydessä yrityksen palvelimeen. Tätä taas yritys voi säädellä hyvinkin tarkasti. Edellen tällainen käytäntö taas mahdollistaa tarkan tiedonkäyttölokin ylläpitämisen. Mikä helpottaa tietovuotojen tutkimista.
Lisää tietoa löytyy täältä: http://www.itviikko.fi/ratkaisut/2008/06/17/holvaus-hajauttaa-salatun-datan/200816445/7
Ehkä ei Nokia ole niin tyhmä. Mutta kansanedustajat vaikuttavat kyllä juuri tuon verran tyhmiltä.
Ja eihän se siitä koneesta edes ole kiinni.
Ei tarvitse muuta kuin perustaa toinen sähköpostiosoite netissä, niin voi lähetellä siitä.
Nokian insinööri tukehtui leivoksiin syömiskisassa
21.11.2008 08:22
22-vuotias intialaismies kuoli kesken ahmimiskilpailun Nokian työpaikkaruokalassa Gurgaonissa Intiassa keskiviikkona. Mies työskenteli insinöörinä Nokia Siemens Networksissa, Gurgaonissa Delhin lentokentän eteläpuolella.
Nuoren insinöörin kuolemasta kertoivat eilen useat maan sanomalehdet verkkosivuillaan. Mies tukehtui syötyään leivonnaisia ja kahvileipiä liikaa ja liian nopeasti.
Henkilökunnan järjestämään kilpailuun osallistui 20-30 työntekijää. Eräs heistä kertoi uhrin halunneen oksentaa ehdittyään syödä noin viisi leivonnaista. Se ei kuitenkaan onnistunut.
– Työtoverit olivat pitämässä hauskaa keskenään, kun mies meni vessaan noin kello puoli kaksi. Työtoverit huolestuivat, kun häntä ei kuulunut pitkään aikaan. Mies löydettiin vessan lattialta tajuttomana, kertoi poliisin edustaja Satinder Kumar The Times of Indialle.
Uhri kiidätettiin Gurgaonissa sijaitsevaan yksityiseen sairaalaan, jossa hänet todettiin kuolleeksi. Lääkäri Sushum Sharma vahvisti, että kuoleman oli aiheuttanut tukos henkitorvessa.
Ilma ei päässyt keuhkoihin
Nokia Siemens Networksin edustajat Intiassa eivät kommentoineet asiaa vedoten tutkinnan keskeneräisyyteen.
– Saimme Nokia Siemens Networksista puhelun, jonka mukaan yksi heidän työntekijöistään oli pyörtynyt ja matkalla sairaalaamme, lääkäri Sharma kertoi Hindustan Timesille. Hänen mukaansa mies oli ”ahminut niin monta leivonnaista niin nopeasti”, että hänen henkitorvensa tukkeutui.
– Kun laitoimme hänet elvytyslaitteeseen, henkitorvesta alkoi tulla ulos ruokaa. Ilma ei yksinkertaisesti päässyt kulkemaan keuhkoihin, lääkäri sanoi.
Aivan totta. Tai jos ovat vielä laiskempia, niin työkoneelta jonkin web-pohjaisen, yksityisen meilinsä kautta.
Minusta koko Lex Nokia -jupakan tärkein opetus kuitenkin on se, että suomalainen malli lainsäätäjän toimien perustuslainmukaisuuden valvonnassa ei toimi. Muualla – esimerkiksi Saksassa, Italiassa ja Yhdysvalloissa – tätä tehtävää hoitavat siihen erikoistuneet riippumattomat tuomioistuimet, joissa istuu oman alansa huippujuristeja. Suomessa eduskunta valvoo itse itseään, eikä ammattitaitokaan liene aina yhtä korkealla tasolla. Kuitenkin Lex Nokia -tapauksessakin valiokunta päätyi ratkaisuunsa vastoin asiantuntijoiden (ilmeisesti yksimielistä?) kantaa. Kirjoitin tästä omaan blogiini, jos jotakuta sattuisi aihe enemmän kiinnostamaan:
http://liberalisti.blogspot.com/2008/11/agronomi-kaalimaan-vartijana.html
Ode, ei kai ne insinöörit niinkään tyhmiä ole, että lähettäisivät noita kotikoneiltaankaan. Luulisi olevan helpompaa ja varmenpaa mennä yleiselle koneelle kirjastoon tms. paikkaan ja laittaa sieltä. Muutenkin noissa asioissa tuntuu siltä, että sekä lain puoltajat että lobbaajat uskovat ihmisten olevan ihan pöljiä.
