Järjestelmänkäyttäjien tietojen menetysriski ja laillinen vastuu

Yrityksissä voi joskus tapahtua, että tärkeät yritystiedot, jotka on tallennettu tietokantaan, menetetään odottamattomien olosuhteiden vuoksi. Tällaisissa tapauksissa, jos järjestelmän käyttötehtävät on ulkoistettu ulkopuoliselle palveluntarjoajalle, onko mahdollista juridisesti vaatia vastuuta kyseiseltä palveluntarjoajalta?

Tässä artikkelissa selitämme, kuka on juridisesti vastuussa yrityksen tietojen menetystapauksissa.

Mitä “käyttö” tarkoittaa IT-järjestelmissä

IT-järjestelmissä “käyttö” tarkoittaa yksinkertaisesti sanottuna työtä, joka liittyy “nykyisen järjestelmän jatkuvan käytön ylläpitämiseen”. IT-insinöörien ja ohjelmoijien uudet (eli kehittämät) järjestelmät eivät ole sellaisia, että ne päättyisivät kerran luotuaan. Esimerkiksi, jos haluat suorittaa toiminnon, jota ei voida suorittaa näytöltä, saatat joutua liittämään tietokoneen tietokantaan ja syöttämään suoraan tietokonekieltä (kuten SQL). Tämä voi koskea esimerkiksi tietojen poimintaa tai muuttamista, joita ei voida suorittaa näytöltä.

Tällaiset käyttötehtävät ovat usein helposti standardoitavissa, kuten ohjeiden laatiminen, verrattuna uuden ohjelman toteuttamiseen, ja ne on usein helppo ulkoistaa ulkopuolisille palveluntarjoajille.

Kuitenkin, vaikka tehtävät olisivatkin helposti standardoitavissa, on syytä pitää mielessä, että koska ne liittyvät suoraan yrityksen tietokannan hallintaan, ne ovat usein suurten ongelmien äärellä. Tietovuodot ja tietojen menetykset, jotka yritys kantaa, ovat riskejä, jotka voivat kasvaa suuresti, jos ulkoistamista jatketaan huolettomasti ilman huomiota tehtävän suuriin vastuisiin.

Tiedon menettämisen riski on yllättävän lähellä

Yritykset käyttävät useita erilaisia tietokantoja, mutta niiden todellisuus on eräänlainen ohjelmisto. Ja siellä hallittavien tietojen poiminta, muuttaminen, lisääminen ja poistaminen tapahtuu pääasiassa SQL-nimisen tietokonekielen avulla.

Lakiasiat ovat tärkeitä

IT-järjestelmiin liittyvissä teknisissä tehtävissä on monenlaisia tyyppejä, kuten kehittäminen, käyttö ja ylläpito, mutta yhteistä niille on se, että ne keskittyvät abstraktien asioiden, kuten “tiedon” ja “tietokonekielen”, käsittelyyn. Siksi, vaikka kyse olisi vain yhden painikkeen virheellisestä toiminnasta tai pienestä syöttövirheestä, virheen vaikutusalue voi levitä laajalle ennalta arvaamattomalla tavalla. Tämä perusolettamus on jotain, jota kaikkien, olivatpa he IT-asiantuntijoita tai eivät, jotka työskentelevät järjestelmään liittyvissä tehtävissä, tulisi olla tietoisia. Järjestelmään liittyvät työt ovat luonteeltaan sellaisia, että jos ongelma ilmenee, sen vaikutukset leviävät nopeasti yli osaston ja yrityksen rajojen. Lakiasioiden merkitys järjestelmässä voidaan selittää yhtenäisesti sekä tilaajan että toimeksisaajan näkökulmasta.

Yritystiedon menettämisen riski

Otetaan esimerkki hieman arkisemmasta tilanteesta. SQL-kysely (komento), joka poistaa kaikki tiedot yhdeltä taulukolta, on vain yksi rivi “TRUNCATE”. Kun ajatellaan yrityksen tiedon menettämisen riskiä, SQL:n syntaksin tai tietokannan ohjelmiston käyttötavan tunteminen ei ehkä ole niin tärkeää. Kuitenkin, yrityksen säilyttämän koko tiedon poistamisen osalta, se on yhtä yksinkertainen kuin tämä, ja tämä on jotain, josta meidän pitäisi olla tietoisia. Tämä todellisuuden tunnustaminen on ehkä lähtökohta, kun ajatellaan yrityksen tiedon menettämisen riskiä.

