Tietoaineistojen lisääntymisen ja avaamisen haasteet

Tietoaineistojen lisääntymisen ja avaamisen haasteet

Tietoaineistojen lisääntymisen ja avaamisen haasteet kansalaisten
anonymiteetille
Kirjoittanut:
Ville Aula
Korkeakouluharjoittelija
Viestintäpolitiikan osasto
Liikenne- ja viestintäministeriö
Jatkuvasti laajenevat tietoaineistot ja kehittyvät data-analyysin menetelmät luovat uusia riskejä
kansalaisten yksityisyydensuojan heikentymiselle. Tutkimuskirjallisuuden valossa aiemmat
käsitykset aineistojen anonymiteetistä ovat murroksessa. 2000-luvulla syntyneet ilmiöt ja
ajattelumallit, kuten big, avoin ja my data, koettelevat yksityisyydensuojan ja anonymiteetin
määritelmiä ja asettavat paineita sekä lainsäädännölle että kansalaisten oikeusturvalle. Tässä
selvityksessä esitellään keskeisimmät tietoaineistojen anonymiteettiin ja sen murtamisen
menetelmiä sekä niistä johtuvia yksityisyydensuojan, lainsäädännön ja aineistojen käytön
ongelmakohtia. Selvityksen yhteydessä kysyttiin tietojenkäsittelytieteen asiantuntijoilta
näkemyksiä aiheesta lähettämällä kysely tietojenkäsittelytieteen tutkimusta ja opetusta tekeville
korkeakouluille. Aiemman tutkimuksen ja asiantuntijoiden kommenttien perusteella esitetään
tarpeita ja toimenpiteitä
1 Big, avoin ja my data
Erilaisten digitaalisten tietoaineistojen määrä on 2000-luvulla kasvanut valtaisalla nopeudella. Big
datalla tarkoitetaan tietoaineistojen määrän ja tuotantonopeuden nopeaan lisääntymiseen ja
aineistojen vaihtelevuudelle pohjautuvaa uutta tilannetta. Käsite ei kuvaa mitään yksittäistä
tietoaineistotyyppiä, vaan digitaalisen yhteiskunnan kehityksen myötä syntynyttä tiedon ja sen
hyödyntämisen uutta luonnetta. (Liikenne- ja viestintäministeriö 2013, 3–4). Olennaista big datan
ja henkilöitä koskevien tietojen suhteessa on tietoaineistojen jatkuva ja ”tahaton”
muodostuminen: digitaalisten palveluiden käyttäminen väistämättä tuottaa käyttäjiä koskevaa
tietoa palveluiden tarjoajille, jolloin on helppoa myös muodostaa näistä tiedoista yhtenäisiä
tietoaineistoja. Tämä koskee myös julkisia palveluita, sillä sähköisten palveluiden määrä kasvaa
jatkuvasti. Julkishallinnon ennestään laajojen kansalaisia koskevien tietoaineistojen lisäksi
viranomaisten on mahdollista kerätä yhä laajempaa ja monipuolisempaa tietoa käyttäjistään.
Avoimella datalla tarkoitetaan ajattelutapaa, jossa tietoaineistojen julkiseen jakamiseen
suhtaudutaan aiempaa avoimemmin ja pyrkimyksenä on jakaa julkisia tietoaineistoja laajempaan
käyttöön. Tietoaineistot ovat yhä vahvemmin liike- ja kansalaistoiminnan resursseja, joiden
käyttöä pyritään lisäämään. Julkinen sektori on sitoutunut avaamaan yhä useampia aineistojaan
julkiseen käyttöön nopeuttaakseen tietoaineistojen ympärille kehittyviä toiminnan muotoja.
1
(Valtioneuvosto 2011) Tietoaineistojen jakamisessa tulee noudattaa asiaankuuluvaa
lainsäädäntöä, mikä erityisesti kansalaisia koskevassa tiedossa tarkoittaa yksityisyydensuojan
huomiointia. Tiedon tulee olla anonyymia eivätkä aineistot saa olla sellaisia, että aineistot voidaan
suoraan yhdistää yksittäisiin kansalaisiin. Avoin data ei rajoitu vain julkisen sektorin
ajattelutavaksi, vaan myös monet yksityiset yritykset ovat julkistaneet tietoaineistojaan erilaisia
tarkoitusperiä varten.
