Kuidas reguleerida avatud ühiskonnas privaatsust, kes ja kui palju peaks vastutama ning milline võiks olla kollektiivne õiglustunne infoühiskonnas – need on vaid mõned teemad paljudest, mis Eesti küberturvalisuse juhiga jutuks tulid.

Suundusime koos fotograaf Alana Proosaga ilusal augustipäeva hommikul superministeeriumisse, kus meil õnnestus pääseda ime läbi audientsile riikliku küberturvalisuse osakonna juhi Liisa Pasti juurde, kes oli meile 90-minutise ajaakna eraldanud. Klaasist serverit meenutava hoone fuajeest viis lift meid üles puhkekoridori, kus oli eelmiste põlvkondade Apple’i arvutite väljapanek – tundsin isegi vana läpakamudeli ära, mis teenis mind truult juba enne Facebookide ja Instagramide tulekut. Tutvusin Liisaga möödunud aastal küberturvalisust käsitleval kursusel ja kui toimetusega kevadel privaatsusteemalist numbrit planeerima hakkasime, oli kohe selge, et pean tema jutule saama. Küberturvalisus ja privaatsus käivad sama sammu – kui esimene lonkab, lonkab ka teine ja vastupidi. Kui meie intervjuu läbi sai, ütles fotograaf Alana, et nii sisukas vestlus oli, mille peale Liisa Past kommenteeris, et nii on, kui nohikud kokku saavad. Loodan, et järgnev intervjuu pakub siiski rohkemat kui nohiklikku heietust küberilma hetkeseisust, ohtudest ja võimalustest ning annab ehk suurema pildi digitegelikkuse telgitagustest.

Kui räägime privaatsusest, turvalisusest, andmetest ja internetist laiemalt, siis kas sina oled turvalise ja avatud interneti tuleviku suhtes pigem optimistlik või pessimistlik?

See on kogu maailma hõlmav küsimus. On ju palju utoopiliselt loodetud, et tehnoloogia arenedes muutuvad inimesed automaatselt avatumaks, kaasatumaks, demokraatlikumaks. Seda ei juhtu. Tehnoloogia on oma olemuselt väärtusneutraalne, tehnoloogia ei tee meid ei paremaks ega ka halvemaks. Aga see, kuidas tehnoloogiat kasutatakse, muudab meid väga palju paremaks või halvemaks. Näiteks Tartu Ülikoolis tehtav maailma mõttes erakordne poliitsotsioloogia ja pea kahekümne aasta jagu e-valimiste andmeid näitavad, et e-hääletus ei too hääletajaid juurde. Mugavam digitaalne viis asju teha ei aktiveeri kodanikku või inimest ja tehnoloogia ise meie eest midagi ära ei tee. Ja teame ühtlasi sotsiaalmeedia eksperimentidest, et inimene mängustab väga kergesti enda jaoks seda kõike. Nii on platvormide ehitajatel või tehnoloogia loojatel vastutus mõtestada kohe algusest peale, kuidas inimene neid kasutades käitub.

Seega ei ole ma kindlasti optimist, et elagu interneti areng, mis toob kaasa kohese sisulise ja demokraatliku arutelu ning tagab, et iga platvormi ehitaja austab ka privaatsust. Kui disainid digitaalseid keskkondi ja teenuseid, näiteks inimestele mõtete vahetamiseks, või keskseid digitaalseid teenuseid-andmebaase, siis sul on andmete volitatud või vastutava käitlejana vastutus mõelda läbi nii kasutaja teekond disaini ja mugavuse mõttes kui ka see, millist keskkonda sa talle pakud. Kuidas sa julgustad teda seal käituma? Samamoodi on sinu vastutus selle platvormi, teenuse või andmebaasi hoidja või omanikuna, et privaatsuse ja turvalisusega seonduv oleks algusest peale läbi mõeldud. Privaatsus ja andmete konfidentsiaalsus ei saa olla järelmõte, nende nõuete juba valmis süsteemi lisamine on keerukam ja kulukam kui kohe alustades ja läbivalt selle peale mõtlemine.

Mugavam digitaalne viis asju teha ei aktiveeri kodanikku või inimest ja tehnoloogia ise meie eest midagi ära ei tee.

Kokkuvõttes sõltub tulemus ka sellest, kes maailmas või konkreetses ühiskonnas kõnealuses diskussioonis domineerib. On nii neid tehnooptimiste, kes ei mõtle läbi, kuidas inimene tegelikult käitub, ja lendavad lihtsalt hurraaga peale, kui ka neid, kes kasutavad küüniliselt ära inimeste teadmatust seoses uue tehnoloogia mõjuga nende privaatsusele. Üheksakümnendatel ja varastel nullindatel valitses pikalt maailma avanemise optimism, Fukuyama ajaloo lõpp, kus toimub loomulik evolutsioon liberaalse vaba ühiskonna ja diskussiooni suunas. Siis loodeti ka uuest tehnoloogiast selle evolutsiooni mõjurit. 

