Kolumnit

Riippuu vähän laitteesta

Niko Vartiainen

6.10.2026 | Lukuaika: 3 minuuttia

Onko kamera tietojärjestelmä? Vai onko se pelkästään laite?

Myös tällaisten rajanvetojen äärelle voi päätyä, kun on kiinnostunut teknologiasta ja tietoturvasta arkisessa ympäristössämme.

Tiedonhallintalaki edellyttää viranomaista varmistamaan, että sen hankkimassa tietojärjestelmässä on toteutettu asianmukaiset tietoturvallisuustoimenpiteet.

Juttusarjaa kiinalaisesta teknologiasta kirjoittaessani halusin tietää, koskeeko tuollainen velvollisuus myös vaikkapa valvontakameroita ja drooneja. Kysymys on ajankohtainen, sillä esimerkiksi poliisi lennättää ja ostaa drooneja koko ajan enemmän. Droonit ovat pääosin kiinalaisia, koska ne ovat poliisin mukaan parhaita tarjolla olevia laitteita poliisin käyttötarkoituksiin, vaikka niiden tietoturvariskit tiedostetaankin. Myös Helsingin kaupungin kohteissa yleisimpien kamerajärjestelmien joukossa ovat kiinalaiset Hikvision ja Dahua.

Laki määrittelee tietojärjestelmän kokonaisjärjestelyksi, joka koostuu laitteista, ohjelmistoista ja muusta tietojenkäsittelystä.

Osana selvittelyitäni päädyin kysymään tiedonhallintalain valmistelleelta valtiovarainministeriöltä, onko valvontakamera tai drooni laissa tarkoitettu tietojärjestelmä. Sain pohdiskelevan, lainsäädäntöneuvokselle sopivan vastauksen: ”Kysymykseesi ei ole olemassa yksiselitteistä vastausta, vaan asiaa on arvioitava tapauskohtaisesti.”

Laki nimittäin määrittelee tietojärjestelmän kokonaisjärjestelyksi, joka koostuu laitteista, ohjelmistoista ja muusta tietojenkäsittelystä.

Ministeriön mukaan kamerakokonaisuus, johon kuuluu tallennin, hallintaohjelmisto ja käyttäjätunnukset, ”sopinee silloin luontevasti lain tietojärjestelmän määritelmään”.

Arvion siitä, onko laite vain laite vaiko kokonaisjärjestely, tekee hankkiva viranomainen.

Entäpä drooni? Sen arviointi lienee ministeriön mukaan vielä tapauskohtaisempaa. Jos drooni kantaa kameraa, prosessoria ja ohjelmistoa sekä kommunikoi pilvipalvelun kanssa, kokonaisuus ”alkaa muistuttaa laissa tarkoitettua kokonaisjärjestelyä”.

Mutta arvion siitä, onko laite vain laite vaiko kokonaisjärjestely, tekee hankkiva viranomainen. Kaksi virastoa voi ostaa saman laitteen ja päätyä eri lopputulokseen.

Lain kyberturvallisuusvelvoitteissa käsite on väljempi. Niissä tietojärjestelmäksi riittää yksittäinen laite, joka käsittelee ohjelman avulla digitaalista tietoa. Esimerkiksi valtion viraston ja hyvinvointialueen on siis hallittava kameroidensa ja drooniensa kyberriskejä hankinnasta ylläpitoon ja otettava huomioon myös laitteiden toimittajien kyberturvallisuuskäytännöt. Traficom valvoo, että näin tehdään.

Toimittajalla on väliä, koska laitteen valmistaja ei katoa kaupan jälkeen vaan päivittää sen ohjelmistoa. Nykyaikaisen laitteen ostaja harvoin pystyy tarkastamaan kaikkea, mitä päivityksessä on.

Näitä velvoitteita ei tosin sovelleta muun muassa Puolustusvoimiin, poliisiin tai Rajavartiolaitokseen. Kiinnostavaa kyllä, myöskään kunnat eivät kuulu velvoitteiden piiriin.

Onko robotti tietojärjestelmä vai pelkkä laite? Kuka sen kyberturvaa arvioi?

Kamerat ja droonit ovat yhteiskunnassamme jo arkea. Seuraavaksi tulevat robotit, ja ne jos jotkin keräävät ja käsittelevät digitaalista tietoa ympäristöstämme. Esimerkkinä poimittakoon vaikkapa Tampereen kaupungin digitiekartta, jossa luvataan laajentaa päiväkotien robottikokeiluja.

Sitra, Espoo, Oulu, Tampere ja Turku käynnistivät syyskuussa yhteistyön fyysisen tekoälyn eli robottien ja koneiden tekoälyn vauhdittamiseksi. Vauhtia halutaan lisää, mutta tietoturvaa hankkeen tiedotteessa ei mainita kertaakaan.

Kun kunta ostaa päiväkotiin robotin, tiedonhallintalain kyberturvallisuusvelvoitteet eivät vaadi sitä arvioimaan robotin toimittajaa. Hyvinvointialueen vanhuspalveluissa sama robotti kuuluisi niiden piiriin.

Onko robotti tietojärjestelmä vai pelkkä laite? Kuka sen kyberturvaa arvioi?

Riippuu, kuka robottia käyttää.

Kirjoittaja on koulutukseltaan juristi, Uuden Jutun toimittaja ja Helsingin yliopiston väitöskirjatutkija