Big ja avoin data -ajattelutapojen myötä ovat myös yksilöiden omat oikeudet heitä koskeviin
tietoihin alkaneet korostua. Kansalaisten oikeutta heitä koskevien julkisten ja yksityisten
tietoaineistojen hallinnointiin ja käytöstä päättämiseen kutsutaan my data -ajatteluksi. My datan
tarkoittama itseä koskevasta tiedosta päättäminen sisältää sekä tietojen käytön kieltämisen että
niiden jakamisen. Ajattelutavan mukaan yksilöillä tulisi olla oikeus määrätä mihin häntä koskevaa
dataa käytetään, mutta toisaalta myös tarjota sitä haluamiensa tahojen käyttöön. (Poikkola,
Kuikkaniemi & Kuittinen 2014) Big ja avoimen datan myötä muuttuneet käsityksiä tiedon uudesta
luonteesta ja käyttötarkoituksista ei my data -ajattelussa mielletä kielteisiksi, vaikka niiden
yhdistelmään liittyykin ongelmia. Ajattelutapa voidaankin nähdä yksilölähtöisyyttä korostavana
lähestymistapana 2010-luvun uuteen tietokäsitykseen, minkä vastakohtana ovat yritysten ja
yhteisöjen roolia datan omistajana painottavat lähestymistavat.
2 Henkilötietojen luottamuksellisuus ja tunnistettavuuden määritelmät
Suomen Perustuslain 10 §:ssä turvataan jokaisen yksityiselämä. Tätä toteutetaan henkilötietolailla
(523/1999), jonka 3 §:ssä henkilötiedoilla tarkoitetaan kaikenlaisia henkilöä taikka hänen
ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai
hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Näiden tietojen
käsittelyssä tulee noudattaa huolellisuutta. Euroopan unionin tietosuojadirektiivin (95/46/eY), jota
Suomen henkilötietolaki toteuttaa, toisessa artiklassa henkilötiedot määritellään henkilön
tunnistettavuuden kautta. Henkilön katsotaan olevan tunnistettavissa yhden tai useamman
hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai
sosiaalisen tekijän perusteella. Koska yksityiselämää koskeva tieto on luottamuksellista ja
henkilökohtaisten tietojen julkinen jakaminen lain vastaista, on tunnistamisen ja anonymiteetin
keskiössä mahdollisuus liittää jokin tieto tai ominaisuus yksittäiseen henkilöön. Anonymiteetin
katsotaan tällöin toteutuvan, mikäli tietoa tai ominaisuuksia ei voida yhdistää tiettyyn henkilöön.
Tähän katsotaan pääsääntöisesti riittävän suorien henkilö- ja asuintietojen salaaminen.
Tutkimuksessa tietoaineistojen sisältämät tiedot ovat usein jaettu neljään kokonaisuuteen: suorat
tunnisteet, kvasitunnisteet, arkaluontoiset tunnisteet ja ei-arkaluontoiset tunnisteet (Fung ym.
2010, 14:4). Suorat tunnisteet, kuten nimi tai henkilötunnus, johtavat henkilön suoraan
tunnistamiseen, mutta kvasitunnisteina nähdään mitkä tahansa tiedot, jotka voivat mahdollisesti
johtaa henkilön tunnistamiseen. Raja suoran ja kvasitunnisteen välillä on häilyvä, mutta usein
anonymiteetin takaamiseksi tietoaineistoista salataan tai poistetaan ainoastaan suorat tunnisteet
sekä ilmiselvimmät kvasitunnisteet. Kvasitunnisteiden tunnistettavuus riippuu ensisijaisesti
aineiston luonteesta ja laajuudesta. Anonymiteetti ei ole taattu, mikäli tietoaineistot ovat erityisen
2
suuria ja moniulotteisia, erilaisia aineistoja on mahdollista verrata keskenään ja hyökkääjällä on
edes yksittäisiä tietoja kohdehenkilön toiminnasta (Narayanan & Shmatikov, 2008). Narayananin ja
Shmatikovin (2010, 26) mukaan mitä tahansa tietoa, joka tietystä henkilöstä on merkitty
rekisteriin, voidaan käyttää tunnistamisen välineenä eikä kvasitunnisteen määritelmällä ole
tosiasiallista sisältöä. Tältä osin laajojen avointen tietoaineistojen julkisuus tai julkaiseminen on
ristiriidassa yksityisyydensuojan kanssa, koska anonymiteetin perustana lainsäädännössä on
tunnistamattomuus, jonka raja on tosiasiassa häilyvä.
