TikTokin tietoturva ja tietosuoja – tämä kaikki on pielessä

Suojelupoliisi varoitti tänään TikTokin käytöstä hyvin selväsanaisesti. Lainaus Ylen jutusta:

Suojelupoliisi pitää mahdollisena, että lyhytvideosovellus Tiktokin käyttäjien tietoja vuotaa Kiinan turvallisuusviranomaisille.

Supo huomauttaa Ylelle, että Kiinan lain mukaan jokainen kiinalainen yritys ja henkilö joutuu tarvittaessa avustamaan maan tiedusteluviranomaisia.

Näin ollen Kiinan tiedusteluviranomaisilla on halutessaan pääsy Tiktokin käyttäjien tietoihin riippumatta palvelun omistajayrityksen Bytedancen näkemyksistä tai toiveista.

Varoituksesta huolimatta Supo ei ota kantaa, mihin kaikkiin puhelimen tietoihin TikTok-sovelluksen kautta esimerkiksi Kiinan viranomaisilla voisi olla pääsy. Siksi moni varmaan nyt ihmettelee, miksi TikTokista näin kovasti varoitetaan ja mitkä tiedot ovat oikeasti vaarassa.

Koulutan jatkuvasti kuntien ja muiden organisaatioiden tietosuojavastaavia sekä teen tietosuoja-arviointeja eri sovelluksista ja verkkopalveluista. Lisäksi olen kouluttanut eri tahoja myös informaatiovaikuttamisen tunnistamiseen ja siltä suojautumiseen. TikTokiin liittyvät tietoturva- ja tietosuojamurheet ovat tulleet eri yhteyksissä siksi hyvinkin tutuiksi.

Mitä tietoja TikTok kerää kännykästä?

Lähdetään liikkeelle siitä, mitä tietoja TikTok kertoo käsittelevänsä – missä ei suinkaan ole kaikki, mutta tästä saa käsityksen, kuinka paljon TikTok ikään kuin myöntää avoimesti. Tiedot löytyvät TikTokin tietosuojaselosteesta, joka on päivitetty viimeksi 19.11.2023.

Aloitetaan käyttäjän itsensä antamista tiedoista:

Profiilin tiedot: syntymäaika, käyttäjätunnus, sähköpostiosoite ja/tai puhelinnumero, salasana. Tapauskohtaisesti muita tietoja kuten profiiliin lisätty elämäkerta ja profiilikuva.
Käyttäjän sisältö: jaetut valokuvat, videot, äänitallenteet, livestriimit, kommentit, aihetunnisteet, palautteet, arvostelut sekä näiden metatiedot.
Laitteen leikepöydän sisältö sovellusta käytettäessä (!).
Sijaintitiedot, jos sijainti lisätään julkaistuun sisältöön.
Suorat viestit: viestit muiden käyttäjien kanssa ja niiden metatiedot kuten lähetys-, vastaanotto- ja lukemisajankohdat. Chat-viestit kauppiaiden ja virtuaaliassistenttien kanssa.
Yhteystiedot, jos yhteystiedoille annetaan käyttölupa: nimet, puhelinnumerot, sähköpostiosoitteet (!).
Sosiaaliset verkostot, jos haet käyttäjiä muiden somepalvelujen kautta, TikTok tallentaan niistä löytyvät sinun ja verkostojesi jäsenten profiilitiedot (!).
Ostotiedot: tiedot ostoksesta tai maksutapahtumasta, kuten maksukorttitiedot, laskutus-, toimitus- ja yhteystiedot sekä ostetut tuotteet.
Kyselyt, tutkimukset ja myynninedistämistoimet: annetut tiedot, jos osallistut kyselyyn, tutkimukseen, kampanjaan, kilpailuun, markkinointikampanjaan tai tapahtumaan, jonka TikTok järjestää tai jota se sponsoroi.
Tiedot, jotka liittyvät yhteydenpitoon TikTokin ja käyttäjän välillä. Samoin TikTokin verkkolomakkeiden kautta välittyvät tiedot.

Lisäksi TikTok kertoo keräävänsä automaattisesti seuraavat tiedot:

Tekniset tiedot: laitetta ja verkkoyhteyttä koskevat tiedot, kuten laitteen malli, käyttöjärjestelmä, näppäinpainalluksien tapa ja rytmi, IP-osoite ja järjestelmän kieli. Virheraportit ja suorituskykyä koskevat lokitiedot. Laite- ja käyttäjätunnuksen ”kaltaiset tiedot”, joilla tunnistetaan toiminta eri laitteilla (!).
Sijaintitiedot: Arvioitu sijainti SIM-kortin ja IP-osoitteen perusteella. Lisäksi arkat GPS-sijaintitiedot, jos TikTokille annetaan sijainnin käyttöoikeus (!).
Käyttötiedot: Miten Tiktokia käyttää, mitä sisältöjä katsoo, kuinka kauan ja usein käytät Tiktokia, miten käyttäjä on vuorovaikutuksessa muiden käyttäjien kanssa, hakuhistoria Tiktokissa sekä asetukset.
Sisällön ominaisuudet: Tiktok tunnistaa esineitä ja maisemia, kasvoja ja ruumiinosia kuvista ja videoista sekä niiden sijaintia ja puheen sisältöä tekstin muodossa (!).
Johdetut tiedot: TikTok päättelee esimerkiksi ikäryhmän ja sukupuolen sekä kiinnostuksen kohteita muista kerätyistä tiedoista (!).
Evästeet ja vastaavat seurantatekniikat: TikTok kertoo käyttävänsä näitä kieliasetuksen muistamiseen, ja sen varmistamiseen, ettei samoja videoita näytetä useita kertoja, turvallisuussyistä sekä markkinointitarkoituksiin (!).

Lisäksi TikTok kerää muista lähteistä seuraavia tietoja:

Mainontaan, mittaamiseen ja muihin kumppaneihin liittyvät tiedot: Mainostajat, mittaus- ja muut kumppanit jakavat tietoa Tiktokille muista sovelluksista ja verkkosivustoilla, kuten mainonnan mobiilitunnuksia, hajautetut sähköpostiosoitteet, puhelinnumerot ja evästeet, sekä tapahtumatietoja toiminnasta muissa verkkosivuilla ja sovelluksissa (!).
TikTok Pixel -seurantaskriptin kautta suoraan kerätyt tiedot muilta verkkosivustoilta ja sovelluksista (!).
Kauppiaiden, maksupalveluntarjoajien ym. välittämät tiedot: esim. maksuvahvistustietoja ja tuotteiden toimitustietoja.
Kolmansien osapuolten alustojen välittämät tiedot: Jos käytät Tiktokiin rekisteröitymiseen Facebookia tai Googlea, jakavat nämä tietoja Tiktokille, kuten sähköpostiosoitteen, käyttäjätunnuksen ja julkisen profiilin. Synkronoidut yhteystiedot muilta alustoilta – myös silloin, kun joku toinen käyttäjä jakaa sinun tietojasi TikTokille (!). Jakopainikkeiden kautta TikTOkille välittyvät tiedot muilta alustoilta.
Muut lähteet: TikTok ”saattaa” kerätä tietoja myös muilta organisaatioilta, yrityksiltä, henkilöiltä ja muilta tahoilta, esimerkiksi julkisista lähteistä. viranomaisilta, ammattijärjestöiltä ja hyväntekeväisyysjärjestöiltä (!).

Pelkästään tässä listassa, jonka TikTok avoimesti kertoo, on todella runsas kattaus tietoja käyttäjien profiloimiseen. Jokaista huutomerkillä (!) merkittyä kohtaa kannattaa miettiä tarkemmin, että haluaako todella kyseisten tietojen päätyvän TikTokille ja Kiinaan. Tästä listasta olisi jo yksinään paljon kysyttävää, mutta yritän pitää tämän lyhyenä, joten mennään eteenpäin.

Tietoturvayhtiön raportti: Mitä muita tietoja TikTok pyrkii saamaan puhelimesta?

Internet 2.0 -tietoturvayhtiö arvioi eri sovellusten tietoturvallisuutta tekemällään lähdekoodiskannerilla, joka yksinkertaisesti käy sovelluksen lähdekoodin läpi ja etsii sieltä tunnistettuja riskejä ja datankeräystoimintoja.

Vuosi sitten julkaistussa raportissa TikTok sai arvioiduista sovelluksista kaikkein korkeimmat riskipisteet. Se sisälsi 63 % tutkituista riskeistä. Lähes samoihin riskipisteisiin ylsi venäläinen VK-yhteisöpalvelu.

Saman yrityksen tarkempi TikTokin arviointiraportti vuodelta 2022 (PDF saatavissa archive.orgin kautta) listaa TikTokin pyytävän ja keräävän puhelimesta seuraavia tietoja:

Laitteen tekniset tiedot: mm. WiFi-verkot, sarjanumero, SIM-kortin numero ja ICCID-tunniste, IMEI-numero, MAC-osoite, puhelinnumero, ääniviestin numero, GPS-status, operaattori (!)
Laitteelle tallennetut käyttäjätunnukset (!)
Pääsy laitteen leikepöydälle, joka voi sisältää esimerkiksi salasanoja, jos käyttäjä niitä kopioi (!)
Laite- ja mainostunnisteet (!)
Yhteystiedot: TikTok jatkaa luvan kysymistä, jos käyttäjä ei anna pääsyä heti (!)
Sijainti: vähintään kerran tunnissa (!)
Kalenterin sisällöt (!)
Kuvat
Laitteen muisti eli kaikki tiedostot (!)
Asennetut sovellukset ja juuri käytössä olevat sovellukset (!)

