Uusi selvitys TikTokin riskeistä ja raportti TikTokin Kiina-yhteyksistä

Kirjoitin tammikuussa laajan katsauksen TikTokin datankeruusta. Siinä viittaamani Internet .20-tietoturvayhtiön analyysit sovellusten datankeräystoimintojen riskeistä ovat päivittyneet. Tuoreiden analyysien koosteen mukaan TikTok on yhä kaikkein riskipitoisin sovellus.

Venäläinen VK-yhteisöpalvelun sovellus on riskipisteissä lähellä TikTokia ja listalla toisena. Sen jälkeen riskipitoisimpia ovat pikaviestisovellus Viber Messenger, Instagram ja LinkedIn.

Arviot pohjautuvat sovellusten Android-versioihin.

Kokosin tulokset kuvaajaksi:

Tässä kuvaajassa on riski-%:ien muutokset verrattuna viime vuoden vastaaviin analyyseihin:

TikTokiin liittyvät riskit löytyvät tarkemmin tästä tulossivulta. Alla tärkeimmät tulokset.

Riskipisteet: 60 % (vuosi sitten: 63 %)

Vaaralliset oikeudet (Malcoren sivuilta suomennettuina):

• CHANGE_NETWORK_STATE: Antaa sovelluksen muuttaa verkkoyhteyden tilaa.
• ACCESS_COARSE_LOCATION: Käyttää karkeita sijaintilähteitä kuten matkapuhelinverkon tietokantaa määrittääksesi likimääräisen puhelimen sijainnin. Haitalliset sovellukset voivat käyttää tätä määrittääkseen likimääräisen sijainnin.
• BLUETOOTH: Antaa sovelluksen tarkastella paikallisen Bluetooth-puhelimen asetuksia sekä muodostaa ja hyväksyä yhteyksiä pariksi liitettyjen laitteiden kanssa.
• CHANGE_WIFI_MULTICAST_STATE: Antaa sovelluksen vastaanottaa paketteja, joita ei ole suoraan osoitettu laitteellesi.
• REORDER_TASKS: Antaa sovelluksen siirtää tehtäviä etualalle ja taustalle. Haitalliset sovellukset voivat pakottaa itsensä etupuolelle ilman sinun hallintaasi.
• ACCESS_NETWORK_STATE: Antaa sovelluksen tarkastella kaikkien verkkojen tilaa.
• WRITE_EXTERNAL_STORAGE: Antaa sovelluksen kirjoittaa SD-kortille.
• READ_EXTERNAL_STORAGE: Antaa sovelluksen lukea SD-kortilta.
• READ_SETTINGS: Antaa sovellusten lukea sen laitteen yleiset asetukset.
• SYSTEM_ALERT_WINDOW: Antaa sovelluksen näyttää järjestelmähälytysikkunoita. Haitalliset sovellukset voivat vallata puhelimen koko näytön.
• CAMERA: Antaa sovelluksen ottaa kuvia ja videoita kameralla. Näin sovellus voi kerätä kuvia, joita kamera näkee milloin tahansa.
• WAKE_LOCK: Sallii sovelluksen estää puhelinta menemästä nukkumaan.
• RECORD_AUDIO: Antaa sovelluksen käyttää äänitallennepolkua.
• READ_CONTACTS: Antaa sovelluksen lukea kaikki puhelimeesi tallennetut yhteystiedot (osoitetiedot). Haitalliset sovellukset voivat käyttää tätä lähettääkseen tietojasi muille ihmisille.
• MODIFY_AUDIO_SETTINGS: Antaa sovelluksen muokata yleisiä ääniasetuksia, kuten äänenvoimakkuutta ja reititystä.

SDK-ohjelmistokirjastot ja ulkoiset seurantatoiminnot/datankerääjät:

• Pangle: mainonta
• Google Firebase Analytics: analytiikka
• AppsFlyer: analytiikka
• Facebook Share: sosiaalinen media
• Facebook Login: kirjautuminen ja tunnistaminen
• Google CrashLytics: kaatumisraportit
• VKontakte SDK: kirjautuminen ja tunnistaminen
• Teads: mainonta
• Bolts: analytiikka

Eli näille tahoille TikTok-sovellus voi lähettää dataa käyttäjästä. Facebookin Login ja VKontakte SDK puolestaan mahdollistavat kirjautumisen ko. somepalvelujen tunnuksilla (VK-kirjautuminen on käytössä vain tietyissä maissa).

Mainittakoon, että TikTok on vastannut Internet 2.o:n/Malcoren tuloksiin viime vuonna ja väittänyt niitä ”virheellisiksi ja puolueellisiksi”. Internet 2.0 on edelleen vastannut TikTokille, että havainnot perustuvat vain siihen, mitä TikTok-sovelluksen lähdekoodissa on.

TikTokin datankeräyksen tasot

TikTok on ymmärrettävistä syistä noussut ykköspuheenaiheeksi lähes kaikissa sovellusten tietoturvaan ja tietosuojaan liittyvissä koulutuksissa viimeisen vuoden ajan. Sitä varten kokosin yhteen kuvaan TikTokin datankeräyksen tasot:

Onko TikTok kiinalainen yritys?

TikTok on toistuvasti pyrkinyt kiistämään, ettei se ole ”kiinalainen yritys”. Tämä on mantra, jota yhtiön PR-ihmiset toistavat aina, kun kiinayhteydet otetaan esiin.

Esimerkiksi Tiktokin Pohjoismaiden yhteiskuntasuhdejohtaja ruotsalainen Christine Grahn vastasi TikTokin Kiina-yhteyksistä kysyttäessä näin Helsingin Sanomille:

”Me emme ole kiinalainen yritys. On määriteltävä, mikä on yhteys.”

TikTok ja sen emoyhtiö ByteDance on rekisteröity Caymansaarille. Kyseessä on tunnettu veroparatiisi.

Silti on selvää, että ByteDance on alkujaan nimenomaan kiinalainen ja sen useat avainhenkilöt ovat kiinalaisia, joten ByteDancea voi perustellusti luonnehtia ”kiinalaiseksi”.

TikTok kartalla:

Kun puhutaan TikTokin käyttäjädatan päätymisestä Kiinaan, on syytä muistaa, että asia tuodaan esille TikTokin tietosuojakäytännössä seuraavasti:

Tietyt konsernimme yksiköt, jotka sijaitsevat maissa, joissa ei ole tietosuojan riittävyyttä koskevaa päätöstä, saavat vakiosopimuslausekkeiden nojalla rajoitetun etäyhteyden kohdassa ”Mitä tietoja keräämme” kuvattuihin tietoihin tärkeiden toimintojen tarjoamiseksi. Nämä yksiköt sijaitsevat Australiassa, Brasiliassa, Kiinassa, Malesiassa, Filippiineillä, Singaporessa, Malesiassa ja Yhdysvalloissa.

On melko omituista, että TikTokin PR-ihmiset säännöllisesti haastatteluissa kiistävät tämän tietojen ”etäkäytön” eli siirron Kiinaan, vaikka se tuodaan esiin virallisessa tietosuojakäytännössä.

TikTokin ja Kiinan kommunisten puolueen välisiä yhteyksiä on tutkittu tarkemmin Australian parlamentin alaisen ulkomaista puuttumista käsittelevän erityiskomitean toimeksiannosta. Reilu vuosi sitten julkaistu raportti ”TikTok, ByteDance, and their ties to the Chinese Communist Party” (PDF) nojaa avoimiin lähteisiin, joista suuri osa on kiinalaisia ja sittemmin verkosta poistettuja.

Raportissa käydään seikkaperäisesti läpi TikTokin, sen sisarsovellus Douyinin ja ByteDancen avainhenkilöiden yhteyksiä Kiinan kommunistiseen puolueeseen ja maan viranomaisiin. Raportti ei jätä näitä yhteyksiä ja TikTokin taustalla vaikuttavia Kiinan tavoitteita epäselviksi. Ehkä tämän takia raportin ykköskirjoittaja esiintyy pseudonyymillä.

Lainaus raportin johdannosta (suomennos Google Kääntäjän avulla):

Tutkimuksemme vahvistaa kiistatta, että TikTokin omistaa ByteDance, ByteDance on kiinalainen yritys ja ByteDance on kaiken vaikutuksen, ohjauksen ja tosiasiallisen kontrollin alainen, jolle Kiinan kommunistinen puolue (CCP, Puolue) nyt alistaa koko Kiinan kansantasavallan teknologiayrityksiä. Näytämme kuinka CCP:n ja Kiinan valtion virastot (yhdessä Puolue-valtion kanssa) ovat laajentaneet siteitään ByteDanceen niin pitkälle, että yritystä ei voi enää kuvata tarkasti yksityisyritykseksi.

—

Enimmäkseen puuttuu kuitenkin keskustelu siitä, kuinka TikTok tarjoaa Pekingille piilevän kyvyn ”aseistaa” alusta tukahduttamalla, vahvistamalla ja muutoin kalibroimalla narratiiveja tavoilla, jotka mikrokohdistuvat poliittisiin äänestäjiin ulkomailla.

Raportin johtopäätös on siis selvä: TiKTokilla on vahvat yhteydet Kiinan kommunistiseen puolueeseen, ja Kiina voi halutessaan käyttää TikTokia alustana pyrkimyksilleen esimerkiksi kohdentamalla haluamiaan sisältöjä vaalien alla äänestäjille.

