Kun liikut suomalaisten ministeriöiden, kaupunkien tai sairaanhoitopiirien nettisivuilla, tietoja surffailustasi päätyy amerikkalaisille yrityksille - vaikkapa se, haetko tietoa sukupuolitaudeista tai velkaneuvonnasta. Näin kertoo Ylen ruotsinkielisten uutisten selvitys. Edes viranomaiset eivät jaksa perehtyä seuranta- ja analyysityökalujen monimutkaisiin käyttöehtoihin, epäilee tietosuojavaltuutettu Reijo Aarnio.
Netinkäyttöämme valvotaan ja tallennetaan, jotta yritykset voivat myydä yksilöityjä mainoksia, joilla rahoitetaan suosittuja nettisivuja. Tämä ei ole suuri salaisuus.
Ylen ruotsinkieliset uutiset tutki noin 70 julkisen organisaation nettisivustoa. Kirjo ulottui ministeriöistä, kaupungeista ja kunnista sairaaloihin, hätäkeskuksiin, puolustusvoimiin ja poliisiin. Kävi ilmi, että moni niistä vuotaa käyttäjien tietoja eteenpäin ulkomaisille yrityksille.
Monien sivustojen lähdekoodi sisältää käyttäjien toimintaa seuraavia lisäosia. Kun vierailet nettisivuilla, koneesi tallentaa cookien eli evästeen. Se tulee useimmiten toiselta palvelimelta. Siksi sitä sanotaan kolmannen osapuolen evästeeksi.
Sitten, kun käyt muilla sivuilla, jotka käyttävät samaa lisäosaa, se näkee aiemmin tallennetut evästeet. Kaikkien vierailujen jäljet yhdistetään käyttäjän profiiliin. Profiili paljastaa, mitkä asiat sinua todennäköisesti kiinnostavat. Tämä tieto tallentuu verkkoon, esimerkiksi yhdysvaltalaiselle palvelimelle.
Esimerkiksi Espoon kaupungin sivuilla on käytössä kiistanalainen lisäosa nimeltään Addthis. Lisäosan omistaa amerikkalainen Oracle. Addthis luo painikkeita, joiden avulla sivujen jakaminen on helppoa.
– Käytämme Addthisia, jotta käyttäjämme voisivat jakaa haluamiaan sivuja sosiaalisessa mediassa, Espoon kaupungin viestintäpäällikkö Virpi Pakkala selittää.
Espoon kaupungilla ei kuitenkaan tiedetä, että samalla välitetään amerikkalaisyritykselle tietoja siitä, millä sivuilla suomalaiset netinkäyttäjät käyvät ja millaiset asiat heitä kiinnostavat.
– Se oli täysin uusi tieto meille, Pakkala myöntää.
Addthis on käytössä täällä
- Monet kaupunkien ja kuntien nettisivut, mm. Helsinki, Vantaa ja Espoo (päättänyt poistaa Addthisin).
- Ministeriöiden sivut: Työ- ja elinkeinoministeriö, Sisäministeriö, Liikenne- ja viestintäministeriö, Opetus- ja kulttuuriministeriö sekä Ulkoministeriö.
- Muut sivut: 112.fi, aluehallintovirasto, VR, Ely-keskus, Vaasan sairaanhoitopiiri (päättänyt poistaa Addthisin), Helsingin yliopisto, Åbo Akademi, Svenska handelshögskolan.
Lähde: Ylen ruotsinkielisten uutisten selvitys, apuna selainlaajennus Privacy Badger.
Amerikkalaisjätti Oraclen omistama Addthis ei mikään pieni toimija. Tämä käyttäjän seuraamiseen tarkoitettu lisäosa tallentaa kuukausittain 280 miljardia avainsanaa tai muuta tietoa nettisivuilta kaikkialta maailmasta. Se kuuluu datamarkkinoiden suurimpiin yrityksiin.
Myös Facebook connect ja Google Analytics keräävät nettisivujen vierailuista monenlaista tilastotietoa. Niillä on kuitenkin parempi maine kuin Addthisillä, muun muassa siksi, että ne anonymisoivat tiedot paremmin.
Ylen ruotsinkielinen uutistoimitus tutki 72 suomalaista julkisen organisaation palvelun nettisivustoa. Niistä 63 käytti jotain näistä kolmesta lisäosasta. Googlen lisäosa esiintyi 48 sivustolla, Addthis 27:lla ja Facebook connect 16:lla. Jotkut sivustot käyttävät siis useampaa kuin yhtä kävijöiden seuraamiseen tarkoitettua lisäosaa.
