Mallisopimuslausekkeet tai sopimukset eivät pelasta Safe Harbourin mitätöinnin jälkeen

Lyhyesti: ei ole mallisopimuslausekkeita, jotka edes teoriassa voisivat täyttää EU:n tietosuojalainsäädännön vaatimukset EU-kansalaisten henkilötietojen siirron osalta kolmansiin maihin jos siirron kohteena on yritys, joka toimii USA:n lakien vaikutuspiirissä.

Tämä kirjoitus sisältää jotakuinkin samat asiat kuin vastaava englanninkielinen kirjoitukseni.

Tausta:

Euroopan unionin tuomioistuin antoi lokakuun 6. päivänä tuomion asiassa Maximillian Schrems vs. Irlannin tietosuojavaltuutettu.¹ Tuomio on uutisoitu laajalti suomalaisessakin lehdistössä. Schrems on haastanut Facebookin oikeuteen siitä, että yhtiö siirtää ja käsittelee käyttäjiensä henkilötietoja ja henkilöön sidottuja tietoja Yhdysvalloissa, missä valtion tiedusteluelimillä kuten NSA:lla on mahdollisuus päästä käsiksi tietoihin. Tällainen menettely on kuitenkin EU:n lainsäädännön vastaista.² EU-tuomioistuin antoi päätöksensä Irlannin korkeimman oikeuden pyynnöstä, koska sillä ratkaistavana olevassa tapauksessa Irlannin tietosuojavaltuutettu on ilmoittanut kantanaan, että Schremsin asia ei kuuluisi lainkaan kyseisen tuomioistuimen ratkaistavaksi, koska henkilötietojen siirto perustuu EU:n ja Yhdysvaltojen väliseen, komission hyväksymään Safe Harbour-järjestelyyn ja että asia ei siksi kuulu kansallisen tietosuojavaltuutetun ratkaisuvaltaan. Schrems puolestaan argumentoi, että koko Safe Harbour-sopimusjärjestelyltä on pudonnut pohja sen jälkeen kun Edward Snowden paljasti, että Yhdysvaltojen tiedusteluorganisaatiot sieppaavat ja tallentavat käsittämättömän suuria määriä käyttäjien, myös EU-maiden kansalaisten, tietoja.

EU-tuomioistuin totesi päätöksessään, että siitä tosiseikasta johtuen että EU-käyttäjien tietojen yksityisyys murretaan Yhdysvaltojen tiedustelutoimilla, Safe Harbour ei enää takaa sitä yksityisyyden tasoa, joka sen oli tarkoitus taata ja Safe Harbour on siksi pätemätön. Lisäksi EU-tuomioistuin katsoo, että kyseisenlaiset tapaukset kuuluvat kansallisten tietosuojaviranomaisten ratkaisuvaltaan. Schremsin argumentti siis voitti ja Irlannin korkein oikeus voi jatkaa tapauksen Schrems vs. Facebook käsittelyä.

Datan sijainnista keskustelu ei riitä

Suurin osa tiedotusvälineissä käytävää keskustelua on keskittynyt tietojen siirtoon Yhdysvaltoihin. Tämä on ymmärrettävää koska EU:n henkilötietodirektiivi³ ja Suomen henkilötietolaki⁴, jolla direktiivin sisältö on implementoitu Suomen lainsäädäntöön, keskittyvät henkilötietojen siirtoon. Kuitenkin vaikka on todennäköistä, että suurin osa Yhdysvaltojen hallinnon tiedusteluorganisaatioiden tekemästä massavalvonnasta tapahtuu maan rajojen sisäpuolella, on esimerkkejä siitä, että Yhdysvaltain hallinto vaatii myös tietoja, jotka on tallennettu maan rajojen ulkopuolelle. Eurooppalaisesta näkökulmasta mielenkiintoisessa tapauksessa Yhdysvaltain oikeusministeriö vaatii Microsoftia luovuttamaan käyttäjien tietoja, jotka on tallennettu Microsoftin Irlannissa sijaitsevaan palvelinkeskukseen.⁵ Yhdysvaltain oikeusministeriön mielestä ”Yhdysvaltain hallinnolla on (laillinen) oikeus vaatia kenen tahansa, missä päin maailmaa tahansa asuvan henkilön sähköpostiviestejä miltä tahansa sähköpostin välittäjältä, jonka pääkonttori on Yhdysvalloissa.” Microsoft ei halua suostua pyyntöön, koska myöntymisellä olisi merkittävä kielteinen vaikutus yhtiön liiketoimintaan ja asiaa käsitellään siksi oikeudessa. 

Jo kesäkuussa 2011 Microsoftin Iso-Britannian tytäryhtiön toimitusjohtaja Gordon Frazer myönsi, että Microsoft ei voi taata, että yhtiön EU-käyttäjien tiedot, jotka on tallennettu yhtiön EU-alueella sijaitseviin palvelinkeskuksiin, olisivat suojassa Yhdysvaltojen hallinnon tekemältä sieppaukselta ja tarkastelulta. Frazer sanoi: ”Microsoft ei voi antaa tällaisia takuita. Mikään muukaan yhtiö ei voi."⁶

Ongelma on kuitenkin paljon pahempi kuin pelkästään se, että Yhdysvaltain hallinnolla on jo mainittu ”(laillinen) oikeus vaatia kenen tahansa, missä päin maailmaa tahansa asuvan henkilön sähköpostiviestejä miltä tahansa sähköpostin välittäjältä, jonka pääkonttori on Yhdysvalloissa.” Ongelma on se, että Yhdysvaltain hallinnolla on käytössään lakiteknisiä keinoja, jotka mahdollistavat tätä paljon laajemman ihmisten tietojen hankkimisen. Lyhyesti: jos yritys toimii Yhdysvalloissa tai sillä on työntekijöinään Yhdysvaltojen kansalaisia Yhdysvaltojen rajojen ulkopuolella, Yhdysvaltojen hallinto voi kummassakin tapauksessa esittää FISA-lakia⁷ tietojen hankkimiseen. Pelkkä sivutoimipistekin Yhdysvalloissa mahdollistaa tämän ja avaa oven Yhdysvaltain hallinnolle. Lain perusteella esitetty haaste

voi sisältää myös ”suukapulaehdon”. Tämä tarkoittaa sitä, että tieto haasteen saamisesta on pidettävä salassa. Haasteen saanut henkilö ei saa paljastaa saaneensa haasteen puhumattakaan siitä, että paljastaisi siihen liittyviä yksityiskohtia ilman tuntuvia oikeudellisia seuraamuksia. Tämä on oletettavasti se, mitä tapahtui Edward Snowdeninkin käyttämän, täydellisesti salattua sähköpostipalvelua tarjonneen Lavabitin tapauksessa.⁸ Menettelyyn liittyvät oikeustapaukset käsitellään erityistuomioistuimissa, joiden toiminta on salaista.

