YK:n ihmisoikeusasiantuntijat ovat lähettäneet selkeän viestin: paperilla olevat tietosuojalait eivät riitä. Genevessä julkaistussa lausunnossa asiantuntijat totesivat, että tietosuojaviranomaisten riippumattomuus ja tehokas pääsy tuomioistuimiin ovat olennaisia yksityisyyden suojan turvaamiseksi erityisesti silloin, kun kyseessä ovat vaikutusvaltaiset teknologiayritykset. Kenelle tahansa, jonka henkilötiedot ovat yritysten tietokannoissa, asia on käytännöllinen. Riippumattomat tietosuojaviranomaiset ja yksityisyyden suoja kulkevat käsi kädessä, ja kun toinen on heikko, myös toinen kärsii.

Mitä YK:n asiantuntijat sanoivat valvonnasta ja oikeudenmukaisuudesta

YK:n ihmisoikeusvaltuutetun toimiston (OHCHR) julkaisema lausunto keskittyy yksinkertaiseen periaatteeseen. Asiantuntijoiden sanoin: "Yksityisyyden suojaa ei voida turvata pelkillä laeilla." Julkaistu ote tiedotteesta on lyhyt, joten rajoitamme tämän raportin siihen, mitä asiantuntijat totesivat suoraan: valvontaelinten on oltava riippumattomia, ja ihmisten on voitava päästä tuomioistuimiin, kun heidän oikeuksiaan loukataan.

Kyse on kahdesta erillisestä suojakeinosta, jotka toimivat yhdessä. Tietosuojaviranomainen tutkii valituksia, auditoi organisaatioita ja voi määrätä seuraamuksia. Tuomioistuimet tarjoavat yksityishenkilöille väylän hakea oikeussuojaa ja riitauttaa yritysten tai jopa sääntelyviranomaisten itsensä päätöksiä. Jos jompikumpi kerros puuttuu tai on vaarantunut, henkilöllä, jonka tietoja on väärinkäytetty, ei välttämättä ole mitään merkityksellistä tahoa, jonka puoleen kääntyä.

Miksi pelkät lait epäonnistuvat vaikutusvaltaisten teknologiayritysten kohdalla

Useimmilla mailla on nykyään jonkinlainen tietosuojalainsäädäntö. Laki on kuitenkin vain niin vahva kuin sen täytäntöönpanosta vastaavat instituutiot. Suuret teknologiayritykset hallitsevat valtavia määriä henkilötietoja, ja niillä on merkittävät oikeudelliset ja taloudelliset resurssit. Yksittäinen käyttäjä tällaisen yrityksen edessä on epätasaisessa asemassa.

Tämä epätasapaino on syy siihen, miksi asiantuntijat korostivat riippumattomuutta ja pääsyä oikeuden piiriin. Sääntelyviranomainen, joka on poliittisen tai kaupallisen paineen alainen, voi olla haluton puuttumaan suuriin yrityksiin. Sääntelyviranomainen, jolla ei ole riittäviä valtuuksia tai resursseja, ei välttämättä pysty siihen. Ja jos tuomioistuimet ovat liian kalliita, hitaita tai saavuttamattomia, yksityishenkilöt voivat yksinkertaisesti luovuttaa oikeuksiensa valvomisen suhteen, vaikka laki olisi heidän puolellaan.

Käytännössä tämä tarkoittaa, että tietosuojalain teksti kertoo vain osan tarinasta. Se, kuka nimittää sääntelyviranomaisen, miten se rahoitetaan, voiko se toimia sekä hallituksia että yrityksiä vastaan ja voivatko ihmiset valittaa sen päätöksistä, kaikki muovaavat sitä, kuinka paljon suojaa tosiasiassa on olemassa.

Kun sääntelyviranomaisilta puuttuu riippumattomuus: esimerkkinä Intian DPDP-laki

Intian digitaalisen henkilötietojen suojan laki tarjoaa hyödyllisen tapaustutkimuksen siitä, miksi nämä huolet ovat merkityksellisiä. Kun laki hyväksyttiin vuonna 2023, suuri osa julkisesta keskustelusta keskittyi tietomurtoilmoituksiin, seuraamuksiin ja yrityksiä koskeviin suostumusvaatimuksiin. Vähemmän huomiota sai se, miten laki on vuorovaikutuksessa avoimuussääntöjen kanssa. Selityksemme siitä, miten Intian DPDP-lain 44 §:n 3 momentti vaikuttaa tiedonsaantiin RTI-lain nojalla, tarkastelee, miten yksi säännös voi kaventaa yleisön mahdollisuuksia saada tietoa, mikä puolestaan rajoittaa tietojen käsittelyn valvontaa.