Nämä kaikki tiedot ovat käyttäjän yksityisyyden ja tietoturvan kannalta kriittisiä. Osalla tiedoista (kaikki tunnistetiedot) käyttäjä voidaan yhdistää muihin tietolähteisiin, joista hänestä voidaan hakea lisää dataa profilointia varten. Osa tiedoista puolestaan voi olla suoraan esimerkiksi tietomurtoihin käytettäviä tai muuten tietojen saajatahoille käyttökelpoisia – esimerkiksi tiedusteluun.

Voidaan esimerkiksi kysyä, miksi TikTok haluaa pääsyn puhelimen kalenteriin ja koko leikepöydän sisältöön. Kumpikaan ei vaikuta tarpeelliselta lyhytvideoiden selailuun. Edelleen ihmettelen, miksi TikTok tarkkailee, mitä muita sovelluksia puhelimessa on asennettuna ja käytössä samaan aikaan.

Lisäys 11.1.: Havainto leikepöydän lukuoikeuksista liittyi raportissa TikTokin Android-versioon. Alla on kuvakaappaus, jossa pyydetyt oikeudet näkyvät tarkemmin. En osaa sanoa, pystyykö TikTok näillä oikeuksilla lukea leikepöytää myös tausta-ajossa – joku Androidin oikeuksia tunteva koodari voisi kommentoida tätä. Mutta ainakin tilanteessa, jossa TikTok-sovellusta käytetään, se pystyy leikepöydän sisältöä lukemaan. Tämä yhdistettynä tietoon käyttäjän muista sovelluksista tarjoaa helpon keinon urkkia niihin mahdollisesti liittyviä salasanoja. Kannattaa välttää salasanojen kopiointia ja liittämistä kännykässä.

Lisäys 19.1.: Leikepöydän sisällön ja asennettujen sovellusten tietojen pääsyoikeuksiin liittyvät riskit ovat ainakin osittain torpattu uudemmissa Android- ja iOS-versioissa. Tämän ansiosta TikTok ei saa ko. tietoja, jos laitteella on riittävän uusi Android-/iOS-versio. Tämä on hyvä muistutus, miksi kännykän ja muidenkin laitteiden käyttöjärjestelmä- ja ohjelmistopäivitykset kannattaa aina pitää ajantasalla. Jos huomaat, että laitteessasi on vanhempi käyttöjärjestelmä kuin Android 11 tai iOS 16.1, kannattaa päivitys tehdä pian.

Haavoittuvuus	Korjauksen iOS-versio	Korjauksen Android-versio	Lähteet
Leikepöydän sisällön luku	16.1 (2022)	13 (2022)	iOS Android
Tiedot muista asennetuista sovelluksista	ei sallittu*	11 (2021)	iOS Android

* IOS-käyttöjärjestelmässä ei ilmeisesti ole voinut vanhemmissakaan versioissa saada tietoja muista laitteelle asennetuista sovelluksista. TikTok voi kuitenkin saa tietoja käyttäjän käyttämistä muista sovelluksista ja nettipalveluista muista lähteistä, joista käyttäjän tietoja voidaan hankkia – kuten edellä on kerrottu.

Kiinnostavaa on havainto, että TikTok lähettää kerättyjä tietoja lukuisille ulkopuolisille tahoille ja muille verkkopalvelimille. Seuraavat ovat tunnettuja tahoja ja tavanomaisena pidettyjä, vaikka nämäkin ovat käyttäjän näkökulmasta ylimääräistä datankeruuta:

AppsFlyer
Bolts
Facebook Share, Facebook Analytics ja Facebook Login
Google Firebase Analytics ja Google CrashLytics
Pangle
VKontakte SDK

Osa datankeräyksestä liittyy muiden somepalvelujen käyttöön (Facebook), osa sovelluksen käytön mittaukseen ja diagnosointiin (Google) ja osa markkinointidatan keräämiseen (AppsFlyer, Pangle). Mutta ainakin itseäni kiinnostaisi tietää, mitä tietoja välitetään venäläiselle Vkontaktelle.

Hätkähdyttävin tieto Internet 2.0:n tarkemmassa raportissa on, että sovelluksen käytön aikana se lähettää tietoja lukuisille TikTokin käyttämille verkkopalvelimille ympäri maailmaa, vaikka käyttäjätietojen kerrotaan säilytettävän Singaporessa ja Yhdysvalloissa.

Raportissa mainittuja palvelinten sijainteja:

Australia: Sydney, Adelaide ja Melbourne
Yhdysvallat: New York City, Las Vegas, San Francisco, San Jose, Monrovia, Cambridge, KansasCity, Dallas, Mountain View
Indonesia: Utama ja Jakarta
Malesia: Kuala Lumpur
Ranska: Pariisi
Singapore: Singapore
Kiina: Baishan (!)

Raportin mukaan ei käynyt selväksi, mitä tietoja lähetettiin suoraan kiinalaiselle palvelimelle. Kiinalaispalvelimen ylläpitäjäksi mainitaan pilvipalvelu- ja tietoturvayhtiö nimeltä Guizhou Baishan Cloud Technology Co.

Lisäys 11.1.: Havainto kiinalaispalvelimen käytöstä liityi raportissa TikTokin iOS-sovellukseen.

TikTok on luonnollisesti pyrkinyt kiistämään nämäkin havainnot. Internet 2.0:n vastaus on selkeä: tiedot perustuvat siihen, mitä TikTok-sovelluksen lähdekoodista ja sovelluksen käytöstä on suoraan havaittu.

TikTok tosin myöntää omilla verkkosivuillaankin, että tietoja voidaan ”rajoitetusti etäkäyttää” konserniin kuuluvien yksiköiden maista käsin, ja tässä yhteydessä mainitaan myös Kiina.

Tämän listan jatkoksi voidaan mainita muidenkin tahojen havaintoja kuten se, että TikTok vakoilee sovelluksen sisäisessä selaimessa kaikkea toimintaa näppäinpainalluksia myöten, ja että videoiden jakolinkkejä käytetään linkki- ja selaintunnisteiden avulla sen skannaamiseen, kuka jakaa videoita kellekin esim. pikaviestisovellusten kautta.

Sanalla sanoen TikTok on melkoisen täydellinen sovellus vakoiluun. Supon tämän päiväinen varoitus toivottavasti viimeistään tekee yhdessä edellä kerrotun kanssa asian täysin selväksi.

Mitä jos kuitenkin haluat käyttää TikTokia?

Olen ollut melko ehdottomasti TikTokin käyttöä vastaan edellä kuvattujen tietosuoja- ja tietoturvaongelmien vuoksi sekä sovelluksen lapsille ja nuorille sopimattoman sisällön vuoksi. Viime kirjoituksessa kuitenkin myönnyin suosittelemaan TikTokia mm. tiedotusvälineille, jotta sovellusta käyttävät nuoret saisivat disinformaation lisäksi myös luotettavia uutisia ruuduilleen.

Jos siis haluat käyttää TikTokia, tee se näin:

A) Nettiselaimella

Ilman kirjautumista
Älä anna mitään suostumuksia, joita TikTok pyrkii kysymään
Tyhjennä selaimen eväste- ja muu muisti käytön jälkeen
Näin tehtynä TikTok ei juurikaan pysty profiloimaan sinua ja sen algoritmi toimii ns. puhtaasti ilman käyttäjädataan perustuvaa suosittelua.
Huomaa, että selaintunnisteiden avulla TikTok pystyy yhdistämään ei-kirjautuneen käyttäjän TikTok-käyttäjätunnukseen, jos TikTokia on aiemmin käytetty samalla selaimella kirjautuneena. Tällöin ei-kirjautuneena ei ole suojassa TikTokin profiloinnilta.

tai

B) Erillisellä kännykällä

Älä yhdistä kirjautumista muihin somepalveluihin, vaan kirjaudu suoraan sähköpostiosoitteella tai puhelinnumerolla (huomaa, että nekin tosin ovat tunnistetietoja, joilla TikTok hakee sinusta lisätietoa muista lähteistä).
Älä anna TikTokille mitään tarpeettomia käyttölupia – älä varsinkaan yhteystietoja.
Älä tallenna samaan puhelimeen muiden ihmisten yhteystietoja tai muita henkilötietoja.
Älä tallenna samaan laitteeseen myöskään muita tärkeitä tai salaisia tietoja/tiedostoja.
Älä käytä samaa puhelinta mihinkään muihin työasioihin.
Älä asenna puhelimeen muita sovelluksia, joiden kautta laitteelle voisi tallentua edellä mainittuja tietoja, jotka voisivat siten edelleen välittyä TikTokille.
Älä lisää laitteelle muita käyttäjätunnuksia.
Älä kirjaudu laitteella verkkoihin, joissa on salassa pidettäviä tietoja saatavilla sillä tunnuksella, jolla verkkoon kirjaudutaan.
Kun TikTokia käytetään kirjautuneena, sovellus kerää käyttäjästä dataa kuten edellä on kuvattu ja algoritmi alkaa suositella sisältöjä sen mukaisesti.

