KKO:2022:23

Asian käsittely alemmissa oikeuksissa

Helsingin käräjäoikeuden päätös 10.5.2019 nro 1077

A Oyj tarjosi virtuaalisen erillisverkon (Virtual Private Network, VPN) avulla toteutettavaa, palvelun käyttäjän todellisen IP-osoitteen salannutta palvelua. Keskusrikospoliisi oli 15.1.2019 Saksan keskusrikospoliisin oikeusapupyynnön johdosta määrännyt pakkokeinolain 7 luvun 1 ja 21 §:n nojalla takavarikoitavaksi A Oyj:n hallussa ollutta lokitietoa siitä, mihin IP-osoitteeseen datan säilyttämismääräyksessä mainittu IP-osoite oli ollut yhteydessä tiettyinä ajankohtina. A Oyj saattoi takavarikon lainmukaisuuden käräjäoikeuden tutkittavaksi. A Oyj vaati, että takavarikko kumotaan ja takavarikolla haltuun saadut tiedot tuhotaan.

Käräjäoikeuden mukaan keskusrikospoliisin takavarikoimat tiedot olivat viestin välitystietoja, jotka A Oyj:llä oli ollut hallussaan viestinnän välittäjänä. Näin ollen A Oyj:llä ei ollut ollut sähköisen viestinnän palveluista annetun lain 136 §:n perustella oikeutta käsitellä niitä. Keskusrikospoliisilla ei ollut ollut oikeutta takavarikoida tietoja. Kysymyksessä olevien tietojen hankinnassa oli käytettävä pakkokeinolain 10 luvussa säädettyjä keinoja.

Käräjäoikeus katsoi, että takavarikolle ei ollut laillisia edellytyksiä ja määräsi takavarikon kumottavaksi ja haltuun saadut tiedot hävitettäväksi.

Asian ovat ratkaisseet käräjätuomarit Essi Konttinen-Di Nardo, Johanna Nevalainen ja Petteri Plosila.

Helsingin hovioikeuden päätös 21.10.2020 nro 1445

Hovioikeus katsoi käräjäoikeuden tavoin, että A Oyj:tä oli pidettävä sähköisen viestinnän palveluista annetun lain 3 §:n 36 kohdan tarkoittamana muuna tahona, joka välittää sähköistä viestintää muutoin kuin henkilökohtaisiin tai niihin verrattaviin tarkoituksiin. Hovioikeus katsoi lisäksi, että pakkokeinolain 7 luvun 4 §:n 1 momentissa säädetty takavarikoimis- ja jäljentämiskielto koski teleyritysten ja yhteisötilaajien lisäksi myös muita viestinnän välittäjiä. Kun otettiin huomioon A Oyj:n tarjoaman palvelun luonne yksityisyyden suojaa parantavana lisäpalveluna, takavarikoituja tietoja ei voitu pitää pelkästään takavarikoitavissa olevina asiakastietoina. Hovioikeuden mukaan keskusrikospoliisin takavarikoimat VPN-palveluun tunnistautumisen yhteydessä tallentuvat lokitiedot oli katsottava luottamuksellisen viestinnän suojan piiriin kuuluviksi viestinnän välitystiedoiksi.

Hovioikeus katsoi, ettei käräjäoikeuden ratkaisua takavarikon kumoamisesta ja takavarikoitujen tietojen määräämisestä hävitettäväksi ollut syytä muuttaa.

Asian ovat ratkaisseet hovioikeudenneuvokset Terhi Mattila ja Heikki Rautiola sekä asessori Jaakko Jylhä.

Muutoksenhaku Korkeimmassa oikeudessa

Keskusrikospoliisille myönnettiin valituslupa.

Valituksessaan keskusrikospoliisi vaati, että hovioikeuden päätös kumotaan ja takavarikolle vahvistetaan olleen lailliset edellytykset.

A Oyj vaati vastauksessaan, että valitus hylätään.