Kaiken lisäksi tämä ei koske vain Nokiaa vaan kaikkia ns. yhteisötilaajia, joilla on käyttösopimuksessaan ehto että liikennettä voidaan valvoa.
Tarkoitus on ujuttaa lakiin mahdollisuus valvoa ja rankaista tekijänoikeussuojatun aineiston levittämistä yksityisoikeudellisesti.
Raivion kommentti tämän lain soveltamisesta tekijänoikeudelliseen valvontaan on enemmän kuin todennäköistä.
Markkinat vie ja porvarihallitus vikisee.
Työnantajan tarjoama sähköpostipalvelu on tarkoitettu työasioiden hoitoon. Mitä syytä tunnistetietoja olisi salata työnantajalta?
Toimimatonta lainsäädäntöä. Tieto haluaa olla vapaa
Olen ollut Nokialla töissä vuosia ja tiedän että sen johto toimii kuin entisen Neuvostoliiton johto tai nyky-Kiinan. Periaatteena on että kaikki on kiellettyä työntekijöiltä mikä ei ole erikseen sallittua. Oli siinä järkeä tai ei, kaikkea halutaan valvoa ja kontrolloida. Siksi siellä suljettiin valtaosalta PC-käyttäjiä ensin nettiyhteys sitten sähköposti. Insinöörien tapauksessa se ei onnistu koska tietoliikenneyhteydet ovat heidän tärkeä työkalunsa.
Nyt on sitten keksitty lain rajoja koetteleva sähköpostien valvontaoikeus. Mutta muistan että sitä valvotaan kuitenkin. Siitä jopa annettiin viesti tiedoksi jo 90-luvulla. Mutta syytteitä teollisuusvakoilusta ei voida nostaa laittoman valvonnan perusteella. Näinhän poliisikin on toiminut iät ajat vaikka toisin luullaan. Poliisikin tarvitsee laillisia valtuuksia jotta juttuja voitaisiin nostaa.
Toisaalta ymmärrän Nokian johdon huolen. Kilpailu maailmalla on kovaa. Mutta se ei voi tapahtua ihmisoikeuksien kustannuksella.
Seuraava on ajatusleikki (ei vitsi, tavallaan koepallo muttei missään tapauksessa kovin syvällisesti pohdittu).
Kysymys: Missä määrin työsuhteessa voitaisiin lähteä siitä että lähtökohtaisesti työntekijän yksityisyyttä ei ole lainkaan työsuhteeseen liittyvässä viestinnässä ?
Sähköpostit eivät olisi yksityisiä, jos niissä käytetään työsuhteen perusteella työnantajan työntekijälle lainaamaa identiteettiä. Mainittujen sähköpostien kaikki siirrettävissä olevat oikeudet kuuluvat työnantajalle vähän samaan tapaan kuin työsuhdeinnovaatiot työsopimuslain perusteella.
Puhelut eivät olisi yksityisiä, jos ne soitetaan yhtiön puhelinnumeroon/puhelinnumerosta, aivan kuten tälläkin hetkellä monessa paikassa joissa puhelut nauhoitetaan jotta jälkikäteen saadaan tarvittaessa näyttöä puhelimitse solmitusta suullisesta sopimuksesta.
Tietoliikenne ei olisi yksityistä lukuuottamatta lueteltuja poikkeuksia (esimerkiksi salattu tietoliikenne työntekijän henkilökohtaisella identiteetillä), ja silloinkaan työnantaja ei ota vastuuta siitä että joku yli-innokas palomuuri ei-tarkoituksellisesti raportoi liikenteen päätepisteet eteenpäin.
Tällä tavoin työnantaja välttyisi niiltä (merkittäviltä) välillisiltä kustannuksia joita lakien nykyinen toteuttaminen asianmukaisesti aiheuttaa. Esimerkiksi sähköpostit voitaisiin arkistoida automaattisesti, ja siirtää työntekijältä toiselle miehitysten vaihtuessa. Tietoliikennettä voitaisiin valvoa juurikin niin automatisoidusti kuin halutaan ilman että joudutaan manuaalisesti (kalliisti) miettimään milloin mahdollisesti ollaan puuttumassa laittomasti työntekijän yksityisyyteen.
Nykyinen tilanne on epäselvä ja käytännön intuition vastainen henkilöille jotka joutuvat näiden asioiden teknisen toteutuksen kanssa konkreettisesti tekemisiin. Perustavaa laatua olevana syynä nykytilanteeseen ovat laki yksityisyyden suojasta työelämässä ja viestinnän tietosuojalaki. Lex Nokia perusteluineen on jo niin absurdi ettei sitä voi kunnolla edes kommentoida.