Näillä kahdella tavalla TikTokin käyttö on kohtuullisen turvallista sisältöjen julkaisuun tai katsomiseen.

(Artikkelikuva: Bing / DALL-E 3 eli tekoälyn luoma)

Case: jauhojengi-kohu Twitterissä kesällä 2022 (esitys)

Pidin eilen esityksen AVI:n järjestämässä webinaarissa viime kesäisestä pääministeri Sanna Mariniin liittyneestä #jauhojengi-kohusta. Webinaari striimattiin Kirjastokaistalle ja sen tallenne on katsottavissa. Tässä kirjoituksessa käyn läpi selvitykseni havaintoja.

Esitys SlideSharessa

Olen aiemmin käsitellyt jauhojengi-kohua Julkisen sanan neuvostossa yleisön edustajana. En tässä yhteydessä palaa median toimintaan enempää kuin tapahtumien selostaminen edellyttää, mutta suosittelen lukemaan JSN:n vapauttavat päätökset.

Miten jauhojengi-kohu alkoi?

Jauhojengi-kohun taustat voidaan jakaa kahteen osaan: tapahtumien maailmaan ja viestinnän maailmaan. Kohu syntyi 17.-18.8.2022. Seuraavassa kuvassa on esitetty alkuvaiheen tapahtumia.

Kuvaan merkityt vaiheet aikajärjestyksessä:

Kohun taustalla oli kotibileistä kuvatut videot, joissa esiintyi myös pääministeri Sanna Marin. Videoiden kuvaamisen tarkkaa ajankohtaa ei ole ollut julkisuudessa.
Kyseiset videot – tai oikeammin niistä tehty kooste – jaettiin Instagramissa Rayharautio-nimisellä tunnuksella sen tarinat-osiossa. Tunnuksella oli kohun alkaessa 92 seuraajaa, mitä voi jo pitää varsin isona yleisönä, eikä kovin ”yksityisenä”. Rayharautio-tunnuksen ylläpitäjäksi on kerrottu mm. HS:n jutussa valokuvaaja Janita Autio.
Kolmas vaihe on kiinnostava, koska siitä on saatavissa vähiten tietoa. Joku – tai jotkut – tallensivat Instagramissa jaetun videon ja jakoivat sitä eteenpäin. Epäilemättä tarkoituksena oli saattaa videot julkisuuteen.
Ensimmäinen julkisesti netistä löytyvät merkki bilevideoista oli Ylilauta-keskustelufoorumilla keskiviikkoiltana 17.8.2022. Kuvaan olen merkinnyt kellonajanksi 20:54, mutta itse asiassa ensimmäinen videoihin liittyvä viesti oli Ylilaudalla jo klo 19:45 (en linkitä Ylilaudalle, mutta tässä ketjun tunniste: 130696072).
Iltalehti julkaisi videoista editoimansa koosteen 17.8. klo 21:03. Samalla kellonajalla Iltalehti jakoi linkin artikkeliinsa Twitterissä. Tällöin video tuli ensimmäisen kerran kaiken kansan nähtäville.
Aleksi Valavuori julkaisi alle puoli tuntia Iltalehden jutun jälkeen klo 21:31 Twitter-tilillään ilmeisesti lyhentämättömän videon Rayharautio-tunnuksen Instagram-tarinasta. Valavuoren twiitti oli englanniksi, mikä edisti kohun leviämistä kansainvälisesti.
Kun video sai julkisuutta, se herätti pian epäilyjä pääministerin mahdollisesta huumeidenkäytöstä. Tähän vaikutti varsinkin videolla kuultu sana ”jauhojengi”. Seuraavana aamuna to 18.8. klo 7:23 kansanedustaja Mikko Kärnä ehdotti twiitissään pääministerille käyntiä huumeseulassa.
Viimeistään huume-epäilyn jälkeen bilevideosta oli tullut merkittävä media- ja somekohu.
Pääministeri Marin kommentoi kohua 18.8. klo 10 pitämässään tiedotustilaisuudessa, joka on yhä katsottavissa esimerkiksi Yle Areenasta. Merkille pantavaa on, että kun Marinilta kysyttiin ”jauhojengi”-sanasta, hän ei kiistänyt sen kuulumista videolla, mutta vastasi, että hän itse ei ole käyttänyt huumeita. Näin pääministeri tuli yhdistäneeksi sanan ”jauhojengi” ja huumeiden käytön. On myös hyvä huomata, että vasta tämän jälkeen media käytti uutisissa ”jauhojengi”-sanaa. Lisäys 21.2.2023: Korjaus edelliseen, että HS käytti ”jauhojengi”-sanaa jo 18.8. klo 9:46 julkaisemassaan jutussa, jonka silloinen versio löytyy yhä Archive.org-palvelusta.
Jauhojengi-kohun ensimmäisten päivien huipennuksena voidaan pitää sitä, että Marin kävi perjantaina 19.8.2022 huumetestissä (lähde: IS).

Mistä ”jauhojengi”-sana oli peräisin?

Kohun alkuvaiheessa on pari kiinnostavaa yksityiskohtaa. Ensimmäinen niistä liittyy siihen, milloin ja kuka ensimmäisen kerran käytti jauhojengi-sanaa. Tälläkin kertaa ensimmäinen julkinen merkintä sanan käytöstä löytyy Ylilaudalta (ketju: 130696321) 17.8.2022 klo 21:29. Se ei kuitenkaan todista muuta kuin siitä, että Ylilaudalla keskusteltiin aiheesta – siinä missä Twitterissäkin.

Twitterissä ensimmäinen ”jauhojengi”-maininta oli vain 10 minuuttia myöhemmin klo 21:40, kun tunnus @pem8374 käytti sitä vastauksessaan Iltalehden toimittaja Jarno Liskille. On mahdotonta sanoa, halusiko hän antaa toimittajalle tietoa, vaikuttaa toimittajan videolta tekemään tulkintaan, vai oliko kyse silkasta sattumasta, että twiitin vastaanottaja oli toimittaja. Liski itse oli aktiivinen Twitter-keskusteluissa, joten ei ole ihme, että hänen twiitteihinsä tuli monenlaisia vastauksia.

Twitterissä hashtagien muodostuminen on keskeistä kohujen synnyssä, sillä hashtageista kohut saavat nimensä ja muistetaan. Hashtag ikään kuin määrittelee keskustelunaiheen. Ensimmäisen kerran #jauhojengi-hashtagia käytti nimimerkkitunnus @_M_I_N_T_T_U 17.8. klo 23:22.

Kiinnostavaa on, että sekä @pem8374 että @_M_I_N_T_T_U -tunnus on kumpikin luotu helmi-maaliskuun vaihteen tienoilla vuonna 2022 Ukrainan-Venäjän-sodan alussa, jolloin Twitteriin luotiin suuria määriä trolli- ja bottitunnuksia. Bottitunnuksia @pem8374 ja @_M_I_N_T_T_U eivät Tweeps.net:in bottianalyysin mukaan kuitenkaan ole, vaan korkeintaan trolleiksi tulkittavia. Muutoinkaan jauhojengi-kohun twiittaajissa ei ollut tavallista enempää bottitunnuksia.

Vaikka kaksi hieman epäilyttävää tunnusta buffasikin ”jauhojengiä” heti kohun ensimmäisenä iltana, se ei selitä sitä, miksi sana nousi Twitterissä voimakkaasti esiin. Kyseisten tunnusten seuraajamäärä ja twiittien näkyvyys ei edes riittäisi selittämään sitä.

Tärkein syy jauhojengi-sanan nousulle puheenaiheeksi oli yksinkertaisesti se, että moni kuuli sanan suoraan bilevideolta. Media ei kuitenkaan käyttänyt ”jauhojengiä” uutisartikkeleissa ennen kuin siitä oli kysytty seuraavana aamuna pääministeriltä itseltään. (Lisäys 21.2.2023: Lukuunottamatta HS:ia, joka käytti yhdessä jutussaan ”jauhojengiä” jo 18.8. klo 9:46.) Lukijan on hyvä tietää, että tiedotusvälineet ovat edelleen pysyneet kannassaan, että videolla todella sanottiin ”jauhojengi” eikä jotain muuta.

Jauhojengi-kohun twiittiaineistot 17.-31.8.2022

Tein esitystä varten selvityksen jauhojengi-kohuun liittyvistä twiittimääristä 17.-31.8.2022. Käytin kolmea eri aineistoa:

Aineisto, jonka itse keräsin Twitteristä hakusanoilla ”jauhojengi”, ”#jauhojengi” ja ”jallujengi”, 17.-31.8.2022
Mika Laitin tuoreeltaan keräämä aineisto 17.-19.8.2022, jonka hän on julkaissut Power BI:ssä
Meltwaterin someseurantatyökalun ”jauhojengi”-hakusanalla Twitteristä keräämä aineisto, 17.-31.8.2022

Tärkein on itse keräämäni aineisto. Kahta muuta käytin apuna esityksen valmistelussa ja aiheen käsittelyn syventämisessä.