Kaikki avoimen datan hengessä jaettavista tietoaineistoista ei sisällä yksityisyydensuojan kannalta
ongelmallista tietoa, mutta rekisterit voivat sisältää epäsuorasti kansalaisiin liittyvää tietoa. Big
datan aikakaudella tietoaineistojen määrä lisääntyy jatkuvasti ja tietoaineistojen avaamisen ollessa
vasta alkuvaiheissa, ei ole vielä tiedossa rajaa sille, kuinka paljon ja minkälaisia tietoaineistoja
tulevaisuudessa muodostuu ja julkaistaan. Vaikka vain osa tietoaineistoista julkaistaisiin tai olisi
kaupankäynnin kohteena, on tietoaineistojen olemassaolo sinänsä jo kansalaisten
yksityisyydensuojaa koskeva kysymys. Tähän kysymykseen tarttuu erityisesti my data -ajattelu,
jonka mukaan yksilöillä tulisi olla hallintaoikeus heitä koskevaan tietoon riippumatta sen
keräämisen syystä tai tiedon käyttötarkoituksesta. Erityisen tärkeitä ovat tietoaineistojen
säilytyksen tietoturvanäkökulmat ja väärinkäytön estäminen. Yksityisyydensuoja ei rajoitu
ainoastaan julkisiin aineistoihin, vaan myös yksityisten toimijoiden tietoaineistoihin.
Kansainvälisesti kuuluisimmat yksityisyydensuojan rikkomiseen johtaneet tiedonjulkistukset
(aiheesta yleisesti esim. Ohm 2009, 117–123) ovatkin olleet yksityisten yritysten tekemiä.
Tietoaineistojen anonymiteetti ja yksityisyydensuoja ovat minimiehto mille tahansa big data henkisten tietoaineistojen jakamiselle. Viime vuosina onkin nähty voimistuvaa keskustelua
ylipäänsä kansalaisia koskevista tietoaineistoista sekä niiden myymisestä ja julkistamisesta.
3 Tietoaineistojen anonymisointi
Tietojen suoran salaamisen tai poistamisen lisäksi tunnetaan useita erilaisia keinoja muokata
tietoaineistoja anonymiteetin turvaamiseksi. Anonymisoinnin tarkoituksena on muuttaa
tietoaineistoja siten, että yksittäisten henkilöiden tunnistaminen vaikeutuu, mutta tilastollinen
analyysi on edelleen mahdollista. Käytännössä tämä tarkoittaa joko eksplisiittisten tunnistetietojen
poistamista, korvaamista yleistasoisemmilla muuttujilla tai tietoaineistojen muuttamista tai
korvaamista. (Fung ym. 2010) Julkisen sektorin avatessa tietoaineistoja tämä tapahtuu aina jollakin
tavalla anonymisoituna
Erilaiset anonymiteetin murtamista tavoittelevat hyökkäykset pyrkivät tekemään päätelmiä
aineistoista ja yhdistämään tietoja yksittäisiin henkilöihin. Fung ym. (2010; ks. myös Abou-el-ela,
Nermin & Hesham 2013, 103) ovat jaotelleet hyökkäykset sen mukaan millaisia henkilön ja
aineiston välisiä yhteyksiä hyökkäys tuottaa. Näitä ovat tietueyhteys (yksittäiset tiedot voidaan
yhdistää yksittäiseen henkilöön), ominaisuuksien yhteys (yksittäinen henkilö voidaan yhdistää
tietyn ryhmän jäseneksi), taulukkoyhteys (yksittäinen henkilö voidaan tunnistaa osaksi tiettyä
taulukkoa tai aineistoa) ja todennäköisyyshyökkäys (todennäköisyyksiä yksittäisen henkilön
ominaisuuksista voidaan tarkentaa etukäteistiedosta). Koska erilaisten hyökkäystapojen päämäärä
3
ja niiden avulla saavutetun tiedon taso on erilainen, eivät yksittäiset anonymisointimenetelmät
pysty suojaamaan kaikilta hyökkäystavoilta. Hyökkäys- ja yhteysmuotojen aste-erot myös
korostavat, ettei anonymiteettiä voida yksiselitteisesti todeta olevan tai sen puuttuvan. Ohm
(2010, 1701) on väittänyt tietoaineistojen olevan ”joko käyttökelpoisia tai täydellisen anonyymeja,
muttei koskaan kumpaakin”. Jonkinasteisia tietoja ja ominaisuuksia on mahdollista päätellä lähes
mistä tahansa tietoaineistosta. Hyväksyttävän anonymiteetin määrittäminen onkin normatiivinen
valinta ja henkilötietolain tulkintaa. Vaikka yksittäistä henkilöä ei voitaisikaan tunnistaa, mutta
hyökkäys johtaa ominaisuusyhteyden tai taulukkoyhteyden tunnistamiseen, voidaan tätä käyttää
henkilöiden luokitteluun sekä hyvän- että pahantahtoisessa mielessä ja tällä tavalla rikkoa
yksityisyydensuojaa (Dwork & Mulligan 2013).