Se näkökulma, jonka Jussi ja Raivio ovat (täällä) tuoneet esiin, eli ”työnantaja” vai ”mikä tahansa yhteisötilaaja”, on se olennaisin näkökulma Lex Nokiaan. Säädelläänkö työnantaja-työntekijä -suhdetta vai jotain aivan muuta on aika iso kysymys.
Se, kummasta puhutaan, muuttaa minusta spotun koepallonkin luonnetta radikaalisti – ts. jos tuota koepallon ajatusta sovellettaisiin sellaisenaan kumpaankin.
Sähköpostin tutkimisesta, että se ei voine olla täysin työnantajan omaisuutta koska on mahdoton kontrolloida kuka lähettää laatikkoon postia (paitsi jos halutaan sallia vain ennalta sallitut).
Tiedostojen kopioimisesta… Jos pääte on täysin tyhmä eli ottaa etäyhteyden palvelimeen, ei tiedostoja voi kopioida postiin jos palvelimella postiohjelmaa, internetselainta
eikä tietoliikenneyhteyksiä ulkomaailmaan ei ole eikä tikulle koska tikku pitäisi laittaa palvelimeen kiinni. Kuvayhteyttä tallentavia ohjelmia ei saisi auki koska hiiri ja näppäinkomennot ohjautuvat kaikki palvelimelle. Pääte olisi tietysti lukitussa kaapissa joten muita käyttöjärjestelmiä ei voisi käynnistää.
Enpä keksi muuta keino salaisuuksien lähettämiseen kuin videokameralla nauhoittaminen tai käsin lapulle raapustaminen.
Tavallinen kännykkä riittää..
Kaipa ne postit, tiedostot, videot ja kuvat voi lähettää kännykälläkin. Reilun satasen puhelimella voi tehdä samat jutut kuin tietokoneella kymmenisen vuotta sitten.
Minun mielestä spotun idea on varsin hyvä. Tai oikeastaan minusta työnantajalle ja työntekijälle pitäisi antaa valta sopia tästä keskenään.
Esim. Nokia voisi ottaa insinööreikseen pelkästään ihmisiä, jotka suostuvat, että kaikki heidän työnantajan tarjoamista laitteista tapahtuva viestinä on yhtiön omaisuutta. Ne joita tämä häiritsee voi olla menemättä Nokialle töihin.
”Säädelläänkö työnantaja-työntekijä -suhdetta vai jotain aivan muuta on aika iso kysymys.”
Niinpä. Maallikko ajattelisi että yhteisötilaajan oikeudet ja velvollisuudet olisi tarkoituksenmukaista määritellä eri laissa kuin sopimusrikkomukset työsopimuslain säätelemässä sopimussuhteessa tai siihen verrattavassa.
Yhteisötilaajien käytännön tekniset tarpeet tunnistamistietojen käsittelyyn ovat kiistämättömät, tämän tietää jokainen joka on joskus blokannut satunnaisen teinin avoimesta WLAN-verkosta.
Yrityksen tietoliikenneverkon paranoidilla valvonnalla voi aivan hyvin olla erinomainen hinta-hyötysuhde jos se on riittävän automatisoitu. Vaikea tätäkään sinänsä on mennä kiistämään.
Lopputulos on kuitenkin niin raskas ja kallis asianmukaisesti hoidettuna että olen puolivakavissani työnantajan ominaisuudessa harkinnut ”All your emails are belong to us” -tyyppistä sopimusta jonka substanssi olisi suunnilleen tuo koepallo. Työpaikan verkko ja työsähköposti-identiteetti kuuluu työnantajalle, kotiverkko ja yksityissähköposti-identiteetti työntekijälle. Helppoa ja toimivaa, ellei sitten laki yksityisyyden suojasta tai sähköisen viestinnän tietosuojalaki tätä estä.
”Olettaako Nokia insinöörejään tyhmiksi vai laiskoiksi?”
Veikkaan ensimmäistä. Tai siis lähinnä ajattelemattomiksi, tuhansien joukkoon mahtuu monenlaista kulkijaa. Tällä tavalla saadaan silkkaa hölmöyttään tai ajattelemattomuuttaan yrityssalaisuuksia levittelevät helpommin kiinni.
Täytyy myöntää, että vähän hämmästyin, kun (Nokia-oikeudenkäyntien yhteydessä?) ilmeni, että työnantajalla ei ole mitään oikeutta tsekata, mihin numeroihin olen työkännykälläni soittanut. Olin alamaisuuttani luullut, että työnantaja voisi numeron tarkkuudella tivata ”näinkin pitkiä puheluita”.