Googlen analyysityökalu on vielä yleisempi
Tietosuojavaltuutettu pitää myös Google Analyticsin käyttöä mahdollisesti ongelmallisena. Silti sitä käytetään vielä useammalla julkisten palvelujen sivuilla:
- Kunnista mm. Vantaa, Vaasa, Porvoo, Kauniainen, Kokkola, Pietarsaari, Hanko, Lohja, Loviisa. Maarianhamina.
- Kunnat.net, Helsingin yliopisto, Turun yliopisto, Tampereen yliopisto, Sosiaali- ja terveysministeriö, Valtiovarainministeriö, Liikenne- ja viestintäministeriö, Helsingin ja Uudenmaan sairaanhoitopiiri, Varsinais-Suomen sairaanhoitopiiri, Vaasan sairaanhoitopiiri, Yle, Kela, aluehallintovirasto, VR, Puolustusvoimat, Otakantaa.fi, Ely-keskus, maistraatit.
Lähde: Ylen ruotsinkielisten uutisten selvitys, apuna selainlaajennus Privacy Badger.
Hangon kaupunki on tietoisesti valinnut käyttöön sekä Addthisin että Googlen lisäosan.
– Tottakai. Mikään ei ole ilmaista. Jos me käytämme Google Analyticsin työkalua niin tottakai Google kerää sitä dataa meidän sivuistamme ja sen datan avulla suuryritys voi sitten myydä paremmin vaikkapa mainoksia, Hangon atk-tukihenkilö Kai Ahola sanoo.
Ahola lisää, että verkkosivujen kehittely olisi vaikeaa ilman Googlen analytiikkaa, koska kaupunkikin saa sen avulla hyödyllistä tietoa sivujen käytöstä.
Aholan mielestä tietojen keruukaan ei ole ongelma.
– Näitä asioita ei kannata ajatella liikaa. Itse en näe tässä mitään ongelmaa, Ahola sanoo. Hänen mukaansa Hangon kaupunki seuraa tilannetta ja valvontaviranomaisten kantaa.
Tietosuojeluvaltuutettu ei pidä käyttäjien seurannasta
Tietosuojavaltuutettu Reijo Aarnio suhtautuu kriittisesti siihen, että julkiset sivustot seuraavat käyttäjiä lisäosilla, jotka auttavat kohdentamaan mainontaa.
– Minusta se on suoraan sanoen törkeätä. Viranomaisten ei kuulu vuotaa informaatiota siitä, että kansalainen on hakenut tietoa heidän sivuiltaan, eikä varsinkaan niin, että ihmisen voi tunnistaa. Se on julkisuusperiaatteesta tuleva asia.
Lisäosia tarjoavat yritykset kertovat keräävänsä dataa anonyymisti, mutta Aarnio arvioi, että käytännössä voi silti olla mahdollista tunnistaa käyttäjiä - mikä on tässä asiayhteydessä laitonta.
Viranomaisten ei kuulu vuotaa informaatiota siitä, että kansalainen on hakenut tietoa heidän sivuiltaan.
Esimerkiksi Google Analyticsin dataa voi yhdistää Gmail-tiliin, tai sitten sivuilla käynneistä voi päätellä, kenestä on kyse, Aarnio huomauttaa. IP-osoite voidaan myös yhdistää muualta netistä löytyviin henkilötietoihin.
– Tässä on iso ongelma. Analyysipalveluja ja lisäosia tarjoavilla yrityksillä on niin monimutkaiset käyttöehdot, että edes viranomaiset eivät jaksa perehtyä niihin. Silloin syntyy tällaisia virheitä, Aarnio sanoo.
Anonymisointi mahdollista – ainakin periaatteessa
Google tarjoaa käyttäjille mahdollisuutta muuttaa analyysiohjelman keräämät IP-osoitteet anonyymeiksi. EU-maiden yritykset ja viranomaiset voivat myös itse aktivoida toiminnon, jonka avulla nettisivujen käyttö noudattaa paremmin EU:n lainsäädäntöä. Mitä tämä tarkoittaa käytännössä, on kuitenkin hiukan epäselvää.