Tässä kuvassa näkyy twiittimäärän kehittyminen kohun alusta alkaen. Kuvassa on mukana myös 16.8.2022 sen osoittamiseksi, ettei jauhojengistä ollut puhetta Twitterissä ennen Iltalehden ensimmäisen jutun julkaisua.

Kohu jatkui ja uutta vettä myllyynsä vielä seuraavalla viikolla, kun 23.8.2022 julkisuuteen tuli Kesärannassa aiemmin kesällä otettu kuva, jossa kaksi vierailulla ollutta julkkista pussaa pääministerin pressiseinän edessä. Kuvaajassa toisaalta näkyy sekin, että vaikka kohu oli mittakaavassaan todella voimakas, se kuitenkin laantui Twitterissä kohtalaisen nopeasti.

Seuraavassa kuvaajassa näkyy, miten keräämäni aineiston twiitit jakaantuivat yksittäisten Twitter-käyttäjien kesken. Vasemmassa reunassa on käyttäjä, jolla oli eniten twiittejä aineistossa (yhteensä 102), sen jälkeen seuraavaksi eniten twiitannut käyttäjä jne. Aineistossa oli yhteensä 4236 eri käyttäjää. On kuitenkin syytä huomata, että aineistossa ei ole KAIKKI jauhojengi-kohuun liittyvät twiitit, vaan ainoastaan otos, joka perustuu käyttämiini hakusanoihin. Lisäksi osa kohuun osallistuneista tunnuksista on jo ehditty joko poistaa tai jäädyttää, ja moni käyttäjä on varmasti jälkikäteen poistanut silloisia twiittejään.

Sosiaalisen median palveluissa käyttäjien aktiivisuus on jakaantunut usein niin sanotun Pareton periaatteen tai 80/20-säännön mukaisesti. Sen mukaan 80 % seurauksista johtuu 20 % syistä. Eli somessa tyypillisesti 20 % käyttäjistä tuottaa 80 % sisällöistä. Jauhojengi-kohussa tämä EI kuitenkaan toteutunut, vaan twiitit jakaantuivat keräämässäni aineistossa tasaisemmin. Tämäkin osoittaa, että kohu ei vain aktiivisimpien twiittaajien aikaansaama ja ylläpitämä.

1 % eli 42 käyttäjää loi 15 % kaikista twiiteistä
10 % eli 441 käyttäjää loi 50 % kaikista twiiteistä
20 % käyttäjistä eli 847 käyttäjää loi 63 % kaikista twiiteistä
60 % käyttäjistä oli twiitannut aiheesta vain kerran

On kiinnostavaa tarkastella, mitkä tunnukset olivat ahkerimpia twiittaajia. Seuraavaan taulukkoon kokosin 10 aktiivisinta twiittaajaa, mutta piilotin kahden omalla nimellään esiintyvän henkilön tunnukset heidän yksityisyytensä suojelemiseksi. Kyse ei ole politiikasta tai muuten julkisuudesta tunnetuista henkilöistä.

5/10 oli tunnuksia, joita luonnehdin heidän tekemiensä twiittien vuoksi anonyymeiksi trolleiksi.

3/10 oli tunnuksia, joita luonnehdin nimimerkkitunnuksiksi. Hekin ovat anonyymejä, mutta heidät erottaa ensiksi mainituista twiittien sisältö. (En pidä ”Harvassailaa” todellisena sukunimenä.)

2/10 oli omalla nimellään esiintyneitä.

En pidä yllättävänä, että aktiivisimmissa tunnuksissa oli näin paljon niitä, jotka eivät esiintyneet omalla nimellään. Anonyymiuden takaa on helpompi kommentoida kriittisesti ja jakaa asiatontakin materiaalia kuin omalla nimellä. Samanlainen jakosuhde tuskin pätee koko aineistossa, mutta sitä en selvittänyt erikseen.

Kaksi anonyymiä trollitunnusta eli @Bilekriitikko ja @RingoArrrr oli luontipäiviensä perusteella luotu varta vasten jauhojengi-kohuun osallistumista varten. Tämän vuoksi tein koko 4236 käyttäjän aineistolle luontipäiväanalyysin eli laitoin ne kuvaajaan luontipäivänsä sekä sen päivän mukaan, jolloin he ensikerran aineiston mukaan twiittasivat kohun aiheesta. Vasemmassa reunassa on siis ensimmäisinä kohusta twiitanneet tunnukset.

Näin saadaan ns. verhokuva, josta voidaan tarkastella, jakaantuuko tunnusten luontipäivät normaaliin tasaiseen tapaan vai painottuvatko ne jollekin tietylle ajankohdalle.

Kuvaajassa voi erottaa luontipäivien lievää painottumista alkuvuodelle 2022, mutta ei siinä määrin, että pitäisin sitä poikkeuksellisena. Pikemminkin kohuun osallistuneiden tunnusten luontipäivät jakaantuvat hämmästyttävän tasaisesti.

Verhokuva on aiemmissa tekemissäni analyyseissä osoittautunut hyväksi työkaluksi. Kuvaajassa voisi esimerkiksi näkyä yhtenäisenä viivana tilanne, jossa olisi tehtailtu nopeasti uusia tunnuksia johonkin tarkoitukseen. Tässä tapauksessa selvää merkkiä sellaisesta ei ole, eikä tiedetyt botti- ja trollitunnusten luontipäivät nouse erityisesti esille.

Mukana on runsaasti yli 10 vuotta vanhoja Twitter-tunnuksia, mikä osaltaan osoittaa, että kohuun osallistui tavallisia vakiintuneita Twitterin käyttäjiä.

Millaista sisältöä jauhojengi-kohun twiitit olivat?

Kuten on hyvin tiedossa, jauhojengi-kohussa oli kyse ennen kaikkea pääministeri Sanna Mariniin kohdistuneesta epäilystä mahdollisesta huumeiden käytöstä. Mutta ei pelkästään siitä. Kohun aikana moni myös puolusti pääministeriä. Joka tapauksessa twiitit olivat voittopuoleisesti sävyltään pikemmin negatiivisia kuin positiivisia. Meltwaterin someseurantatyökalun automaattisesti tekemä tunneanalyysi onnistui tavoittamaan tämän.

Mika Laitin Power BI -aineistossa (17.-19.8.2022) oleva hashtag-sanapilvi havainnollistaa, minkä tyyppisiä asioita ihmiset toivat twiiteissään esiin.

Monet twiittaajat tehtailivat joko itse tai jakoivat muiden tekemiä meemikuvia. Joukossa oli jonkin verran täysin asiatonta materiaalia. Luonnollisesti en ottanut esitykseeni pahimpia meemejä, vaan valitsin sellaisia esimerkkejä, jotka voisivat mennä vielä poliittisesta satiirista. Suurin osa meemikuvien tekijöistä tyytyi käyttämään jauhojengi-videon kuva- ja tekstimateriaalia, mutta jotkut loivat omia kuvamuokkauksia.

Kuten mainitsin, pääministerille löytyi kohun aikana myös puolustajia. Seuraavassa esimerkkejä niistä.

Puolustajilla oli muutama selvä teema:

Kohua väitettiin mm. Ylilaudalta masinoiduksi
Moni kuuli ”jauhojengin” sijasta videolla sanan ”jallujengi” tai ”jallu jenny”
Median toimintaa kritisoitiin monin tavoin

Videon ääninauhan epäselvyys antoi tilaa erilaisille tulkinnoille siitä, mitä videolla sanottiin. Varsinkin ”jallujengi”-sanaa yritettiin saada keskusteluissa läpi ”jauhojengi”-sanan tilalle. Kiinnostavana yksityiskohtana myös ”jallujengi”-sana esiintyi paljon aikaisemmin Ylilaudalla (ketju: 130697672) ennen kuin se levisi Twitterissä 18.8.2022.

Median toiminnassa kritisoitiin muun muassa sitä, että monia uutisartikkeleita muokattiin ilman muokkausmerkintöjä etenkin 18.8.2022 päivän aikana. Tästä olen kritisoinut tiedotusvälineitä itsekin: pitäisin parempana, että KAIKKI muutokset merkittäisiin verkkoartikkeleihin, vaikka Journalistin ohjeet eivät sitä suoranaisesti nykyisin edellytä, ellei kyse ole merkittävästä muutoksesta. Muutokset liittyivät varsinkin jauhojengi-sanan käyttöön, ja niitä käsiteltiin sittemmin JSN:n tekemissä päätöksissä.

Oliko jauhojengi-kohussa kyse ”infosodasta”?

Demokraatti-lehden päätoimittaja Petri Korhonen esitti jo kohun aikana spekulaation, oliko jauhojengi-kohussa kyse jonkun tahon harjoittamasta ”infosodasta”. Päätin esitykseni vastaukseeni Petrille.