Jah, seda, et elektroonilises ruumis tekib suur foorum.

Selline Kreeka agoraa ideaal. Aga tuletagem meelde, et Vana-Kreekas oli ideede turuplatsil ja demokraatias osalemise õigus ikkagi varaomanikest kodanikest meestel. Seda õigust ei olnud orjadel, ei olnud naistel, ei olnud välismaalastel. Ka võrgustunud ühiskonnas, kus me ütleme, et igal inimesel on õigus tema häälele, on kõigi kaasamine väga keeruline. See ei juhtu automaatselt!

Kui vaadata ka ÜROs toimuvat protsessi, rahvusvahelise õiguse tõlgendamist või tehnoloogia kasutamist rahvusvaheliste suhete vahendina, siis eristuvad selgelt riigid, kes sooviksid kas isoleerida või vähemalt ehitada ainult osaliselt välismaaga ühendatud, aga mittevaba interneti, sealhulgas mittevaba kodanikele kättesaadava info mõttes. Hiina ja Venemaa on juba selle näited, isegi rahvusvahelised uudisteportaalid näevad seal täiesti teistsugused välja, kui need üldse on kättesaadavad. Piiratud internet on mittevaba selles mõttes, mida kodanikud näevad, aga mittevaba ka inimeste privaatsuse ja konfidentsiaalsuse mõistes. Kui oled autoritaarne jälgimisühiskond, siis kasutad seda ruumi samamoodi jälgimiseks. Kui oled demokraatlik ühiskond, siis pead sama põhjalikkusega nii avaliku kui ka erasektorina läbi mõtlema, kuidas sinu tehnoloogiakasutus aitab kaasa sinu ideaalidele. Väga lihtne on luua tehnoloogiat funktsiooni või disaini põhjal – tahan, et siin oleks kollane nupp või punane nool.

Tegutseda projekteerijana, kes oskab mingi asja ehitada, kuid ei mõtle sealjuures kaudsetele mõjudele?

Jah, projekteerija, arhitekti, teenuse omanikuna, kui eesmärk on näiteks andmete liikumine ühest kohast teise, nende kasutamine millekski. Aga sa pead algusest peale mõtlema, kuidas tagada konfidentsiaalsus ja privaatsus ehk see, et ainult neil, kellel on selleks õigus, oleks andmetele ligipääs. Laiemalt ka sellele, mida me nimetame küberturvalisuse kolmeks sambaks: konfidentsiaalsuse/privaatsuse kõrval on ka käideldavus ehk süsteem peaks olema kättesaadav sellisel ajal ja viisil, nagu on vajalik, ning kolmandaks on terviklus ehk andmeid saab usaldada ja neid ei ole autoriseerimata muudetud.

Samas nõuab see ressurssi. Sajaprotsendilise käideldavuse tagamine on lihtsalt väga kallis, 99 protsendile 0,9 lisamine on kallis. Aga elutähtsate teenuste puhul tähendab see, kui käideldavus on 99,9%, et teenus võib kaheksa tundi aastas maas olla, mis on näiteks päästeameti puhul drastiliselt palju. Mis puutub terviklusse, siis massilisi terviklusründeid me näinud ei ole ja me tegelikult ei tea, mida see tähendaks. Oleme näinud andmelekkeid, mis puudutab konfidentsiaalsust, oleme näinud teenusetõkestusrünnakuid, mis puudutab käideldavust, aga mitte suurt terviklusrünnet reaalses elus.

Ehk seda, kui andmed korrumpeeruvad?

Jah, kui näiteks meditsiiniandmed ei ole usaldusväärsed. Käideldavus on see, et su arst saab su andmeid vaadata, kirjutab sulle digiretsepti ja sina saad apteegist rohu. Konfidentsiaalsus on see, et ainult volitatud inimesed pääsevad nendele andmetele ligi. Aga kui ühel hetkel peaks juhtuma terviklusrünne, siis enam ei ole teada – alates veregrupist ja lõpetades määratud raviga –, kas andmed on õiged või on neid kuidagi tagaselja muudetud. Me oleme harjunud avalikus diskussiooniruumis mis– ja disinformation’iga, mis on üks sellise probleemi väljendus. Me ei ole näinud massilisel skaalal keskse andmebaasi tervikluse kadu, millega oleks väga keeruline ühiskonnas hakkama saada, sest kaovad usaldus ja usaldusväärsus.

Ideaalselt konfidentsiaalsust ja terviklust hoidev süsteem on selline, mille tõmbad seinast välja, valad betooni sisse, uputad ookeani põhja ja paned allveelaeva valvama.

Sa rääkisid korra privaatsuse sisseehitamisest disainiprotsessi ehk privacy by design’ist. Kas toetud mingile hinnangule, tundele või faktile, et sellele on hakatud rohkem tähelepanu pöörama?