Raportissa on esimerkkejä eri aiheiden sisältöjen suosittelusta TikTokin algoritmissa verrattuna Twitteriin/X:ään, Instagramiin ja YouTubeen. Ensimmäisessä vertailussa analyysin kohteena oli aiheita, joita koskevien sisältöjen arvioitiin olevan joko myönteisiä tai epäedullisia Kiinan kommunistiselle puolueelle:

Ei liene yllättävää, että TikTokissa oli selvästi enemmän Kiinan kommunistiselle puolueelle mieluisaa sisältöä ja vähemmän sille epämieluisaa sisältöä kuin muissa somepalveluissa.

Toisessa vertailussa tarkasteltiin aiheita, joista on yleisesti liikkeellä runsaasti disinformaatiota:

Disinformaatiota sisältäviä julkaisuja oli TikTokin hakutuloksissa eniten yhdessä Twitterin/X:n kanssa.

Monissa muissakin selvityksissä on havaittu, että TikTokissa levitetään runsaasti disinformaatiota. Esimerkiksi syyskuussa 2023 Newsguard löysi TikTokista 17 tunnuksen verkoston, joka tehtaili AI-äänitekniikkaa käyttäviä videoita salaliittoteorioiden levittämiseen mm. Barack Obamasta. Verkosto oli julkaissut vain neljässä kuukaudessa n. 5000 videota, joilla oli yhteensä 336 miljoonaa katselukertaa ja 14,5 miljoonaa tykkäystä. Uusia vastaavia tapauksia tulee esiin jatkuvasti.

Artikkelikuva: Copilot Designer / DALL-E 3

Muitakin kuvia saa käyttää lähde mainiten.

TikTokin tietoturva ja tietosuoja – tämä kaikki on pielessä

Suojelupoliisi varoitti tänään TikTokin käytöstä hyvin selväsanaisesti. Lainaus Ylen jutusta:

Suojelupoliisi pitää mahdollisena, että lyhytvideosovellus Tiktokin käyttäjien tietoja vuotaa Kiinan turvallisuusviranomaisille.

Supo huomauttaa Ylelle, että Kiinan lain mukaan jokainen kiinalainen yritys ja henkilö joutuu tarvittaessa avustamaan maan tiedusteluviranomaisia.

Näin ollen Kiinan tiedusteluviranomaisilla on halutessaan pääsy Tiktokin käyttäjien tietoihin riippumatta palvelun omistajayrityksen Bytedancen näkemyksistä tai toiveista.

Varoituksesta huolimatta Supo ei ota kantaa, mihin kaikkiin puhelimen tietoihin TikTok-sovelluksen kautta esimerkiksi Kiinan viranomaisilla voisi olla pääsy. Siksi moni varmaan nyt ihmettelee, miksi TikTokista näin kovasti varoitetaan ja mitkä tiedot ovat oikeasti vaarassa.

Koulutan jatkuvasti kuntien ja muiden organisaatioiden tietosuojavastaavia sekä teen tietosuoja-arviointeja eri sovelluksista ja verkkopalveluista. Lisäksi olen kouluttanut eri tahoja myös informaatiovaikuttamisen tunnistamiseen ja siltä suojautumiseen. TikTokiin liittyvät tietoturva- ja tietosuojamurheet ovat tulleet eri yhteyksissä siksi hyvinkin tutuiksi.

Mitä tietoja TikTok kerää kännykästä?

Lähdetään liikkeelle siitä, mitä tietoja TikTok kertoo käsittelevänsä – missä ei suinkaan ole kaikki, mutta tästä saa käsityksen, kuinka paljon TikTok ikään kuin myöntää avoimesti. Tiedot löytyvät TikTokin tietosuojaselosteesta, joka on päivitetty viimeksi 19.11.2023.

Aloitetaan käyttäjän itsensä antamista tiedoista:

• Profiilin tiedot: syntymäaika, käyttäjätunnus, sähköpostiosoite ja/tai puhelinnumero, salasana. Tapauskohtaisesti muita tietoja kuten profiiliin lisätty elämäkerta ja profiilikuva.
• Käyttäjän sisältö: jaetut valokuvat, videot, äänitallenteet, livestriimit, kommentit, aihetunnisteet, palautteet, arvostelut sekä näiden metatiedot.
• Laitteen leikepöydän sisältö sovellusta käytettäessä (!).
• Sijaintitiedot, jos sijainti lisätään julkaistuun sisältöön.
• Suorat viestit: viestit muiden käyttäjien kanssa ja niiden metatiedot kuten lähetys-, vastaanotto- ja lukemisajankohdat. Chat-viestit kauppiaiden ja virtuaaliassistenttien kanssa.
• Yhteystiedot, jos yhteystiedoille annetaan käyttölupa: nimet, puhelinnumerot, sähköpostiosoitteet (!).
• Sosiaaliset verkostot, jos haet käyttäjiä muiden somepalvelujen kautta, TikTok tallentaan niistä löytyvät sinun ja verkostojesi jäsenten profiilitiedot (!).
• Ostotiedot:  tiedot ostoksesta tai maksutapahtumasta, kuten maksukorttitiedot, laskutus-, toimitus- ja yhteystiedot sekä ostetut tuotteet.
• Kyselyt, tutkimukset ja myynninedistämistoimet: annetut tiedot, jos osallistut kyselyyn, tutkimukseen, kampanjaan, kilpailuun, markkinointikampanjaan tai tapahtumaan, jonka TikTok järjestää tai jota se sponsoroi.
• Tiedot, jotka liittyvät yhteydenpitoon TikTokin ja käyttäjän välillä. Samoin TikTokin verkkolomakkeiden kautta välittyvät tiedot.

Lisäksi TikTok kertoo keräävänsä automaattisesti seuraavat tiedot:

• Tekniset tiedot: laitetta ja verkkoyhteyttä koskevat tiedot, kuten laitteen malli, käyttöjärjestelmä, näppäinpainalluksien tapa ja rytmi, IP-osoite ja järjestelmän kieli. Virheraportit ja suorituskykyä koskevat lokitiedot. Laite- ja käyttäjätunnuksen ”kaltaiset tiedot”, joilla tunnistetaan toiminta eri laitteilla (!).
• Sijaintitiedot: Arvioitu sijainti SIM-kortin ja IP-osoitteen perusteella. Lisäksi arkat GPS-sijaintitiedot, jos TikTokille annetaan sijainnin käyttöoikeus (!).
• Käyttötiedot: Miten Tiktokia käyttää, mitä sisältöjä katsoo, kuinka kauan ja usein käytät Tiktokia, miten käyttäjä on vuorovaikutuksessa muiden käyttäjien kanssa, hakuhistoria Tiktokissa sekä asetukset.
• Sisällön ominaisuudet: Tiktok tunnistaa esineitä ja maisemia, kasvoja ja ruumiinosia kuvista ja videoista sekä niiden sijaintia ja puheen sisältöä tekstin muodossa (!).
• Johdetut tiedot: TikTok päättelee esimerkiksi ikäryhmän ja sukupuolen sekä kiinnostuksen kohteita muista kerätyistä tiedoista (!).
• Evästeet ja vastaavat seurantatekniikat: TikTok kertoo käyttävänsä näitä kieliasetuksen muistamiseen, ja sen varmistamiseen, ettei samoja videoita näytetä useita kertoja, turvallisuussyistä sekä markkinointitarkoituksiin (!).

Lisäksi TikTok kerää muista lähteistä seuraavia tietoja:

• Mainontaan, mittaamiseen ja muihin kumppaneihin liittyvät tiedot: Mainostajat, mittaus- ja muut kumppanit jakavat tietoa Tiktokille muista sovelluksista ja verkkosivustoilla, kuten mainonnan mobiilitunnuksia, hajautetut sähköpostiosoitteet, puhelinnumerot ja evästeet, sekä tapahtumatietoja toiminnasta muissa verkkosivuilla ja sovelluksissa (!).
• TikTok Pixel -seurantaskriptin kautta suoraan kerätyt tiedot muilta verkkosivustoilta ja sovelluksista (!).
• Kauppiaiden, maksupalveluntarjoajien ym. välittämät tiedot: esim. maksuvahvistustietoja ja tuotteiden toimitustietoja.
• Kolmansien osapuolten alustojen välittämät tiedot: Jos käytät Tiktokiin rekisteröitymiseen Facebookia tai Googlea, jakavat nämä tietoja Tiktokille, kuten sähköpostiosoitteen, käyttäjätunnuksen ja julkisen profiilin. Synkronoidut yhteystiedot muilta alustoilta – myös silloin, kun joku toinen käyttäjä jakaa sinun tietojasi TikTokille (!). Jakopainikkeiden kautta TikTOkille välittyvät tiedot muilta alustoilta.
• Muut lähteet: TikTok ”saattaa” kerätä tietoja myös muilta organisaatioilta, yrityksiltä, henkilöiltä ja muilta tahoilta, esimerkiksi julkisista lähteistä. viranomaisilta, ammattijärjestöiltä ja hyväntekeväisyysjärjestöiltä (!).

Pelkästään tässä listassa, jonka TikTok avoimesti kertoo, on todella runsas kattaus tietoja käyttäjien profiloimiseen. Jokaista huutomerkillä (!) merkittyä kohtaa kannattaa miettiä tarkemmin, että haluaako todella kyseisten tietojen päätyvän TikTokille ja Kiinaan. Tästä listasta olisi jo yksinään paljon kysyttävää, mutta yritän pitää tämän lyhyenä, joten mennään eteenpäin.

Tietoturvayhtiön raportti: Mitä muita tietoja TikTok pyrkii saamaan puhelimesta?

