Radiotaajuustunnistusteknologiaan (RFID) liittyvät tietosuojaongelmat

Abstract

Tutkielmani käsittelee radiotaajuustunnistusteknologiaan liittyviä tietosuojaongelmia. RFID (Radio Frequency Identification) eli radiotaajuinen etätunnistus on menetelmä tiedon etälukuun käyttäen RFID-tunnisteita. RFID-teknologia tarjoaa lukuisia hyödyntämismahdollisuuksia liike-elämälle, yksityisille ihmisille ja julkisille palveluille. Kuten moniin muihinkin uusiin teknologioihin, myös RFID-teknologiaan, liittyy tiettyjä haittapuolia. Näistä haittapuolista ovat vahvimmin nousseet esiin tekniikkaan liittyvät yksityisyyden suoja- ja tietosuojakysymykset. Tutkimustehtävänäni oli selvittää, millaisia mahdollisia tietosuojaongelmia RFID-teknologian sovelluksiin sisältyy ja miten näiden ongelmien aktualisoituminen voidaan välttää. Lisäksi pyrin selvittämään, miten Euroopan unionin ja Suomen lainsäädäntöjä tulee soveltaa RFID-sovelluksiin.

Myös Euroopan unionissa on havahduttu kyseisiin haittapuoliin. Henkilötietodirektiivin (95/46/EC) artiklan 29 nojalla perustettu tietosuojatyöryhmä julkaisi keväällä 2005 työasiakirjan koskien RFID-tunnistukseen liittyviä tietosuojakysymyksiä. Työasiakirjassa mainitaan, että RFID-tekniikan potentiaalisia väärinkäyttäjiä ovat mm. yritykset ja valtiot. Tietosuojatyöryhmän mukaan RFID-teknologian herättämiä yksityisyyteen liittyviä kysymyksiä ovat esimerkiksi mahdollisuus kerätä salaa erilaisia tietoja yksityishenkilöistä, mahdollisuus seurata ihmisiä heidän liikkuessaan julkisilla paikoilla, mahdollisuus lukea tietoja asiakkaiden kantamista vaatteista, varusteista ja esimerkiksi lääkkeistä sekä kauppojen tarkennetut ostajaprofiilit. Tietosuojatyöryhmä asetti työasiakirjansa julkisesti kommentoitavaksi.

Tutkielmassa edetään radiotaajuustunnistuksen tekniikan sekä yksityisyyden suojan ja henkilötietojen suojan yleiskuvausten kautta radiotaajuustunnistukseen liittyviin erityisiin yksityisyydensuoja- ja tietosuojakysymyksiin. Näitä kysymyksiä lähestytään tietosuojatyöryhmän keväällä 2005 julkaiseman työasiakirjan ja siihen saatujen lausuntojen valossa. Tietosuojatyöryhmä ja monet lausunnonantajat olivat erimielisiä siitä, milloin RFID-järjestelmissä käsitellään henkilötietoja henkilötietodirektiivin valossa. Lisäksi erimielisyyttä aiheutti henkilötieto-käsitteen määrittely. Alan toimijat kritisoivat lisäksi tietosuojatyöryhmän luomia skenaarioita, joiden toteutuminen ei ainakaan vielä ole heidän mielestään teknisesti mahdollista.

Tutkielmassani päädyin siihen, että alan ollessa vielä erittäin nopeassa kehitysvaiheessa, on tärkeämpää antaa ohjeita alan toimijoille nykyisen tietosuojalainsäädännön soveltamisesta RFID-tekniikkaan kuin antaa vielä tässä vaiheessa erillislainsääntöä. Katson, että tietosuojatyöryhmän tulee kuitenkin seurata alan kehitystä aktiivisesti, antaa lisäohjeistusta sekä olla valmiina tarvittaessa käyttämään järeämpiä keinoja unionin kansalaisten yksityisyyden suojan takaamiseksi.