Korkeimman oikeuden ratkaisu

Perustelut

Asian tausta

1. A Oyj:n tarjoama palvelu on virtuaalinen erillisverkko (Virtual Private Network, VPN), joka salaa palvelun käyttäjien todellisen IP-osoitteen internetissä. Palvelu luo salauksen käyttäjän päätelaitteen ja VPN-yhteyden välille. Kun liikenne tulee internetiin palvelun VPN-yhteyden kautta, ulkopuoliset havainnoitsijat eivät pysty päättelemään liikenteestä muuta kuin sen, että se tulee VPN-palvelun reitityspisteestä.

2. Saksan keskusrikospoliisi on tutkinut epäiltyä törkeää lapsen seksuaalista hyväksikäyttöä koskevaa asiaa. Tutkinnassa oli tullut esiin VPN-palvelun IP-osoite. Keskusrikospoliisi on Saksan viranomaisten kiireellisen oikeusapupyynnön johdosta 14.1.2019 antamallaan datan säilyttämismääräyksellä määrännyt A Oyj:n säilyttämään kyseiseen IP-osoitteeseen liittyvät käyttäjätiedot, rekisteröintitiedot ja lokitiedot tiettynä kolmena ajankohtana.

3. Keskusrikospoliisi on tämän jälkeen 15.1.2019 tekemällään takavarikkopäätöksellä määrännyt otettavaksi haltuun tai jäljennettäväksi A Oyj:n hallussa ollutta lokitietoa siitä, mihin IP-osoitteeseen datan säilyttämismääräyksessä mainittu IP-osoite oli ollut yhteydessä mainittuina aikoina.

Korkeimmassa oikeudessa ratkaistavana oleva kysymys

4. Korkeimmassa oikeudessa on ratkaistavana kysymys siitä, ovatko edellä kerrotut tiedot pakkokeinolain 7 luvun 1 §:n nojalla takavarikoitavissa A Oyj:n hallusta vai koskeeko näitä tietoja saman luvun 4 §:n mukainen takavarikoimiskielto.

Sovellettavat pakkokeinolain säännökset

5. Takavarikoimisesta ja asiakirjan jäljentämisestä säädetään pakkokeinolain 7 luvussa. Kyseisen luvun 1 §:n 1 momentin 1 kohdan mukaan esine, omaisuus tai asiakirja voidaan takavarikoida, jos on syytä olettaa, että sitä voidaan käyttää todisteena rikosasiassa. Pykälän 2 momentin mukaan mitä 1 momentissa säädetään, koskee myös tietoa, joka on teknisessä laitteessa tai muussa vastaavassa tietojärjestelmässä taikka sen tallennusalustalla (data).

6. Pakkokeinolain 7 luvun 4 §:ssä säädetään muun ohella telekuunteluun ja televalvontaan liittyvistä takavarikoimis- ja jäljentämiskielloista. Pykälän 1 momentin mukaan viestintämarkkinalain (393/2003) 2 §:n 21 kohdassa tarkoitetun teleyrityksen (teleyritys) tai sähköisen viestinnän tietosuojalain (516/2004) 2 §:n 11 kohdassa tarkoitetun yhteisötilaajan (yhteisötilaaja) hallusta ei saa takavarikoida tai jäljentää asiakirjaa tai dataa, joka sisältää muun ohella sanotun lain 10 luvun 3 §:n 1 momentissa tarkoitettuun viestiin liittyviä tietoja taikka mainitun luvun 6 §:n 1 momentissa tarkoitettuja tunnistamistietoja. Säännöksen perustelujen mukaan (HE 222/2010 vp s. 276) kielto olisi selvyyden vuoksi tarpeen sen korostamiseksi, että takavarikolla ei saa kiertää telepakkokeinojen käytölle laissa asetettua korkeaa kynnystä. Pykälän 2 momentin mukaan poikkeuksesta 1 momentissa tarkoitettuun takavarikoimiskieltoon säädetään 10 luvun 4 §:n 1 momentissa.

