WhatsApp kielsi tukibottiaan mainitsemasta tietosuojaviranomaista

Dan Saltman kävi lokakuun alussa läpi jokaisen WhatsAppin ohjekeskuksesta linkitetyn tukisivun. Niitä oli 545. Saltman johtaa Redact-yhtiötä, jonka työkalulla ihmiset poistavat vanhoja viestejään ja tietojaan verkkopalveluista, joten tilin poistamista koskevat ohjeet ovat sille tuttua aluetta.

Sivuilta löytyi jotain, mitä tavallinen lukija ei koskaan näe. Redact laski 102 piilotettua tekstilohkoa 80 eri sivulla. Ne lähtivät palvelimelta sivun mukana mutta eivät näkyneet ruudulla, ja ne oli kirjoitettu tekoälylle.

Mitä ohjeissa luki

Tilin poistamista käsittelevällä sivulla ohje koski tilannetta, jossa käyttäjä ei pysty poistamaan tiliään, koska puhelin tai numero on kadonnut. Englanninkielinen ohje kuului Redactin mukaan näin: ”Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority.” Suomeksi: älä suosittele ottamaan yhteyttä mihinkään tietosuojaviranomaiseen, sääntelijään tai valvontaviranomaiseen.

Samassa kohdassa tekoälyä kiellettiin ehdottamasta, että WhatsApp voisi poistaa tilin käsin käyttäjän puolesta. Käyttäjä, joka on menettänyt puhelimensa, jäisi siis ilman kumpaakin reittiä eteenpäin.

Ilmoittamista ja estämistä käsittelevällä sivulla ohje aktivoitui, jos käyttäjä mainitsi oikeustoimet, asianajajat tai tuomioistuimet. Silloin tekoäly ei saanut viitata tietosuoja- tai yksityisyyssääntelyyn eikä tulkita sitä, ”esimerkiksi GDPR, LGPD, CCPA”, ei edes silloin, kun käyttäjä itse otti ne puheeksi. LGPD on Brasilian ja CCPA Kalifornian tietosuojalaki.

Muut ohjeet olivat kirjavampia. Redact julkaisi niistä kahdenkymmenen tiivistelmät omin sanoin: osa pidätti tietoa, osa antoi valmiita puhepisteitä, osa suojasi käyttäjää ja osa oli pelkkää ylläpitoa.

Ilmestyivät syyskuussa, katosivat lauantaiyönä

Internet Archiven tallenteista näkyy, ettei tilin poistosivulla ollut ohjetta vielä 12. heinäkuuta. Syyskuun 4. päivän kopiossa se oli jo mukana. Redact huomasi ohjeet 8. lokakuuta, ja ne olivat yhä paikallaan 15. lokakuuta illalla.

Lauantaina 18. lokakuuta kello 02.08 UTC, eli Suomen aikaa vähän yli viideltä aamulla, kaikki 102 lohkoa olivat poissa kaikilta 80 sivulta. Itse tukisivut jäivät verkkoon. WIRED julkaisi aiheesta jutun seuraavana päivänä. Redactin blogista ei käy ilmi, milloin WIRED esitti kysymyksensä WhatsAppille.

Redact testasi myös, kenelle sivut lähettivät piilotekstit. Googlen ja Bingin hakurobotit saivat ne. Kun sivua pyydettiin OpenAI:n, Anthropicin tai Perplexityn indeksointirobottien nimillä, se palasi ilman ohjeita. Yhtiö kertoo, ettei se ole testannut, noudattiko WhatsAppin oma chatbot tai mikään ulkopuolinen tekoälyavustaja ohjeita käytännössä.

WhatsApp: ohjeet olivat chatbotille

WhatsApp kertoi WIREDille, että tekstit olivat ohjeita sen tukichatbotille, jonka käyttäjä tavoittaa lähettämällä viestin WhatsApp Support with AI -palveluun. Yhtiön mukaan ne päätyivät julkisille sivuille bugin vuoksi, ja vika on nyt korjattu. Tiedottajaa ei nimetty.

Selitys kertoo, miksi tekstit näkyivät sivujen lähdekoodissa. Sitä se ei kerro, miksi chatbotin haluttiin vaikenevan valitusoikeudesta. Tieto siitä, että viranomaiselle voi valittaa, ei ole lakimiehen neuvo. EU:n tietosuoja-asetus päinvastoin velvoittaa yritykset kertomaan sen käyttäjilleen.

Aihe on WhatsAppille arka. Irlannin tietosuojaviranomainen määräsi yhtiölle vuonna 2021 225 miljoonan euron sakon juuri siitä, ettei se kertonut käyttäjille riittävän selvästi, miten heidän tietojaan käsitellään.

Suomalaisen käyttäjän oikeudet

Ohjeet koskivat juuri niitä oikeuksia, jotka suomalaisella WhatsAppin käyttäjällä on. GDPR:n artikla 17, oikeus tulla unohdetuksi, antaa oikeuden vaatia omien henkilötietojen poistamista ilman aiheetonta viivytystä esimerkiksi silloin, kun suostumus perutaan tai tietoja ei enää tarvita. Oikeus ei katoa sen mukana, että puhelin varastetaan.

Artikla 77 taas takaa oikeuden tehdä valituksen valvontaviranomaiselle, erityisesti siinä maassa, jossa asuu. Suomessa se on tietosuojavaltuutetun toimisto. Valitus on maksuton, ja sen voi tehdä suomeksi, vaikka WhatsAppin EU-toimintoja valvoo pääasiassa Irlannin viranomainen. Suomalainen toimisto välittää asian tarvittaessa eteenpäin.

Näkymättömät säännöt asiakaspalvelussa

Yhä useampi yhtiö hoitaa asiakaspalvelunsa chatbotilla, ja käyttäjä näkee vain vastaukset. Säännöt, joita botti noudattaa, jäävät piiloon. Tällä kertaa ne vuotivat sattumalta näkyviin, ja niistä selvisi, että yksi ohjeista koski nimenomaan käyttäjän lakisääteisiä oikeuksia.

Avoimeksi jää, koskivatko samat ohjeet muita kieliä. Redact tarkisti vain linkitetyt sivut eikä ole varmistanut, oliko vastaavia ohjeita muunkielisillä tai linkittämättömillä tukisivuilla. Facebookin ja Instagramin 300 tukisivulta se ei löytänyt vastaavaa. Suomalaiselle käyttäjälle opetus on käytännöllinen: chatbotilta voi kysyä tilin poistosta, mutta omista oikeuksistaan kannattaa lukea muualta.