Internet 2.0 -tietoturvayhtiö arvioi eri sovellusten tietoturvallisuutta tekemällään lähdekoodiskannerilla, joka yksinkertaisesti käy sovelluksen lähdekoodin läpi ja etsii sieltä tunnistettuja riskejä ja datankeräystoimintoja.

Vuosi sitten julkaistussa raportissa TikTok sai arvioiduista sovelluksista kaikkein korkeimmat riskipisteet. Se sisälsi 63 % tutkituista riskeistä. Lähes samoihin riskipisteisiin ylsi venäläinen VK-yhteisöpalvelu.

Saman yrityksen tarkempi TikTokin arviointiraportti vuodelta 2022 (PDF saatavissa archive.orgin kautta) listaa TikTokin pyytävän ja keräävän puhelimesta seuraavia tietoja:

• Laitteen tekniset tiedot: mm. WiFi-verkot, sarjanumero, SIM-kortin numero ja ICCID-tunniste, IMEI-numero, MAC-osoite, puhelinnumero, ääniviestin numero, GPS-status, operaattori (!)
• Laitteelle tallennetut käyttäjätunnukset (!)
• Pääsy laitteen leikepöydälle, joka voi sisältää esimerkiksi salasanoja, jos käyttäjä niitä kopioi (!)
• Laite- ja mainostunnisteet (!)
• Yhteystiedot: TikTok jatkaa luvan kysymistä, jos käyttäjä ei anna pääsyä heti (!)
• Sijainti: vähintään kerran tunnissa (!)
• Kalenterin sisällöt (!)
• Kuvat
• Laitteen muisti eli kaikki tiedostot (!)
• Asennetut sovellukset ja juuri käytössä olevat sovellukset (!)

Nämä kaikki tiedot ovat käyttäjän yksityisyyden ja tietoturvan kannalta kriittisiä. Osalla tiedoista (kaikki tunnistetiedot) käyttäjä voidaan yhdistää muihin tietolähteisiin, joista hänestä voidaan hakea lisää dataa profilointia varten. Osa tiedoista puolestaan voi olla suoraan esimerkiksi tietomurtoihin käytettäviä tai muuten tietojen saajatahoille käyttökelpoisia – esimerkiksi tiedusteluun.

Voidaan esimerkiksi kysyä, miksi TikTok haluaa pääsyn puhelimen kalenteriin ja koko leikepöydän sisältöön. Kumpikaan ei vaikuta tarpeelliselta lyhytvideoiden selailuun. Edelleen ihmettelen, miksi TikTok tarkkailee, mitä muita sovelluksia puhelimessa on asennettuna ja käytössä samaan aikaan.

Lisäys 11.1.: Havainto leikepöydän lukuoikeuksista liittyi raportissa TikTokin Android-versioon. Alla on kuvakaappaus, jossa pyydetyt oikeudet näkyvät tarkemmin. En osaa sanoa, pystyykö TikTok näillä oikeuksilla lukea leikepöytää myös tausta-ajossa – joku Androidin oikeuksia tunteva koodari voisi kommentoida tätä. Mutta ainakin tilanteessa, jossa TikTok-sovellusta käytetään, se pystyy leikepöydän sisältöä lukemaan. Tämä yhdistettynä tietoon käyttäjän muista sovelluksista tarjoaa helpon keinon urkkia niihin mahdollisesti liittyviä salasanoja. Kannattaa välttää salasanojen kopiointia ja liittämistä kännykässä.

Lisäys 19.1.: Leikepöydän sisällön ja asennettujen sovellusten tietojen pääsyoikeuksiin liittyvät riskit ovat ainakin osittain torpattu uudemmissa Android- ja iOS-versioissa. Tämän ansiosta TikTok ei saa ko. tietoja, jos laitteella on riittävän uusi Android-/iOS-versio. Tämä on hyvä muistutus, miksi kännykän ja muidenkin laitteiden käyttöjärjestelmä- ja ohjelmistopäivitykset kannattaa aina pitää ajantasalla. Jos huomaat, että laitteessasi on vanhempi käyttöjärjestelmä kuin Android 11 tai iOS 16.1, kannattaa päivitys tehdä pian.

Haavoittuvuus	Korjauksen iOS-versio	Korjauksen Android-versio	Lähteet
Leikepöydän sisällön luku	16.1 (2022)	13 (2022)	iOS  Android
Tiedot muista asennetuista sovelluksista	ei sallittu*	11 (2021)	iOS Android

* IOS-käyttöjärjestelmässä ei ilmeisesti ole voinut vanhemmissakaan versioissa saada tietoja muista laitteelle asennetuista sovelluksista. TikTok voi kuitenkin saa tietoja käyttäjän käyttämistä muista sovelluksista ja nettipalveluista muista lähteistä, joista käyttäjän tietoja voidaan hankkia – kuten edellä on kerrottu.

Kiinnostavaa on havainto, että TikTok lähettää kerättyjä tietoja lukuisille ulkopuolisille tahoille ja muille verkkopalvelimille. Seuraavat ovat tunnettuja tahoja ja tavanomaisena pidettyjä, vaikka nämäkin ovat käyttäjän näkökulmasta ylimääräistä datankeruuta:

• AppsFlyer
• Bolts
• Facebook Share, Facebook Analytics ja Facebook Login
• Google Firebase Analytics ja Google CrashLytics
• Pangle
• VKontakte SDK

Osa datankeräyksestä liittyy muiden somepalvelujen käyttöön (Facebook), osa sovelluksen käytön mittaukseen ja diagnosointiin (Google) ja osa markkinointidatan keräämiseen (AppsFlyer, Pangle). Mutta ainakin itseäni kiinnostaisi tietää, mitä tietoja välitetään venäläiselle Vkontaktelle.

Hätkähdyttävin tieto Internet 2.0:n tarkemmassa raportissa on, että sovelluksen käytön aikana se lähettää tietoja lukuisille TikTokin käyttämille verkkopalvelimille ympäri maailmaa, vaikka käyttäjätietojen kerrotaan säilytettävän Singaporessa ja Yhdysvalloissa.

Raportissa mainittuja palvelinten sijainteja:

• Australia: Sydney, Adelaide ja Melbourne
• Yhdysvallat: New York City, Las Vegas, San Francisco, San Jose, Monrovia, Cambridge, KansasCity, Dallas, Mountain View
• Indonesia: Utama ja Jakarta
• Malesia: Kuala Lumpur
• Ranska: Pariisi
• Singapore: Singapore
• Kiina: Baishan (!)

Raportin mukaan ei käynyt selväksi, mitä tietoja lähetettiin suoraan kiinalaiselle palvelimelle. Kiinalaispalvelimen ylläpitäjäksi mainitaan pilvipalvelu- ja tietoturvayhtiö nimeltä Guizhou Baishan Cloud Technology Co.

Lisäys 11.1.: Havainto kiinalaispalvelimen käytöstä liityi raportissa TikTokin iOS-sovellukseen.

TikTok on luonnollisesti pyrkinyt kiistämään nämäkin havainnot. Internet 2.0:n vastaus on selkeä: tiedot perustuvat siihen, mitä TikTok-sovelluksen lähdekoodista ja sovelluksen käytöstä on suoraan havaittu.

TikTok tosin myöntää omilla verkkosivuillaankin, että tietoja voidaan ”rajoitetusti etäkäyttää” konserniin kuuluvien yksiköiden maista käsin, ja tässä yhteydessä mainitaan myös Kiina.

Tämän listan jatkoksi voidaan mainita muidenkin tahojen havaintoja kuten se, että TikTok vakoilee sovelluksen sisäisessä selaimessa kaikkea toimintaa näppäinpainalluksia myöten, ja että videoiden jakolinkkejä käytetään linkki- ja selaintunnisteiden avulla sen skannaamiseen, kuka jakaa videoita kellekin esim. pikaviestisovellusten kautta.

Sanalla sanoen TikTok on melkoisen täydellinen sovellus vakoiluun. Supon tämän päiväinen varoitus toivottavasti viimeistään tekee yhdessä edellä kerrotun kanssa asian täysin selväksi.

Mitä jos kuitenkin haluat käyttää TikTokia?

Olen ollut melko ehdottomasti TikTokin käyttöä vastaan edellä kuvattujen tietosuoja- ja tietoturvaongelmien vuoksi sekä sovelluksen lapsille ja nuorille sopimattoman sisällön vuoksi. Viime kirjoituksessa kuitenkin myönnyin suosittelemaan TikTokia mm. tiedotusvälineille, jotta sovellusta käyttävät nuoret saisivat disinformaation lisäksi myös luotettavia uutisia ruuduilleen.