7. Pakkokeinolain 10 luvussa säädetään salaisista pakkokeinoista, joihin kuuluvat telepakkokeinot eli 10 luvun 3 §:n tarkoittama telekuuntelu, 4 §:n tarkoittama tietojen hankkiminen telekuuntelun sijasta ja 6 §:n tarkoittama televalvonta. Pakkokeinolain 10 luvussa säädetään lisäksi telepakkokeinojen osalta noudatettavasta menettelystä. Toisin kuin takavarikosta tai asiakirjan jäljentämisestä, josta pakkokeinolain 7 luvun 7 §:n mukaan päättää pidättämiseen oikeutettu virkamies, telekuuntelusta, tietojen hankkimisesta telekuuntelun sijasta ja televalvonnasta päättää 10 luvun 5 ja 9 §:n nojalla tuomioistuin pidättämiseen oikeutetun virkamiehen vaatimuksesta.

Asian arviointi

A Oyj:n asema viestintätapahtumassa

8. Takavarikoimiskielto koskee pakkokeinolain 7 luvun 4 §:n mukaisesti teleyrityksen tai yhteisötilaajan hallussa olevaa dataa, joka sisältää muun muassa lain 10 luvun 6 §:n 1 momentissa tarkoitettuja tunnistamistietoja. Pakkokeinolain 7 luvun 4 §:ssä viitataan teleyrityksen osalta viestintämarkkinalakiin (393/2003) ja yhteisötilaajan osalta sähköisen viestinnän tietosuojalakiin (516/2004). Kyseiset lait on kumottu sähköisen viestinnän palveluista annetulla lailla. Mainitun lain siirtymäsäännöstä koskevan 352 §:n 1 momentin mukaan, jos muussa laissa viitataan tällä lailla kumottuun lakiin, viittauksen on katsottava tarkoittavan tämän lain vastaavaa säännöstä. Sähköisen viestinnän palveluista annetun lain 3 §:ään sisältyy teleyritystä (27 kohta) ja yhteisötilaajaa (41 kohta) koskevat määritelmät sekä niiden lisäksi viestinnän välittäjää koskeva määritelmä (36 kohta).

9. Teleyrityksellä tarkoitetaan määritelmän mukaisesti sitä, joka tarjoaa verkkopalvelua tai viestintäpalvelua ennalta rajaamattomalle käyttäjäpiirille eli harjoittaa yleistä teletoimintaa. Puitedirektiivin 2002/21/EY 2 artiklan c alakohdassa on sähköisellä viestintäpalvelulla määritelty tarkoitettavan muun ohella tavallisesti korvausta vastaan suoritettuja palveluita, jotka muodostuvat kokonaan tai pääosin signaalien siirtämisestä sähköisissä viestintäverkoissa. Unionin tuomioistuin on katsonut, että kysymys ei ole pääosin signaalien siirtämisestä sähköisissä viestintäverkoissa ja siten sähköisestä viestintäpalvelusta esimerkiksi silloin, kun internetpohjaisen sähköpostipalvelun tarjoaja liittää sähköpostiosoitteisiin niitä vastaavat päätelaitteiden IP-osoitteet tai jakaa viestit tietopaketeiksi ja saattaa ne internetiin tai vastaanottaa ne sieltä (tuomio 13.6.2019, Google, C-193/18, EU:C:2019:498, 37 kohta).

10. A Oyj:n VPN-palvelussa ei ole kysymys kokonaan tai pääosin signaalien siirtämisestä sähköisessä viestintäverkossa. A Oyj:n VPN-palvelu ei siten ole viestintäpalvelu eikä A Oyj toimi viestintätapahtumassa teleyrityksenä. Korkein oikeus katsoo, että A Oyj:tä ei voida myöskään pitää yhteisötilaajana, jonka voitaisiin määritelmän tarkoittamalla tavalla katsoa tilaavan viestintäpalvelua tai lisäarvopalvelua käsitellessään viestintäverkossaan käyttäjien viestejä, välitystietoja tai sijaintipalveluita.

11. Viestinnän välittäjällä tarkoitetaan sähköisen viestinnän palveluista annetun lain 3 §:n mukaan teleyrityksen ja yhteisötilaajan lisäksi sellaista muuta tahoa, joka välittää sähköistä viestintää muutoin kuin henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin.