Tunnetuimpia määritelmiä anonymiteetille ja sen turvaamiselle on k-anonymiteetti, josta on
olemassa useita eri variantteja. Menetelmän tarkoituksena on muokata tietoaineistoa joko
yleistämällä tai poistamalla tietoja siten, että k-1 muuta tietuetta kuuluu samaan luokkaan eikä
yksittäinen henkilö kuulu yksin mihinkään ryhmään. (esim. Fung ym. 2010) Tyypillinen esimerkki
on iän ryhmitteleminen ikäryhmiksi tai tarkan asuinpaikan korvaaminen laajemmalla asuinalueella.
Tietojen rajoittaminen tarkoittaa yksiselitteisesti jonkin muuttujan poistamista. K-anonymiteetin
taso riippuu siitä, kuinka suuren ryhmän osaksi havainnot ovat ryhmitelty, mikä puolestaan
vaikuttaa aineiston hyödynnettävyyteen (Aggarwal 2005). K-anonymiteetti suojaa lähinnä tietueen
ja henkilön suoralta yhdistämiseltä, mutta on edelleen altis muille hyökkäyksille ja alhaiset kanonymiteetin tasot ovat mahdollista murtaa erityisesti runsaasti muuttujia sisältävissä aineistossa
tai jos hyökkääjällä on ennakkotietoja kohteestaan (Aggarwal 2005; Abou-el-ela, Nermin &
Hesham 2013). K-anonymisointia, joka on enemmän periaate kuin varsinainen
anonymisointimenetelmä, on täydennetty useilla erilaisilla malleilla (ks. Fung ym. 2010), jotka
vaikeuttavat tietojen yhdistämistä ja yksittäisiä henkilöitä koskevien päätelmien tekemistä.
Vahvemmat anonymisointimenetelmät kuitenkin usein johtavat aineiston informaatioarvon
radikaaliin laskuun.
Yksittäisen tietoaineiston muuntelun lisäksi anonymiteettia voidaan lisätä muodostamalla
alkuperäisestä aineistosta uusia muunneltuja aineistoja. Arkaluontoiset tiedot ja kvasitunnisteet
voidaan eriyttää omiin taulukkoihinsa, joiden välisenä siltana ovat määrätyt ryhmätunnisteet,
mutta yksittäisiä muuttujasarjoja ei voida enää suoraan yhdistää kvasitunnisteisiin. Taulukkojen
sisällä on edelleen mahdollista käyttää muitakin menetelmiä. Eriyttämisen lisäksi alkuperäisen
aineiston arvoja voidaan muokata ja vaihtaa siten, että aineiston suora yhteys todellisiin
henkilöihin hämärtyy, mutta osa tilastollisista ominaisuuksista säilytetään. Tämä voi tarkoittaa
alkuperäisten tietojen korvaamista häiriötiedoilla tai kokonaan uusien synteettisten tietueiden
lisäämistä. Alkuperäinen aineisto voidaan myös kokonaan korvata uudella alkuperäisen aineiston
ominaisuuksia vastaavalla synteettisellä aineistolla. Vaikka nämä menetelmät merkittävästi
vahvistavat anonymiteettiä, on niiden ongelmana suorat vaikutukset aineiston käytön
monipuolisuuteen. (Hussien ym. 2013, 102; Fung ym. 2010, 19–21)
4
4 Anonymiteetin murtaminen big data -aikakaudella
Useimmat salausmenetelmät ovat haavoittuvaisia kehittyneemmille algoritmipohjaisille
hyökkäyksille. Vaikka hyökkäys ei johtaisikaan henkilön ja häntä koskevan tiedon suoraan
yhdistettävyyteen, voidaan niiden avulla tuottaa alempiasteisia yhteyksiä (ks. s. 3). Hyökkäysten
menestymismahdollisuuksien lähtökohtana pidetään yleensä tarvetta tietää jotain yksittäisiä
tietoja hyökkäyksen kohteesta, ja hyökkäyksen oletetaan kohdistuvan yksittäiseen aineistoon.
Anonymiteetin murtamisen mahdollisuudet kasvavat, mikäli hyökkääjän käytössä on useampia
aineistoja, joihin tietyn henkilön tiedetään kuuluvan. Tämä voi tarkoittaa joko uutta versiota
samasta aineistosta, tai täysin toista aineistoa, jonka tiedoissa on limittäisyyttä toisen aineiston
kanssa. Erityisen ongelmallisina on nähty hajautuneet ja moniulotteiset aineistot, joissa yksittäisiä
muuttujia on todella paljon, yksittäisten henkilöiden tiedot eroavat toisistaan todella paljon, tai
useat muuttujat ovat suoraan yhteydessä toisiinsa. Tämän kaltaisia aineistoja ovat esimerkiksi
paikkatiedot ja liikkumista kuvaavat aineistot tai taloudellisia transaktioita kuvaavat aineistot.