Jos siis haluat käyttää TikTokia, tee se näin:

A) Nettiselaimella

• Ilman kirjautumista
• Älä anna mitään suostumuksia, joita TikTok pyrkii kysymään
• Tyhjennä selaimen eväste- ja muu muisti käytön jälkeen
• Näin tehtynä TikTok ei juurikaan pysty profiloimaan sinua ja sen algoritmi toimii ns. puhtaasti ilman käyttäjädataan perustuvaa suosittelua.
• Huomaa, että selaintunnisteiden avulla TikTok pystyy yhdistämään ei-kirjautuneen käyttäjän TikTok-käyttäjätunnukseen, jos TikTokia on aiemmin käytetty samalla selaimella kirjautuneena. Tällöin ei-kirjautuneena ei ole suojassa TikTokin profiloinnilta.

tai

B) Erillisellä kännykällä

• Älä yhdistä kirjautumista muihin somepalveluihin, vaan kirjaudu suoraan sähköpostiosoitteella tai puhelinnumerolla (huomaa, että nekin tosin ovat tunnistetietoja, joilla TikTok hakee sinusta lisätietoa muista lähteistä).
• Älä anna TikTokille mitään tarpeettomia käyttölupia – älä varsinkaan yhteystietoja.
• Älä tallenna samaan puhelimeen muiden ihmisten yhteystietoja tai muita henkilötietoja.
• Älä tallenna samaan laitteeseen myöskään muita tärkeitä tai salaisia tietoja/tiedostoja.
• Älä käytä samaa puhelinta mihinkään muihin työasioihin.
• Älä asenna puhelimeen muita sovelluksia, joiden kautta laitteelle voisi tallentua edellä mainittuja tietoja, jotka voisivat siten edelleen välittyä TikTokille.
• Älä lisää laitteelle muita käyttäjätunnuksia.
• Älä kirjaudu laitteella verkkoihin, joissa on salassa pidettäviä tietoja saatavilla sillä tunnuksella, jolla verkkoon kirjaudutaan.
• Kun TikTokia käytetään kirjautuneena, sovellus kerää käyttäjästä dataa kuten edellä on kuvattu ja algoritmi alkaa suositella sisältöjä sen mukaisesti.

Näillä kahdella tavalla TikTokin käyttö on kohtuullisen turvallista sisältöjen julkaisuun tai katsomiseen.

(Artikkelikuva: Bing / DALL-E 3 eli tekoälyn luoma)

Digijäte ja sosiaalinen media + pimeät suunnittelumallit (dark patterns) TikTokissa ja Yle Areenassa

Pidin eilen opintokeskus Kansalaisfoorumin etätapahtumassa luennon digijätteestä ja sosiaalisesta mediasta.

Aiheen voi tiivistää seuraavasti:

• Valtaosa nettisivustoista on digijätettä.
• TOP 3 verkkosivustoa ovat samalla suurimpia datankerääjiä ja digijätteen aiheuttajia: Google, YouTube ja Facebook.
• Iso osa somepalvelujen keräämästä tiedosta on käyttäjien näkökulmasta digijätettä.
• Osa kerätystä tiedosta saadaan harhauttamalla käyttäjiä antamaan itsestään turhia tietoja kuten sijainti ja kontaktilistat. Tästä lisää alla.
• Digijätettä kertyy, koska digibisnes on valtava markkina, joka pitää sisällään mm. maailman viisi arvokkainta yritystä (Apple, Alphabet, Microsoft, Amazon ja Facebook).
• Varsinkin evästeet ovat mitä turhinta digijätettä
• Unohtamatta tietenkään spämmiä
• Minkä lisäksi tulee vielä kaupallinen digijäte

Katso koko esitys alta.

Avaa esitys SlideSharessa

Pimeät suunnittelumallit (dark patterns) – esimerkkeinä TikTokin rekisteröityminen ja Yle Areenan evästeilmoitus

Käyttäjien harhauttamiseen pyrkiviä pimeitä suunnittelumalleja käytetään mm. verkkopalvelujen rekisteröitymisessä, yksityisyysasetuksissa ja evästeiden suostumusbannereissa. Niiden avulla käyttäjät yritetään saada tekemään asioita, joita he eivät todennäköisesti tekisi, jos olisivat täysin tietoisia, miten heidän tietojaan kerätään ja käytetään.

Käytin esityksessä Euroopan tietosuojaneuvoston EDPB:n vast’ikään julkaisemia pimeiden suunnittelumallien kategorioita.

Esimerkkinä käytin TikTokin rekisteröitymisprosessia, joka perustuu siihen, että antamalla monia vaihtoehtoja rekisteröitymistapaan käyttäjää ylikuormitetaan ja yritetään saada hänet valitsemaan ensimmäinen vaihtoehto eli sähköpostiosoitteella tai puhelinnumerolla rekisteröityminen.

Mikäli käyttäjä valitsee ensimmäisen kohdan, häneltä pyritään saamaan ensisijaisesti puhelinnumero, jolla hänet voitaisiin heti yhdistää muista lähteistä jo kertyneeseen profilointidataan. Tämä tosiasia paketoidaan tunteisiin vetoavaan ”kokemuksen parantamiseen”. Samalla käyttäjältä ei missään vaiheessa pyydetä selkeää suostumusta tai sopimuksen hyväksyntää, vaan se ohitetaan.

Otetaan toinen esimerkki Yle Areenan evästeiden suostumuksesta, jossa niin ikään käytetään useita pimeitä suunnittelumalleja:

Evästeiden suostumuksessa on kyse GDPR:n mukaisen suostumuksen pyynnöstä sille, että käyttäjän päätelaitteelle saadaan tallentaa tietoa – yleensä evästeitä. Velvollisuus tähän tulee EU:n sähköisen viestinnän tietosuojadirektiivistä, joka lähtee siitä, että käyttäjille pitää antaa nimenomaisesti mahdollisuus kieltäytyä evästeiden käytöstä. Lisää aiheesta Innowisen blogissa.

Kuten kuvasta näkyy, evästeilmoituksessa kieltomahdollisuus loistaa poissaolollaan. Se siis jätetään pimentoon. Sen sijaan annetaan kaksi vaihtoehtoa: 1) muokkaa evästeasetuksia ja 2) hyväksy kaikki evästeet. Meidät on jo aika hyvin ehdollistettu klikkaamaan aina ”hyväksy”, ja tätä vahvistetaan visuaalisesti erottuvammalla nappulalla.

Ylen kannalta on ikävä juttu, että vaikka käyttäjä klikkaisi ”hyväksy kaikki evästeet”, se ei täyttäisi GDPR:n määritelmää vapaaehtoisesta, yksilöidystä ja tietoisesta suostumuksesta, koska evästeilmoituksessa ei kerrota, mihin kaikkeen evästeitä käytetään ja mitä kolmansien osapuolten evästeitä käytetään. Toisin sanoen Yleltä puuttuu virheellisen toteutustavan takia laillinen peruste evästeiden käyttöön palvelussaan.

Mikäli käyttäjä erehtyy valitsemaan ”muokkaa evästeasetuksia” -vaihtoehdon, hänelle annetaan lukuisia valintamahdollisuuksia:

Tässä käytössä on niin ikään useita pimeiden suunnittelumallien kategorioita, ennen muuta sekoittaminen. Ensimmäisessä kohdassa ”välttämättömät toiminnalliset evästeet” on täysin turhaan ruksi, koska sitä ei voi ottaa pois. Itse asiassa EU-asetuksen mukaan välttämättömille evästeille ei edes tarvitse pyytää suostumusta, mutta niiden käytöstä pitää kyllä kertoa.

Muut valintakohdat ovat aluksi kiinni, jolloin käyttäjälle tehdään tarkoituksellisesti hankalaksi niiden lukeminen. On myös kyseenalaista, miksi jokaisesta kohdasta on erillinen ruksivalinta, koska en ole koskaan tavannut ihmistä, joka haluaisi alkaa valitsemaan, että hyväksynpä ”sosiaalisen median evästeet”, mutta en hyväksy ”kohdentamisen ja suosittelun evästeitä”. Nämäkin vaihtoehdot ovat epäselviä, sillä somepalvelujen evästeillä tehdään juuri profilointia ja sen avulla mainosten kohdentamista.

Lisäksi yhä puuttuu selvä ”kiellä evästeet” -nappula. Käyttäjä pyritään näin ohjaamaan evästeiden hyväksyntään.

Viime viikolla TIEKEn ja Tietosuojavastaavan toimiston koulutuksessa pidin esityksen evästeiden suostumuksesta (vastaavat materiaalit täällä). Käytin silloinkin Ylen evästebanneria esimerkkinä. Eräs osallistuja kysyi, miksi Yle toimii näin julkisen palvelun yhtiönä. En keksinyt yhtään hyvää syytä.

EDPB:n dark pattern -kategoriat suomennettuina

Edellä olleessa kuvassa esitin EDPB:n pimeiden suunnittelumallien kuusi kategoriaa hyvin lyhyesti. Alla on niiden kuvaukset suomennettuina suurinpiirtein sanasta sanaan EDPB:n julkaiseman Guidelines 3/2022 on Dark patterns in social media platform interfaces: How to recognise and avoid them -dokumentin (PDF) mukaisesti.

Tuntemalla nämä voit välttää harhauttavia käyttöliittymiä ja turhien tietojen antamista eri tahoille.

1. Ylikuormittaminen tarkoittaa, että käyttäjät kohtaavat vyöryn/suuren määrän pyyntöjä, tietoja, vaihtoehtoja tai mahdollisuuksia saadakseen heidät jakamaan lisää tietoja tai salliakseen tahattomasti henkilötietojen käsittelyn rekisteröidyn odotusten vastaisesti.

Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Jatkuva kehotus
• Yksityisyyssokkelo
• Liian monta vaihtoehtoa

2. Ohittaminen tarkoittaa käyttöliittymän tai käyttökokemuksen suunnittelua siten, että käyttäjät unohtavat tai eivät ajattele kaikkia tai osaa tietosuojanäkökohdista. Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Petollinen mukavuus
• Katso tänne

3. Sekoittaminen vaikuttaa valintoihin, joita käyttäjät tekisivät vetoamalla tunteisiinsa tai käyttämällä visuaalisia houkuttimia.
Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Emotionaalinen ohjaus
• Piilossa näkyvissä 

4. Estäminen tarkoittaa käyttäjien tiedonsaantiprosessin tai tietojen hallinnan estämistä tekemällä toiminnosta vaikean tai mahdottoman toteuttaa. Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Umpikuja
• Tarpeettoman pitkä
• Harhaanjohtavat tiedot

5. Oikullinen tarkoittaa, että käyttöliittymän rakenne on epäjohdonmukainen ja epäselvä, minkä vuoksi käyttäjän on vaikea navigoida eri tietosuojatoiminnoissa ja ymmärtää käsittelyn tarkoitusta. Seuraavat kaksi pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Hierarkian puute
• Kontekstin häivyttäminen

6. Pimeyteen jättäminen tarkoittaa, että käyttöliittymä on suunniteltu piilottamaan tiedot tai tietosuojatoiminnot tai jättämään käyttäjät epävarmoiksi siitä, miten heidän tietojaan käsitellään ja millaista hallintaa heillä voi olla oikeuksiensa käyttämiseen. Seuraavat kolme pimeää suunnittelumallia kuuluvat tähän luokkaan:

• Kielen epäjatkuvuus
• Ristiriitaiset tiedot
• Epäselvät sanat tai tiedot

Facebook ei ole ongelmissa GDPR:n kanssa yksinään

Syyskuun ajan on uutisoitu Irlannin tietosuojaviranomaisen (DPC) ja Facebookin välisestä väännöstä, joka koskee henkilötietojen siirtoa Yhdysvaltoihin ja siten koko yhtiön toimintaa Euroopassa.

Valitettavasti suomalaisissa uutissa on säännöllisesti tehty taustatyöt leväperäisesti ja sohaistu aihetta vain pitkällä kepillä. Olennaiset kysymykset on sivuutettu lähes täysin. Yritän tässä edes hieman tuoda niitä mukaan keskusteluun.

Tausta: seitsemän vuoden kiista

Aluksi lyhyt taustoitus, mistä koko asiassa on kyse:

• EU:n tuomioistuin antoi 16.7.2020 päätöksensä ns. Schrems II -tapauksessa. Päätöksen mukaan EU:n ja USA:n välillä henkilötietojen siirtoihin aiemmin käytetty Privacy shield -sopimusjärjestely on pätemätön. Suomeksi päätöksen seurauksista voi lukea EU:n tietosuojaneuvoston UKK-dokumentista.
• Facebook ja useat muut pilvipalvelut ovat aiemmin käyttäneet nimenomaan Privacy shieldiä henkilötietojen EU-USA-siirtojensa perusteena. Se ei siis enää käy.
• Päätöksen myötä useiden pilvipalvelujen käyttö henkilötietojen käsittelyyn EU:ssa tuli välittömästi laittomaksi – mikä on ihme kyllä jäänyt medialta lähes tyystin huomiotta.
• EU-tuomioistuimen päätöksessä otettiin kantaa myös niin sanottujen EU:n mallisopimuslausekkeiden (joita on oikeastaan kolme) käyttöön henkilötietojen EU-USA-siirtojen perusteena. Päätöksen mukaan mallisopimuslausekkeita voi edelleen käyttää, mutta ei yksinään, vaan tietosuojan takaavien lisätoimenpiteiden kanssa.
• Käytännössä kukaan ei vielä tiedä varmasti, mitä voisivat olla sellaiset tietosuojan lisätoimenpiteet, joilla henkilötiedot voitaisiin varmasti suojata Yhdysvalloissa esimerkiksi sen hallinnon tekemältä tiedustelulta. Asiaan odotetaan EU:n tietosuojaneuvoston (EDPB) lisäohjeita.
• Tähän asti on kuitenkin tulkittu niin, että tietosuojan lisätoimenpiteissä olisi kyse tietojen vahvasta salauksesta yhdistettynä henkilötietojen pseudonymisointiin. Eli salaamalla tiedot siten, että niitä ei voi ulkopuolinen lukea, kun tiedot on tallennettuina Yhdysvaltalaisille palvelimille. Tässä on kuitenkin monia epävarmuustekijöitä, koska henkilötietojen käsite on laaja: esimerkiksi jo sähköpostiosoite ja IP-osoite ovat henkilötietoja.
• Mainittakoon, että EU-tuomioistuimen päätöksen mukaan on olemassa yksi varma oikeusperuste henkilötietojen EU-USA-siirrolle: rekisteröityjen nimenomaisen suostumuksen saanti siirroille.
• Facebook on tikunnokassa ensimmäisenä varsinkin siksi, koska EU-tuomioistuimen päätös koski nimenomaisesti sitä. Kyse ei ole mistään uudesta asista, vaan tämän hetken tilanne on vain viimeinen käänne itävaltalaisen tietosuoja-aktivisti Max Schremsin jo vuonna 2013 aloittamasta oikeustaistelusta. Vuonna 2015 oikeudessa kaatui Privacy shieldin edeltäjänä ollut Safe harbor -sopimusjärjestelmä ja heinäkuussa sitten Privacy shield. Eli Facebook on kitkutellut asian kanssa jo seitsemän vuotta ja sillä olisi ollut tarvittava aika hoitaa se kuntoon. (Sivuhuomautus: joku ystävällinen wikipedisti voisi kääntää linkin Wikipedia-artikkelin myös suomeksi.)

Syyskuun tapahtumat: Irlannin tietosuojaviranomainen vs. Facebook

Ja näin päästään tämän hetkiseen Irlannin tietosuojaviranomainen vs. Facebook -tapaukseen:

• Koska Facebook ei voi enää käyttää Privacy shieldiä henkilötietojen EU-USA-siirtojen perusteena, se on takertunut toiseksi viimeiseen oljenkorteensa eli EU:n mallisopimuslausekkeisiin. Muitakin siis vielä on ja niistä lisää jäljessä.
• EU-tuomioistuimen päätöksen jälkeen Irlannin tietosuojaviranomainen on mediassa olleiden tietojen mukaan antanut alustavan päätöksen, jonka mukaan Facebookin tulee keskeyttää henkilötietojen siirto. Facebookilla oli aikaa antaa vastineensa tämän kuukauden puoliväliin mennessä.
• Kun tieto tuosta alustavasta päätöksestä tuli syyskuun toisella viikolla julki, Facebook julkaisi hyvin kiinnostavan blogipostauksen. Kirjoitus keskittyy Facebookin tavoitteiden lobbaukseen, mutta siinä kerrotaan yksi tärkeä seikka, mistä tapauksessa on pohjimmiltaan kyse: Irlannin tietosuojaviranomaisen näkemyksen mukaan EU:n mallisopimuslausekkeita ei voida käytännössä käyttää henkilötietojen EU-USA-siirtojen perusteena. Tarkka lainaus: ”The Irish Data Protection Commission (IDPC) has commenced an inquiry into Facebook controlled EU-US data transfers, and has suggested that SCCs cannot in practice be used for EU-US data transfers.”
• Mainittakoon, että Facebookilla piti muutenkin kiirettä, kun Irlannin tietosuojaviranomaisen alustava päätös tuli julkisuuteen. Se muun muassa kävi kaikessa hiljaisuudessa ”korjaamassa” WhatsAppin tietosuojaselostetta niin, että sielläkin mainitaan siirtojen perusteena EU:n mallisopimuslausekkeet. Jotain korjauksen kiireellisyydestä kertonee se, että muutoksen päiväyksesi merkittiin 24. huhtikuuta 2018, vaikka oikea päiväys on nimenomaan 9.9.2020.
• On sinänsä hienoa, että Facebook on vihdoinkin herännyt ongelmaan seitsemän vuoden ruususenunen jälkeen. 😏
• Eilisen ja tämän päivän uutisotsikot siitä, miten mukamas ”Facebook ja Instagram uhataan sulkea Euroopassa” ovat seurausta maanantaisesta Vice-verkkolehden artikkelista, jossa lainataan Facebookin Irlannin toimipisteen tietosuojavastaavan vastinetta DPC:lle.
• Kuten arvata saattaa, uutiset ovat revitelleet Facebookin lähdöstä Euroopasta melko löyhin perustein. Suomeksi hieman faktuaalisemmin aiheesta on uutisoinut Ilta-Sanomat, jonka jutun mukaan ”Facebook ei uhkaa vetäytyä Euroopasta, yhtiö toteaa lähettämässään lausunnossa”.

Facebook-tapauksen oikea merkitys

Ja nyt päästään varsinaiseen asiaan, joka on jäänyt useimmilta toimittajilta tähän asti huomaamatta. Ilta-Sanomien em. jutussa kylläkin jo sivuuttiin sitä tässä kohtaa:

Irlannin oikeudelle lähetetyissä asiakirjoissa todetaan se yksinkertainen tosiasia, että Facebook ja monet muut yritykset, organisaatiot ja palvelut ovat toiminnassaan riippuvaisia tiedonsiirrosta EU:n ja Yhdysvaltojen välillä.

Tämä on totta, mutta ei koko totuus. Tähän liittyy pari asiaa:

1) Koskeeko sama ongelma muitakin amerikkalaisyrityksiä kuin Facebookia?

2) Jos Irlannin tietosuojaviranomainen ei peräänny vaatimuksissaan, mitä vaihtoehtoja Facebookille ja muille amerikkalaisyrityksille vielä jää?

Aloitetaan ensimmäisestä.

Koskeeko sama ongelma muitakin amerikkalaisyrityksiä kuin Facebookia?

Totta kai. Pääkysymys on se, minkä Facebook nosti blogipostauksessaan esiin: voidaanko EU:n mallisopimuslausekkeita käyttää käytännössä henkilötietojen EU-USA-siirroissa?