12. Sähköisen viestinnän palveluista annetun lain yleisperusteluiden mukaan tarkoituksena on ollut ulottaa viestinnän tietosuojalain sääntely teleyritysten, yhteisötilaajien ja lisäarvopalveluiden tarjoajien lisäksi kaikkiin muihinkin tahoihin, jotka välittävät viestintää (HE 221/2013 vp s. 62). Yksityiskohtaisten perusteluiden mukaan lain soveltamisala tulisi sääntelyn myötä laajenemaan siten, että lain soveltamisen piirissä olisivat teleyritysten ja yhteisötilaajien lisäksi myös sellaiset tahot, joiden palvelu perustuu luottamukselliseen viestinnän välittämiseen tietyn sähköisen palvelun sisälläkin. Määritelmällä kuvataan ne tahot, jotka ovat luottamuksellisen viestinnän suojan kannalta kriittisessä asemassa (HE 221/2013 vp s. 92).

13. Asiassa on ilmennyt, että VPN-palveluun tunnistautumiseen ja VPN-yhteyden avaamiseen liittyy vaiheita, jotka ovat käyttäjän päätelaitteelle asennetun ohjelmiston ja VPN-palvelun ohjelmiston välistä teknistä viestintää. Tältä osin kysymys ei kuitenkaan ole VPN-palvelun toiminnan kannalta merkityksellisestä sähköisestä viestinnästä, vaan välttämättömästä VPN-palvelun käyttöönottoon liittyvästä välivaiheesta, joka edeltää VPN-palvelun toiminnan ja siten myös palvelun käyttäjän kannalta merkityksellistä sähköistä viestintää. Tällaisena viestintänä on sen sijaan pidettävä käyttäjän VPN-palvelun salaaman IP-osoitteen avulla kolmannen osapuolen kanssa internetissä tapahtuvaa viestintää. A Oyj välittää tämän viestinnän VPN-palvelun kautta, ja A Oyj:tä on tämän vuoksi pidettävä VPN-palvelun tarjoamisen osalta sähköisen viestinnän palveluista annetussa laissa tarkoitettuna sähköisen viestinnän välittäjänä.

Pakkokeinolain 7 luvun 4 §:n takavarikoimis- ja jäljentämiskiellon soveltuminen sähköisen viestinnän välittäjään

14. Suomen perustuslain 10 §:n mukaan kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on loukkaamaton, mutta lailla voidaan säätää välttämättömistä rajoituksista viestin salaisuuteen muun muassa yksilön tai yhteiskunnan turvallisuutta vaarantavien rikosten tutkinnassa. Yksityiselämää suojataan myös Euroopan ihmisoikeussopimuksen 8 artiklassa.

15. Euroopan ihmisoikeustuomioistuimen ratkaisukäytännön mukaan sopimuksen 8 artiklan 1 kappaleessa mainitut yksityiselämän ja kirjeenvaihdon käsitteet pitävät sisällään sekä puhelinviestinnän, sähköpostiviestinnän että muun luottamukselliseksi tarkoitetun sähköisen viestinnän (mm. Liberty ja muut v. Yhdistynyt Kuningaskunta, 1.7.2008). Suojan piirissä ovat viestinnän sisällön lisäksi viestinnän tunnistamistiedot, joihin sisältyy myös internetin käyttäjän dynaaminen IP-osoite. Tällaisen IP-osoitteen haltijan yksilöiminen saattaa yhdistyä pääsyyn sellaiseen dataan, joka itsessään koskee tiettyä, käyttäjän yksityiselämän suojaa nauttivaa viestintää (Benedik v. Slovenia, 24.7.2018, kohdat 108 ja 113). Ihmisoikeustuomioistuin on antanut yksityiselämän suojan alaa arvioidessaan merkitystä myös yksilön perustellulle odotukselle yksityisyytensä kunnioittamisesta ja suojaamisesta viestintätapahtumassa (Benedik v. Slovenia, kohdat 101, 115 ja 117).