Bilevideo oli aito, ei manipuloitu – ellei lasketa kuvaajan tekemää videoiden yhdistelyä.
”Jauhojengi”-sanaa tarjottiin toimittajille, mutta sitä ei käytetty uutisissa ennen Marinin haastattelua.
Infosota-tyyppinen tilanne syntyi, kun ”jauhojengin” tilalle esitettiin voimakkaasti ”jallujengi”-sanaa.
Kyseessä oli aito media- ja somekohu, ei botti- ja trollitunnusten masinoima, vaikka trollejakin esiintyi.

Digijäte ja sosiaalinen media + pimeät suunnittelumallit (dark patterns) TikTokissa ja Yle Areenassa

Pidin eilen opintokeskus Kansalaisfoorumin etätapahtumassa luennon digijätteestä ja sosiaalisesta mediasta.

Aiheen voi tiivistää seuraavasti:

Valtaosa nettisivustoista on digijätettä.
TOP 3 verkkosivustoa ovat samalla suurimpia datankerääjiä ja digijätteen aiheuttajia: Google, YouTube ja Facebook.
Iso osa somepalvelujen keräämästä tiedosta on käyttäjien näkökulmasta digijätettä.
Osa kerätystä tiedosta saadaan harhauttamalla käyttäjiä antamaan itsestään turhia tietoja kuten sijainti ja kontaktilistat. Tästä lisää alla.
Digijätettä kertyy, koska digibisnes on valtava markkina, joka pitää sisällään mm. maailman viisi arvokkainta yritystä (Apple, Alphabet, Microsoft, Amazon ja Facebook).
Varsinkin evästeet ovat mitä turhinta digijätettä
Unohtamatta tietenkään spämmiä
Minkä lisäksi tulee vielä kaupallinen digijäte

Katso koko esitys alta.

Avaa esitys SlideSharessa

Pimeät suunnittelumallit (dark patterns) – esimerkkeinä TikTokin rekisteröityminen ja Yle Areenan evästeilmoitus

Käyttäjien harhauttamiseen pyrkiviä pimeitä suunnittelumalleja käytetään mm. verkkopalvelujen rekisteröitymisessä, yksityisyysasetuksissa ja evästeiden suostumusbannereissa. Niiden avulla käyttäjät yritetään saada tekemään asioita, joita he eivät todennäköisesti tekisi, jos olisivat täysin tietoisia, miten heidän tietojaan kerätään ja käytetään.

Käytin esityksessä Euroopan tietosuojaneuvoston EDPB:n vast’ikään julkaisemia pimeiden suunnittelumallien kategorioita.

Esimerkkinä käytin TikTokin rekisteröitymisprosessia, joka perustuu siihen, että antamalla monia vaihtoehtoja rekisteröitymistapaan käyttäjää ylikuormitetaan ja yritetään saada hänet valitsemaan ensimmäinen vaihtoehto eli sähköpostiosoitteella tai puhelinnumerolla rekisteröityminen.

Mikäli käyttäjä valitsee ensimmäisen kohdan, häneltä pyritään saamaan ensisijaisesti puhelinnumero, jolla hänet voitaisiin heti yhdistää muista lähteistä jo kertyneeseen profilointidataan. Tämä tosiasia paketoidaan tunteisiin vetoavaan ”kokemuksen parantamiseen”. Samalla käyttäjältä ei missään vaiheessa pyydetä selkeää suostumusta tai sopimuksen hyväksyntää, vaan se ohitetaan.

Otetaan toinen esimerkki Yle Areenan evästeiden suostumuksesta, jossa niin ikään käytetään useita pimeitä suunnittelumalleja:

Evästeiden suostumuksessa on kyse GDPR:n mukaisen suostumuksen pyynnöstä sille, että käyttäjän päätelaitteelle saadaan tallentaa tietoa – yleensä evästeitä. Velvollisuus tähän tulee EU:n sähköisen viestinnän tietosuojadirektiivistä, joka lähtee siitä, että käyttäjille pitää antaa nimenomaisesti mahdollisuus kieltäytyä evästeiden käytöstä. Lisää aiheesta Innowisen blogissa.

Kuten kuvasta näkyy, evästeilmoituksessa kieltomahdollisuus loistaa poissaolollaan. Se siis jätetään pimentoon. Sen sijaan annetaan kaksi vaihtoehtoa: 1) muokkaa evästeasetuksia ja 2) hyväksy kaikki evästeet. Meidät on jo aika hyvin ehdollistettu klikkaamaan aina ”hyväksy”, ja tätä vahvistetaan visuaalisesti erottuvammalla nappulalla.

Ylen kannalta on ikävä juttu, että vaikka käyttäjä klikkaisi ”hyväksy kaikki evästeet”, se ei täyttäisi GDPR:n määritelmää vapaaehtoisesta, yksilöidystä ja tietoisesta suostumuksesta, koska evästeilmoituksessa ei kerrota, mihin kaikkeen evästeitä käytetään ja mitä kolmansien osapuolten evästeitä käytetään. Toisin sanoen Yleltä puuttuu virheellisen toteutustavan takia laillinen peruste evästeiden käyttöön palvelussaan.

Mikäli käyttäjä erehtyy valitsemaan ”muokkaa evästeasetuksia” -vaihtoehdon, hänelle annetaan lukuisia valintamahdollisuuksia:

Tässä käytössä on niin ikään useita pimeiden suunnittelumallien kategorioita, ennen muuta sekoittaminen. Ensimmäisessä kohdassa ”välttämättömät toiminnalliset evästeet” on täysin turhaan ruksi, koska sitä ei voi ottaa pois. Itse asiassa EU-asetuksen mukaan välttämättömille evästeille ei edes tarvitse pyytää suostumusta, mutta niiden käytöstä pitää kyllä kertoa.

Muut valintakohdat ovat aluksi kiinni, jolloin käyttäjälle tehdään tarkoituksellisesti hankalaksi niiden lukeminen. On myös kyseenalaista, miksi jokaisesta kohdasta on erillinen ruksivalinta, koska en ole koskaan tavannut ihmistä, joka haluaisi alkaa valitsemaan, että hyväksynpä ”sosiaalisen median evästeet”, mutta en hyväksy ”kohdentamisen ja suosittelun evästeitä”. Nämäkin vaihtoehdot ovat epäselviä, sillä somepalvelujen evästeillä tehdään juuri profilointia ja sen avulla mainosten kohdentamista.

Lisäksi yhä puuttuu selvä ”kiellä evästeet” -nappula. Käyttäjä pyritään näin ohjaamaan evästeiden hyväksyntään.

Viime viikolla TIEKEn ja Tietosuojavastaavan toimiston koulutuksessa pidin esityksen evästeiden suostumuksesta (vastaavat materiaalit täällä). Käytin silloinkin Ylen evästebanneria esimerkkinä. Eräs osallistuja kysyi, miksi Yle toimii näin julkisen palvelun yhtiönä. En keksinyt yhtään hyvää syytä.

EDPB:n dark pattern -kategoriat suomennettuina

Edellä olleessa kuvassa esitin EDPB:n pimeiden suunnittelumallien kuusi kategoriaa hyvin lyhyesti. Alla on niiden kuvaukset suomennettuina suurinpiirtein sanasta sanaan EDPB:n julkaiseman Guidelines 3/2022 on Dark patterns in social media platform interfaces: How to recognise and avoid them -dokumentin (PDF) mukaisesti.

Tuntemalla nämä voit välttää harhauttavia käyttöliittymiä ja turhien tietojen antamista eri tahoille.

1. Ylikuormittaminen tarkoittaa, että käyttäjät kohtaavat vyöryn/suuren määrän pyyntöjä, tietoja, vaihtoehtoja tai mahdollisuuksia saadakseen heidät jakamaan lisää tietoja tai salliakseen tahattomasti henkilötietojen käsittelyn rekisteröidyn odotusten vastaisesti.

Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

Jatkuva kehotus
Yksityisyyssokkelo
Liian monta vaihtoehtoa

2. Ohittaminen tarkoittaa käyttöliittymän tai käyttökokemuksen suunnittelua siten, että käyttäjät unohtavat tai eivät ajattele kaikkia tai osaa tietosuojanäkökohdista. Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

Petollinen mukavuus
Katso tänne

3. Sekoittaminen vaikuttaa valintoihin, joita käyttäjät tekisivät vetoamalla tunteisiinsa tai käyttämällä visuaalisia houkuttimia.
Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

Emotionaalinen ohjaus
Piilossa näkyvissä

4. Estäminen tarkoittaa käyttäjien tiedonsaantiprosessin tai tietojen hallinnan estämistä tekemällä toiminnosta vaikean tai mahdottoman toteuttaa. Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

Umpikuja
Tarpeettoman pitkä
Harhaanjohtavat tiedot

5. Oikullinen tarkoittaa, että käyttöliittymän rakenne on epäjohdonmukainen ja epäselvä, minkä vuoksi käyttäjän on vaikea navigoida eri tietosuojatoiminnoissa ja ymmärtää käsittelyn tarkoitusta. Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

Hierarkian puute
Kontekstin häivyttäminen

6. Pimeyteen jättäminen tarkoittaa, että käyttöliittymä on suunniteltu piilottamaan tiedot tai tietosuojatoiminnot tai jättämään käyttäjät epävarmoiksi siitä, miten heidän tietojaan käsitellään ja millaista hallintaa heillä voi olla oikeuksiensa käyttämiseen. Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

Kielen epäjatkuvuus
Ristiriitaiset tiedot
Epäselvät sanat tai tiedot

Facebook-tietovuotajan paljastukset ja niiden merkitys

Olin tänään MTV:n uutisamuussa kommentoimassa Facebookin ex-työntekijän Frances Haugenin paljastuksia ja Facebookin palvelujen maanantaista kaatumista. Koska suoran lähetyksen aika oli kovin lyhyt, laitan tähän laajemmat vastaukseni toimittajan esittämiin kysymyksiin.