Tämä on kriittinen kysymys yhtälailla kaikille amerikkalaisyhtiöille, EU:ssa oleville yrityksille ja jopa lukuisille julkishallinnon organisaatioille, jotka siirtävät henkilötietoja Yhdysvaltoihin.

Kiinnostavin kysymys on tietenkin nettijättien suhteen, joiden palveluita käyttävät lukuisat muut yritykset ja organisaatiot. Kartoitin tilannetta pari viikkoa sitten Kuntamarkkinoilla pitämääni esitykseen (10.9.), tässä tulokset:

Heinäkuisen EU-tuomioistuimen päätöksen jälkeen kaikki isot nettiyhtiöt käyttävät siis nyt samaa oikeusperustetta henkilötietojen EU-USA-siirroille: EU:n mallisopimuslausekkeita. Osa niistä mainitsee käyttävänsä erilaisia lisäsuojakeinoja kuten salausta. Siis aivan kuten Facebook!

• Googlen sanavalinnat ovat erityisen kiinnostavia: se kertoo päivittävänsä sopimusehtojaan ”mahdollisimman pian” ja olevansa ”sitoutuneita hankkimaan lailliset perusteet siirroille”. Eli Google ei ole varma, ovatko sen nykyiset perusteet henkilötietojen siirroille Yhdysvaltoihin laillisia. Rehellistä puhetta, sillä miten se voisikaan olla?
• Amazon on kiinnostava tietenkin siksi, koska sen tilanne vaikuttaa suoraan lukuisiin eurooppalaisiinkin pilvipalveluihin ja startupeihin, jotka käyttävät AWS:n pilvipalvelimia. Nyt viimeistään on aika tarkistaa, että palvelimet on järjestetty niin, ettei tietoja siirretä eurooppalaisilta palvelimilta yhdysvaltoihin.
• Microsoft on samassa tilanteessa kuin muutkin. Moniko yritys ja organisaatio nykyisin tallentaa henkilötietoja Microsoftin pilvipalveluihin kuiten vaikkapa Office 365:een ja Teamsiin? Entä moniko taho on viimeisen 20 vuoden aikana vähemmän pitkänäköisesti lopettanut omat sähköpostipalvelimensa EU:ssa/Suomessa ja siirtänyt sähköpostinsa Microsoftin pilveen?

Kaikkien edellä mainittujen osalta EU:n mallisopimuslausekkeiden käyttö tällä hetkellä on hyvin epävarmalla pohjalla.

Rautalangasta: jos Facebookin kohdalla todetaan, ettei EU:n mallisopimuslausekkeita voi käyttää henkilötietojen siirrossa Yhdysvaltoihin, sama ongelma koskee yhtälailla Microsoftia, Googlea ja Amazon Web Servicea.

Sekä lukemattomia muita yrityksiä ja organisaatioita.

Välilliset vaikutukset ovat huikaisevat, sillä vielä useammille tahoille edellä mainitut palveluntarjoajat ovat henkilötietojen käsittelijöitä, jolloin vastuu niiden mahdollisesti laittomasta henkilötietojen siirrosta on lopulta niiden asiakkaina olevilla yrityksillä ja muilla organisaatioilla, jotka ovat kyseisten henkilötietojen rekisterinpitäjiä.

Tällä välin Max Schrems ei istu käsiensä päällä, vaan hänen noyb-organisaationsa on valittanut monien yritysten siirtävän henkilötietoja Yhdysvaltoihin laittomasti Googlen ja Facebookin palvelujen kautta. Suomesta mukana on MTV Internet ja Danske Bank. Yhtä hyvin listalla voisi olla mukana jopa tuhansia suomalaisyrityksiä.

Tämän rinnalla on hyvin pieni murhe se, voiko Matti tai Maija Meikäläinen päivittää kuulumisiaan Facebookiin tai Instagramiin.

Mitä vaihtoehtoja Facebookille ja muille amerikkalaisyrityksille vielä jää?

Toistaiseksi Facebook pyrkii viivyttämään Irlannin tietosuojaviranomaisen päätöksen täytäntöönpanoa kaikin mahdollisin keinoin eli yksinkertaisesti ostamaan aikaa.

Mutta vaihtoehtoja Facebookilla ja muilla on vielä periaatteessa runsaastikin.

Ensimmäinen mahdollisuus on, että EU:n ja Yhdysvaltojen välillä saadaan solmittua jonkinlainen uusi Safe harbor/Privacy shield -tekele. Ehkä sen voisi nimetä tällä kertaa Privacy hoaxiksi? 😇

Silloin Facebook pääsisi taas kuin koira veräjästä.

Vaikka oikeastihan on hieman väärin edes syyttää Facebookia, sillä varsinainsesti kyse on Yhdysvaltojen tiedustelusta, jonka vuoksi Privacy shield ei ollut pätevä suojaamaan eurooppalaisten henkilötietoja Yhdysvalloissa. Tilanne on hieman sama kuin siinä, ettei Yhdysvallatkaan salli TikTokin vakoileva kansalaisiaan Kiinalle.

Toinen mahdollisuus on, että Facebook pyytää käyttäjiltään suostumuksen, että heidän henkilötietonsa saadaan siirtää Yhdysvaltoihin sikäläisten viranomaisten tutkittaviksi. Se, kuinka kauaa tällaista suostumusta pidettäisiin GDPR:n suostumuksen kriteerien mukaisena (mm. vapaaehtoisuus ja se, ettei suostumuksen jättämättä antaminen saa aiheuttaa rekisteröidylle haittaa), on hyvin kyseenalaista.

Kolmas vaihtoehto on, että Facebook pilkkoo palvelunsa kahteen osaan: eurooppalaisten Facebookiin ja muiden Facebookiin. Ei laisinkaan mahdoton tehtävä Facebookin resursseilla: koostuuhan jo nyt palvelu lukuisista rinnakkaisista palvelimista ja konserni lukuisista yrityksistä.

Neljäs vaihtoehto on, että Facebook laittaa miljoonansa poikimaan lobbaustyöhön sen puolesta, että Yhdysvallat muuttaisi tiedustelulakejaan tai keksisi jonkin muun – en edes osaa kuvitella minkä – ratkaisun tilanteeseen. Facebookin syyskuun alun blogikirjoitusta voi jo nähdä askeleena tähän suuntaan.

Vasta viides vaihtoehto on, että Facebookin pitäisi sulkea palvelunsa eli mm. Facebookin, Facebook Messengerin, Instagramin ja WhatsAppin eurooppalaisilta käyttäjiltä. Sitä ennen sillä on siis vielä paljon aikaa ja vaihtoehtoja.

Missään tapauksessa Facebook ei halua tappaa hyvin lypsävää EU-lehmäänsä. Siinä on liian paljon menetettävää mittasipa asiaa dollareina tai datalla. Sama koskee USA:n hallintoa.

Aiheeseen liittyvä esitys alla: miten varsinkin amerikkalaiset nettijätit keräävät meistä dataa ja käyttävät sitä algoritmeissaan eli mainosbisneksessään:

Verkko- ja somepalvelujen datan keruu ja algoritmien toiminta from Harto Pönkä

Verkko- ja somepalvelujen algoritmit

Verkko- ja somepalvelujen käyttäjistään keräämä data sekä sen käyttö algoritmeissa on puhuttanut viimeistään siitä asti, kun Google ja Facebook ovat käyttäneet niitä räätälöidäkseen palvelujensa antia sekä varsinkin näytettäviä mainoksia käyttäjille. Eli viimeiset 10-15 vuotta.

Periaatteessa kokonaisuus on yksinkertainen: toisella puolen on käyttäjistä kerätty data ja toisella puolen palvelujen houkuttavuus sekä mahdollisuudet kohdentaa mainoksia. Mainosten kohdennukset paljastavat suoraan sen, mitä dataa käyttäjistä ainakin kerätään. Valitettavasti mainosjärjestelmät ovat tuttuja lähinnä digi- ja somemarkkinointia tekeville yrityksille. Siksi käyttäjistä tehty datankeruu on useimmille vierasta.

Algoritmit liittyvät paljon muuhunkin: ennen kaikkea siihen, miten meidät onnistutaan koukuttamaan ja pitämään palveluissa mahdollisimman suuren osan ajastamme. Algoritmit ovat verkkojättien tarkimmin varjeltuja liikesalaisuuksia, sillä kyse on kovasta kilpailusta.

Data ja algoritmit liittyvät suoraan käyttäjien yksityisyyteen ja (digitaaliseen) hyvinvointiin. GDPR:n mukaan jokaisella on oikeus tarkistaa hänestä kerätyt tiedot ja tietyissä tapauksissa (lue: erityisesti verkko-/somepalveluissa) voida tulla unohdetuksi. Hyvinvointiin ne liittyvät siltä osin, että ne vaikuttavat elämäämme hyvin monessa tilanteessa. Siksi ne on hyvä tuntea mahdollisimman hyvin.

Mielestäni algoritmien perusperiaatteet eivät voi olla piilossa, vaan ne pitäisi saada julkisiksi. Tarvittaessa lainsäädännöllä.

Niin kauaa, kun algoritmien toimintalogiikkaa ei tunneta, niihin liitetään monenlaisia ennakkoluuloja ja uskomuksia. Yksi sitkeimpiä on se, että meitä salakuunneltaisiin puhelimen välityksellä. Tuo myytti on vast’ikään osoitettu jälleen kerran vääräksi.