On totta, että käyttötehtävät ovat helposti standardisoitavissa, ja usein ei ole ongelmia, jos ne tehdään ohjeiden mukaan. Mutta samalla, jos prosessia ei noudateta ja se aiheuttaa epäsäännöllisen tilanteen, lakiasioiden merkitys on itsestään selvä.

Kenen vastuulla on tietojen menetys lain mukaan?

Liiketoiminnan harjoittajan työn oikeudellinen luonne

Mutta entä jos tietoja menetetään odottamattoman tapahtuman seurauksena, eikä palautusmenetelmiä ole? Kuka kantaa oikeudellisen vastuun tällaisessa tilanteessa? Tarkastellaan tällaisia tapahtumia oikeudellisesta näkökulmasta.

Maksulliseen säilytyssopimukseen perustuvan säilytysvelvollisuuden toteuttaminen on vaikeaa

Yhtenä teoreettisena rakenteena, jota voidaan harkita, kun kyseenalaistetaan datanhallintapalveluita tarjoavan yrityksen vastuu, on maksulliseen säilytyssopimukseen perustuvan huolellisen säilytysvelvollisuuden toteuttaminen. Yksinkertaisesti sanottuna, tämä on sama kuin seurata vahingonkorvausvastuuta periaatteessa, kun yritys, joka on vastaanottanut esineiden säilytyksen maksullisessa kolikkolokerossa tai vastaavassa, on menettänyt kyseisen esineen. Kysymys on siitä, voitaisiinko “datan” menetysvastuuta seurata samalla tavalla. Kuitenkin, kuten “esineiden” säilytysvelvollisuuden tapauksessa, ajatus siitä, että “datan säilytysvelvollisuus” syntyisi itsestään, ei ole realistinen nykyisen lainsäädännön mukaan.

Se riippuu yksittäisen sopimuksen sisällöstä

Loppujen lopuksi, kysymys siitä, “kuka on vastuussa datan säilyttämisestä”, on vaikea ratkaista yksiselitteisesti siviililain määräysten perusteella. Siksi, vastaus riippuu siitä, “miten se on määritelty yksittäisessä sopimuksessa”.

Ja kysymys “mitä sopimuksen sisältö oli”, ei aina ratkea pelkästään sopimusasiakirjan perusteella, vaan myös pöytäkirjat ja muut vastaavat asiakirjat otetaan huomioon. Pöytäkirjojen merkitystä käsitellään yksityiskohtaisesti alla olevassa artikkelissa.

https://monolith.law/corporate/the-minutes-in-system-development[ja]

Kolmansien osapuolten laittomasta toiminnasta johtuvan vastuun kohdistaminen sopimuksen ulkopuolisiin on vaikeaa

On selvää oikeuskäytännössä, että laittomasta toiminnasta johtuvan vastuun kohdistaminen kolmansiin osapuoliin, joilla ei ole sopimussuhdetta, on mahdotonta. Oikeuskäytännössä esimerkiksi tietojen menetystapauksessa palvelinpalvelussa käyttäjän mahdollisuus vaatia korvauksia laittoman toiminnan perusteella oli ongelmana.

Laittoman toiminnan tyypillisiä esimerkkejä ovat esimerkiksi liikenneonnettomuudet. Esimerkiksi, jos henkilö loukkaantuu autonnettomuudessa kuljettajan huolimattomuuden vuoksi, hänellä on vastuu (ei vain rikosoikeudellisesti, vaan myös siviilioikeudellisesti). Vaikka emme solmi sopimusta tuntemattoman kanssa siitä, ettemme aja häntä autolla, on mahdollista, että yksityishenkilöillä on korvausvastuu. Tämän laittoman toiminnasta johtuvan vastuun puitteissa keskusteltiin siitä, onko mahdollista kohdistaa vastuu tietojen menetyksestä, vaikka sopimussuhdetta ei olisi suoraan.

Kuitenkin, tuomioistuin osoitti digitaalisen tiedon erityispiirteet ja totesi, että tällaisen velvollisuuden olemassaolon johtaminen on vaikeaa.