See on üks koht, kus Euroopa on ülejäänud maailmast ees, sest meil on väga ülemüstifitseeritud andmekaitse üldregulatsioon GDPR, mis suunab privaatsusega tõsiselt tegelema. Samas on privaatsus tasakaal! Ühelt poolt on see tasakaal nende kolme omaduse vahel, millest ma rääkisin. Kas tegemist on süsteemiga, mis on käideldav ja kättesaadav, kui seda on vaja, ning mis tagab ka privaatsuse ja tervikluse. Väga lihtne on teha kahte kolmest. Ideaalselt konfidentsiaalsust ja terviklust hoidev süsteem on selline, mille tõmbad seinast välja, valad betooni sisse, uputad ookeani põhja ja paned allveelaeva valvama. Konfidentsiaalsus sada protsenti, terviklus sada protsenti, mitte keegi ei muuda seal olevaid andmeid, käideldavus aga null. See ei ole kasutaja jaoks optimaalne. (Muigab)

Süsteemide loomise ajal pead oskama vaadata seda tasakaalu just oma protsessi, tegevuse eesmärkide kontekstis. Demokraatlikus ühiskonnas on alati andmetele õigustatud huvi ja ligipääsu küsimus. Kodanikel on õigus privaatsusele ja teisalt peab korrakaitse saama teha oma tööd. Demokraatlikus ühiskonnas on kokkuleppeline tasakaal, et kohtu sanktsiooniga võib näiteks sõnumisaladust rikkuda. Mittedemokraatlikus ühiskonnas rikutakse privaatsust, sest korrakaitse või keegi teine tahtis. Selle tasakaalu jõustamine on reeglina protsessi ja vastavuskontrolli küsimus, mis on tohutult ebaseksikas. Privaatsus on kõige ebaseksikam asi, millega tegeleda, sest lahendus on reeglina protsess ja rutiin, mõnikord ka keeruline matemaatika.

Lisaks sellele on sada muud nüanssi, mis vajavad tähelepanu.

Absoluutselt, tehnilised kontrollid jne. Nende kehtestamine on protsessi küsimus. Kõige mõistlikum on planeerida süsteeme ja andmekogusid ehitades algusest peale sisse privacy by design ja security by design ning vastavad nõuded ja protsessid. Protsess on küll teine ebaseksikaim asi maailmas, aga see on kahjuks ainuke lahendus. Politseil on terve hunnik väga tundlikke andmekogusid, sotsiaalteenistustel on terve hunnik, hariduses on ju info laste ja eestkostjate ning erivajaduste kohta. Äris, kus kehtib võib-olla ärisaladus, võib esineda inimeste privaatseid eriliigilisi isikuandmeid ehk neid, mis puudutavad siis kas tervist, religiooni, sugu, seksuaalsust jne. Nende kõigiga ümberkäimiseks on kindlad protsessid ja korrad ning kõigi nende protsesside ja kordade järgimiseks on omakorda järelevalve ja seire protsessid ja korrad.

Räägime korra GDPRist ja sellest, et see reguleerib seda, mis on inimeste vastutus, mis on ettevõtete vastutus jne. Kas meil on Eestis tegelikult mingit laialdast võimekust ja vajadust kontrollida, kas privaatsuse tagamine ka tegelikult toimub, või usaldame avatud ühiskonna head tahet?

Andme- või infoühiskonnas, kus me elame, ei saa teha totaalset kontrolli, sest kontroll hakkab piirama tegutsemis- ja kommunikatsioonivabadust. See tähendab, et igal juhul on kas intsidendi-, juhuvalimi- või auditipõhine järelevalve. Totalitaarses ühiskonnas vajaks totaalne kontroll sama palju kontrollijaid, kui on suhtlejaid. See ei ole ühiskond, kus oleme valinud elada, ja see on üks asi, millele peab selgelt otsa vaatama. Toiduohutuse või sarnaseid kontrolle tehakse ka süstemaatilise või juhuvalimi alusel. Esmalt peab andmeid kaitsma andmekäitleja enda protsess, eriti kui tegeletakse tundlike isikuandmete või näiteks teadusuuringutega. Näiteks hiljutise Pere Sihtkapitali ja Tartu Ülikooli juhtumi puhul tehti jämedaid vigu protsessi mitmes punktis.

Privaatsus on kõige ebaseksikam asi, millega tegeleda, sest lahendus on reeglina protsess ja rutiin, mõnikord ka keeruline matemaatika.

Kui lüüa lahti kas või Andmekaitse Inspektsiooni koduleht, siis seal on väga selged suunised ja kohustused seoses andmete käitlemisega. Nendest elementaarsetest sammudest on ju teadlikult mööda mindud.

Ja see tuli välja, eks ole! See, et Merilin Pärli ühe päevaga sellise loo kokku pani, on midagi erakordset. Ta tundis selle loo ära! Jällegi, protsessi rikuti ja see on kohutavalt ebaseksikas. Kui ütled, et midagi peab tegema, siis järgmine küsimus ühiskonnas on, et kes vastutab. Need, kes on võimekamad, peavad ka rohkem vastutama.