16. Unionin tuomioistuimen sähköisen viestinnän tietosuojadirektiivin 2002/58/EY tulkintaa koskevassa oikeuskäytännössä on korostettu viestinnän luottamuksellisuutta osana unionin perusoikeuskirjan 7 artiklan mukaista yksityiselämän kunnioittamisen sekä 8 artiklan mukaista henkilötietojen suojaa. Oikeuskäytännön mukaisesti ainoastaan vakavan rikollisuuden torjumista tai yleiseen turvallisuuteen kohdistuvien vakavien uhkien ehkäisemistä koskevilla tavoitteilla voidaan perustella se, että viranomaisille annetaan tätä koskevan kansallisen lainsäädännön nojalla oikeus saada sellaisia liikenne- ja paikkatietoja, joiden muodostama kokonaisuus voi mahdollistaa yksityiskohtaisten päätelmien tekemisen sähköisen viestintävälineen käyttäjän yksityiselämästä (tuomio 21.12.2016, Tele2 Sverige ja Watson ym., C-203/15 ja C-698/15, EU:C:2016:970, 99 kohta, tuomio 2.10.2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, 54 kohta, tuomio 2.3.2021, Prokuratuur, C-746/18, EU:C:2021:152, 35 kohta).

17. Sen takaamiseksi, että näitä edellytyksiä noudatetaan täysimääräisesti, olennaista on, että viranomaisten tietojensaanti edellyttää tuomioistuimen tai sitovia päätöksiä tekevän riippumattoman hallinnollisen elimen etukäteisvalvontaa ja sitä, että ratkaisu annetaan perustellusta pyynnöstä (tuomio 6.10.2020, La Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 189 kohta ja Prokuratuur, 51 kohta).

18. Pakkokeinolain 7 luvun 4 §:n takavarikoimis- ja jäljentämiskielto koskee sanamuotonsa mukaisesti vain teleyrityksiä ja yhteisötilaajia. Säännöksen perusteluissa takavarikoimiskieltoa perustellaan sillä, että perusoikeuksiin puuttuvan luonteensa vuoksi telekuuntelu ja televalvonta ovat korkean kynnyksen takana. Nämä pakkokeinot tulevat tämän vuoksi yleensä kysymykseen vain vakavien rikosten selvittämisessä tuomioistuimen päätöksellä, eikä takavarikolla saa kiertää telepakkokeinojen käytölle laissa asetettua korkeaa kynnystä (HE 222/2010 vp s. 276).

19. Tässä tapauksessa viestintätapahtuman osapuoli ei tule itse tietoiseksi takavarikosta, eikä hänellä tämän johdosta ole mahdollisuutta saattaa takavarikon oikeellisuutta tuomioistuimen tutkittavaksi pakkokeinolain 7 luvun 15 §:n mukaisesti.

20. Edellä selostetuista sähköisen viestinnän palveluista annetun lain perusteluista käy ilmi, että viestinnän tietosuojasääntely on lainmuutoksella ulotettu teleyhtiöiden ja yhteisötilaajien lisäksi myös muihin viestinnän välittäjiin, joiden on katsottu olevan luottamuksellisen viestinnän kannalta kriittisessä asemassa. Pakkokeinolain 7 luvun 4 §:n takavarikoimiskieltoa koskevan säännöksen perusteluista käy puolestaan ilmi lainsäädännön tavoite estää se, että takavarikolla kierretään telepakkokeinojen käytölle laissa asetettua korkeaa kynnystä. Vaikka pakkokeinolakia ei ole nyt sovellettavilta osin muutettu terminologisesti vastaamaan sähköisen viestinnän palveluista annettua lakia, säännöstä on johdonmukaista ja takavarikoimiskieltoa koskevan tavoitteen mukaista tulkita siten, että se koskee teleyhtiöiden ja yhteisötilaajien lisäksi muitakin sähköistä viestintää välittäviä tahoja.

21. Näistä syistä Korkein oikeus katsoo, että pakkokeinolain 7 luvun 4 §:n takavarikoimiskielto koskee teleyritysten ja yhteisötilaajien lisäksi myös sähköisen viestinnän palveluista annetun lain 3 §:n 36 tarkoittamia viestinnän välittäjiä ja siksi myös A Oyj:tä VPN-palvelun tarjoajana.