Esimerkiksi liikenne- ja viestintäministeriö kertoo ottaneensa nämä toiminnot sivustollaan käyttöön. Lisäosa Addthis, jota myös tämä ministeriö käyttää, ei sisällä tällaisia suojaavia toimintoja. Kun Ylen ruotsinkieliset uutiset otti yhteyttä viranomaiseen, se päätti poistaa Addthisin sivuiltaan - virallisesti tehdäkseen sivuistaan sujuvammat.
– Huomasimme, että Addthis hidastaa sivujemme latautumista ja käyttöä. Siksi päädyimme luopumaan lisäosasta. Sitä paitsi vain pieni osa sivujemme kävijöistä käytti sen jakamistoimintoa, kommentoi liikenne- ja viestintäministeriön verkkoviestintäpäällikkö Antti Ellonen.
Ruotsissa monet viranomaiset lakkasivat käyttämästä Addthisia tai muita vastaavia lisäosia sen jälkeen, kun Dagens Nyheter -lehti teki vastaavan, mutta suuremman, selvityksen syksyllä 2015. Ruotsissa kävijäseurantaa käyttää nettisivuillaan enää 43 prosenttia, aiemman 86 prosentin sijaan. Dagens Nyheter kävi läpi kaikki .se -päätteiset sivustot.
Google, Addthis ja Facebook eivät piilottele sitä, että niiden keräämiä tietoja käytetään käyttäjäprofiilien luomiseen ja mainosten kohdentamiseen.
Addthis kertoo jäljittävänsä muun muassa tietokoneen IP-osoitteen, vieraillut nettisivut ja esimerkiksi sen, mitä hakureittiä niille on päädytty - sekä erityisen tunnistuskoodin.
Yksityiskohtaisia avainsanoja talteen
Dagens Nyheter -lehden selvityksen mukaan Addthis tallentaa jopa avainsanoja, joilla kuvaillaan nettisivuja. Esimerkiksi Skånen yliopistollisen sairaalan seksuaaliterveyden keskuksen sivuilta Addthisiin kirjautuivat muun muassa avainsanat “homoseksuaalisuus”, “aids” ja “klamydia”.
Turkulainen Lajos Parkatti on seurannut tietoturva-asioita pitkään. Hän muistuttaa, että kävijäseurantaan käytettyjen lisäosien ongelmat eivät liity vain kohdennettuun mainontaan.
– On huono asia, että joku ulkopuolinen taho kerää kattavia tietoja meistä, ja että tuota tietoa voi käyttää moneen tarkoitukseen.
Kun tiedot on kerätty yhteen paikkaan, ne myös vuotavat helposti.
Parkatti mainitsee vakuutusyhtiöt ja rekrytointiyritykset: Periaatteessa ne voisivat ostaa dataa, joka paljastaa ihmisten hakeneen tietoa tietyistä sairauksista.
– Sen lisäksi voi löytyä tietoa netinkäyttäjän yhteiskunnallisista intresseistä. Mielipiteiden rekisteröinti on syystäkin kiellettyä, mutta jos evästeitä käyttämällä syntyy profiili, sen avulla voi hyvinkin tarkasti kuvailla henkilön poliittista suuntautumista, toimintaa ja verkostoja.
Parkatti lisää, että kehityksen suunta huolestuttaa häntä kovasti.
– Jos länsimaihin tulisi diktatuuri, tällaista koottua tietoa olisi helppo käyttää väärin. Kun tiedot on kerätty yhteen paikkaan, ne myös vuotavat helposti.
Toivon, että ne jotka hakevat tietoa omista sairauksistaan, eivät ala saada näitä sairauksia koskevaa räätälöityä mainontaa muualta netistä.
Vaasan sairaanhoitopiiri käyttää sekä Addthisia että Googlen analyysipalveluja. Viestintäsuunnittelija Heli Masan mukaan tarkoituksena ei ole vuotaa tietoja kävijöistä. Hän vihjaa, että parannusta on ehkä tulossa.
– Ilman muuta selvitämme asian. Tietenkin toivon, että ne jotka hakevat tietoa nettisivuiltamme, vaikka omista sairauksistaan, eivät ala sen seurauksena saada näitä sairauksia koskevaa räätälöityä mainontaa muualta netistä, Masa sanoo.
Muutama tunti tämän jutun ensijulkaisun jälkeen Masa kertoo, että Vaasan sairaanhoitopiiri lopettaa Addthisin käytön - Ylen ruotsinkielisten uutisten raportoinnin seurauksena.
