Elver Loho: andmekaitses on kõige olulisem inimfaktor

Järgneb intervjuu

Euroopa Liit valmistab ette andmekaitsereformi. Andmekaitse Inspektsiooni juhi Viljar Peebu sõnul asendub praegune 11-leheküljeline isikuandmete kaitse seadus 94-leheküljelise määrusega. Mida see Eesti ja ettevõtjate jaoks tähendab?

See akt kogu oma mahus tuleb tõenäoliselt veel suurem ning seda hakatakse tõlgendama ja rakendama kogu Euroopas tsentraliseeritult. Seni olid kohalikel andmekaitsjatel üsnagi vabad käed, arvestamaks iga riigi kultuurilisi omapärasid. Näiteks meil on e-riik ehitatud info liikumise osas eeldustele, mis ei pruugi uues süsteemis enam täiel määral alles jääda.

Mida see reaalselt Eesti riigile ja ettevõtjatele tähendab, on tõenäoliselt kulude märgatav kasv. Seni on silma jäänud üks põhjalik ja sisukas brittide uuring, mis erinevad stsenaariumid läbi mängis ja jõudis seisukohale, et mingit säästmist raha osas pole oodata - hoopis kallimaks läheb kõik.

EIK tuli pildile seoses ACTA-vastase protestiga. Toona koonduti konkreetse eesmärgi saavutamiseks, kuid vahepeal on aeg edasi läinud. Millega kogukond tegeleb ja kuidas osaletake seadusloomes täna?

Täna peame oluliseks tõsta rahva teadlikkust infopoliitika teemadel ning soovime näha seotud küsimuste aktiivset käsitlust eurovalimiste käigus.

Kogukond osaleb seadusloomes umbes korra paari kuu tagant ning teemad, millega kokku puutume, on sellised, mis ei kao ära pärast nendega tegelemist. Ka ACTA on mitmes uues vormis taas meie poole suundumas.

Üks kogukonna juhatuse liige on Andmekaitse Inspektsiooni nõukoja liige. Sealtkaudu saame osaleda erinevate juhendite ja poliitikate kujundamises. Samuti osaleme eelnõude arutamises ja ümarlaudadel. Justiitsministeeriumiga on meil väga meeldiv koostöö. Näiteks on paaril korral meie palvel kokku kutsutud ümarlaud, et arutada mõnda meie jaoks olulist teemat.

Andmekaitsereformi osas tegime analüüsi reformi ühele osale ja tõime seal välja mitmeid probleemseid kohti, kus ametniku kujutelm tehnoloogiast ja tehnoloogiline reaalsus olid üksteisest kaugele triivinud.

Kuhu on suunatud planeeritava reformi teravik ning kes on võitjad-kaotajad?

Täna on raske ennustada, kes reformist tulenevalt kõige rohkem võidab või kaotab. Utreerides võib öelda, et Brüsseli ametnikud saavad natuke võimu juurde, kohalikud ametnikud kaotavad, luuakse tohutu hunnik uusi töökohti ning need ei pruugi sisuliselt vajalikud olla. Samas oleks korrektne mainida, et reformikava ei ole lõplik ja Euroopa Parlamendis on sellele esitatud rekordarv parandusi. Reformi realiseerimine on praegu lükatud 2015. aastasse, et kõik olulised aspektid saaksid käsitletud ja huvigrupid kaasatud.

See, kas ettevõtted hakkavad tellima andmekaitseauditeid või saavad endale kohustuse palgata andmekaitseametnik, on juba hilisemate rakendusaktide pädevuses.

Tavakodaniku jaoks kaasneks reformiga ehk petlikku turvatunnet. Mingi asjaajamine andmekaitseametnikega muutuks lihtsamaks, mingi raskemaks. Reform tundub natuke populistlik, sest üle Euroopa Liidu hakataks rakendama Lõuna-Euroopast tuntud andmekaitsemudelit, kus heidutatakse hiigelsuurte trahvidega. Seal on kõnealune mentaliteet ettevõtlust pärssinud ning andmekaitseametnikku kardetakse rohkem kui maksuametnikku.