Tuloksena tästä on se, että vaikka voisimme luottaa palveluita tuottaviin yhtiöihin itseensä, niiden palveluita käytettäessä ei voi olla yksityisyyttä siinä mielessä kuin EU-lainsäädäntö sen määrittelee niin kauan kuin Yhdysvaltain hallinnolla on käytössään FISA-lain antama voima suhteessa kehen tahansa työntekijään, jolla on mahdollisuus päästä käsiksi käyttäjien tietoihin. Microsoftin entinen yksityisyysasioiden pääneuvonantaja Caspar Bowden nosti asian esiin jo vuonna 2011⁹, ennen Snowdenin tekemää asiakirjojen vuotamista ja sitä kautta saamaamme tietoa Yhdysvaltojen kansallisen turvallisuusvirasto NSA:n PRISM-ohjelmasta¹⁰ ja muista maan tiedusteluorganisaatioiden harjoittamasta massavalvonnasta. ”Sattumalta” Bowden vapautettiin tehtävistään Microsoftilla 2 kuukautta tämän jälkeen.

Ajatellaan suukapulaehdolla terästetyn FISA-haasteen saaneen työntekijän toimintavaihtoehtoja. Tietojen luovuttamisesta kieltäytymisestä seuraa vankeutta. Toisaalta haaste on niin salainen, että on epätodennäköistä, että edes työntekijän esimies saa koskaan tietää asiasta. Optimaalinen strategia on helppo nähdä: suostu tietojen luovutukseen ja pidä suu supussa asiasta.

Yhdysvaltain hallinnon luomus on olemukseltaan paholaismainen lakitekninen ansa. Sen rakenne selittää myös, miksi massavalvonnan mahdollistamisesta syytettyjen yhdysvaltalaisyritysten ylin johto on todella saattanut olla tietämätön työntekijöidensä osuudesta käyttäjien tietojen luovuttamisessa Yhdysvaltojen hallituksen virastoille. Yhtiöt esiintyivät julkisuudessa kieltäen osallistuneensa PRISM-ohjelmaan tai mihinkään sen kaltaiseen. Mitä muutakaan ylin johto voisi tuossa tilanteessa sanoa jos he eivät tienneet työntekijöidensä toimista? Toisaalta – mitä he todennäköisesti sanoisivat jos he itse ovat juuri niitä, jotka ovat saaneet suukapulaehdolla terästetyn haasteen?

Tämä on perusoikeuskysymys

Lopputulos on EU-maan kansalaisen kannalta sama. Vaikka luottaisimme yhdysvaltalaisiin yhtiöihin, emme voi luottaa niiden tarjoamiin palveluihin, koska Yhdysvaltain hallinto rikkoo oikeuttamme yksityisyyteen tavalla, joka on vastoin EU-lainsäädäntöä.

Euroopan ihmisoikeussopimuksen 8. artikla käsittelee oikeutta yksityisyyteen.¹¹  EU-tuomioistuin perusteli päätöstään juuri näillä perusoikeuksilla. Väite, että kyse on ihmisoikeuksista ei ole enää mielipideasia. Se on EU-tuomioistuimen päätöksen perustelujen kulmakivi.

Voi argumentoida, että vahvalla salakirjoituksella salattujen tietojen tallentaminen palveluihin, joita Yhdysvaltojen tiedusteluorganisaatiot pystyvät kuuntelemaan, olisi riittävän turvallista. Kuitenkin vaikka hyvä salausteknologia tekee tietojen sieppaamisesta teknisesti paljon vaikeampaa, se ei salaa oikeudellisilta toimenpiteiltä. Kannattaa myös ottaa huomioon, että Yhdysvaltojen tiedusteluorganisaatiot ovat työskennelleet aktiivisesti tiedonsalausmenetelmien heikentämiseksi. Tätä on tehty muun muassa osallistumalla standardointiorganisaatioiden työhön, jolloin halutut heikkoudet on saatu käyttöön myös kansainvälisesti.¹²

On selvää, että on muitakin maita ja tahoja, jotka ovat uhka tietosuojalle. Esimerkiksi Kiinan ja Venäjän tiedustelu- ja kybersotatoiminta ovat merkittävä ja jatkuva uhka. Vaikka me EU-kansalaiset tai muidenkaan maiden kansalaiset pitäisimme näitä maita vakavampina uhkina kuin Yhdysvaltoja, on silti vaikea nähdä miksi hyväksyisimme Yhdysvaltojen harjoittaman yksityisyytemme loukkaamisen. Emmehän me sano esimerkiksi rikoksen uhrille: ”Turha valittaa siitä, että omaisuutesi, mukaan lukien henkilökohtaiset viestintäsi, varastettiin. Tuossa lähellä oleilee pahempia rikollisia joiden kanssa olisi voinut käydä vielä paljon pahemmin.”

P.S. Englanninkielisen artikkelini julkaisemisen (13.10) jälkeen on tapahtunut muun muassa seuraavaa:

14. lokakuuta Saksan Schleswig-Holsteinin osavaltion tietosuojaviranomainen päätti¹³, että tietojen siirtäminen mallisopimuslausekkeiden perusteella Yhdysvaltoihin on kiellettyä.

16. lokakuuta EU:n tietosuojadirektiivin toteuttamista valvova, muun muassa kansallisista tietosuojavaltuutetuista koostuva asiantuntijaelin ”Article 29 Working Party” kertoi jatkavansa EU-tuomioistuimen päätöksen analysointia.¹⁴ Sillä välin tiedonsiirtoja Yhdysvaltoihin voidaan jatkaa mallisopimuslausekkeiden (Standard Contractual Clauses) ja yrityksiä sitovien sääntöjen (Binding Corporate Rules)¹⁵ perusteella. Tämä ei kuitenkaan estä kansallisia tietosuojaviranomaisia tutkimasta esimerkiksi tapauksia, joista on tehty ilmoituksia. Jos tammikuun 2016 loppuun mennessä ei ole saatu aikaan ”uutta Safe Harbouria” eli järjestelyä, jolla yksityisyys turvataan, tietosuojaviranomaiset ovat ”sitoutuneet kaikkiin tarpeellisiin ja soveltuviin toimiin, joihin saattaa sisältyä koordinoitua toimeenpanoa (coordinated enforcement actions).