Kui oled suurettevõte, teadusasutus või riik, siis su võime normaalseid protsesse paika panna, seirata ja ebaregulaarsusi avastada on suurem kui minul kliendi, inimese, kodanikuna. Aga inimese vastutust ei saa ka ära võtta, isegi kui keskkond on ideaalne. Selle loo ja sellele järgnenud diskussiooni valguses arvan, et peame küsima, kas see, kuidas rahvastikuregistri andmed on praegu päritavad, on õige. Kas ühiskonna privaatsussoov on praegu selline, et vaikimisi on võimalik rahvastikuregistrist andmeid küsida ja sina saad selle kinni keerata?

Kas võiks olla vastupidi, et see on kinni ja siis pead lahti tegema?

Jah. Selge arutelukoht on seegi, et kas see, kuidas seal defineeritakse avalikku huvi, mille alusel andmeid jagatakse, on piisav või on ühiskonna soov, et kriteerium oleks rangem näiteks kommertsettevõtete puhul.

See ei võta aga ära sinu vastutust inimesena. Lõpuks peame mina ja sina (juriidiliselt andmesubjektidena) aru saama, et sinu enda privaatsus on sinu vara ja sellel on mitu olulist mõju. Üks on see, et ei tohi rikkuda teise privaatsust, seda eriti avalikus ruumis. Ükskõik kas see on ühe konkreetse inimese privaatsus või süstemaatiline andmete väärkasutus. See ei ole sinu vara, vaid teise inimese põhiõiguste fundamentaalne osa. Mina ei tohi avaldada sinu kohta tundlikke isikuandmeid, isegi kui ma neid tean, sest sellega rikun sinu õigusi, ükskõik kas  olen juriidiline või füüsiline isik. Teiseks, kui ma ise oma tundlikke isikuandmeid avaldan, on see ühesuunaline tänav. Täiskasvanud inimesel on õigus  teha enda puhul igasuguseid valikuid. Ka mina olen teinud aktivistina elus valiku rääkida teemadest, mis on minu jaoks isiklikud ja millest ei ole lihtne rääkida. Olen näiteks rääkinud kaalust ja tervisest, olles enda jaoks väga selgelt läbi mõelnud, et ühiskonnas on hea, kui me räägime kehadest, kaalust ja seotud stigmadest. Samamoodi on neid, kes on rääkinud keerulistest isiklikest kogemustest, sest õudselt keeruline on rääkida muutustest abstraktselt, kui kõne all on näiteks inimõigused ja see, et kellelgi on diskrimineerimise tõttu halb olla.

Kui oled avalikkusele mõeldud süsteemis oma privaatsuse käest andnud, siis selle tagasi võtmine on väga keeruline või  pea võimatu.

Kui privaatsus on vara, siis selle varaga käiakse ümber vastuoluliselt. Ühelt poolt muretseme privaatsuse pärast, aga samas paiskame kõike isiklikku avalikkuse ette, nagu alastipildid või fotod oma väikestest lastest. Privaatsustaju ja sellega ümberkäimine on kahtlemata vastuoluline.

Sul on õigus seda paisata, aga sa pead mõistma, et sellel on oma hind. See saab tegelikult alguse palju väiksematest asjadest kui see, et mis on kord OnlyFansis või avalikus meedias, jääb sinna alatiseks. See algab näiteks tarbijamängudest. Kui oled avalikkusele mõeldud süsteemis oma privaatsuse käest andnud, siis selle tagasi võtmine on väga keeruline või  pea võimatu. Täiskasvanu saab enda eest valikuid teha. Vanem teeb lapse eest parimaid valikuid tema täisealiseks saamiseni – hariduse, meditsiini, kasvukeskkonna ja kõige muu vallas. Privaatsusvalikul on pikaajaline mõju. Delfi otse-eetris sündis üks veebibeebi. Kujuta ette, kui ta näiteks läheb täisealisena kohtingule ja kaaslane on näinud enne teda guugeldades ta maailma saabumist. 

See on juba potentsiaalne näide õigusest olla unustatud, kui näiteks keegi pöördub meediaettevõtte poole ja palub oma nime vanades artiklites anonümiseerida või artiklid eemaldada. Laps võib rakendada täiskasvanuks saades oma õigust saada samuti otsingumootorite päringutes unustatud.

See on tohutu protsess, mis tuleb läbi teha. Selleks võib olla tarvis vaielda, vaja võib olla juriste, et defineerida õigustatud avalik huvi jne. Ka edu korral ei ole õigus olla unustatud absoluutne. Isegi kui saad ennast otsingutulemustest välja ja algse kajastuse maha, on elektrooniline meedia nii derivatiivne, et ajadki eri tõmmiseid taga nagu tuult väljal. Ja on ka loomulikult veebiarhiivid.

Isegi kui sind eemaldatakse veebilehelt, siis näiteks DIGARis säilivad materjalid ikka.