Palvelin ei ole täydellinen ja siinä voi ilmetä vikoja, jotka voivat johtaa tallennettujen ohjelmien tai muiden tietojen katoamiseen, mutta koska ohjelmat ja muut tiedot ovat digitaalisessa muodossa, ne voidaan helposti kopioida, ja jos käyttäjä on tallentanut ja säilyttänyt tiedot, hän voi palauttaa ohjelmat ja muut tiedot toimintaan, mikä on yleisesti tiedossa (koko argumentin ydin), joten kantajat olisivat voineet helposti toteuttaa toimenpiteitä ohjelmien ja muiden tietojen katoamisen estämiseksi. Tällaisessa tilanteessa, kun otetaan huomioon sekä kantajien että vastaajan edut, ei ole syytä eikä tarvetta velvoittaa vastaajaa, joka asentaa ja hallinnoi palvelinta, suojelemaan kantajien tallennuksia estämällä niiden katoaminen. (Ote) Kantajat väittävät, että palvelinvuokrasopimus sisältää kolmannen osapuolen ohjelmien tai tietojen säilytyssopimuksen luonteen, ja tätä perusteena käyttäen, vastaajan, palvelinvuokraajan, tulisi olla huolellinen kaikkien niiden suhteen, jotka tallentavat tietoja palvelimelle, erityisesti estämään tietojen katoaminen palvelimelta, ja olettaen tämän, vastaaja rikkoo tämän katoamisenestovelvollisuuden menettämällä kantajien tallentamat tiedot palvelimelle.

Kuitenkin, vastaaja on solminut vain yhteiskäyttöpalvelimen hosting-sopimuksen käyttäjä A:n kanssa, eikä hänellä ole sopimussuhdetta kantajien kanssa, eikä voida sanoa, että ohjelmien tai tietojen säilyttämisellä palvelimella on säilytyssopimuksen luonne, joten on vaikea löytää perusteita sille, että vastaaja olisi velvollinen huolehtimaan hyvin palvelimelle tallennetuista tiedoista sopimussuhteessa olemattomien kantajien suhteen laittoman toiminnan lain mukaisesti. Näin ollen, pelkästään sillä perusteella, että vastaaja on palvelinvuokraaja, ei voida sanoa, että hänellä olisi velvollisuus huolehtia hyvin palvelimelle tallennetuista tiedoista tai estää niiden katoaminen suhteessa sopimussuhteessa olemattomiin kolmansiin osapuoliin.

Tokion alioikeuden päätös 20. toukokuuta 2009 (Heisei 21)

Tämä päätös osoittaa, että ei ole järkevää olettaa, että kolmansilla osapuolilla, joilla ei ole suoraa sopimussuhdetta (kantajat), olisi “velvollisuus olla poistamatta tietoja”. Tämä päätös on herättänyt huomiota mahdollisena johtavana tapauksena, jos samanlaisia tapauksia ilmenee tulevaisuudessa.

Johtopäätöksenä voidaan todeta, että vastuun selvittäminen on usein “vaikeaa”

Käytännössä, jos puhumme sopimuksista, joita usein käytetään, tapaukset, joissa käytetään sopimusta, joka määrittelee tietojen säilyttämisen ja varmuuskopioinnin palveluntarjoajan vastuulle, eivät ole kovin yleisiä. Sen sijaan sopimukset, jotka määrittelevät tämän olevan käyttäjän (eli asiakasyrityksen) vastuulla, ovat huomattavasti yleisempiä.

Siksi, ellei erityistä sopimusta ole tehty, on erittäin vaikeaa olettaa lain mukaan, että järjestelmän toimittaja olisi velvollinen toteuttamaan toimenpiteitä tietojen menetyksen estämiseksi.

Mitä tehdä tietojen menetyksen riskin varalta

Loppujen lopuksi, yrityksen tietojen menetyksen riski liittyy suoraan siihen tietoon, jota yritys itse säilyttää. Siksi, miten tämä menetyksen riski otetaan huomioon ja millainen säilytysjärjestelmä luodaan, on yrityksen itsensä päätettävissä. On todennäköistä, että tämä on se näkökulma, josta asiaa tulisi tarkastella.