1http://curia.europa.eu/juris/document/document.jsf?text=&docid=169195&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=129958

2http://eur-lex.europa.eu/legal-content/en/ALL/?uri=CELEX:31995L0046

3http://ec.europa.eu/justice/policies/privacy/docs/95-46-ce/dir1995-46_part1_fi.pdf

4http://www.finlex.fi/fi/laki/ajantasa/1999/19990523

5http://www.theguardian.com/technology/2015/sep/09/microsoft-court-case-hotmail-ireland-search-warrant

6http://www.zdnet.com/article/microsoft-admits-patriot-act-can-access-eu-based-cloud-data/

7Foreign Intelligence Surveillance Act https://en.wikipedia.org/wiki/Foreign_Intelligence

8https://en.wikipedia.org/wiki/Lavabit#Suspension_and_gag_order

9https://events.ccc.de/congress/2014/Fahrplan/system/attachments/2527/original/The_Cloud_Conspiracy_-_31C3_Hamburg_-_27.12.14_-_Caspar_Bowden.pdf

10https://en.wikipedia.org/wiki/PRISM_(surveillance_program)

11http://www.finlex.fi/fi/sopimukset/sopsteksti/1999/19990063#idm115968

12http://www.nytimes.com/interactive/2013/09/05/us/documents-reveal-nsa-campaign-against-encryption.html

13https://www.datenschutzzentrum.de/uploads/internationales/20151014_ULD-Positionspapier-zum-EuGH-Urteil.pdf

14http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2015/20151016_wp29_statement_on_schrems_judgement.pdf

15Safe Harbourin rinnalle luotu säännöstö, jolla pyritään varmistamaan tietosuoja. https://en.wikipedia.org/wiki/Binding_corporate_rules

Why the invalidation of Safe Harbour by ECJ cannot be fixed with contracts?

In short: There are no model contract clauses that could even in theory make legal the transfer of personal data of EU citizens to companies operating under or within reach of the jurisdiction of the US courts.

Background:

The decision European Court of Justice (ECJ) gave on October 6th 2015¹ in case Maximillian Schrems vs. Data Protection Commissioner of Ireland has been widely discussed in media. In short, Mr. Schrems has sued Facebook because Facebook has been transferring user data to USA where intelligence organisations like NSA may access user data. Accessing data like this is against the privacy legislation of EU .² The decision ECJ gave on October 6th is an answer to the High Court of Ireland where the Data Protection Commissioner of Ireland has argued that Mr. Schrems' case should not at all be handled in court because the decisions EU has made on Safe Harbour framework between EU and USA guarantee that data transfers containing personal data can be made to USA. Mr. Schrems has argued that the foundations of Safe Harbour have fallen after we have learned through Ed Snowden's work that the intelligence organizations in USA are intercepting and storing huge amounts of user data including that of EU citizens.

ECJ has now stated that because of the fact that privacy EU user data is compromised by the intelligence activities of the USA, Safe Harbour does not guarantee the level of privacy it was meant to guarantee and is thus invalid. Mr. Schrems argument won and the High Court of Ireland can proceed with Schrems vs. Facebook.

The issue is not where the data resides

The majority of the discussion in media has concentrated on data transfers to USA. While it is very likely that most of the alleged mass surveillance done by the intelligence agencies of USA takes place in USA, we have also examples where the US government is also demanding to get information that is stored outside of USA. From a European perspective an interesting example is the case where the US Department of Justice (DoJ) is demanding Microsoft to hand over user data which is stored in data storage facilities located in Ireland.³ The argument of DoJ in this case is that ”US government has the (legal) right to demand the emails of anyone in the world from any email provider headquartered within US borders”. Microsoft is not willing to comply as it would have a significant negative impact businesswise and therefore the case is in court. Already in June 2011 Microsoft U.K.'s managing director Gordon Frazer admitted that Microsoft cannot guarantee that EU customer data residing in EU based data centers would not be is vulnerable to interception and inspection by U.S. authorities.⁴ Frazer said: ”Microsoft cannot provide those guarantees. Neither can any other company."

The problem is actually much worse than the US government just ”having a legal right to demand the emails of anyone in the world if the email provider is headquartered within US borders”. The problem is that the US government has a much wider range of legal tools to get a much wider range of people's data than that. To put it short: if a company operates in USA, or has US citizens as employees elsewhere, the US government can use FISA to claim data it wants. Also a subsidiary in USA opens this door to the US government. These warrants may also include a ”gag order”, they are to be kept in secret: an invidual who gets such a warrant may not express even getting such a warrant not to mention any details about it. This is presumably what happened to Lavabit, a company offering a fully encrypted email system.⁵

The outcome of all of this: even if we could and would trust the companies providing the services, there cannot be any privacy using their services in the sense EU privacy laws define it as long as the US government has a way to use the power of FISA legislation towards any employee of a company having a possibility of accessing the data. Caspar Bowden, former Chief Privacy Adviser of Microsoft pointed this out in 2011⁶, before Snowden leaked documents and details about PRISM and other mass surveillance done by US intelligence. ”Incidentally” Bowden was released from his duties at Microsoft 2 months after that.

Think about the possible strategies of an employee getting a FISA gag order warrant. Non-compliance would mean going to jail. On the other hand the warrant is so secret that it is very unlikely that one's superior ever gets to know about it. The optimal strategy is quite easy to see: comply and keep your mouth shut. This legislative trap the US government has made is diabolic by nature. It also explains why it really could have been the case that the top level executives of US companies did not know about their employees' part in giving customer data to the government. They kept arguing that their companies are not participating in PRISM or any such operation. What else could they have said in their position if they did not know about their employees' activities? And what would they be likely to say if they themselves are the ones who have received a warrant and a gag order?

This is about fundamental human rights

Whichever the case, the end result is the same for EU citizens. Even if we would trust the US companies themselves we cannot trust their services because the US government is intruding on our privacy in a way which is against EU privacy laws. The Article 8 of the European Convention on Human Rights is about right to privacy. This is about basic human rights. Saying so is not a mere opinion any more. It is the very rationale of the ECJ's decision.