Täpselt! Privaatsuse taastamine on suur töö nagu taastumatu maavara ammutamise järel looduse taastamine. Minu jaoks on privaatsus indiviidi tasandil nagu taastumatu loodusvara. Looduskeskkonna tagasi saamine pärast kaevandamist või vee väljapumpamist on väga pikk tee. Siin ei ole õiget ega valet vastust. See peab olema konkreetse inimese jaoks kaalutletud ja tunnetatud otsus.

Peame rääkima ka usaldusest. Eestis paistab inimeste usaldus seoses sellega, kuidas riik nende andmeid hoiab ja käitleb, üldiselt suur, kuigi digiühiskonna arengukava 2030 ütleb, et see võiks kasvada.

See on tänu kogemusele. Olen sukeldunud oma karjääri jooksul sügavalt valimistehnoloogiasse, sellest ka näited. Üks e-hääletuse usaldusväärsuse alus on see, et meil on ID-kaart. Sellega saad ligipääsu ja see ütleb, et sina oled sina. Meil on rahvastikuregister, mis ütleb, et sa oled olemas. Ja siis on X-tee ehk andmevahetuskiht, mis võimaldab kõigil nendel tuhandetel teenustel omavahel suhelda. Eestis on hästi, sest usaldus tekib tänu kogemusele. Kogemus on tekkinud eri poolte koostöös. Riik tagab turvalise elektroonilise identiteedi ja X-tee seal taga, mille pealt saab pakkuda teenuseid. Kasutajakogemuse ja usalduse kontekstis on ka pangad ja erasektori teenused olnud väga kesksed. Riigi teenuseid tarbib inimene ehk kord kuus, harva rohkem, aga pangaülekandeid teeb palju sagedamini, laste andmeid eKoolist vaatab tihedamini.

Kogemus ühiskonnast mõjutab seda, kuidas sa usaldad ühiskonda, mis mõjutab seda, kuidas sa usaldad digitaalseid teenuseid.

Pangad on muuseas kõige paremad riskijuhid üldse. Nad suudavad riski kvantifitseerida, nad teavad kõige täpsemalt, mis on riski rahaline mõju. Nad tegutsevad ülimalt reguleeritud sektoris, kus on väga ranged protseduurid. ID-kaardiga viiakse panga jaoks majast välja kliendi identiteedi äririsk, eksternaliseeritakse päris oluline asi, mis on sinu jaoks kulu. Meie kui ühiskonna jaoks on see kogemus, et näed, kandsin raha üle, minult läks maha, talle tuli arvele. See tekitab harjumust ja kasvatab usaldust. Viimastel riigikogu valimistel hääletas 51% valijatest elektrooniliselt. Esimesel korral, KOVi valimistel aastal 2005 jäi see number alla ühe protsendi. See on kasvanud aeglaselt, sest usaldus kasvab aeglaselt.

Politoloogid Kristjan Vassil ja Mihkel Solvak koos kolleegidega Tartu Ülikoolist on uurinud väga põhjalikult usaldust, valimistel osalemist. Lihtsustatult võib öelda, et kogemus ühiskonnast mõjutab seda, kuidas sa usaldad ühiskonda, mis mõjutab seda, kuidas sa usaldad digitaalseid teenuseid. Usaldust saab  kogemuse kaudu, aga seda saab ka kaotada usalduse kaotamise kaudu sellesse ühiskonda või protsessi. Ameerika Ühendriikides näeme inimesi, kes tajuvad tugevalt oma tajutud staatuse tajutud kadu. Ja kui sinu kogemus või taju ühiskonnast ütleb, et sa oled oma staatuse kaotanud ja millestki ilma jäänud, siis sa ei usalda seda ühiskonda, siis sa ei usalda tema teenuseid, sa ei usalda valimisprotsessi, avalikku teenust ega ka selle digitaalset väljendust.

Eestiski on ilmajäetuse poliitiline kapitaliseerimine või e-hääletamise torpedeerimine juba täielik peavool, millega püütakse ka kirjeldatud kogemusest tekkinud usaldust lõhkuda.

Minu tõlgendus Mihkel Solvaku ja kolleegide tööst on, et see ei ole mitte meie intellektuaalne taju, vaid reaalne trend. Kui ühelt poolt innovatsiooni puhul usaldus kasvab koos kasutuskogemusega, siis teisalt usaldus kaob võõrandava kogemusega ühiskonnast. Privaatsuse puhul on sama asi – kui tunned, et sina oled oma hoolsuskohustuse täitnud, aga sinu andmetega ei ole käidud ümber hea karjasena või vastavalt sinu privaatsustajule, siis sa võõrandud.

Ma uurisin MKMi kodulehel kättesaadavat privaatsuskaitse tehnoloogia Eestis rakendamise teekaarti, kus olid välja toodud poliitikasoovitused, näiteks elanikkonna teadlikkuse tõstmine privaatsusest ja sellega seonduvast tehnoloogiast. Kas meil peaks olema kodus lisaks kriisisuunistele mingisugune privaatsuse ABC seinale klammerdatud?