Opetus sopii YK:n asiantuntijoiden varoitukseen. Tietosuojakehys voi sisältää suostumussääntöjä ja seuraamuksia ja jättää silti aukkoja, jos poikkeukset heikentävät vastuuvelvollisuutta tai jos valvonta ei ole riippumatonta. Missä tahansa maassa keskustelua seuraavat lukijat voivat käyttää samoja kysymyksiä: Onko sääntelyviranomainen erillään elimistä, joita se valvoo? Voivatko kansalaiset riitauttaa päätöksiä? Onko olemassa poikkeuksia, jotka vähentävät avoimuutta?

Mitä tämä tarkoittaa sinulle

Et ehkä voi vaikuttaa siihen, miten maasi rakentaa sääntelyviranomaisensa, mutta voit ryhtyä toimiin, jotka saavat olemassa olevat suojakeinot merkitsemään jotain.

  • Käytä oikeudellisia oikeuksiasi. Asuinpaikastasi riippuen sinulla voi olla oikeus pyytää pääsyä tietoihin, joita yritys sinusta hallussaan pitää, pyytää niiden korjaamista tai poistamista ja vastustaa tiettyjä käyttötarkoituksia. Nämä pyynnöt luovat myös kirjaa, jos sinun on myöhemmin tehtävä valitus.
  • Tunne sääntelyviranomainen. Ota selvää, mikä tietosuojaviranomainen kattaa sinut ja miten tehdä valitus. Valitukset ovat yksi tärkeimmistä tavoista, joilla sääntelyviranomaiset saavat tietää ongelmista.
  • Pidä kirjaa. Tallenna tietosuojailmoitukset, kirjeenvaihto ja kuvakaappaukset, kun uskot tietojasi käsitellyn väärin. Niistä on hyötyä, jos riita päätyy sääntelyviranomaiselle tai tuomioistuimeen.
  • Kiinnitä huomiota poikkeuksiin. Kun uutta tietosuojalakia ehdotetaan tai hyväksytään, katso otsikkotason suojien taakse. Poikkeukset ja heikot täytäntöönpanosäännökset määrittävät usein sen, miten hyvin laki toimii.
  • Kerrosta puolustuksesi. Oikeudelliset oikeudet toimivat sen jälkeen, kun tiedot on kerätty. Tekniset työkalut toimivat ennen sitä. Salaus, vahvat yksilölliset salasanat, kaksivaiheinen todennus ja VPN, joka rajoittaa sitä, mitä verkkoliikenteesi paljastaa, voivat vähentää sitä, kuinka paljon tietoja paljastuu alun perinkään. VPN ei korvaa oikeudellisia suojia, eivätkä oikeudelliset suojat korvaa hyviä turvallisuustottumuksia.

Keskeiset havainnot

YK:n asiantuntijoiden lausunto muistuttaa, että yksityisyys on sekä tekninen että institutionaalinen kysymys. Riippumattomat tietosuojaviranomaiset ja yksityisyyden suoja ovat riippuvaisia toisistaan: vahvat lait tarvitsevat sääntelyviranomaisia, jotka voivat toimia ilman painetta, ja yksityishenkilöt tarvitsevat tuomioistuimia, joihin he voivat realistisesti päästä.

Lukijoille hyödyllisin vastaus on yhdistää lähestymistapoja. Käytä pääsy-, poisto- ja valitusoikeuksiasi, käytä salausta ja tietosuojatyökaluja tietojen paljastumisen vähentämiseksi ja pysy valppaana sen suhteen, miten lait kirjoitetaan ja pannaan täytäntöön. Nähdäksesi, miten heikko valvonta ja poikkeukset voivat käytännössä heikentää sekä yksityisyyttä että avoimuutta, lue tapaustutkimuksemme Intian DPDP-laista ja sen vaikutuksesta RTI-tiedonsaantiin.