(Fung ym. 2010) Näissä aineistoissa kvasitunnisteen määritelmä on erityisen häilyvä, koska mitä
tahansa tiedon osaa voidaan käyttää hyväksi tunnistamisessa ja yksittäisetkin ennakkotiedot
auttavat anonymiteetin murtamiseen huomattavasti (Narayanan & Shmatikov 2008). Tutkimus
tunteekin esimerkkejä paikkatietoaineistojen (Gambs ym. 2014) ja sosiaalisen median verkostojen
(Narayanan & Shmatikov 2009) anonymiteetin purkamisesta
Viimeiseksi esitetyt näkökulmat ovat erityisen ongelmallisia viimeaikaisen yhteiskunnallisen
kehityksen valossa: mikäli yhä useampia ja laajempia tietoaineistoja avataan julkiseen tai nykyistä
laajempaan käyttöön, kasvaa myös mahdollisten anonymiteetin murtojen riski. Ongelma ei koske
ainoastaan julkishallinnon aineistoja vaan myös yksityisten yritysten omistamia, myymiä ja jakamia
aineistoja. Mikäli yksityisellä toimijalla on liiketoimintansa kautta tietoaineisto palvelunsa
asiakkaista tai käyttäjistä, voidaan sitä käyttää hyväksi muiden aineistojen anonymiteetin
murtamisessa.
Ennen kaikkea yksittäisen tietomurron avulla saatuja aineistoja voidaan käyttää hyväksi minkä
tahansa muun aineiston anonymiteetin murtamisessa. Anonymiteetin rapautuminen ei tapahdu
lineaarisesti, vaan lisätietojen hankkiminen muista aineistoista on sitä helpompaa mitä enemmän
yksittäisestä henkilöstä tiedetään (Ohm 2010, 1705). Laajojen, tarkkojen ja avointen
tietoaineistojen olemassaolo on nykyaikaisten algoritmipohjaisten ja aineistoja vertailevien
menetelmien valossa aina kompromissi anonymiteetin kanssa. Vastaavasti korkeamman
anonymiteetin takaavat menetelmät heikentävät tiedon käytettävyyttä ja sovellettavuutta, jolloin
aineistojen jakamisen tavoitteet vuorostaan kärsivät. Big data ja avoin data ilmiöinä ja
ajattelutapoina ovat periaatteellisessa ristiriidassa yksityisyydensuojan kanssa, kun näiden
suhdetta tarkastellaan matemaattisten analyysimenetelmien kehityksen valossa.
5 Tietoaineistojen hallinta ja omistajuus
Tietoaineistojen anonymiteetin ja yksityisyydensuojan vuoksi on yhä tärkeämpää pohtia kuka
tietoaineistoja hallinnoi ja kuka aineistoja saa käyttää. Avatessaan tietoaineistojaan julkinen
hallinto tulkitsee sillä itsellään olevan oikeus päättää tietojen julkistamisesta, kunhan
5
lainsäädännön määrittämä yksityisyydensuojan taso säilyy. Yksityisten yritysten keräämissä
tietoaineistoissa on yleistä, että käyttääkseen palvelua tai ohjelmistoa yksilöt sallivat
kaupankäynnin heitä koskevalla tiedolla. Yrityksen on noudatettava vallitsevaa yksityisyydensuojan
lainsäädäntöä,
jossa
voi
olla
suuriakin
maakohtaisia
eroja.
Lainsäädännön
anonymiteettimääritelmät, joille tietoaineistojen avaaminen ja kaupankäynti perustuvat, eivät
aiemmissa luvuissa perustelluista syistä kuitenkaan ole enää täysin päteviä, jolloin kaupankäynnin
kohteena olevat tietoaineistot ovat aina potentiaalisia tunnistamiseen johtavia tietoja. Tällöin
kaupankäynnin ja julkistamisen laillisuus ei ole täysin yksiselitteistä, joskaan se ei laitontakaan.