1. Mitä tällä hetkellä tiedetään Facebookin äskettäisen kaatumisen syistä?

Facebookin palvelut eli Facebook, Messenger, Instagram ja WhatsApp olivat mediatietojen mukaan kaatuneena maanantaina noin kuusi tuntia. Kyseessä oli yksittäinen tapahtuma, jonka on epäilty johtuvan inhimillisestä virheestä. Kyse oli Facebookin palvelinkeskusten välisen runkoverkon reititysvirheestä. Virhe ikään kuin sulki Facebookin palvelimet pois Internetistä, kun Facebookin palvelujen verkko-osoitteet eivät yhdistyneet palvelimille. Lisätietoa esim. HS:n artikkelista.

Facebookille kaatuminen tuli ikävään aikaan. Käyttäjille tämä oli hyvä muistutus siitä, että viestintää ei kannata jättää vain yhden sovelluksen tai palveluntarjoajan varaan. Varsinkin WhatsAppin kaatuminen voi olla todella vahingollista monille käyttäjille niin vapaa-ajalla kuin töissäkin.

Laajemmassa kuvassa tämä on viimeisin lenkki Facebookiin kohdistuvassa kritiikissä, joka alkoi kiihtyä vuonna 2018, kun paljastui, miten Facebookia oli käytetty vaaalivaikuttamiseen Yhdsvaltain presidentinvaaleissa ja Brexit-äänestyksessä vuonna 2016.

2. Frances Haugen on Facebookin entinen työntekijä, joka vuoti USA:ssa julkisuuteen FB:n sisäisiä tietoja. Mitä hän on kertonut Facebookin asioista?

Haugenin paljastukset voisi tiivistää niin, että ne osoittavat Facebookin toiminnan olevan vastuutonta, käyttäjille haitallista ja että Facebook ei enää kykene hallitsemaan sitä, miten sen palveluita käytetään hyväksi vahingollisiin tarkoituksiin. Kuvaavaa on, että Facebook puhuu hyvistä aikeista, mutta ei toimi sen mukaisesti.

Tässä joitakin Haugenin paljastuksia:

Facebookin vahingollisuudesta käyttäjilleen on puhuttu sen alkuajoista lähtien. Haugen kertoi yrityksellä olevan sisäisiä tutkimuksia, jotka osoittavat Facebookin haitat käyttäjille selvästi. Yritys ei kuitenkaan halua tehdä korjaavia toimia, koska se haittaisi Facebookin liiketoimintaa, sillä korjaukset todennäköisesti aiheuttaisivat sen, että käyttäjät olisivat entistä vähemmän Facebookin palveluissa.
Facebook asettaa liiketoiminnan käyttäjien mielenterveyden ja muun hyvinvoinnin edelle. Tämä näkyy käytännössä esimerkiksi siinä, ettei Facebook estä vihapuhetta, vastakkainasettelua ja disinformaation leviämistä algoritmeissaan niin tehokkaasti kuin se halutessaan voisi tehdä.
Haugenin mukaan Facebook muutti algoritmejaan viime vuoden presidentinvaalien alla vähentääkseen palvelun polarisoivaa vaikutusta. Heti vaalien jälkeen algoritmit kuitenkin palautettiin ennalleen, mikä saattoi Haugenin mielestä osaltaan vaikuttaa USA:n kongressitalon valtaukseen 6. tammikuuta.
Yksi esimerkki Facebookin vastuuttomuudesta on myös se, ettei yritys Haugenin mukaan pyri varsinaisesti estämään liian nuorten eli alle 13-vuotiaiden käyttäjien pääsyä Facebookiin ja Instagramiin. Yhtiö on ollut kehittämässä esiteineille suunnattua Instagram Kids -palvelua, vaikka Instagram on niin Facebookin omien kuin muidenkin tahojen tutkimuksissa todettu olleen haitallinen varsinkin nuorten tyttöjen itsetunnon kehittymiselle.
Kolmantena tärkeänä paljastuksena voi pitää sitä, että Facebook ja Instagram eivät ole enää yhtiön omassakaan hallinnassa. Esimerkkinä tästä on vaikkapa se, että yhtiön tarkoituksena on ollut edistää koronarokotusten ottamista, mutta samaan aikaan sen palvelut ovat tehokkaita koronaan liittyvän disinformaation ja salaliittoteorioiden levittämisessä.
Haugen myös kertoi, että hänen työskennellessään Facebookin vastavakoilutiimissä he havaitsivat muun muassa Kiinan ja Iranin käyttävän palvelua vakoiluun ja kansalaistensa valvontaan. Facebookilla ei kuitenkaan ole tarpeeksi resursseja puuttua kuin kolmannekseen sen tietoon tulevista tapauksista.
Facebook ei paljasta kaikkea tietoaan Yhdysvaltain tai muidenkaan maiden hallituksille. Se pyrkii salaamaan tämän, koska tieto olisi sen maineelle haitallinen.
Facebook käyttää sisällönvalvonnassa apuna tekoälyä, mutta se pystyy tunnistamaan vain 10-20 % kaikesta loukkaavasta sisällöstä.

3. Miten Facebook on reagoinut Haugenin vuotoon?

Facebook on puolustautunut tiukasti. Sen on ollut pakkokin, koska syytökset ovat vakavia. Facebookin edustajat ovat vakuuttaneet, että yhtiö tekee töitä pitääkseen Facebookin turvallisena – kuinkas muutenkaan.

Facebook on julkaissut useita blogikirjoituksia, joissa se mm. on kertonut jäädyttävänsä Instagram Kids -palvelun kehittämisen toistaiseksi, ja poistavansa kaikki alle 13-vuotiaiden käyttäjien tunnukset, jotka se löytää. Blogikirjoituksissa Facebook on pyrkinyt selittämään Wall Street Journalin artikkelien paljastuksia parhain päin. Samalla se on vähätellyt väitteitä ja pyrkinyt esittämään WSJ:n epäluotettavana.

Facebookin julkaisemia blogikirjoituksia:

4. Viime yönä Haugen oli USA:n kongressin kuultavana. Mitä kongressin kuulemisesta voi seurata Facebookille?

Todennäköisesti tuloksena on, että Facebookin ja muiden nettijättien toimintaa aletaan säännellä aiempaa tiukemmin. Sääntely voisi kohdistua ainakin seuraavaan kolmeen asiaan:

1) Ihmisten yksityisyyden suojaamiseen. Yhdysvalloissa ei tähän mennessä ole yhtä tiukkaa tietosuojasääntelyä kuin EU:ssa on GDPR. Tälläkin hetkellä verkossa on myynnissä puolentoistamiljardin Facebookin käyttäjän tietoja.

2) Algoritmien avoimuuteen ja toimintaan. Haugenin mukaan Yhdysvaltain viranomaisilla ei ole nykyisin laillisia keinoja selvittää, miten Facebookin algoritmit todella toimivat. Yhtiön sisälläkin algoritmeista tietävät tarkasti vain harvat. Facebook on useita kertoja pyrkinyt torppaamaan myös tutkijoiden yritykset ottaa algoritmien toiminnasta selvää (esimerkki tässä YLEn artikkelissa).

3) Velvollisuuksiin puuttua havaittuihin väärinkäytöksiin. Jatkossa on kestämätön tilanne, jos Facebookin kaltaisia palveluita voidaan käyttää esimerkiksi vakoiluun tai väärän tiedon levittämiseen ilman, että alustalla on velvollisuutta puuttua siihen tai edes kertoa tietojaan eteenpäin viranomaisille.

EU:ssa on parhaillaan menossa digitaalisten palvelujen sääntelyä koskevan lakipaketin valmistelu, joka alkoi viime vuoden lopulla. Lisää aiheesta. esim. HS:n artikkelissa.

Facebook ei ole ongelmissa GDPR:n kanssa yksinään

Syyskuun ajan on uutisoitu Irlannin tietosuojaviranomaisen (DPC) ja Facebookin välisestä väännöstä, joka koskee henkilötietojen siirtoa Yhdysvaltoihin ja siten koko yhtiön toimintaa Euroopassa.

Valitettavasti suomalaisissa uutissa on säännöllisesti tehty taustatyöt leväperäisesti ja sohaistu aihetta vain pitkällä kepillä. Olennaiset kysymykset on sivuutettu lähes täysin. Yritän tässä edes hieman tuoda niitä mukaan keskusteluun.