Myytit johtuvat siitä, että käyttäjät eivät tunne riittävän hyvin niitä keinoja, joilla dataa todella kerätään. Verkko- ja somejäteillä on niin paljon tietoa meistä, että niiden ei yksinkertaisesti tarvitse sortua salakuunteluun.

Olen viime aikoina käsitellyt dataa ja algoritmeja useissa yhteyksissä. Yksi niistä on Mannerheimin lastensuojeluliitolle tekemäni videointi, joka on eilen julkaistu heidän uudella digitaalisen hyvinvoinnin sivustollaan.

Lisäksi pidin n. viikko sitten MLL:n digitaalisen hyvinvoinnin kouluttajille koulutuksen verkkopalvelujen datasta ja algoritmeista. Näkökulmana oli ennen muuta mediakasvatuksellinen, mutta koulutuksen esitys on hyvä tietopaketti muillekin aihepiiristä kiinnostuneille:

Avaa esitys SlideSharessa

Toivottavasti onnistuin näillä esityksillä lisäämään datan ja algoritmien ymmärtämistä sekä vähentämään vääriä ennakkoluuloja.

Lähiaikoina algoritmit ovat esillä muutamissa muissakin materiaaleissani mm. koulutuksissa ja kirjoituksissa.

Markkinointi somepalveluissa, perusteet kuntoon -paketti (esitys)

Viime viikolla pidin Helsingissä koulutuksen somepalvelujen käytöstä markkinoinnissa. Koulutuksen järjestäjänä oli KurssitNyt.

Aiheet tarkemmin:

• Keskeiset somepalvelut markkinoinnissa (slidet 3-12)
• Miten yritykset käyttävät sosiaalista mediaa? (s. 13-19)
• Suositellaanko teitä somessa? (s. 20-24)
• Nettisivujen some-optimointi (s. 25-30)
• Missä somepalveluissa yrityksen kannattaa olla? (s. 31-41)
• Miten erottua somevirrasta? (s. 42-64)
• Mainostaminen somessa (s. 65-80)
• Hyödyllisiä linkkejä ja työkaluja (s. 83)

Avaa esitys SlideSharessa

Sosiaalinen media ulkoisen viestinnän ja maineenhallinnan apuna (esitys)

Olin eilen kouluttajana Kajaanissa KAMK:in Aikuis- ja täydennyskoulutuspalvelujen (AIKOPA) järjestämässä koulutuksessa, jossa aiheena oli sosiaalisen median käyttö ulkoisen viestinnän ja maineenhallinnan apuna.

Esitys jakaantuu seuraaviin osiin:

• Johdanto sosiaaliseen mediaan s. 2-15
• Sosiaaliset verkostot s. 16-22
• Sosiaalinen media yksittäisen ihmisen näkökulmasta s. 23-33
• Sosiaalinen media organisaatioiden näkökulmasta s. 34-52
• Miten vältetään ongelmia sosiaalisessa mediassa ja osallistutaan positiivisella tavalla s. 53-60
• Sosiaalisen median käyttöönotto organisaatioissa, ohjeistus ja strategia s. 61-73
• Sosiaalisen median käytön tulosten mittaaminen s. 74-87

Avaa esitys SlideSharessa

Ryhmätyöskentelyssä osallistujien tehtävänä oli ideoida, miten eri tavoin sosiaalista mediaa voidaan käyttää yrityksissä ja muissa organisaatioissa. Kiitokset aktiivisille osallistujille! 🙂

Ulkoisen viestinnän ja markkinoinnin ohella keskusteluissa nousi esiin rekrytointi sosiaalisessa mediassa. Lupasin linkittää tänne aiheeseen liittyviä materiaaleja, kas tässä:

• Maria Rajakallion esitys: Sosiaalinen media rekrytoinnissa
• Tom Laineen esitys: Sosiaalinen media – työnhaku ja asiantuntijuuden korostus
• Janne Ruohiston esitys: Miten sosiaalisessa mediassa rekrytoidaan?
• Harri Lakkalan artikkeli ja esitys: Sosiaalinen media rekrytoinnissa ja työantajankuvan rakentamisessa
• Jukka Pekosen esitys: Sosiaalinen media osana onnistunutta rekrytointia

Kannattaa katsoa jokaisen mainitun henkilön muutkin esitykset SlideSharesta.

PK-VERKKO 2.0 – Sosiaalista mediaa ja mobiilia markkinointia (esityksiä)

Kävin eilen Joensuussa pitämässä koulutuspäivän sosiaalisesta mediasta ja mobiilista markkinoinnista. Koulutuksen järjesti Itä-Suomen yliopiston MARKOS-hanke, joka  tarjoaa pk-yrityksille tietoa ja tukea markkinointiosaamisen kehittämisessä. Kiitos jälleen osallistujille runsaista keskusteluista – voimme jatkaa täällä!

Jaoin päivän luennot kolmeen osaan. Ensimmäisessä osassa on sosiaalisesta mediasta yleisesti yritysten näkökulmasta (mm. somen sisäinen käyttö), toisessa osassa käsittelin sosiaalista mediaa yritysten ja asiakkaiden kohtaamispaikkana (mm. markkinointi, crowdsourcing, tulosten mittaaminen) ja kolmannessa osassa mobiilimarkkinointia. Ryhmätyöskentelyissä käytimme apuna Purot.net-wikiä, josta löytyy myös linkkilista mobiilimarkkinointiin liittyen.

Esitykset:

Avaa esitys SlideSharessa

Avaa esitys SlideSharessa

Avaa esitys SlideSharessa

Google+ kävi jo pohjalla, mutta nousee taas

On eräs tilasto, jota seuraamalla pysyy koko ajan kärryllä, mihin suuntaan Google+ on menossa. Se on Alexa.com-palvelussa ja siinä näkyy, miten google.com-verkkotunnuksen käynnit jakaantuvat eri alidomaineille. Tässä muutama lukema, miten Google plussan osuus on vaihdellut ja laskenut koko google.com:in kävijämäärästä:

• 1.8.2011: 2,89%
• 10.8.2011: 2,92%
• 16.8.2011: 2,55%
• 23.8.2011: 2,11%
• 1.9.2011: 1,82%
• 12.9.2011: 1,5%

Seurasin lukemaa tiiviisti elokuun lopun ajan ja osa lukemista on täältä. Google+:n lasku oli mukana myös edellisessä some-katsauksessani. Siksi osasin odottaa, että Google+:n kävijämäärä romahtaisi totaalisesti, kun Compete.com-seurantapalvelu päivitti esille elokuun kävijätilastot. Ja niin todella tapahtui: Google plussasta oli hävinnyt USA:ssa 2 miljoonaa 5 miljoonasta käyttäjästä eli peräti 40%:

”Tiedotin” tästä Twitterissä ja Google+:ssa. MikroPC ja myöhemmin Tietoviikko uutisoivat aiheesta.

Googlella on luonnollisesti oltu hyvin hereillä. Palvelu avattiin julkisesti kaikille kiinnostuneille 21.9.2011. Syy on selvä: kun miljoonat lähtivät pois, ei ollut enää syytä pitää ovia kiinni.

Toisaalta kyse oli ja ON Google plussan kohtalonhetkistä: joko palvelu saadaan pysyvästi kasvu-uralle tai sen peli on pelattu. Jotkut vielä muistavat, miten kävi Googlen aiemmille sosiaalisen median palveluille: Buzzille, Wavelle ja Googlen ostamalle Jaikulle. Googlen ”track record” on some-palveluissa pelottavan huono.

Ainakin hetkellisesti Google+ näyttää saavuttaneen tavoitteensa. Google plussan kävijämäärä on yli kolminkertaistunut alle kahdessa viikossa, sillä se kerää tällä hetkellä peräti 5,8% kaikista google.com:in kävijöistä:

Mutta. Minun silmissäni ”käyttäjät ovat jo äänestäneet”. Google+ ei kelvannut ensin mukaan päässeille propellihatuille, enkä näe yhtään syytä, miksi myöhemmin mukaan tulleet käyttäjät ”äänestäisivät” toisin. Massoja on vielä vaikeampi miellyttää kuin kokeilunhaluisia edelläkävijöitä.

Ensi kuussa Google+:lla lienee Compete.com:in tilastoissa 5-10 miljoonaa käyttäjää, mutta uusi lasku nähdään taas arviolta marraskuussa. Tällä välin media repii otsikoita Google+:n uudesta noususta.

Loppujen lopuksi ensivaikutelma osoittautuu kuitenkin ratkaisevaksi. Vuoden päästä emme muista koko plussaa. Sille käynee siis samalla tavalla kuin Diasporalle, josta kohistiin vuosi takaperin.

P.S. Todellinen iso uutinen on, kun Facebook ylittää kävijämäärältään koko Google.com:in kävijämäärän. Se on kehityksen varsinainen kulku kaikkien näiden otsikoiden takana.

P.P.S. Facebookilla on siis noin 760 miljoona käyttäjää ja kasvuvauhti on pikemminkin nopeutunut kuin hidastunut. Miljardin ylitys nähdään luultavasti ensi vuonna. Facebookin käyttö kasvaa nopeasti sellaisissa maissa kuin Japani, Intia, Thaimaa, Vietnam… Kiinaan Facebook on vasta pääsemässä.