One could argue that using strong encryption personal data can be considered safe in services the US intelligence organizations are able to disrupt. While good quality encryption makes technical interception much more difficult, it does not protect form legal procedures. It also should be noted that US intelligence organizations have been working to weaken encryption through participation in standardizing organisations pushing the wanted vulnerabilities into use internationally.⁷

One can also argue that there are other countries that pose a threat, too. For example the intelligence and cyberwar activities of Russia and China are a significant threat. However, I cannot see that, even if we in the EU, or other parts of the world, would think these countries represent a more serious threat, why would we accept USA intruding on our privacy?

Update October 14th: I have been asked to explain what FISA means. It is United States federal law titled Foreign Intelligence Surveillance Act. Wikipedia article on FISA law is a good introduction.

October 14th the Data Protection Authority of Schleswig Holstein in Germany has decided that data transfer on the basis of Standard Model Clauses is unlawful.

References:

1http://curia.europa.eu/juris/document/document.jsf?text=&docid=169195&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=129958

2http://eur-lex.europa.eu/legal-content/en/ALL/?uri=CELEX:31995L0046

3http://www.theguardian.com/technology/2015/sep/09/microsoft-court-case-hotmail-ireland-search-warrant

4http://www.zdnet.com/article/microsoft-admits-patriot-act-can-access-eu-based-cloud-data/

5https://en.wikipedia.org/wiki/Lavabit#Suspension_and_gag_order

6https://events.ccc.de/congress/2014/Fahrplan/system/attachments/2527/original/The_Cloud_Conspiracy_-_31C3_Hamburg_-_27.12.14_-_Caspar_Bowden.pdf

7http://www.nytimes.com/interactive/2013/09/05/us/documents-reveal-nsa-campaign-against-encryption.html

Miksi Facebook (=amerikkalainen some) ei ole sopiva poliitikan teon keskustelufoorumi?

"Tervetuloa keskustelemaan yhteiskunnallisesti tärkeistä asioista puolueemme Internet-keskusteluympäristöön. Voitte kirjautua käyttäjäksi Mestari- tai Visva-luottokorteilla."

Hetkinen? Että pitäisi olla asiakkuussuhde luottokorttiyhtiöön voidakseen osallistua poliittiseen keskusteluun? Entäs ne, joiden luottotiedot ovat menneet? Tai ne, jotka käyttävät joidenkin muiden yhtiöiden luottokortteja? Tai ne, joilla on vain firman luottokortti? Tai ne, jotka eivät vain halua käyttää luottokorttia?

Kaikki aivan hyviä ja oikeutettuja kysymyksiä. Ei ole oikein, että osallistuakseen poliittiseen keskusteluun pitäisi olla asiakkuussuhde johonkin tiettyyn yritykseen. Näin kuitenkin esimerkiksi Vihreä Liitto rp:n äänenkannattaja Vihreä Lanka menetteli. Annoin keväällä päätoimittajalle palautetta kun keskustelu oli sidottu Facebook-käyttäjätunnukseen. Nyt tilannetta on korjattu vaihtamalla keskustelut Bublaa-nimiseen palveluun. Bublaa on suomalainen startup, jonka palvelimet sijaitsevat EU-alueella, tarkemmin sanottuna Saksassa. Erinomainen siirto Vihreältä langalta!

Viime perjantaina tiedotusvälineisiin levisi tieto, joka on ammattilaispiireissä tiedetty jo kauan: Yhdysvaltalaiset tiedusteluelimet FBI ja NSA vakoilevat järjestelmällisesti Internet-liikennettä. Kyse on toiminnasta, jossa Yhdysvaltain hallitus on lähtenyt terrorismin vastustamisen nimissä linjalle, joka perustuu orwellilaisen valvontayhteiskunnan toteuttamiseen. USA:n kansallinen tiedusteluvirasto ehätti jo torstaina 6.6. valamaan öljyä laineille sanomalla hirtehisesti hieman ylitulkiten että "eihän tässä mitään ongelmaa ole - me kyttäämme vain ulkomaalaisia". Linkki viraston tiedotteeseen.

Politiikasta Facebookissa tai missä tahansa muussa Euroopan ulkopuolisessa sosiaalisessa mediassa tarkoittaa itse asiassa, että keskustelu käydään palvelun tuottajan maan lakien alla. Useimmissa tapauksissa tilannetta voi kuvata siten, että keskustelu käydään kauppakeskuksen käytäväkahvilassa, joka tallentaa kaiken keskustelun. Paitsi että keskustelua voidaan käyttää kauppakeskuksen markkinointiin, sen perusteella lähetetään myös mainoksia keskustelijoille. Tämän lisäksi keskustelu annetaan tiedusteluorganisaatioiden monitoroitavaksi.

Ennen viime viikkoa edellä oleva kuvaus oli enemmistön mielestä foliohattujen vainoharhaista suurentelua. Nyt me tiedämme että kuvaus on realistinen. (Mitäs minä sanoin.)  Koko asian kova, realistinen ydin on se, että Internet-viestinnässä emme voi luottaa Yhdysvaltoihin missään asiassa.

Eikö avoin yhteiskunta tarkoita sitten sitä, että kun on tarpeeksi puhdas mieli ja rehelliset aikeet, meillä ei voi eikä pidä olla mitään salattavaa? Mielestäni ei. En toistaiseksi ole tavannut ketään "minulla ei ole mitään salattavaa"-henkilöä, joka "ei salattavaa"-kommentin sanomisen jälkeen olisi suostunut luovuttamaan minulle pankkitilinsä kirjautumistunnukset ja salasanalistan. Meillä kaikilla on oikeasti jotain salattavaa.

Toiseksi politiikan tekeminen on kansainvälisellä tasolla kuin shakinpeluuta: pelin luonteeseen kuuluu joissain asioissa, että ei tiedetä mitä vastapuoli aikoo tehdä. Vastustajan siirtoja ennakoidaan ja luodaan strategiaa niiden varalta. Tästä pelistä, kuten shakistakin, häviää pelin luonne, jos vastapuoli tietää aiotut siirrot jo niitä mietittäessä.

Miksi se, että Vihreä lanka otti käyttöön kotimaisen Bublaan, on sitten niin erinomainen siirto? Kotimaisen teollisuuden tukemisen lisäksi se on erinomainen siirto siksi, että sitä käyttämällä emme anna yhdysvaltalaisille mahdollisuutta kytätä itseämme automatisoidusti tuossakin asiassa. Bublaa on vain yksi esimerkki. Valitkaa aina EU-alueelle rekisteröidyn yrityksen palvelu, jos valinnan varaa on ja vieläpä sellaisen, jolla ei ole tytäryhtiötä Yhdysvalloissa. Yhdysvalloissa toimiva yritys joutuu sikäläisten lakien, lähinnä Patriot Actin, takia antamaan tietoja tiedustelulle ja vieläpä siten, että tietojen omistajaa ei koskaan informoida asiasta.