Tausta: seitsemän vuoden kiista

Aluksi lyhyt taustoitus, mistä koko asiassa on kyse:

EU:n tuomioistuin antoi 16.7.2020 päätöksensä ns. Schrems II -tapauksessa. Päätöksen mukaan EU:n ja USA:n välillä henkilötietojen siirtoihin aiemmin käytetty Privacy shield -sopimusjärjestely on pätemätön. Suomeksi päätöksen seurauksista voi lukea EU:n tietosuojaneuvoston UKK-dokumentista.
Facebook ja useat muut pilvipalvelut ovat aiemmin käyttäneet nimenomaan Privacy shieldiä henkilötietojen EU-USA-siirtojensa perusteena. Se ei siis enää käy.
Päätöksen myötä useiden pilvipalvelujen käyttö henkilötietojen käsittelyyn EU:ssa tuli välittömästi laittomaksi – mikä on ihme kyllä jäänyt medialta lähes tyystin huomiotta.
EU-tuomioistuimen päätöksessä otettiin kantaa myös niin sanottujen EU:n mallisopimuslausekkeiden (joita on oikeastaan kolme) käyttöön henkilötietojen EU-USA-siirtojen perusteena. Päätöksen mukaan mallisopimuslausekkeita voi edelleen käyttää, mutta ei yksinään, vaan tietosuojan takaavien lisätoimenpiteiden kanssa.
Käytännössä kukaan ei vielä tiedä varmasti, mitä voisivat olla sellaiset tietosuojan lisätoimenpiteet, joilla henkilötiedot voitaisiin varmasti suojata Yhdysvalloissa esimerkiksi sen hallinnon tekemältä tiedustelulta. Asiaan odotetaan EU:n tietosuojaneuvoston (EDPB) lisäohjeita.
Tähän asti on kuitenkin tulkittu niin, että tietosuojan lisätoimenpiteissä olisi kyse tietojen vahvasta salauksesta yhdistettynä henkilötietojen pseudonymisointiin. Eli salaamalla tiedot siten, että niitä ei voi ulkopuolinen lukea, kun tiedot on tallennettuina Yhdysvaltalaisille palvelimille. Tässä on kuitenkin monia epävarmuustekijöitä, koska henkilötietojen käsite on laaja: esimerkiksi jo sähköpostiosoite ja IP-osoite ovat henkilötietoja.
Mainittakoon, että EU-tuomioistuimen päätöksen mukaan on olemassa yksi varma oikeusperuste henkilötietojen EU-USA-siirrolle: rekisteröityjen nimenomaisen suostumuksen saanti siirroille.
Facebook on tikunnokassa ensimmäisenä varsinkin siksi, koska EU-tuomioistuimen päätös koski nimenomaisesti sitä. Kyse ei ole mistään uudesta asista, vaan tämän hetken tilanne on vain viimeinen käänne itävaltalaisen tietosuoja-aktivisti Max Schremsin jo vuonna 2013 aloittamasta oikeustaistelusta. Vuonna 2015 oikeudessa kaatui Privacy shieldin edeltäjänä ollut Safe harbor -sopimusjärjestelmä ja heinäkuussa sitten Privacy shield. Eli Facebook on kitkutellut asian kanssa jo seitsemän vuotta ja sillä olisi ollut tarvittava aika hoitaa se kuntoon. (Sivuhuomautus: joku ystävällinen wikipedisti voisi kääntää linkin Wikipedia-artikkelin myös suomeksi.)

Syyskuun tapahtumat: Irlannin tietosuojaviranomainen vs. Facebook

Ja näin päästään tämän hetkiseen Irlannin tietosuojaviranomainen vs. Facebook -tapaukseen:

Koska Facebook ei voi enää käyttää Privacy shieldiä henkilötietojen EU-USA-siirtojen perusteena, se on takertunut toiseksi viimeiseen oljenkorteensa eli EU:n mallisopimuslausekkeisiin. Muitakin siis vielä on ja niistä lisää jäljessä.
EU-tuomioistuimen päätöksen jälkeen Irlannin tietosuojaviranomainen on mediassa olleiden tietojen mukaan antanut alustavan päätöksen, jonka mukaan Facebookin tulee keskeyttää henkilötietojen siirto. Facebookilla oli aikaa antaa vastineensa tämän kuukauden puoliväliin mennessä.
Kun tieto tuosta alustavasta päätöksestä tuli syyskuun toisella viikolla julki, Facebook julkaisi hyvin kiinnostavan blogipostauksen. Kirjoitus keskittyy Facebookin tavoitteiden lobbaukseen, mutta siinä kerrotaan yksi tärkeä seikka, mistä tapauksessa on pohjimmiltaan kyse: Irlannin tietosuojaviranomaisen näkemyksen mukaan EU:n mallisopimuslausekkeita ei voida käytännössä käyttää henkilötietojen EU-USA-siirtojen perusteena. Tarkka lainaus: ”The Irish Data Protection Commission (IDPC) has commenced an inquiry into Facebook controlled EU-US data transfers, and has suggested that SCCs cannot in practice be used for EU-US data transfers.”
Mainittakoon, että Facebookilla piti muutenkin kiirettä, kun Irlannin tietosuojaviranomaisen alustava päätös tuli julkisuuteen. Se muun muassa kävi kaikessa hiljaisuudessa ”korjaamassa” WhatsAppin tietosuojaselostetta niin, että sielläkin mainitaan siirtojen perusteena EU:n mallisopimuslausekkeet. Jotain korjauksen kiireellisyydestä kertonee se, että muutoksen päiväyksesi merkittiin 24. huhtikuuta 2018, vaikka oikea päiväys on nimenomaan 9.9.2020.
On sinänsä hienoa, että Facebook on vihdoinkin herännyt ongelmaan seitsemän vuoden ruususenunen jälkeen. 😏
Eilisen ja tämän päivän uutisotsikot siitä, miten mukamas ”Facebook ja Instagram uhataan sulkea Euroopassa” ovat seurausta maanantaisesta Vice-verkkolehden artikkelista, jossa lainataan Facebookin Irlannin toimipisteen tietosuojavastaavan vastinetta DPC:lle.
Kuten arvata saattaa, uutiset ovat revitelleet Facebookin lähdöstä Euroopasta melko löyhin perustein. Suomeksi hieman faktuaalisemmin aiheesta on uutisoinut Ilta-Sanomat, jonka jutun mukaan ”Facebook ei uhkaa vetäytyä Euroopasta, yhtiö toteaa lähettämässään lausunnossa”.

Facebook-tapauksen oikea merkitys

Ja nyt päästään varsinaiseen asiaan, joka on jäänyt useimmilta toimittajilta tähän asti huomaamatta. Ilta-Sanomien em. jutussa kylläkin jo sivuuttiin sitä tässä kohtaa:

Irlannin oikeudelle lähetetyissä asiakirjoissa todetaan se yksinkertainen tosiasia, että Facebook ja monet muut yritykset, organisaatiot ja palvelut ovat toiminnassaan riippuvaisia tiedonsiirrosta EU:n ja Yhdysvaltojen välillä.

Tämä on totta, mutta ei koko totuus. Tähän liittyy pari asiaa:

1) Koskeeko sama ongelma muitakin amerikkalaisyrityksiä kuin Facebookia?

2) Jos Irlannin tietosuojaviranomainen ei peräänny vaatimuksissaan, mitä vaihtoehtoja Facebookille ja muille amerikkalaisyrityksille vielä jää?

Aloitetaan ensimmäisestä.

Koskeeko sama ongelma muitakin amerikkalaisyrityksiä kuin Facebookia?

Totta kai. Pääkysymys on se, minkä Facebook nosti blogipostauksessaan esiin: voidaanko EU:n mallisopimuslausekkeita käyttää käytännössä henkilötietojen EU-USA-siirroissa?

Tämä on kriittinen kysymys yhtälailla kaikille amerikkalaisyhtiöille, EU:ssa oleville yrityksille ja jopa lukuisille julkishallinnon organisaatioille, jotka siirtävät henkilötietoja Yhdysvaltoihin.

Kiinnostavin kysymys on tietenkin nettijättien suhteen, joiden palveluita käyttävät lukuisat muut yritykset ja organisaatiot. Kartoitin tilannetta pari viikkoa sitten Kuntamarkkinoilla pitämääni esitykseen (10.9.), tässä tulokset:

Heinäkuisen EU-tuomioistuimen päätöksen jälkeen kaikki isot nettiyhtiöt käyttävät siis nyt samaa oikeusperustetta henkilötietojen EU-USA-siirroille: EU:n mallisopimuslausekkeita. Osa niistä mainitsee käyttävänsä erilaisia lisäsuojakeinoja kuten salausta. Siis aivan kuten Facebook!