Need ei ole üksteist välistavad. Meil on privaatsuse kaitseks hulganisti tehnoloogilisi vahendeid: krüptograafia, nõusolekuteenus ja selle rakendamine, logid ja logikirjete mahajätmine, et saaks seirata ja uurida, kui midagi valesti läheb jne. Aga inimene peab ka ise teadlik olema. Olemas on andmejälgija, kust saad võtta välja, kellel on olnud ligipääs sinu andmetele. Ilmselt on inimesed pärast hiljutist andmeskandaali seda palju kasutanud.

Andmed kui uus kuld, muld või nafta? Hiljutise Pere Sihtkapitali juhtumi valguses hakati rääkima, et rahvastikuregister justkui teenivat inimeste andmete pealt, kuigi tegelikkuses on tegemist pigem tehnilise kuluga. Kas riik võiks andmete pealt teenida?

Uuringuga seotud inimesed rikkusid avalikult teadaoleva põhjal protsessi, toimingupiirangut ja potentsiaalselt kõike, mida sai. Aga see rõhutas ka seda, milline on praegune riigi andmetest päringute tegemise süsteem. Kohe kindlasti on selle valguses õigustatud küsimus, kas opt-in vaikeseadena, mis lubab sinu andmeid uuringuteks jagada, vastab ühiskonna õiglustundele. See on väga tähtis asi, mida me peame küsima, ja need diskussioonid näitavad, et võib-olla ei vasta. Kuidas me defineerime avalikku huvi, mis tasakaalustab privaatsust? Ajakirjandus vastab iga päev küsimusele „eraelu puutumatus versus avalik huvi”. Küsimuse puhul „kes tappis Olof Palme?” on selge, et poliitmõrva avalik huvi kaalub üles ühe pere õiguse privaatselt leinata. Aga keegi ei roni leina sisse, vaid asi on ikkagi tapja leidmises. Mitteavaliku elu tegelase puhul on see küsimus palju konkreetsem. Kas ühe akadeemilise asutuse uuringuhuvi on piisav või peab seal olema mingi lisakontroll? Kas usaldatakse kirjalikku kinnitust, et huvi on seotud teadusega? Kas see, kui ettevõte ütleb, et neil on selline ärihuvi, on piisav või peab seal mingi hinnanguline element sees olema? Praeguse normi kohaselt on see piisav, aga võib-olla ühiskonna õiglustunne on muutunud.

Ma väga tahaksin riigi küberturbe juhina, et inimesed ärkaksid hommikul üles ja muretseksid oma andmete turvalisuse ja käideldavuse pärast. See ei oleks aga praktiline.

Sinu põhivaldkond on küberturvalisus, mis võib sarnaselt privaatsusega n-ö ebaseksikas olla. Küberturvalisus on midagi abstraktset, kuniks tekib tajutav privaatsusriive, mille tulemusel minu isiklikud andmed tõepoolest lähevad kuskile hulkuma. Aga tavaline uudis küberrünnakust paneb õlgu kehitama.

Oleme kolleegidega arutanud, kas küberturvalisus on nagu ilmateade ehk „AK” lõpus peaks olema küberilmateade stiilis „täna on oodata veidi küberudu” või on see pigem rahvatervise informatsioon, et gripihooajal antakse hoiatus, kui midagi toimub või mingi oht on üleval. Mina kipun arvama, et üks info- ja andmeühiskonna omadus on see, et meil on sügav spetsialiseerumine. Mina ei ravi oma hambaid ise, olen päris hoolega valinud endale välja hambaarsti. Kasutan mitut panka, aga ei ole nõudnud nende finants- või tehnoloogiaauditi aruandeid näha. Kodaniku, inimese või kliendina ei saa olla kogu vastutus minu peal. Ma pean tegema teadliku valiku ja seda vastutust ei saa mult ära võtta. 

Ma väga tahaksin riigi küberturbe juhina, et inimesed ärkaksid hommikul üles ja muretseksid oma andmete turvalisuse ja käideldavuse pärast. See ei oleks aga praktiline. Süsteemse riskiga peab tegelema ühiskond. Vastasel juhul on kodanikul vastutus, mille täitmise kompetentsi tal ei saa olla. Sellises maailmas, kus sa ise oma hambaid ravid, ei jõua oma põhitegevusega tegeleda. 

Minu teha on esmased valikud, see, mida ma avaldan, kellele avaldan, milleks loa annan. Kas ma olen teadlik, kas ma olen kindel, kas ma usaldan protsessi, kas ma olen saanud anda allkirja, kas ma näen, et on mõeldud läbi mingid isikuandmete kaitse küsimused? See on juba esimene samm. Aga turvalisuse peab tagama kogu ühiskond. See on privaatsuse ja avaliku huvi tasakaal, käideldavuse-tervikluse-konfidentsiaalsuse tasakaal, eri poolte tasakaal. Ühiskondliku leppe tasakaal.

See läheb privaatsusest ehk pisut eemale, aga kuidas teil küberturbes praegu Ukraina sõja valguses eluke on olnud? Kas on huvitav?