Henkilötietojen käsittelystä opetuksen tietojärjestelmissä

Kotikaupunkini Kaarinan opetustoimi lähestyi alaikäisten koululaisten vanhempia seuraavasti:

"Opit-palvelu, Gemilo ja koulut.kaarina.fi -palvelu ovat käytössä kaikissa Kaarinan kouluissa. Mikäli suostumusta ei saada, oppilas ei voi käyttää opetuksessa käytettäviä oppimisverkostoja eikä saa omaa sähköpostiosoitetta.”

Kyse oli luvan pyytämisestä uusien "oppimisverkostojen" käyttöönottoon. Alalla työskentelevänä tiedän hyvin kaksi ensimmäistä toimijaa mutta kolmas herätti kummastusta etenkin kun kyseistä domainia eli verkko-osoitetta ei ole vielä rekisteröity.

Sähköpostikirjeenvaihdossa kävi ilmi, että

• koulut.kaarina.fi -osoite on varattu siihen tarkoitukseen, että käyttöön otetaan Google Apps for Education -palvelu,
• että uusien palveluiden käyttöönottoa tehnyt työntekijä ei tiennyt, missä opetustoimea koskeva henkilörekisteriseloste on
• ja että kaupungilla ei ole minkäänlaista kirjautumispalvelinta näitä käyttötarkoituksia varten vaan oppilaiden henkilötietoja on tarkoitus luovuttaa tunnusten luomiseksi näille palveluntarjoajille.

Menettelytavassa on muutamia ongelmia joita nyt ratkotaan yhteistyöllä. Suurin osa ongelmista saadaan ratkaistua kun luetaan ne sopimukset sekä asiaan liittyvät lait kunnolla ja toimitaan niiden mukaan.

1. Henkilötietolain mukaisessa henkilörekisteriselosteesta on ilmettävä "mihin tietoja säännönmukaisesti luovutetaan ja siirretäänkö tietoja Euroopan unionin tai Euroopan talousalueen ulkopuolelle". Tämä tarkoittaa sitä, että henkilön, jonka tietoja käsitellään, on oikeus saada tieto siitä, ketkä kaikki käsittelevät hänen henkilötietojaan ja millä perusteella. Tämä ongelma on ratkaistavissa kirjoittamalla henkilörekisteriseloste uudestaan siten, että se vastaa todellista toimintaa. Yksi hyvä toteutusmalli on kirjoittaa varsinaiseen selosteeseen yleisluontoinen virke, jossa sanotaan, että tietoja luovutetaan palveluita tuottaville alihankkijoille. Alihankkijoista on helpompi pitää ajantasaista listaa kun koko selostetta ei tarvitse päivittää.
2. Vanhemmilta pyydetyssä suostumuksessa ei lainkaan mainittu niitä yrityksiä, joille tietoja ollaan siirtämässä. Tämä ei ole lain mukaista. Tuotenimistä Opit ja Gemilo voi alaa tunteva jo päätellä paljon, mutta rekisteröimättömästä verkko-osoitteesta koulut.kaarina.fi ei voi päätellä mitään. Googlen kohdalla ongelma on se, että yritys on ulkomainen ja henkilötietojen viemistä EU/ETA-alueen ulkopuolelle on rajoitettu edellä mainitussa henkilötietolaissa.

Henkilötietolaki 22 a § (24.11.2000/986):

Henkilötietoja voidaan siirtää Euroopan unionin jäsenvaltioiden alueen tai Euroopan talousalueen ulkopuolelle siltä osin kuin Euroopan yhteisöjen komissio on yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY, jäljempänä henkilötietodirektiivi, 3 artiklan ja 25 artiklan 6 kohdan mukaisesti todennut, että kyseisessä maassa taataan tietosuojan riittävä taso.

Tämä tarkoittaa sitä, että henkilötietoja ei saa viedä EU/ETA-alueelta ilman, että kohdemaassa taataan tietosuojan riittävä taso. Muun muassa Yhdysvallat on lähtökohtaisesti maa jossa tietosuojan taso ei ole lähelläkään EU-maiden tietosuojaa. Suurin ongelma on se, että sikäläinen tietosuojalainsäädäntö koskee miltei poikkeuksetta vain maan omia kansalaisia.

Ongelma on pyritty poistamaan EU:n ja Yhdysvaltojen tietosuojaa koskevalla Safe Harbor -kehyssopimuksella. Yhdysvaltain kauppakomissio pitää yllä palvelua, jossa järjestelyyn liittyneet yritykset on listattuna. Järjestelyn idea on se, että yritykset auditoivat vuosittain toimintansa, jotta se toteuttaa EU:n tietosuojan tason. Samalla EU-alueen kuluttajat saavat vastaavat oikeudet mitä heillä olisi EU-valtiossa toimivia palveluita käyttäessään.

Google Apps for Educationin käyttöehdoissa on mielenkiintoinen tekstinpätkä kohdassa 2.2 käyttöönotto:

Googlen keräämiä tietoja voidaan säilyttää ja käsitellä Yhdysvalloissa tai muissa maissa, joissa Googlella tai sen edustajilla on toimipaikka edellyttäen, että tällaiset toimipaikat täyttävät tietoturvastandardit, jotka ovat vähintään yhtä tiukkoja kuin tietoturva toimipaikoissa, joissa Google säilyttää ja käsittelee omia vastaavia tietojaan. Palveluita käyttämällä Asiakas hyväksyy kaikkien tällaisten tietojen siirtämisen, käsittelemisen ja säilyttämisen.


EU:n komission Safe Harbouria koskeva päätös kuitenkin korostaa, että sopimus ei koske muita maita. 2. artikla:

Tämä päätös koskee ainoastaan Yhdysvalloissa FAQ:iden mukaisesti sovellettavien periaatteiden tietosuojan riittävyyttä siinä tarkoituksessa, että direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimukset täytettäisiin, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten, myöskään 4 artiklan, soveltamiseen.

Huomatkaa, että tekstissä puhutaan maista, ei yrityksistä.

