Internet ei kirjaimellisesti tunne rajoja – siksi niiden sulkeminen on vaikeaa digitaalisesti

4TehtaankatuW

Fyysisessä maailmassa on helppoa vetää valtioiden välisiä rajoja vaikkapa sopivasti sijaitsevan joen kohdalle. Rajaa voi myös valvoa. Digitaalisessa maailmassa tällaisia rajoja ei ole, ja siksi startup-piirien hehkuttama ”disruptio” on hiipinyt myös valtion riesoiksi. Disruptiolla kuvataan uusien teknologioiden ja toimintamallien mahdollistamaa muutosta perinteisillä toimialoilla. Disruptio muovaa parasta aikaa esimerkiksi taksialaa (Uber) ja hotellibisnestä (Airbnb).

Internet ei maailmanlaajuisena tietoverkkojen järjestelmänä juuri piittaa yksittäisen valtion lainsäädännöstä. Valtiovalta saattaa olla esimerkiksi huolissaan kansalaistensa henkilötietoja käsitellystä jossain vieraassa valtiossa. Euroopan unioni rajoittaa henkilötietojen luovutuksia Euroopan talousalueen ulkopuolelle (lue aiempi kirjoitus Privacy Shieldistä) vedoten siihen, että kolmansissa maissa eurooppalaisten henkilötiedot eivät välttämättä saa riittävää suojaa.

Yleisesti tästä ilmiöstä voidaan puhua ”datalokalisaationa” eli lakisääteisenä vaatimuksena käsitellä henkilötietoja ensisijaisesti tietyn alueen tai valtion sisällä. Euroopan unionin lisäksi hyvin merkittävää datalokalisaatiolainsäädäntöä on esimerkiksi Venäjällä ja Brasiliassa.

Yritysten kannalta datalokalisaation haitalliset vaikutukset koskevat erityisesti pilvipalveluiden hankkimista. Pilvipalveluiden yleistymisen myötä harva suomalainen yritys omistaa enää fyysistä palvelinta. Kaikki tiedot tallentuvat palveluntarjoajan palvelimille johonkin datakeskukseen, joka ei välttämättä ole Suomessa – tai edes Euroopan talousalueella.

Pilvipalvelun hyötyjä on omista palvelimista ja laitteistoista eroon pääsemisen lisäksi esimerkiksi kustannuksia laskevat mittakaavaedut, kuten kapasiteetin joustava skaalautuminen asiakkaan tarpeiden mukaan. Nämä hyödyt saadaan keskittämällä palvelimet massiivisiin datakeskuksiin, joista pilvipalveluja voidaan tarjota käyttäjille hyvin laajalla maantieteellisellä alueella tai jopa globaalisti.

Venäjän viime vuonna voimaan tullut datalokalisaatiolainsäädäntö edellyttää, että kaikki Venäjän kansalaisten henkilötiedot säilytetään ja käsitellään ensivaiheessa Venäjällä sijaitsevissa tietokannoissa. Tämä tarkoittaa käytännössä sitä, että itänaapurissa toimivat yritykset eivät voi välttämättä suoraan hyödyntää sellaisia pilvipalveluja, joiden palvelimet ovat maan rajojen ulkopuolelta. Yritykset joutuvat sen sijaan joko pyörittämään palvelimiaan itse Venäjällä tai toimimaan sellaisen palveluntarjoajan kanssa, jonka datakeskus on Venäjällä. Markkina-alueen rajallisuudesta johtuen merkittävät skaalaedut ja kustannussäästöt jäävät helposti Venäjällä toimivien yritysten ulottumattomiin. Kyse on varsin merkittävistä summista.

Datalokalisaatiolla on merkittävät kansantaloudelliset vaikutukset, sillä henkilötietojen luovutuksen maantieteellisistä rajoituksista ja kielloista yrityksille aiheutuvat lisäkustannukset jäävät viime kädessä kuluttajien maksettavaksi. Viime vuonna julkaistussa ECIPE:n tutkimuksessa ”Data Localisation in Russia: A Self-imposed Sanction” todettiin, että Venäjän datalokalisaatiolainsäädäntö aiheuttaa vuosittain noin 5 miljardin euron menetykset maan bruttokansantuotteelle. Vuosikymmenen aikana kertyvä summa vastaa siis hurjimpia arvioita Sotshin talviolympialaisten kokonaiskustannuksista.

Internet on sen luonteesta johtuen lainsäätäjille erittäin vaikea pala purtavaksi. Data ei ole fyysinen esine, joka voitaisiin esimerkiksi pysäyttää tullissa, kuten vaikkapa rahtikontillinen perunoita. Datalokalisaatio onkin valtiollisten toimijoiden harvoja keinoja pyrkiä varmistamaan, että kansalaisten henkilötietoja käsitellään valtion tietosuojalainsäädännön mukaisella tavalla. Venäjän kokemus kuitenkin osoittaa, miten suuret taloudelliset vaikutukset datan luovutusten rajoittamisella voi olla.

Lähitulevaisuuden kehitys vaikuttaa siltä, että järeät datalokalisaatiopykälät kiinnostavat yhä enemmän lainsäädäntöelimiä eri puolilla maailmaa. Viimeisimpänä tapauksena on Ranska. Pariisissa pohditaan parhaillaan EU:n tietosuoja-asetuksesta erillistä lainsäädäntöä, joka rajoittaisi merkittävästi ranskalaisten henkilötietojen luovutuksia Euroopan talousalueen ulkopuolelle.

Henkilötietojen luovutusten rajoituksilla on, lainsäätäjän hyvistäkin tarkoituksista huolimatta, huomattava negatiivinen vaikutus talouteen. Esimerkiksi juuri pilvipalveluiden hankkiminen on mahdollisimman kannattavaa, jos tarjolla on laaja digitaalinen yhteismarkkina lukuisine palveluntarjoajineen. Datalokalisaation uhkana on tämän digitaalisen yhteismarkkinan pirstaloituminen, kun valtiot pyrkivät piirtämään rajojaan digitaaliseen maailmaan. Voidaankin sanoa, että datalokalisaatiossa on kyse eräänlaisesta käänteisestä globalisaatiosta.