Googlen sanavalinnat ovat erityisen kiinnostavia: se kertoo päivittävänsä sopimusehtojaan ”mahdollisimman pian” ja olevansa ”sitoutuneita hankkimaan lailliset perusteet siirroille”. Eli Google ei ole varma, ovatko sen nykyiset perusteet henkilötietojen siirroille Yhdysvaltoihin laillisia. Rehellistä puhetta, sillä miten se voisikaan olla?
Amazon on kiinnostava tietenkin siksi, koska sen tilanne vaikuttaa suoraan lukuisiin eurooppalaisiinkin pilvipalveluihin ja startupeihin, jotka käyttävät AWS:n pilvipalvelimia. Nyt viimeistään on aika tarkistaa, että palvelimet on järjestetty niin, ettei tietoja siirretä eurooppalaisilta palvelimilta yhdysvaltoihin.
Microsoft on samassa tilanteessa kuin muutkin. Moniko yritys ja organisaatio nykyisin tallentaa henkilötietoja Microsoftin pilvipalveluihin kuiten vaikkapa Office 365:een ja Teamsiin? Entä moniko taho on viimeisen 20 vuoden aikana vähemmän pitkänäköisesti lopettanut omat sähköpostipalvelimensa EU:ssa/Suomessa ja siirtänyt sähköpostinsa Microsoftin pilveen?

Kaikkien edellä mainittujen osalta EU:n mallisopimuslausekkeiden käyttö tällä hetkellä on hyvin epävarmalla pohjalla.

Rautalangasta: jos Facebookin kohdalla todetaan, ettei EU:n mallisopimuslausekkeita voi käyttää henkilötietojen siirrossa Yhdysvaltoihin, sama ongelma koskee yhtälailla Microsoftia, Googlea ja Amazon Web Servicea.

Sekä lukemattomia muita yrityksiä ja organisaatioita.

Välilliset vaikutukset ovat huikaisevat, sillä vielä useammille tahoille edellä mainitut palveluntarjoajat ovat henkilötietojen käsittelijöitä, jolloin vastuu niiden mahdollisesti laittomasta henkilötietojen siirrosta on lopulta niiden asiakkaina olevilla yrityksillä ja muilla organisaatioilla, jotka ovat kyseisten henkilötietojen rekisterinpitäjiä.

Tällä välin Max Schrems ei istu käsiensä päällä, vaan hänen noyb-organisaationsa on valittanut monien yritysten siirtävän henkilötietoja Yhdysvaltoihin laittomasti Googlen ja Facebookin palvelujen kautta. Suomesta mukana on MTV Internet ja Danske Bank. Yhtä hyvin listalla voisi olla mukana jopa tuhansia suomalaisyrityksiä.

Tämän rinnalla on hyvin pieni murhe se, voiko Matti tai Maija Meikäläinen päivittää kuulumisiaan Facebookiin tai Instagramiin.

Mitä vaihtoehtoja Facebookille ja muille amerikkalaisyrityksille vielä jää?

Toistaiseksi Facebook pyrkii viivyttämään Irlannin tietosuojaviranomaisen päätöksen täytäntöönpanoa kaikin mahdollisin keinoin eli yksinkertaisesti ostamaan aikaa.

Mutta vaihtoehtoja Facebookilla ja muilla on vielä periaatteessa runsaastikin.

Ensimmäinen mahdollisuus on, että EU:n ja Yhdysvaltojen välillä saadaan solmittua jonkinlainen uusi Safe harbor/Privacy shield -tekele. Ehkä sen voisi nimetä tällä kertaa Privacy hoaxiksi? 😇

Silloin Facebook pääsisi taas kuin koira veräjästä.

Vaikka oikeastihan on hieman väärin edes syyttää Facebookia, sillä varsinainsesti kyse on Yhdysvaltojen tiedustelusta, jonka vuoksi Privacy shield ei ollut pätevä suojaamaan eurooppalaisten henkilötietoja Yhdysvalloissa. Tilanne on hieman sama kuin siinä, ettei Yhdysvallatkaan salli TikTokin vakoileva kansalaisiaan Kiinalle.

Toinen mahdollisuus on, että Facebook pyytää käyttäjiltään suostumuksen, että heidän henkilötietonsa saadaan siirtää Yhdysvaltoihin sikäläisten viranomaisten tutkittaviksi. Se, kuinka kauaa tällaista suostumusta pidettäisiin GDPR:n suostumuksen kriteerien mukaisena (mm. vapaaehtoisuus ja se, ettei suostumuksen jättämättä antaminen saa aiheuttaa rekisteröidylle haittaa), on hyvin kyseenalaista.

Kolmas vaihtoehto on, että Facebook pilkkoo palvelunsa kahteen osaan: eurooppalaisten Facebookiin ja muiden Facebookiin. Ei laisinkaan mahdoton tehtävä Facebookin resursseilla: koostuuhan jo nyt palvelu lukuisista rinnakkaisista palvelimista ja konserni lukuisista yrityksistä.

Neljäs vaihtoehto on, että Facebook laittaa miljoonansa poikimaan lobbaustyöhön sen puolesta, että Yhdysvallat muuttaisi tiedustelulakejaan tai keksisi jonkin muun – en edes osaa kuvitella minkä – ratkaisun tilanteeseen. Facebookin syyskuun alun blogikirjoitusta voi jo nähdä askeleena tähän suuntaan.

Vasta viides vaihtoehto on, että Facebookin pitäisi sulkea palvelunsa eli mm. Facebookin, Facebook Messengerin, Instagramin ja WhatsAppin eurooppalaisilta käyttäjiltä. Sitä ennen sillä on siis vielä paljon aikaa ja vaihtoehtoja.

Missään tapauksessa Facebook ei halua tappaa hyvin lypsävää EU-lehmäänsä. Siinä on liian paljon menetettävää mittasipa asiaa dollareina tai datalla. Sama koskee USA:n hallintoa.

Aiheeseen liittyvä esitys alla: miten varsinkin amerikkalaiset nettijätit keräävät meistä dataa ja käyttävät sitä algoritmeissaan eli mainosbisneksessään:

Verkko- ja somepalvelujen datan keruu ja algoritmien toiminta from Harto Pönkä

Verkko- ja somepalvelujen algoritmit

Verkko- ja somepalvelujen käyttäjistään keräämä data sekä sen käyttö algoritmeissa on puhuttanut viimeistään siitä asti, kun Google ja Facebook ovat käyttäneet niitä räätälöidäkseen palvelujensa antia sekä varsinkin näytettäviä mainoksia käyttäjille. Eli viimeiset 10-15 vuotta.

Periaatteessa kokonaisuus on yksinkertainen: toisella puolen on käyttäjistä kerätty data ja toisella puolen palvelujen houkuttavuus sekä mahdollisuudet kohdentaa mainoksia. Mainosten kohdennukset paljastavat suoraan sen, mitä dataa käyttäjistä ainakin kerätään. Valitettavasti mainosjärjestelmät ovat tuttuja lähinnä digi- ja somemarkkinointia tekeville yrityksille. Siksi käyttäjistä tehty datankeruu on useimmille vierasta.

Algoritmit liittyvät paljon muuhunkin: ennen kaikkea siihen, miten meidät onnistutaan koukuttamaan ja pitämään palveluissa mahdollisimman suuren osan ajastamme. Algoritmit ovat verkkojättien tarkimmin varjeltuja liikesalaisuuksia, sillä kyse on kovasta kilpailusta.

Data ja algoritmit liittyvät suoraan käyttäjien yksityisyyteen ja (digitaaliseen) hyvinvointiin. GDPR:n mukaan jokaisella on oikeus tarkistaa hänestä kerätyt tiedot ja tietyissä tapauksissa (lue: erityisesti verkko-/somepalveluissa) voida tulla unohdetuksi. Hyvinvointiin ne liittyvät siltä osin, että ne vaikuttavat elämäämme hyvin monessa tilanteessa. Siksi ne on hyvä tuntea mahdollisimman hyvin.

Mielestäni algoritmien perusperiaatteet eivät voi olla piilossa, vaan ne pitäisi saada julkisiksi. Tarvittaessa lainsäädännöllä.

Niin kauaa, kun algoritmien toimintalogiikkaa ei tunneta, niihin liitetään monenlaisia ennakkoluuloja ja uskomuksia. Yksi sitkeimpiä on se, että meitä salakuunneltaisiin puhelimen välityksellä. Tuo myytti on vast’ikään osoitettu jälleen kerran vääräksi.

Myytit johtuvat siitä, että käyttäjät eivät tunne riittävän hyvin niitä keinoja, joilla dataa todella kerätään. Verkko- ja somejäteillä on niin paljon tietoa meistä, että niiden ei yksinkertaisesti tarvitse sortua salakuunteluun.

Olen viime aikoina käsitellyt dataa ja algoritmeja useissa yhteyksissä. Yksi niistä on Mannerheimin lastensuojeluliitolle tekemäni videointi, joka on eilen julkaistu heidän uudella digitaalisen hyvinvoinnin sivustollaan.

Lisäksi pidin n. viikko sitten MLL:n digitaalisen hyvinvoinnin kouluttajille koulutuksen verkkopalvelujen datasta ja algoritmeista. Näkökulmana oli ennen muuta mediakasvatuksellinen, mutta koulutuksen esitys on hyvä tietopaketti muillekin aihepiiristä kiinnostuneille:

Avaa esitys SlideSharessa

Toivottavasti onnistuin näillä esityksillä lisäämään datan ja algoritmien ymmärtämistä sekä vähentämään vääriä ennakkoluuloja.

Lähiaikoina algoritmit ovat esillä muutamissa muissakin materiaaleissani mm. koulutuksissa ja kirjoituksissa.