Ovatko takavarikoidut lokitiedot tunnistamistietoja

22. Pakkokeinolain 7 luvun 4 §:n mukainen takavarikoimiskielto koskee muun muassa dataa, joka sisältää lain 10 luvun 6 §:n 1 momentissa tarkoitettuja tunnistamistietoja. Pakkokeinolain 10 luvun 6 §:n 1 momentin mukaan tunnistamistiedolla tarkoitetaan sähköisen viestinnän palveluista annetun lain 3 §:n 7 kohdassa tarkoitettuun käyttäjään tai mainitun pykälän 30 kohdassa tarkoitettuun tilaajaan yhdistettävissä olevaa viestiä koskevaa tietoa, jota viestintäverkoissa käsitellään viestien siirtämiseksi, jakelemiseksi tai tarjolla pitämiseksi.

23. Sähköisen viestinnän palveluista annetun lain 3 §:n 40 kohdan mukaan välitystiedolla tarkoitetaan muun ohella oikeus- tai luonnolliseen henkilöön yhdistettävissä olevaa tietoa, jota käsitellään viestin välittämiseksi. Säännöksen perusteluista (HE 221/2013 vp s. 95) ilmenee, että välitystiedolla tarkoitetaan tässä yhteydessä samaa asiaa kuin tunnistamistiedolla, joista säädettiin pakkokeinolain lisäksi kumotussa sähköisen viestinnän tietosuojalaissa.

24. Keskusrikospoliisin 15.1.2019 tekemä takavarikkopäätös koskee lokitietoa siitä, mihin IP-osoitteeseen datan säilyttämismääräyksessä mainittu IP-osoite on ollut yhteydessä tiettynä kolmena ajankohtana.

25. Pakkokeinolain esitöissä IP-osoitteita on pidetty esimerkkinä tiedosta, joka voidaan yhdistää tiettyyn käyttäjään tai tilaajaan (HE 222/2010 vp s. 317). Unionin tuomioistuimen käytännössä IP-osoite on katsottu sekä henkilö- että liikennetiedoksi (La Quadrature du Net, 152 kohta ja tuomio 17.6.2021, M.I.C.M., C-597/19, EU:C:2021:492, 113 kohta). Vaikka tämänkaltaisten viestin tunnistamistietojen on sinänsä katsottu olevan viestin salaisuutta koskevan perusoikeuden ydinalueen ulkopuolella (PeVL 66/2010 vp s. 7), edellä kohdissa 15 ja 16 todetun mukaisesti sekä Euroopan ihmisoikeustuomioistuimen että unionin tuomioistuimen oikeuskäytännöstä käy ilmi, että tällaisen tiedon yhdistäminen muihin saatavilla oleviin tietoihin voi mahdollistaa yksityiskohtaisten päätelmien tekemisen viestintäpalvelun käyttäjän yksityiselämästä. Lisäksi A Oyj:n VPN-palvelun anonymisoiva luonne on omiaan synnyttämään käyttäjälle perusteltuja odotuksia yksityisyytensä kunnioittamisesta ja suojaamisesta viestintätapahtumassa. Näiden seikkojen vuoksi Korkein oikeus katsoo, että tiedot kuuluvat yksityiselämän suojan alaan.

26. A Oyj:n VPN-palvelussa käsitellään IP-osoitteita viestien välittämiseksi, ja tilaajan käyttämä IP-osoite on yhdistettävissä internetliittymän haltijaan. Korkein oikeus katsoo, että takavarikoidut lokitiedot ovat siten pakkokeinolain tarkoittamia tunnistamistietoja.

Johtopäätös

27. Edellä mainituilla perusteilla Korkein oikeus katsoo, että A Oyj:n VPN-palvelun IP-osoitetta koskevien lokitietojen takavarikoiminen tai jäljentäminen käytettäväksi rikosasian todisteena on pakkokeinolain 7 luvun 4 §:n 1 momentin nojalla kiellettyä.

Päätöslauselma

Hovioikeuden päätöksen lopputulosta ei muuteta.

Asian ovat ratkaisseet oikeusneuvokset Juha Häyhä, Mika Ilveskero, Juha Mäkelä, Timo Ojala ja Alice Guimaraes-Purokoski. Esittelijä Lauri Länsman.