200-300 tuhatta suomalaista Facebook-tunnusta rikkoo käyttöehtoja

Päätin laskea muutama ilta takaperin, montako prosenttia kustakin ikäluokasta on Facebookissa. Facebakersilta saa kyllä ikäryhmien suhteelliset koot, mutta niistä ei selviä, miten hyvin Facebook kattaa eri ikäluokat – siis tiettynä vuonna syntyneet:

Tässä kuviossa on sellainen vika, että sen ikähaarukat eivät ole saman kokoisia. Ryhmä 13-15 käsittää kolme ikäluokkaa, 16-17 kaksi, 18-24 seitsemän ja loput kymmenen ikäluokkaa. Tämän takia prosenttiluvut antavat vääristyneen kuvan, että Facebookia käyttäisivät eniten 25-34-vuotiaat suomalaiset, vaikka todellisuudessa suhteellisesti isoimmat ikäluokat ovat 18-24-vuotiailla. Alla olevassa taulukossa Facebakersin ilmoittamat prosentit on jaettu kunkin ryhmän vuosiluokkien määrällä, jolloin saadaan prosenttiosuus per ikäluokka:

Ryhmä	Ikäluokkia	% per ryhmä	% per ikäluokka
13-15-v.	3	10	3,3 (3.)
16-17-v.	2	7	3,5 (2.)
18-24-v.	7	26	3,7 (1.)
25-34-v.	10	31	3,1 (4.)
35-44-v.	10	15	1,5 (5.)
45-54-v.	10	7	0,7 (6.)
55-64-v.	10	3	0,3 (7.)
>65-v.	???	1	???

Kun katsotaan saatuja lukuja, niin isoimmalta näyttäneessä 23-34-vuotiaiden ryhmässä ikäluokkien koko onkin vasta neljänneksi suurin. Todellisuudessa (?) eniten Facebookia käyttävä vuosiluokka sijoittuu välille 18-24-vuotiaat, toiseksi isoimmat vuosiluokat ovat 16-17-vuotiailla ja kolmanneksi isoimmat 13-15-vuotiailla. Facebakersin tilastot eivät tarjoa tämän tarkempaa tietoa.

Itsehän olen viimeiset pari vuotta sanonut koulutuksissa, että ”24-34-vuotiaat käyttävät eniten Facebookia” – se on ehkä sanatarkasti oikein, mutta antaa Facebookin ikäjakaumasta täysin väärän kuvan! Pyydän anteeksi kaikilta, joita olen johtanut harhaan. Minun olisi tietysti pitänyt mennä lukujen taakse jo aikoja sitten. 😦

Mutta. Tarkoitukseni oli siis selvittää, kuinka iso osuus kustakin ikäluokasta on Facebookissa. Koska Facebakers ei tarjoa yllä olevia tarkempia lukuja, hain luvut Facebookin mainoskoneesta. Se tarjoaa ikäluokkien koot kymmenen hengen tarkkuudella.

Lukijaa voi kiinnostaa, että sekä Facebakers että Facebookin mainoskone ilmoittaa suomalaisten käyttäjien määräksi yhteensä 1 857 080. Kuitenkaan Facebakersin ikäryhmien %-osuuksilla lasketut henkilömäärät eivät täsmää Facebookin mainoskoneen ilmoittamien lukujen kanssa. Facebakersin ilmoittamat määrät ovat 13-64-vuotiailla yhteensä n. 18 000 isommat.

Seuraavaksi hain jokaisen ikäluokan koon eli kunakin vuonna syntyneiden suomalaisten määrän Tilastokeskukselta ja laskin niistä Facebook-käyttäjien prosenttiosuudet. Kun prosentit ilmestyivät esiin, yllätys oli melkoinen: Monesta ikäluokasta yli 100% on Facebookissa!

Ikäluokka	Syntyneitä	Facebookissa	%
13-v.	59329	50660	85,4
14-v.	60723	79 660	131,2
15-v.	63067	74 220	117,7
16-v.	65231	66 220	101,5
17-v.	64826	62 560	96,5
18-v.	66 731	64 040	96,0
19-v.	65395	63 040	96,4
20-v.	65 549	70 600	107,7
21-v.	63348	60 520	95,5
22-v.	63316	57 100	90,2
23-v.	59827	53 000	88,6
24-v.	60632	54 140	89,3
25-v.	62796	55 600	88,5
26-v.	65 076	56 100	86,2
27-v.	66 892	56 260	84,1
28-v.	66 106	55 140	83,4
29-v.	63 469	49 760	78,4
30-v.	63 064	51 480	81,6
31-v.	63 428	45 380	71,5
32-v.	63 983	44 120	69,0
33-v.	65 659	43 000	65,5
34-v.	66 846	41 360	61,9

Laitoin tähän esille vain 13-34-vuotiaat eli eniten Facebookia käyttävät. Tämän mukaan 14-vuotiaista 131,2% on Facebookissa, 15-vuotiaista 117,7% ja 16-vuotiaistakin peräti 101,5%. Kummallinen piikki on myös 20-vuotiailla: 107,7%.

Vai olisiko niin, että kun alle 13-vuotiaat eivät voi rekisteröityä Facebookiin, niin he ilmoittavat iäkseen vuoden-pari enemmän, ja kun pari vuotta sitten eivät voineet rekisteröityä kuin täysi-ikäiset, niin alaikäiset ilmoittivat itsensä 18-vuotiaiksi ja ovat nyt 20-vuotiaita? Tämän teorian mukaan 13-vuotiaita pitäisi olla nytkin reippaasti yli 100% – tai sitten raja menee rikki loppuvuoden aikana. Joka tapauksessa Facebookissa on tuhansia käyttäjiä, jotka ovat valehdelleet ikänsä tai joilla on useampi käyttäjätunnus.

Tai sitten Suomessa on tuhansia ihmisiä, joita ei ole tilastoitu syntyneiksi. :>

Mutta mikä sitten on Facebookin oikea käyttäjämäärä ja kuinka paljon käyttöehtoja rikkovia käyttäjätunnuksia on yhteensä? Yksi keino tämän laskemiseksi on verrata kävijätilastojen lukuja haastatteluilla saatuun tutkimustietoon.

Otin seuraavaksi vertailukohteeksi tuoreen Tilastokeskuksen tutkimuksen sosiaalisen median käytöstä. Se kertoo, kuinka monta prosenttia jokaisesta ikäryhmästä on rekisteröitynyt johonkin yhteisöpalveluun. Yhteensä yhteisöpalvelujen käyttäjiä oli 1,8 miljoonaa. Tutkimuksessa yhteisöpalveluilla tarkoitetaan Facebookia, Twitteriä ja vastaavia. Näistä ylivoimaisesti käytetyin on Facebook, joten käytännössä luvut indikoivat Facebookin käyttöä – tai ainakaan sitä ei voida käyttää laajemmin kuin mitä yhteisöpalveluja yhteensä käytetään. Nyt olen siis puhtaasti mahdollisuuksien varassa.

Laskin taulukkoon jokaisesta ikäluokasta Tilastokeskuksen mukaisen yhteisöpalveluja käyttävien määrän. Koska Tilastokeskus ilmoittaa prosentit ikäryhmittäin (esim. ”83 prosenttia 16-24 -vuotiaista”), niin annoin saman prosenttiluvun kaikille ryhmän ikäluokille (=pientä epätarkkuutta, mutta minkäs teet). Tämän jälkeen vertasin lukuja Facebookin mainoskoneen ilmoittamiin lukuihin ja valitsin jokaisesta ikäluokasta totuudenmukaisemman eli pienemmän lukeman. Eli logiikalla: jos Facebookin luku on pienempi, niin sitä on uskottava, mutta jos se on isompi, niin Tilastokeskuksen luku on totuudenmukaisempi, koska Facebook-käyttäjiä ei voi olla enempää kuin yhteisöpalvelujen käyttäjiä yhteensä. Lopuksi ynnäsin kaikkien ikäluokkien totuudenmukaisemmat käyttäjämäärät yhteensä.

Tuloksena oli, että Facebookissa voi olla korkeintaan 1 705 059 suomalaista.

Facebookin ilmoittamassa käyttäjämäärässä on siis laskentahetkellä ainakin 150 000 liikaa. Eli käyttäjätunnuksia, joiden haltijat ovat valehdelleet ikänsä tai joilla on monta käyttäjätunnusta. Kummatkin tapaukset rikkovat räikeästi Facebookin käyttöehtoja.

Voidaan olettaa, että käyttöehtoja rikkovia käyttäjätunnuksia on vielä paljon enemmänkin, koska on myös ihmisiä, jotka eivät käytä Facebookia, vaan jotakin muuta yhteisöpalvelua. Näitä on vielä mukana em. 1,7 miljoonassakin.

Lisäksi Facebookin käyttäjämäärä heilahtelee Facebakersin mukaan  jopa 1,78-1,90 miljoonan välillä (viimeiset 6 kk). En tiedä, mihin tämä vaihtelu perustuu, mutta se ei herätä kovin suurta luottamusta. Minulla ei ole tarkkaa tietoa, milloin Tilastokeskuksen data on kerätty. Jos se on kerätty esim. alkuvuodesta, niin tuolloin Facebakersin ilmoittamia käyttäjiä oli n. 1,5 miljoonaa. Tämä tarkoittaisi hieman vähemmän ”haamutunnuksia”, mutta voinemme odottaa, että käyttäjämäärän kasvu on sentään perustunut enemmän todellisiin käyttäjiin kuin ikänsä valehteleviin.

Mitään lopullista totuutta tähän ei saa, joten esitän lopuksi ns. sivistyneen arvaukseni, että

200 000-300 000 suomalaista Facebook-tunnusta rikkoo käyttöehtoja.

Mahdollisesti paljon enemmänkin, mutta tämän hurjempia lukuja en lähde arvuuttelemaan.