Reformi teravikust on raske aru saada, aga väga palju rõhutatakse vajadust ühtse digituru järele Euroopas. Samas toimib juba täna erinevate EL-i riikide andmekaitsjate vahel efektiivne koostöö ja vajadusel saab kodanik oma kaebuse Soome firma peale esitada ka Eesti AKI-le.

Mida tähendab ühtne digiturg Eesti ettevõtja jaoks?

Ühtne digiturg võimaldab virtuaalseid tooteid ja teenuseid efektiivsemalt turustada kogu Euroopa Liidus. Miinusena tähendab see väga suurel turul konkureerimist. Plussina tähendab aga hea toote edukas turustamine suuri kasumeid. Eesti ettevõtjad muutuvad oma ekspordivõimekuselt aina paremaks ja ühtne digiturg on ettevõtjate huvisid silmas pidades loogiline samm.

Milline oleks mõni praktiline näide, mis Eesti ettevõtjaid uue andmekaitsemudeli alusel ees võib oodata?

Kõige jaburam näide, mis ka Eesti ametnike hulgast läbi käinud, on järgmine. Kui juuksur paneb paberile kirja oma püsiklientide nimed, juuksevärvid ja telefoninumbrid, siis tuleb tal oma andmekogu riiklikult registreerida ja sertifitseerida, et ta neid isikuandmeid turvaliselt hoiab. Markantseid näiteid on teisigi, kuid reformi lõplik kuju pole veel paigas ja ennustamine on teadupärast tänamatu töö. Kui suured ettevõtted saavad ilmselt kenasti hakkama, siis just väiksemate puhul võib reform tähendada halduskoormuse kasvu.

Suur osa internetipõhistest idufirmadest pakuvad mingit teenust, kus nad organiseerivad ja töötlevad kasutajate andmeid üle kogu maailma. Praegu on võimalik paari sõbraga idee nädalavahetusel valmis meisterdada, lisada maksmise võimalus, registreerida ettevõtjaportaalis firma ning hakata uut ärimudelit proovima. Kui siia lisandub andmekaitseaudit või mõni muu lisakohustus, siis võib selliste katsetuste hulk jääda oluliselt väiksemaks.

Igapäevast tööd silmas pidades võib eeldada, et mõne aastaga tekivad sobivad e-riigi lahendused, mille kaudu reformiga tekkinud kohustusi lihtsamini täita saab. Samas võib arvata, et aktiivse äritegevusega ettevõtete jaoks on tegu päris mahuka õppimiskogemusega.

Mis hinnangu võiks täna anda Eesti infopoliitikale?

Eesti infopoliitikat tuleb vaadata Euroopa Liidu kontekstis, sest andmeside reguleerimise suveräänsuse oleme andnud Euroopa Liidu pädevusse. Seal on hetkel kuumimaks teemaks võrguneutraalsus (põhimõte, mille kohaselt ei tohiks internetiteenuste pakkujad ja riigid kehtestada piiranguid sisule, veebisaitidele, platvormidele, võrku ühendatavale riistvarale ning kommunikatsiooniviisidele. - toim.) Reformima hakati suure hurraaga, lubades meile lisaks senisele de facto võrguneutraalsusele ka de juret.

Seniste mustandite põhjal, on tulem väga ebaselge. Jääb mulje, et võrguneutraalsuse diskrimineerimine on legaalne, kui sideoperaator sellest klienti teavitab. Reformijärgselt võib saada reaalsuseks neutraalsuse eest võitlejate hirmuunenägu, kus internetiühendust ei osteta üldise kiiruse põhjal, vaid valid pakettidena, sõltuvalt sellest, millistele levinud veebiteenustele ligipääsu soovitakse. Nagu kaabeltelevisioon, st. maksad näiteks YouTube'i vaatamise eest iga kuu paar eurot juurde.

Kui seni liikusid kõik nullid ja ühed kaablis võrdsetel alustel, siis tulevikus võivad internetiühenduse pakkujad hakata bitte diskrimineerima nende päritolu põhjal. Seni on meid sellise bitidiskrimineerimise eest hoidnud Euroopa suhteliselt tihe asustus ja konkurents teenusepakkujate vahel.