Kun lähtökohta on se, että laissa sanotaan, että henkilötietojen vieminen on sallittua EU:n ulkopuolelle vain jos kyseisessä maassa taataan tietosuojan riittävä taso, vaatimus ei täyty sillä, että tietoja käsittelevä yritys vakuuttaa käsittelevänsä tietoja luotettavasti ja turvallisesti kyseisessä maassa. Tämä sama ongelma koskee kaikkia muitakin vastaavia palveluita kuin Googlen palveluita ja kysymykseen on syytä hakea tietosuojavaltuutetulta kanta.

Kaarinassa mokattiin siinä, ettei edes tajuttu, että käyttäjille pitää tietysti kertoa mihin heidän tietojaan luovutetaan. Sekin olisi pitänyt käyttäjälle kertoa jo Googlen omien ehtojen mukaan, miten ja missä käyttäjän tietoja käsitellään.

Ihmisillä on henkilötietojen käsittelyyn hyvin erilaisia kantoja. Osa toistelee "kun ei tee mitään väärin, ei ole mitään salattavaakaan" -mantraa. Yksikään näin sanoneista ei ole suostunut antamaan minulle vielä pankkitilinsä kirjautumistunnuksia. En pidä tuota argumenttia muutenkaan kauhean hyvänä, koska emme tiedä muuttuvassa maailmassa mikä tieto tulevaisuudessa on kannaltamme arkaluontoinen tai toimii meitä vastaan. Sellainen voi olla esimerkiksi sairaudesta Internetiin kirjoitettu viesti, joka löytää tiensä vääriin käsiin.

Oletetaanpa kuitenkin huvin vuoksi, että "rehellisellä ei ole mitään salattavaa" olisi hyvä argumentti. Sitä vasten on hyvä pohtia, miksi Google Apps for Education -sopimuksessa lukee näin:

10.Julkisuus. Asiakas ei anna julkisia tiedotteita tämän Sopimuksen olemassaolosta tai sisällöstä ilman Googlen etukäteen antamaa kirjallista hyväksyntää. Google voi: (i) liittää Asiakkaan Tuotemerkkiominaisuuksia esittelyihin, markkinointiaineistoon ja asiakasluetteloihin (mukaan lukien muun muassa Googlen Web-sivustoihin sijoitetut asiakasluettelot ja kuvakaappaukset Asiakkaan tavasta käyttää Palvelua) ja (ii) antaa julkisen tiedotteen tämän Sopimuksen olemassaolosta tai sisällöstä. Google toimittaa Asiakkaalle tämän pyynnöstä esimerkin tällaisesta käyttötavasta tai tiedotteesta.

Asiakas ei siis saa kertoa tehneensä tällaisen sopimuksen ilman Googlen etukäteishyväksyntää. Sopii mielestäni aika kehnosti yhteen hallinnon läpinäkyvyyden periaatteen kanssa. Google sen sijaan saa tiedottaa. Hieman epätasapainoinen tila.

Esitän tämän blogahduksen kysymykset myös suoraan Googlelle. Katsotaan tuleeko vastaus ja milloin. Elokuussa 2011 esittämääni kysymykseen siitä, tarkoittaako Googlen ehtojen tarkoittama oikeustoimikelpoisuus sitä, että vain 18 vuotta täyttäneet voivat itsenäisesti ottaa Googlen palvelut käyttöön vai riittääkö 15-vuotiaan rajoitettu oikeustoimikelpoisuus ei ole vieläkään vastattu. Koitan löytää uusia tahoja vastaamaan kysymyksiin, jotta nämä kysymykset eivät vietä ainakaan kovin monia syntymäpäiviä ennen vastaamistaan.

Täysin pihalla - kahdella eri tavalla

Twitter on siitä kiva väline, että siellä törmää muihinkin maailmoihin kuin omaansa. Tänään Petri Kokko twiittasi kehuen Helene Auramon Markkinointi&Mainonta -lehteen kirjoittamaa blogausta. Auramon teksti oli siinä määrin omituinen että se ansaitsee pidemmän kommentin kuin tyly twiittaukseni:

@coccco Kirjoituksen todellinen loistava sisältö on se, että kauppatieteilijä @heleneauramo on iloisesti pihalla. @sannatha#kritiikki

Auramo elää sen verran eri maailmoissa kuin minä, että on syytä avata vähän näkökulmaa. Samalla Petri Kokko saa selvityksen sille, miksi kaikkien, esimerkiksi minun, mielestä teksti ei ole niin loistava.

Kirjoituksen otsikko on "Aika kohdata digitaalinen totuus". Tästä huolimatta kirjoitus käsittelee sekä ostosvalintoja, joissa digitaalinen immateriaalihyödyke ja fyysinen kappale ovat vaihtoehtoisia ostettavia tuotteita sekä vaatteita, joissa ei nyt ihan heti tule mieleen, mitä digitaalisuus voisi tarkoittaa.

Blogahduksen alaotsikko kuuluu "Se, kuinka pihalla olemme, aiheuttaa minussa pelonväristyksiä." Olen samaa mieltä. Aloittakaamme.

Auramo on huolestunut siitä, että kuluttajien käyttäytyminen on hänen mielestään muuttunut siinä määrin, että hänen mielestään "Suomen on aika aukaista silmänsä digitaaliselle todellisuudelle." Referenssiluokaksi Auramo antaa kirjoituksessa vain oman kulutuskäyttäytymisensä. Varsin suppea kuva siitä, mitä todellisuus tarkoittaa. Annan teille kuvan siitä, miltä Auramon esimerkit näyttävät toisesta suppeasta näkökulmasta, omastani. Koko Suomesta en sano mitään.

Hän kertoo oman "digitaalisen" käyttäytymisensä muuttuneen "radikaalisti viimeisen parin vuoden aikana". Kerro, oi Helene, mitä on digitaalinen käyttäytyminen! Digitaalinen tarkoittaa yleiskielessä sitä, että jokin järjestelmä on koottu ykköstä ja nollaa, päällä ja pois, on ja off-tiloista. Onko kyse siitä että et enää syty mistään, maanisdepressiivisyydestä vai mistä on kyse? Vai onko kyse siitä, että siirrettyäsi ostamista nettikauppoihin et enää pääse sormeilemaan (lat. digit=sormi) erilaisia tuotteita?

Ymmärrän toki, että tekstissä tavoitellaan käsitettä verkko-ostoskäyttäytyminen. Auramon tapauksessa digitaalisten immateriaalihyödykkeiden kauppa ei riitä, koska hän muoti-ihmisenä haluaa sisällyttää kirjoitukseensa myös vaatteet.