My data -ajattelun korostama yksilöiden oikeus heitä koskevien tietoaineistojen hallintaan
muuttaisi tätä asetelmaa. Sen sijaan, että tietojen käytön määrittelyvalta ja lainsäädännön tulkinta
olisi julkishallinnolla tai yrityksellä, my data -ajattelussa päätöksen datan avoimuudesta ja käytön
sallimisesta tekisi kansalainen itse. Ajattelutavan periaatteiden käytännön toteutuminen on
teknisesti vaikea kysymys, mutta my data -ajattelun periaatteet tulevat olemaan sitä
ajankohtaisempia mitä pidemmälle big data -ilmiönä etenee. Länsimaisen yksilökäsityksen ja
yksilöiden nauttimien perusoikeuksien näkökulmasta on kestämätöntä, mikäli yksittäisiä
kansalaisia koskevat tietoaineistot ovat julkisia ja kollektiivista omaisuutta, tai henkilötiedot
rajoittamattoman kaupan kohteita. Tietoaineistojen ja anonymiteetin muuttunut luonne
pakottavat pohtimaan myös tiedon omistajuutta ja hallintaa, mikäli yksityisyydensuojasta ja
yksilöiden oikeuksista halutaan pitää kiinni. Digitaalisten palveluiden globaalin ja paikkaan
sitomattoman luonteen vuoksi aihepiirin regulaatio on kuitenkin vaikeaa. Oikeudellisesta ja
moraalisesta näkökulmasta voisikin olla perustellumpaa puhua kansainvälisistä digitaalisista
perusoikeuksista. Tulevaisuudessa on tarpeellista miettiä yksilöä itseään koskevan tiedon
perusoikeusnäkökulmia, jotta teknologisen kehityksen myötä tapahtuvat yhteiskunnalliset
muutokset eivät muodostu ihmisoikeuksia uhkaavaksi tekijäksi.
6 Asiantuntijoiden näkemyksiä
Selvityksen yhteydessä tiedusteltiin suomalaisilta tietojenkäsittelytieteen oppilaitoksilta
näkemyksiä anonymisointiin ja sen murtamiseen. Vastauksia saatiin kuusi kappaletta ja
tiedustellut kysymykset ovat esitetty liitteessä 1.
Kyselyn perusteella Suomessa on alan tutkimusta ja Suomessa työskentelee kryptologiaan
erikoistuneita tutkijoita, mutta heidän määränsä ei ole kovin suuri. Joissakin yliopistoissa
järjestetään myös alan kursseja. Erilaisia anonymisointimenetelmiä tunnetaan runsaasti.
Kehittyneimpinä menetelminä pidettiin homomorfisia salaustapoja, joiden avulla voidaan
katkaista yhteys aineiston ja todellisten ihmisten välillä, mutta säilyttää aineiston tilastolliset
ominaisuudet. Samoin mainittiin mm. hashbytes-salaus, funktionaalinen salaus ja differentiaalinen
tietosuoja lupaavina menetelminä. Uusimpien salausmenetelmien ongelmana on niiden raskaus.
Menetelmät takaavat korkean anonymiteetin, mutta niiden soveltaminen ei ole yksinkertaista ja
voi johtaa jonkinasteiseen aineiston hyödynnettävyyden laskuun.
Kyselyyn vastanneet esittivät erilaisia arvioita siitä, kuinka helppoa alan perusteet hallitsevalle
henkilölle on tehdä onnistuneita anonymiteetin murtamishyökkäyksiä. Ensisijaisesti tämä riippuu
6
käytetyistä salausmenetelmistä ja anonymisointitasosta. Yksinkertaisilla menetelmillä
anonymisoiduissa aineistoissa hyökkäykset ovat sitä helpompia, mitä enemmän aineiston
henkilöistä on olemassa ennakkotietoja. Internetissä on löydettävissä tutkimusta, ohjeita ja
välineitä hyökkäysten tekemiseen, minkä vuoksi onnistuminen voi riippua pitkälti hyökkääjän
mielenkiinnosta nähdä vaivaa menetelmien opettelemiseen.
Osa kyselyyn vastanneista arvioi alan ammattilaisen tai jatko-opiskelijan helposti murtamaan
salaamattoman aineiston tietosuojan. Edellytyksenä pidettiin kuitenkin erikoistumista, eikä kuka
tahansa pysty tekemään onnistuneita hyökkäyksiä. Yksi vastaaja piti myös onnistumista
epätodennäköisenä ilman erityiskoulutusta. Toisaalta joissakin tapauksissa puhtaalla päättelytyöllä
ja ennakkotietojen soveltamisella voidaan tunnistaa suurista aineistoista yksittäisiä henkilöitä tai
heidän ominaisuuksiaan. Osa uusista salausmenetelmät on kuitenkin tässä suhteessa selvästi
aiempaa turvallisempia, koska niissä yhteydet tietueiden ja oikeiden henkilöiden välillä ovat
osittain tai täysin katkaistuja.