Töötasin sõja alguses siseministeeriumi IT- ja arenduskeskuse infoturbejuhina ja vastutasin koos tiimiga siseturvalisuse infosüsteemide eest ajal, kui kõrgenes küberrünnete oht ja järsku oli vaja päevas operatiivselt paar tuhat pagulast vastu võtta. Selleks et niigi traumeeritud inimesi mitte loksutada, oli väike asi, mida Eesti sai teha, väljastada inimesele kiiresti isikukood. Loomulikult esimestel kuudel keegi väga palju ei maganud. 

Eesti on võrreldes paljude meie liitlastega küberagressiooniga harjunud. Me oleme väga elektrooniline ühiskond, see on olnud nii pragmaatiline kui ka innovatsioonile avatud mõtlemine. Eesti pole olnud varem ega ole ka praegu nii jõukas, et teha sellist ideaalset weberiaanlikku bürokraatiat. Personaalne riik on suuresti elektrooniline. Eesti on saanud kolmkümmend aastat harjutada ja ehitada. 

Eestit tabas mullu kolm suurt teenusetõkestusrünnete lainet. Esiteks küberkaitseõppuse Lock Shields ümber, mille korraldanud NATO küberkaitsekoostöö keskus asub Tallinnas. Teiseks mõni tund pärast seda, kui riigikogu kuulutas Vene Föderatsiooni terroristlikuks režiimiks. Ja kolmandaks Narva tanki liigutamise järel. Nende mõju sellele, kuidas Eesti inimesed said oma digitaalseid asju ajada, ei olnud kuigi suur. Loetud avalikud teenused olid lühikeseks ajaks maas. Lisaks sellele oli selgelt üle Euroopa sarnaseid laineid, et hakkasid kuskilt Hispaaniast-Itaaliast tulema ja siis kolmandaks päevaks olid Eestis – sihtmärkideks olid sisejulgeolek, transport jm sarnased sektorid.

Kui keegi väidab, et nende teenused on sada protsenti turvalised, siis ta on kas kriminaalne, rumal, kriminaalselt rumal või valetab teadlikult.

Tavainimene ei pane seda tähele, ta paneb selle hoolduse arvele.

Kui tegemist on informatiivse veebisaidiga, mitte mingi maksesüsteemi või ligipääsuga avalikule teenusele, ja see on korraks maas, siis sa ei panegi seda tähele. Aga meie tööstuses ei tohi kunagi ülbeks minna. Kui keegi väidab, et nende teenused on sada protsenti turvalised, siis ta on kas kriminaalne, rumal, kriminaalselt rumal või valetab teadlikult. Kui lähed ülbeks, siis muutud hooletuks. Lõpuks ongi meie töö see pidev hoolsus muutuvas maailmas.

Kas Eesti küberkaitse võimekus või siis tehnoloogilised vahendid suudavad pidada sammu digitaalse võidurelvastumisega?

Parimal võimalikul viisil. Igal ründel on mingid äratuntavad omadused. See võib olla mingi kood või selle räsi, see võib olla selle algallikas, IP-vahemik jne. Suure rahvusvahelise teenusepakkuja nähtavus on sageli suurem kui ühe väikese riigi oma. Selliseid automaatseid ründetunnuseid, mille järgi tunda ära pahatahtlik või potentsiaalne ründeliiklus, otsib igal juhul intsidendihalduse osakond ehk CERT-EE. Aga sa jäädki ise neid otsima, sest neid on nii palju ja pead nendes orienteeruma. Kommertslahendusi lisades saab kokku just selle reaalajalähedase suhteliselt suure pildi.

Eesti olulisematele veebiteenustele on rakendatud tugevad kaitsemeetmed, loodud küberreserv tähendab, et on ka teada, kas saab riigisektoris appi tulla, kui asutus omade jõududega intsidendile vastu ei pea.

Privaatsuse puhul on oluline, kas hoiad andmeid serveris oma sahvris või näiteks mõne suure pakkuja pilves. Samuti on ELi ja USA vahel käärid, kuigi mingeid andmepakte on üritatud sõlmida.

ELis ja USAs on andmete kaitsmise seisukohast väga erinev kultuur. USA kultuuri- ja õigusruum on ennekõike skeptiline riigi suhtes ja kogu põhiseaduslik filosoofia on tõsta relvad suverääni vastu. Nende relvakandmisõiguse alus on Inglise kuninga vastu relvadele minek iseseisvussõja ajal. See kultuur kaitseb kodanikku ennekõike riigi eest ja tahab soodustada ettevõtlust, innovatsiooni, riski võtmist. Euroopa on selgelt skeptilisem ettevõtete, eriti suure turumõjuga ettevõtete suhtes ja kaitseb kodanikku seega ettevõtja eest rohkem. Seetõttu olid meil varem privaatsusnormid, on nõuded elutähtsa teenuse osutajatele jne.

Euroopa on selgelt skeptilisem ettevõtete, eriti suure turumõjuga ettevõtete suhtes ja kaitseb kodanikku seega ettevõtja eest rohkem.