Katsotaanpa mihin Auramon rahat valuvat ja verrataan sitä minun kulutuskäyttäytymiseeni.

Auramo kirjoittaa:

"Aikakauslehdet: Oma aikakauslehtien tilaamiseni on muuttunut. Luen nykyään enemmän blogeja ja joissain tapauksissa tilaan lehtiä tablettiini. Sitten on vielä Amazon, jossa kirjat voi kätevästi tilata silloin kun huvittaa omalle päätelaitteelle. Rahojani valuu Amazonille noin 30-50€ kuukaudessa."

On selvää, että lukutottumuksemme ovat hyvin erilaiset. Talouteemme tilattiin juuri tanakan keski-ikäistymisen äänenkannattaja Suomen Kuvalehti. Ennestään tuli Tiede-lehti, Maailman kuvalehti, Aku Ankka ja naisväen riemuksi Oma Piha -lehti. Näistä yhtäkään ei tietääkseni saa sähköisenä versiona. Lisäksi tilaamme erilaisia harrastejärjestöjen ja poliittisten järjestöjen lehtiä: Martta, Vapaaehtoinen meripelastaja, Vihreä Lanka. Tilaamatta ja yllättäen tulee tietysti sekalainen määrä kaupan asiakaslehtiä, jotka tosin jää lukematta.

Eipä tunnu näitä saavan sähköisessä muodossa. Hesarin nettiversiota on kiva lukea työmatkalla junassa matkalla Itä-Suomen pääkaupunki Helsinkiin ja Vihreän langan sisältö on myös netissä.

Olennaista: tästä valikoimasta ei saa kuin murto-osan sähköisessä muodossa. Nettiä luen ja käytän työkseni ja totuus on se, että erilaisia nettimedioita tulee luettua liikaakin. En tiedä, minkälaisilla lehdillä sitä nämä sitten korvaisi. 

Olennaisin ero on sisällön tilaaminen lätkään, lättyyn eli tablettiin. Suurin osa näistä tilaamisista on rajoitetun käyttöoikeuden ostamista. Esimerkiksi sisällön lainaaminen toiselle tai kopioiminen itselle toiseen laitteeseen on usein kiellettyä vaikka se kyllä minulta epäilemättä onnistuisi. Pysyttelen moisesta kusetukselta haiskahtavasta liiketoimintamallista erossa ihan vain mukavuussyistä. Olen lukenut ne käyttöehdot heti kättelyssä ja minusta ne olivat ihan hanurista. 

Musiikin kuuntelusta Auramo kirjoittaa:

"Musiikin kuunteluni tapahtuu Spotifyssa ja joissain harvoissa tapauksissa tilaan iTunesin kautta levyjä."

Spotifyta, kuten muitakin musiikin verkkokauppoja voi käyttää ainoastaan laitteilla, joissa on poikkeuksetta helkkarin huono DAC (piirisarja, joka muuttaa digitaalisen äänen vahvistettavaksi kuultavaksi ääneksi). Lisäksi Spotifyssa, myös sen Premium-versiossa on pakkauksen takia isoja puutteita äänenlaadussa. Häviötöntä tallennusmuotoa saa etsiä kissojen ja koirien kanssa. Sen lisäksi että olen kultakorva, en oikein löydä Spotifysta aina haluamaani. Jussi Kari kirjoitti blogissaan siitä, ettei löydä sielä animepoppia. Minä en löydä sieltä rokkibändinuoruuteni verestämiseen tarvittavaa AC/DC:ta enkä toisaalta myöskään muusikkoystävieni uusimpia pikkumerkeille tekemiä klassisen tai jazz-musiikin levytyksiä. 

Vaikka joskus ostankin levyn - ihan oikean CD- tai SACD-levyn - nettikaupasta, minusta on aika luksusta tunkea se levy ihan kunnon soittimeen ja kuunnella sitä keskittyneesti kunnon vehkeistä vaikka minut onkin auktoriteetin osalta kastroitu: en käytännön syistä saa enää yksin sisustaa olohuonetta kahden kaiuttimen ja kuuntelutuolin muodostaman pyhän kolminaisuuden ympärille, kuten kunnon musiikinharrastajan kuuluu tehdä.

iTunesiin pätee sama ennen Spotifysta sanottu. Sen liiketoimintamallihan on se, että samalla hinnalla kuin mitä musiikki maksaisi cd-levyllä, saa pelkästään henkilökohtaisen, voimakkaasti rajoitetun käyttöoikeuden sisältöön ja vielä teknisesti kehnompana kuin cd-levyllä. Ymmärrän, että kaikki eivät ole kultakorvia, mutta tunnen lähinnä myötähäpeää siitä, miten kuluttajat kritiikittä hyväksyvät moisen kusetuksen.

Opiskelustaan Auramo mainitsee: "Valmistuttuani kauppakorkeakoulusta olen alkanut laajentaa opiskelurepertuaariani ulkomaille. Viime vuonna kouluttauduin New Yorkin Institute for Integrative Nutriotionissa health coachiksi. Tällä hetkellä suoritan kurssia virtuaalisesti Stanfordin yliopistossa ja lisäksi otan SEO-luentoja Lynda.comin kautta."

En ymmärrä mitä uutta tässä on. Medium, tiedon välittämisen väline, tässä tapauksesssa Internet, on uusi mutta idea on vanha. Minusta Helene käy sellaisia mitä ennen sanottiin kirjekursseiksi. Se miten tämä liittyy "digitaaliseen" käyttäytymiseen on minulle hämärän peitossa. Suomessakin koulutetaan verkkoavusteisesti mm. sairaanhoitajia ja kirurgeja Internetissä simulaatioiden avustuksella ja tulokset ovat kuulemma hyviä. Sairaanhoitaja tai kirurgi voi sentään hoitaa sen sormen (lat. digit) kuntoon, kuten minun pikkurillini TT-nivelelle tehtiin  huhtikuussa.

Vaatteiden ostamisesta Auramo toteaa:  "Lähes kaikki vaatteeni tilaan tällä hetkellä netin kautta. Näin ainakin arvokkaampien vaatteiden kohdalla, ellen sitten innostu jonkin yksittäisen suomalaisen muotisuunnittelijan vaatteista."