Hyökkäyksiin tarvittavan osaamisen arvioiden perusteella ainoa järkevä lähestymistapa
murtamispotentiaaliin on murtamiskykyisten ihmisten olemassaolon hyväksyminen. Kyse ei enää
ole siitä, onko heikosti salatun aineiston murtaminen mahdollista, vaan kuinka monet siihen
pystyvät ja kuinka monilla alan osaajilla on halu murtaa aineistoja. Riski tietomurroille on
ensisijaisesti riippuvaista käytetyistä salausmenetelmistä. Heikosti anonymisoidun aineiston
murtaminen ei ole tietojenkäsittelytieteen ammattilaiselle erityisen vaikeaa ja on ennen kaikkea
riippuvainen yksilön halusta nähdä työtä murtamisen eteen. Yhdessä vastauksessa esitettiin
hyväksi lähtökohdaksi ajatusta, että kaikki salaukset ja anonymisoinnit ovat mahdollista murtaa,
eikä internetissä tulisi julkistaa sellaisia aineistoja, joita ei haluta murrettavan.
Asiantuntijoiden mukaan suurten tietoaineistojen avaamisessa tarvitaan tutkimuksen, tiedon
soveltajien ja asiantuntijoiden vuoropuhelua. Useat vastaajat esittivät parhaiden käytänteiden
vertailua ja vaihtamista. Yhtenä mahdollisuutena esitettiin yhteisen JHS-suosituksen tekemistä
tietoaineistojen julkaisun ja anonymisoinnin käytänteille. Aineistojen anonymiteetin murtamiseen
liittyvät riskit tulee ottaa vakavasti ja anonymiteetin vaalimiselle tulee antaa huomiota. Sen
turvaaminen vaatii myös erityistoimenpiteitä ja erityisasiantuntemusta.
7 Johtopäätökset
Tietoaineistojen anonymiteetti ja yksityisyydensuoja ovat viimeaikaisen kehityksen myötä
murroksessa. Big data, tietoaineistojen avaaminen ja kehittyneet anonymiteetin
murtamismenetelmät luovat ongelmia kansalaisten tietosuojalle ja anonymiteetille.
Anonymiteetin takaamiseksi ei enää ole riittävää salata ainoastaan suoria henkilötietoja. Sen sijaan
mitä tahansa tietoa voidaan käyttää hyväksi anonymiteetin murtamisessa, jolloin
tunnistettavuuden määritelmä muuttuu. Tietoaineistojen avaaminen ja yritysten käytössä olevat
tietoaineistot epäsuorasti heikentävät kansalaisten anonymiteettia. Lainsäädännön näkökulmasta
on välttämätöntä pohtia nykyisen henkilötietolain sisältöä ja tulkintaa suhteessa tietoaineistojen
avaamiseen. Tiukasti tulkittuna kaikki kansalaisia koskeva tieto voi johtaa henkilöiden
7
tunnistamiseen. Ohmin (2009, 1741) mukaan EU:n tietosuojadirektiivin mukainen ymmärrys
anonymiteetista ei siten voi olla kestävä, koska mitään tietoa ei voida rajata sen ulkopuolelle.
Riippumatta anonymiteetin ja henkilötietojen oikeudellisista määritelmistä julkisella sektorilla on
erityinen tarve pohtia avattavien tietoaineistojen sisältöä ja salausmuotoa. Uusista anonymiteetin
purkamismenetelmistä johtuen kaikki ristiriidat eivät ole selätettävissä. Varsinkin anonymiteetin
rapautumisen kumulatiivisuus on ongelma: yksittäinen tietomurto tai anonymiteetin murtuminen
tarjoaa avaimet muiden aineistojen anonymiteetin murtamiseen, mikäli aineistoissa on
päällekkäisyyttä. Big datan ja avoimen datan aikakaudella kansalaisten anonymiteetti ei enää
vastaa aiempia käsityksiä ehdottomasta tunnistamattomuudesta, minkä vuoksi joko
yksityisyydensuojan lainsäädännön määritelmiä, yksityisyydensuojan moraalisia periaatteita tai
tietoaineistojen avaamista on tarkasteltava kriittisesti. Vähintäänkin julkisen hallinnon on
annettava nykyistä suurempaa huomiota aineistojen anonymisoinnille. Anonymiteetti ja
tunnistaminen eivät 2010-luvulla ole joko - tai -kysymys, vaan näiden välinen ero määrittyy
liukuvasti. Aineistoja julkaistessa tulisi aina arvioida tarvittavaa suojausta ja tietomurron riskiä.
Viime kädessä tulisi miettiä ylipäänsä millaista tietoa halutaan julkisesti jakaa ja onko järkevää
julkaista sellaisia aineistoja, joiden anonymiteetin murtaminen on aineistoon kuuluville henkilöille
tai tahoille vahingollista.