Arkielämässä puhelut ja sähköpostit kavereille, tuttaville ja työn kautta muodostuneille suhteille menevät (ainakin minulla) niin paljon ristiin, että en oikeasti ilman isohkoja ponnisteluja onnistuisi kovinkaan helposti pitämään erossa eri viestien luonteita.
Eli minusta sääntö voisi olla tämä: korkean tietoturvan tms. yrityksissä tai valtion/ kunnan instansseissa yksityisyyden raja matalaksi eli spottyn ehdotus (vaikka ei välttämättä ollutkaan tosissaan tehty). Meille muille, jotka emme onnistuisi vuotamaan mitään tärkeää, vaikka aivonesteemme valuttaisimme, annettaisiin jatkaa entistä holtitonta menoa.
Touko Mettinen
Tässä muutamia lainauksia netistä poimittuna, voi ottaa hyppysellisen suolaa kanssa, mutta tietääkseni pitävät paikkansa. Kukaan ainakaan ei ole kiirehtynyt korjaamaan:
-kimmo sasin johtaman perustuslakivaliokunnan mielestä ”yrityssalaisuuksien liiketaloudellinen merkitys on niin suuri, että sillä perusteella voidaan perusoikeuksia rajoittaa”
-kimmo sasin johtama perustuslakivaliokunta sivuutti pyytämänsä asiantuntijalausunnot
-effin mukaan ko. lakiesityksen sanamuodot ovat niin epämääräisiä (myös osa asiantuntijoista oli antanut samanlaisia lausuntoja) että se mahdollistaa muunlaisenkin seurannan kuin pelkästään sähköpostien teletunnisteet ja ei pelkästään työnantajien taholta
-voimaan tullessaan lain mukaan työnantajilla olisi suuremmat oikeudet seurantaan kuin poliisilla
-työnantajien ei tarvitsisi hakea mitään lupaa tarkkailuun, eikä minkäänlaista valvontaa ilmeisesti järjestettäisi
-kuka oikeasti uskoo, että joku olisi niin typerä, että lähettäisi yrityssalaisuuksia työpaikkansa sähköpostilla? mihin tällä lailla oikeasti pyritään ellei pikkuhiljaa lisäämään valvontaa yhteiskunnassamme?
—
itseäni ainakin pelottaa, että kun tätä valvonnan verhoa on raoitettu nyt juuri sen verran, että tässä avataan ovi samalla väärinkäytöksille. Tosiaan, jos sähköpostiseurantaa ei valvota mitenkään, mikä estää kaikkien meilien lukemisen?
Itseäni koko Lex Nokiassa huvittaa se kuinka kansanedustajia viedään kuin kuuluisaa litran mittaa.
Vaihtoon koko sakki, tilalle vaikka koulutettuja apinoita. Halvempaa ja satunnaisuus pitää huolen että päätökset ovat melkolailla samankaltaisia.
Henri Weijo kirjoiti:
”-kuka oikeasti uskoo, että joku olisi niin typerä, että lähettäisi yrityssalaisuuksia työpaikkansa sähköpostilla? mihin tällä lailla oikeasti pyritään ellei pikkuhiljaa lisäämään valvontaa yhteiskunnassamme?”
Kyllä näitä aikamme sankareita aika-ajoin löytyy kun seurailee mitä maailmalla tapahtuu. Älä aliarvioi ihmisen typertyyttä tai sitä määrää kuinka paljon sähköposteja lähetellään yrityksissä. Monet laskevat yksinkertaisesti yhteen 1+1 ja ajattelevat että viaton sähköposti hukkuu kohinaan…
Minusta joidenkin juristien ajatus netistä ja kirjesalaisuudesta on vähintäänkin naivi. Jos Suomen viranomaiset eivät lue NOKIA:n osoitteesta lähetettyä postia, niin ainakin britit tekevät sen amerikkalaisten laskuun ja ruotsalaiset sekä venäläiset ihan omaan laskuunsa. Jos SUPO ei kykene auttamaan NOKIAa, niin sen on hoidettava itse ainakin vastatiedustelu, kun kilpailijoilla SONY:lle tekee tiedustelua FRA ja Motorolalle NSA.
Sama sinisilmäisyys tuli esille Patrian tapauksessa. Yksi syytehän perustuu teollisuusvakoiluun. Missään muussa maassa ei aseteollisuuden tarvitse itse hoitaa teollisuusvakoilua, kyllä sen hoitavat viranomaiset keskeisten teollisuudenalojen, kuten aseteollisuuden, puolesta. Olemmeko todella näin naiveja?