Tavanomaiset sopimusehdot eivät usein riitä
Tietosuojavaltuutettu Reijo Aarnio kehottaa julkisen palvelun toimijoita olemaan tarkkoina, kun ne laativat sopimusehtoja käyttäjäseurantaa myyvien yritysten kanssa.
Hän sanoo, että nettisivuilla voisi esimerkiksi olla ehto, jonka mukaan kerätyn datan pitää jäädä EU:n alueelle ja että sitä ei saa yhdistellä muilta sivustoilta kerättävän datan kanssa.
– On aina oltava mahdollista, että omia julkisia asioitaan pystyy hoitamaan netissä yksityisesti - esimerkiksi sosiaali- ja terveyspalveluissa tai mielenterveyteen liittyvissä asioissa, Aarnio sanoo.
Vain hyvin harvat kunnat ovat lisänneet sopimuksiin tietoturvaa parantavia ehtoja. Ylen ruotsinkielinen uutistoimitus kysyi useilta julkisten palvelujen nettisivujen vastaavilta, onko neuvotteluja tällaisista käyty: Vastaus oli ei.
On aina oltava mahdollista, että omia julkisia asioitaan pystyy hoitamaan netissä yksityisesti.
Toinen vaihtoehto tietosuojan parantamiseen on se, että nettisivu ostaa analyysipalvelulta täydet oikeudet tietoaineistoon. Esimerkiksi toimijat Piwik ja Snoobi näyttävät tarjoavan tällaista mahdollisuutta melko halvalla.
Myös Google Analyticsilla on tällainen maksupalvelu, mutta se maksaa 150 000 US-dollaria - joka on liian iso kynnys useimmille. Ylen jututtamat IT-asiantuntijat arvelevat, että Suomesta ei löydy yhtään julkisen palvelun nettisivustoa, joka olisi maksanut Google Analyticsille. Google ei suostunut kommentoimaan asiaa.
Saattaa olla laitonta jättää kertomatta evästeistä
Monet julkiset sivut - esimerkiksi Vaasan sairaanhoitopiiri, Hangon kaupunki ja Sipoon kunta - jättävät kertomatta, että niillä on käytössä kävijöitä seuraavia lisäosia tai evästeitä. Se saattaa olla laitonta, toteaa Viestintäviraston lakimies Erika Leinonen.
– Jos saisimme tietoomme tällaisia tapauksia, tutkisimme niitä varmasti, hän lisää.
Evästeistä määrätään EU-direktiivissa. Suomi tulkitsee sitä niin, että nettisivuston täytyy varoittaa evästeiden käytöstä ja kertoa sen syy. Riittää kuitenkin, että tieto löytyy yhdestä paikasta nettisivuilta - vaikka pienellä präntillä sivujen syövereissä.
Leinonen muistuttaa, että evästeiden käyttöä voi säätää omasta selaimesta. Esimerkiksi kolmannen osapuolen evästeet voi estää.
Google tarjoaa myös selainlaajennusta, joka estää yrityksiä saamasta tietoja sinusta.
Valvonta ontuu
On epäselvää, kenen pitäisi valvoa niitä julkisten palvelujen nettisivuja, joilla käytetään evästeitä ja jotka välittävät dataa ulkomaisille palvelimille. Niinpä yksikään viranomainen ei ole kunnolla kiinnittänyt asiaan huomiota, ja asia on pudonnut “penkkien väliin”.
Viestintäviraston mukaan vastuu on tietosuojavaltuutetulla, koska kyse on tietosuojasta. Tietosuojavaltuutetun mielestä asia kuuluu Viestintävirastolle, koska kyse on evästeistä tai lisäosista.
Viestintäviraston mukaan vastuu on tietosuojavaltuutetulla, jonka mielestä asia kuuluu Viestintävirastolle.
– On vielä tekemistä, jotta saadaan selville, minkä osapuolen kuuluu näitä asioita valvoa, tietosuojavaltuutettu Aarnio sanoo.
Hänen mukaansa viranomaisvalvonta selkiytyy vähitellen, samaan aikaan kun EU:n sähköistä viestintää koskevaa direktiiviä uudistetaan.
Google, Addthis ja Facebook eivät halunneet kommentoida tämän artikkelin aihetta.
Korjaus 20.4.16: Poistettu sana "kotimaiset" lauseesta "Esimerkiksi kotimaiset toimijat Piwik ja Snoobi..."
Käännös Katja Solla ja Airi Saastamoinen.