Kahe kultuuri vahel on üritatud teha kokkuleppeid. Kui vaadata neid Ameerika kodanikke või Ameerika riiki kaitsvaid seadusi, mis on vastu võetud eriti pärast 11. septembri rünnakut, siis seal on PATRIOT Act, seal on CLOUD Act. Kuid seal on veel mitmeid selliseid Ameerika kodanike andmeid kaitsvaid, aga agentuuridele õigusi andvaid seadusi. See tekitab muu hulgas küsimuse, kui palju saab siis Euroopa kodanike andmeid Ameerikas kaitstult hoida. Andmekaitse üldregulatsiooni vastus on praegu see, et neid tuleb hoida Euroopa pinnal. See on ka põhjus, miks suurtel tehnoloogiahiidudel on Euroopas andmekeskused. Eks neid andmeläbirääkimisi on peetud mitu korda. Ehk tekiks majanduslik mastaabiefekt, kui mingid asjad rohkem üle Atlandi liiguksid, aga praegu eurooplaste andmete jaoks toimivat lahendust ei ole. 

Tuleksin viimase küsimusega tagasi algusesse. Sa ütlesid, et Euroopa on oma privaatsust puudutavate regulatsioonidega teistest ees. Kas „ees” tähendab seda, et teised tulevad järele, või seda, et jääme omapäi?

Kes defineerib selle ruumi, mis on oma olemuselt üleilmne? Privaatsuse vallas on demokraatlike riikide jaoks defineerinud selle ruumi paljuski Euroopa oma andmekaitse üldregulatsiooniga. Tehnilise innovatsiooni vallas on seda defineerinud rohkem USA ja Aasia, suurem osa digiühiskonda üleval hoidvast tehnoloogilisest innovatsioonist toimub USAs ja Aasias. See tähendab ka seda, et tehnilised standardid luuakse paljuski seal, kus toimub innovatsioon. Samas meenutab näiteks USAs revolutsiooniliseks peetav California privaatsusseadus mulle päris palju GDPRi. Samamoodi nagu Ühendriikide äsjane väga uuenduslik küberturvalisuse strateegia meenutab mulle paljuski Euroopa Liidu info- ja võrguturbe direktiivi, mis ütleb, et olulistel teenusepakkujatel on olulised kohustused. 

Tehnoloogiasektorit mõjutavad palju standardid ja sertifitseerimisskeemid, mis sisuliselt annavad kätte turu nõuded. Need tulevad rahvusvahelistelt standardiorganisatsioonidelt, nagu ISO, mis loob ja hoiab protsessi standardeid. Tehnilisi standardeid seab teiste hulgas USA föderaalinstituut NIST. 

Suur osa Euroopa arutelust, mida teeb näiteks küberturvalisuse akt või küberkerksuse akt, adresseeribki seda, kui palju me siis loome iseenda mingit standardit või sertifitseerimisnõudeid ülimalt üleilmses maailmas. Maailmas, kus Euroopa ja USA on laias laastus samameelsed ja mittevabad ühiskonnad üritavad ehitada oma silosid. Alustasime sellest, kuidas Vene Föderatsioon ja Hiina Rahvavabariik rajavad oma kinniseid inforuume. Põhja-Korea on oma piirid täiesti kinni saanud, mis väljendub selles, et viimastel aastatel ei ole sealt praktiliselt tulnud pagulasi isegi Lõuna-Koreasse, rääkimata kaugematest kohtadest. Ja sealne inforuum on seega täiesti kinnine. Kas maailmas, kus on suletud ühiskondi, mis kehtestavad selgelt oma standardi ja üritavad kasutada selleks ka rahvusvahelist õigust ja rahvusvahelisi organisatsioone, otsib Euroopa suurel määral oma teed? Kui palju me otsime Euroopa teed siis krüptograafias või standardites ehk nendes valdkondades, kus USA on meist ees? Me oleme ees privaatsuses, me oleme ees mõne tehnoloogia tootmisel, aga ainult mõne. Kui palju me otsime oma teed versus kui palju me ütleme, et meiega samameelsetel on mingi lahendus, purjetame sellega edasi? Ja see on suuresti praegune diskussioon Euroopas.

See segmenteerumine mõjutab tehnoloogiat, seadmeid ja tarkvara võidakse relvastada. See mõjutab rahvusvahelist suhtlust, teeb näiteks ÜROs kõik privaatsuse, telekommunikatsiooni, küberruumi regulatsioonide diskussioonid väga keeruliseks. Ma väga imetlen oma diplomaatidest kolleege, kes on vaatamata sellele seal laua ääres kohal, et teha oma parim, teades, et laua ääres on ka need, kes sõnavabadust ja privaatsust või laiemalt inimõigusi ei hinda. Nii et ka rahvusvaheliselt räägime siin pika vinnaga tegutsemisest. 

(Sosistades) Väga ebaseksikas. Olete valinud väga olulise ja väga ebaseksika valdkonna!