Selvityksen perusteella anonymiteettikysymykset tulee ottaa aiempaa laajemmin huomioon
pohdittaessa julkisten tietoaineistojen avaamista. Suomessa on aihepiirin asiantuntemusta, jota
tulisi hyödyntää. Aihepiirin tutkimus ja asiantuntijoiden näkemykset puoltavat vahvasti
jonkinlaisen yhteistyön aloittamista aihepiirin tutkimuksen, aineistojen julkaisijoiden ja aineistojen
käyttäjien välillä. Yhteistyön tuloksena tulisi muodostaa näkemys siitä, missä kulkevat rajat
julkaistavien ja julkaisemisen ulkopuolelle jätettävien aineistojen välillä, sekä millaiset vaatimukset
erilaisilla aineistoilla on anonymisointi- ja salausmenetelmien tasolle.
Yhteisesti käytyä keskustelua voidaan käyttää myös lähtökohtina aihepiirin lainsäädäntöön
kohdistuvia paineita pohdittaessa. Paineet lainsäädännölle ovat lähtöisin teknologian kehityksestä,
eikä lainsäädäntöä sen vuoksi ole mahdollista arvioida ilman tutkimuksen ja asiantuntijoiden
tietotaitoa.
8
Lähteet
Abou-el-ela, A. H., Nermin, H. & Hesham, A. H. 2013. Attacks on Anonymization-Based PrivacyPreserving: A Survey for Data Mining and Data Publishing. Journal of Information Security, Vol. 4:
2, s. 101–112.
Aggarwal, C. C. 2005. On k-anonymity and the Curse of Dimensionality. Proceedings of the 31st
VLDB Conference, s. 901–909.
Dwork, C. & Mulligan, D. K. 2013. It’s Not Privacy, and It’s Not Fair. Stanford Law Review Online,
Vol. 66, 35–60.
Euroopan parlamentin ja neuvoston direktiivi 95/46/EY yksilöiden suojelusta henkilötietojen
käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta.
Fung, B. C. M., Wang, K., Chen, R. & Philip, S. Y. 2010. Privacy-Preserving Data Publishing: A Survey
of Recent Developments. ACM Computing Surveys, Vol. 42: 4, artikkeli 14, s. 1–53
Gambs, S., Killijian, M-O. & Núñez del Prado Cortez, M. 2014. De-Anonymization attack on
geolocated data. Journal of Computer and System Sciences, Vol. 80, s. 1597–1614.
Henkilötietolaki. 523/1999.
Liikenne- ja viestintäministeriö. 2013. Big Data Suomessa – Keskustelualoite. Liikenne- ja
viestintäministeriön julkaisuja 25/2013.
Poikkola, A., Kuikkaniemi, K & Kuittinen, O. 2014. My Data – johdatus ihmiskeskeisiin
henkilötiedon hyödyntämiseen. Liikenne- ja viestintäministeriön julkaisuja.
Narayanan, A. & Shmatikov, V. 2008. Robust De-anonymization of Large Sparse Datasets.
Proceedings of the 2008 IEEE Symposium on Security and Privacy, s. 111–125.
Narayanan, A. & Shmatikov, V. 2009. De-anonymizing Social Networks. 30th IEEE Symposium on
Security and Privacy, s. 173–187.
Narayanan, A. & Shmatikov, V. 2010. Myths and Fallacies of “Personally Identifiable Information”.
Communications of the ACM, Vol 53: 6, s. 24–26.
Ohm, P. 2009. Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization.
UCLA Law Review, Vol 57, s. 1701–1777.
Valtioneuvosto. 2011. Valtioneuvoston periaatepäätös julkisen sektorin digitaalisten
tietoaineistojen saatavuuden parantamisesta ja uudelleenkäytön edistämisestä 3.3.2011.
Liite 1 – Tiedustelukysymykset
1. Onko organisaationne käytössä big data -tietoaineistojen anonymisointiin, sen
murtamiseen tai näiden menetelmien kehittämiseen liittyvää osaamista tai menetelmiä?
Mikäli on, mitkä menetelmät näette tärkeimpinä ja kehittyneimpinä?
9
2. Kuinka suurena näette mahdollisuuden, että matemaattisen analyysin tai
tietojenkäsittelytieteen perusteet hallitsevalla henkilöllä (esimerkiksi alaa opiskelleella) on
kyky tehdä onnistuneita anonymiteetin murtoja big data -aineistoista?
3. Millaisia suosituksia antaisitte julkishallinnon tietoaineistojen avaamisen anonymisoinnille
sekä alan osaamisen kehittämiselle Suomessa?
10