Aga teised võrguneutraalsuse aspektid? Vaatame infrastruktuuri kõrval näiteks riigipoolsete piirangute kehtestamist sisule.

On olnud mõningaid kohtulahendeid ja eelnõusid, mis internetitegevuste legaalsust mõjutavad. Delfi-Leedo kaasus näiteks sai Euroopa Kohtus sellise lahendi, mis võib kogu Liidus netikommentaariumid ja hostitud blogid ära kaotada.

Samuti on Justiitsministeeriumis endiselt menetlusel vihakõne eelnõu, mis tegelikult pidi EL-i reeglite järgi juba sügisel valmis olema, aga pole seni vastu võetud. Üks eelnõu mustand näiteks pakkus välja, et võiks hakata riiklikult karistama inimeste solvamist nende veendumuste põhjal. Arvamusavaldus stiilis "sa oled idioot ja mõrvar, sest sa sööd liha" võib tulevikus olla politsei huviorbiidis. Täna on ebaselge, kas sellise arvamusavalduse kriminaliseerimist nõutakse meilt või mitte. Eelnõu aluseks olev EL-i raamleping on selle küsimuse osas lausa kolmeti mõistetav.

Kui hästi on täna kaitstud Eesti kodanike ja ettevõtete andmed?

See on väga laetud küsimus. Osades suurfirmades ja riigiasutustes on turvasüsteemid nii hästi paigaldatud, et inimeste andmed ei leki kuhugi. Näiteks pankades on korralik järelevalve, mis uudishimulikke töötajaid vahele võtab.

Aga on ka suuri asutusi, kus piisab sellest kui tunda õiget inimest ning saad ükskõik kelle andmed tutvustega kätte. Olen kuulnud isegi juhtumist, kus riigiasutuse töötajad on tegelenud väljapressimisega, ähvardades suhteliselt prominentse isiku kohta käivaid eraelulisi andmeid meediasse lekitada.

Mis mulle enim muret teeb Eesti andmekaitse valdkonnas, ongi riigiasutuste töötajate soojad suhted ajakirjanikega. Igal kõval ajakirjanikul on päris mitmes riigiasutuses "käpp sees" ja andmed tilguvad. Vahel isegi sellised andmed, mis tõele ei vasta. Ja see on valdkond, kus andmekaitsereform ei teeks mitte midagi.

Eesti langes internetivabaduse edetabelis esimeselt kohalt teisele. Olgugi, et tegu on minimaalse nihkumisega, tahaks ikka küsida, et "mis juhtus?"

Pole konkreetse tabeli metoodikaga kursis. Samas üllatab mind see, et olime jätkuvalt esikohal ajal, mil meil juba oli internetitsensuur.

Nagu ka paar hiljutist juhtumit on näidanud, siis EMTA võim selle üle, milliseid veebilehti nad saavad blokeerida ja millistel alustel, on ilma igasuguse järelevalveta. Näiteks blokeeriti korraks ära kogu Nauru domeeniruum. Ning üks umbkeelne EMTA töötaja blokeeris ära legaalseid veebikasiinosid reklaaminud lehe, sest tema keeleoskus ei võimaldanud tal aru saada seadusest, mida ta oli palgatud rakendama. Juhtum lahenes tänu sellele, et jama sai kella külge pandud ja EMTA Facebooki lehel piisavalt tülitatud, et keegi läks ja vaatas kogu asja lõpuks üle.

Mida arvad Snowdeni nimetamisest Nobeli rahupreemia kandidaadiks?

Nobeli rahupreemiale võib sisuliselt igaüks esitada igaühte. Oleks veider kui Snowdenit ei oleks sellele esitatud. Kas ta preemia ka lõpuks saab või mitte, seda on raske hinnata.

Samas oleks ju huvitav kui üks rahupreemia pälvinu ajab teist mööda ilma taga ja üritab vangi panna. Vältimaks sellist jaburat olukorda, peaks Obama ilmselt Snowdenile amnestia andma.