Minä ostan suuren osan vaatteistani nykyään UFFilta tai muilta kirppareilta. Syy: keskivartalostaan paisuvan persjalkaisen kääpiön kannalta on kätevää, että muillakin on sama ongelma. Kirpparin räkistä on sentään toivoa löytää tuumakokoiset farkut, joissa on lyhyet lahkeet tai jonkun valmiiksi lyhentämät. Nk. vaatekaupoissa on kaikissa samaa ryönää, joiden mitoitus on hieman "nuorekkaammille". Kun on yhden kaupan nähnyt, on nähnyt kaikki. Leikkaukset, materiaalit, mallit ja värit näyttävät siltä, että sama fakkiutunut sisäänostaja on ollut asialla joka paikassa. Kirppareilla on ainakin minulle huomattavasti enemmän valinnanvaraa.

Paremmat vaatteet kuten puvut, ulkoiluun tarvittavat vettä pitävät vermeet, urheiluvaatteet ja vastaavat ostan palvelevasta erikoisliikkeestä koska niissä saa tarkastella tuotetta, hypistellä sitä sormin (digit), venytellä kangasta ja ennen kaikkea sovittaa. Kaltaiselleni laiskalle vaatteiden ostajalle asiantunteva myyjä on korvaamaton. Minulla on vieläkin ikävä Turun Aleksi 13-myymälän taannoisen miestenosaston myyjää. Menin keskimäärin kerran vuodessa sinne tyyliin "tarvitsen 2 värillistä kauluspaitaa, yhden valkoisen ja kahdet siistit arkihousut". Kundi katsoi: "Joo-o. Käännys sivuttain... hyvä... ootas hetki - mä haen." Haetuista vaatteista noin 75% miellytti siinä määrin, että ostin ne. Ensin kuitenkin varmistin missä ne oli valmistettu. En osta mitään maista, joissa lapsityövoiman käyttö on ongelma tai joissa lotrataan myrkyllisiä kemikaaleja vaatteisiin siinä määrin, että Euroopassa kontteja avataan kaasunaamarit päässä. Näistä perusasioista ei oikein meinaa verkkokaupoissa saada selvää. Siksi saavat puolestani pitää rättinsä. 

Olennaista vaatteiden ostamisessa on minulle se, että ostan hyvälaatuista bulkkia sieltä mistä saan. Rättihifismi on minulle outoa. Vielä oudompaa minulle on se, että joku viitsii kiinnostua niistä niin paljon että ostaa jatkuvasti halpaa ryönää. Design-vaatteet ja uniikkikappaleet ovat asia erikseen - mutta eikö niitäkin nyt sentään pitäisi sovittaa? Lähetetäänkö niitä sitten eestaas paketeissa jatkuvalla syötöllä?

Viimeisin nettikaupan esimerkkicase on lempparini: "Tuskin lienee yllätys, että Netflix on myös omalla kohdallani tällä hetkellä kova sana. Oma tv:n kulutukseni perustuu siihen, että ohjelmat pitää saada heti, silloin kun itse haluan eikä yhtään myöhemmin. Suomen versio tuntuu tässäkin olevan kovin jäljessä.

Miten voimme Suomessa pysyä mukana tässä muuttuvassa maailmassa, jos emme hyväksy sitä, että tämän kaltaiseen suuntaan olemme joka tapauksessa menossa? Se, että isot yhtiöt vähättelevät Netflixin tai muiden palveluiden uhkia, ei vie asioita eteenpäin."

On siis ikävää, että Suomessa myytävä Netflixin versio on jäljessä muiden maiden vastaavasta. Samaan aikaan kuitenkin se on varteenotettava kilpailija, jonka vähätteleminen ei vie asioita eteenpäin. En ymmärrä lainkaan mikä logiikka tässä on.

Minäpä kerron mihin päin Netflix vie asioita. Se vie niitä taaksepäin. Netflix perustuu teknisesti Microsoftin uppoavaan laivaan, Silverlightiin, jota ei löydy käyttämälleni Linux-käyttöjärjestelmälle. On ymmärrettävää, että Netflixin tapaiseen palveluun halutaan DRM, mutta pakkoko se on tehdä sillä kaikkein vähiten käytetyllä menetelmällä, jolle ei löydy laajaa käyttöjärjestelmätukea. DRM-suojatut palvelut 

Kokonaan oma lukunsa on sitten se, että henkilötietojen luovuttaminen Netflixille on sulaa typeryyttä. Sopimukset tehdään USA:ssa sijaitsevan emoyhtiön kanssa. Netflix ei ole liittynyt EU:n ja USA:n väliseen Safe Harbour-sopimukseen, joka takaa USA:ssa tuotettuja palveluita käyttävillä EU:n kansalaisille saman tietosuojan tason kuin EU-lainsäädäntö takaa. USA:ssa on kehno ja hajanainen tietosuojan taso ja lisäksi se koskee vain omia kansalaisia. Joten siitä vain - ensitöikseen Netflix näyttäisi jakavan tiedot Facebookiin. Onnea vain!  Minä en käytä kumpaakaan - jälkimmäinen kun on rikkonut Safe Harbor-sopimuksen ehtoja useamman kerran.

Netflixin tekninen toteutus häviää 6-0 kotimaisille toimijoille, kuten Elisa viihteelle, vaikka sen ohjelmia ei voi katsoa kuin Elisan omalla boksilla tai vaikka Tv-kaistalle, joka on osannut toteuttaa tekniikkaansa kokonaan ilman DRM:ää. Kuvastream on pakattu pehmeäksi mössöksi mutta se on korjattavissa. Tärkeää on se, että TV-kaistan ohjelmia voi katsoa millä vain ja niitä voi myös tallentaa omalle koneelle. Netflixin sisällöstä olen kuullut lähinnä että "vanhaa skeidaa". 

Sitä voi olla niin monella tavalla pihalla. Minun pihaltani on vaikea nähdä, että Helenen pihalla paistaa aivan erilainen aurinko. Sitä minä ennen kaikkea en ymmärrä, että miksi se nyt olisi niin iso ongelma, että osa kaupasta siirtyy ulkomaille, etenkään jos kyse on bulkkiryönästä. Olennaista on se, mitä me myymme ulos tästä maasta. Markkina-alueemme koosta johtuen bulkkiryönän myymisen verkkokauppakonseptit eivät välttämättä ole se, josta voimme tehdä elantomme. Olennaisempaa on tehdä sitä, mitä muut eivät osaa tehdä niin hyvin kuin me ja myydä sitä - verkkokaupoissa ja muutenkin. Tällaisten tuotteiden tekeminen on, anteeksi nyt vain Helene, aivan toista kuin valitus siitä, miten jälkijättöisiä verkkokaupan rakenteemme ovat.