Vaikka yrityksen vastuu tunnustettaisiinkin, on mahdollista, että vahingonkorvaus ei myönnetä täysimääräisenä, jos kyseessä on huolimattomuuden kompensointi. Aiemmissa oikeustapauksissa on ollut tilanteita, joissa syytetty, joka säilytti kantajan tietoja palvelimella, oli tuhonnut tiedot. Tässä tapauksessa kantajan varmuuskopion puuttuminen katsottiin “huolimattomuudeksi”, ja huolimattomuuden kompensointi hyväksyttiin.

Kantaja olisi voinut helposti ottaa varmuuskopion tiedostosta ja siten estää (keskeneräinen) vahingon syntymisen tai pitää vahingon erittäin vähäisenä, mutta tiedoston tuhoutumishetkellä kantajalla ei ollut jäljellä mitään tiedoston sisällöstä.

Tässä tapauksessa, kun päätetään syytetyn vahingonkorvausvastuun määrä, tämä seikka tulisi ottaa huomioon ja soveltaa huolimattomuuden kompensointia, mikä on linjassa vahingonkorvauslain tasapainon periaatteen kanssa. (keskeneräinen)

Vastauksena tähän, kantaja väittää, että oli mahdotonta ennustaa, että tiedostot poistettaisiin palvelimelta palveluntarjoajan, syytetyn, toimesta, eikä sitä olisi pitänyt ennustaa. Siksi ei voida hyväksyä, että varmuuskopion ottamisen velvollisuus tunnustetaan laillisena velvollisuutena, eikä sen tekemättä jättämistä voida pitää laillisena huolimattomuutena, ja huolimattomuuden kompensoinnin soveltaminen tulisi kieltää.

Kuitenkin, huolimattomuuden kompensoinnin soveltamiseksi, riittää, että kantajalle tunnustetaan tiedoston tuhoutumisen seurauksena syntyvän ennakoitavuuden mahdollisuus, eikä tarvita ennakoitavuuden mahdollisuutta siihen, että tiedosto tuhoutui syytetyn huolimattomuuden seurauksena.

Tässä tapauksessa, (keskeneräinen), on selvää, että kantaja oli tietoinen vaarasta, että hakkerit ja muut voivat tunkeutua kotisivulle, ja lisäksi kantaja myöntää, että internetin kautta tapahtuvassa viestinnässä on tietojen muuttamisen ja tuhoamisen vaara, ja että tämä vaara oli ennakoitavissa. Siksi kantajan katsotaan ennakoineen tiedoston tuhoutumisen vaaran internetin kautta tapahtuvan viestinnän seurauksena, ja tiedoston tuhoutumisen seurauksena syntyvän ennakoitavuuden mahdollisuus voidaan vahvistaa, eikä huolimattomuuden kompensoinnin soveltamista voida estää.

Tokion alioikeuden päätös 28. syyskuuta 2001 (Heisei 13)

Tässä tapauksessa, koska “varmuuskopiota ei otettu, tiedoston tuhoutumisen vaara, esimerkiksi hakkerien tunkeutumisen seurauksena, oli ennakoitavissa, ja siksi huolimattomuuden kompensointi on sovellettavissa”, vahingonkorvauksen määrä puolitettiin.

Yhteenveto

Vaikka kyse on erityisesti tietojen menettämisen riskistä, usein kun järjestelmätyöt ulkoistetaan, käyttäjät keskittyvät lähinnä käyttöliittymän toimivuuteen. Organisaation hallinnointi ei usein ulotu taustalla olevaan tietokanta-alueeseen.

Kuitenkin, kuten menneisyyden oikeustapaukset osoittavat, näitä asioita ei pitäisi koskaan pitää “jonkun toisen ongelmana”. Toisin sanoen, tietojen menettämisen riskin huomioon ottava hallintajärjestelmä, kuten varmuuskopiointi, on loppujen lopuksi käyttäjän (organisaation sisäisen) vastuulla. Tästä pitäisi olla tietoinen.

Menneisyyden oikeustapaukset viittaavat siihen, että näiden riskien huomiotta jättäminen voi johtaa korjaamattomiin tilanteisiin. Ne varoittavat meitä ennaltaehkäisyn tarpeellisuudesta. Eikö meidän pitäisi ymmärtää tämä?