Jos henkilö on joutunut identiteettivarkauden uhriksi, tilanteeseen ei ole olemassa helppoja ratkaisuja. Tietosuojavaltuutettu Anu Talus korostaa, että juuri sen vuoksi henkilötietojen suojaaminen kaikissa tilanteissa on hyvin tärkeää.
Henkilötunnuksen muuttaminen on mahdollista, jos terveyteen tai turvallisuuteen kohdistuu pysyvä uhka tai tunnusta on toistuvasti väärinkäytetty tavalla, josta on koitunut tunnuksen haltijalle ”merkittävää taloudellista tai muuta haittaa”. Päätöksen henkilötunnuksen muuttamisesta tekee Digi- ja väestötietovirasto. Henkilötunnuksen vaihtaminen on monimutkainen toimenpide, sillä henkilötunnusta käytetään yksilöinnin välineenä hyvin monessa erillisessä järjestelmässä.
Nykyinen laki ei salli henkilötunnuksen muuttamista ennakollisesti tilanteessa, jossa henkilön tiedetään joutuneen tietomurron uhriksi. Viranomaiset selvittivät mahdollisuutta vaihtaa tunnusta ennaltaehkäisevästi ja samalla koko henkilötunnusjärjestelmän uusimista, kun Psykoterapiakeskus Vastaamon laajan tietomurto paljastui vuonna 2020. Uudistusta ei kuitenkaan lähdetä toteuttamaan.
”Kun Vastaamo-tapaus tuli julkiseksi, keinoja piti miettiä nopeasti. Silloin hallitus päätyi tähän (lainsäädäntöaloitteeseen koskien hetun ennakollista vaihtamista). Mutta mitä enemmän asiaan paneuduttiin ja saatiin asiasta lausunnot eri viranomaisilta, johtopäätös oli, ettei uudistus kannata”, toteaa kuntaministeri Sirpa Paateron erityisavustaja Valtteri Aaltonen.
Uudistuksen aiheuttamat kustannukset olisivat suuret suhteessa hyötyyn. Aaltosen mukaan uudistuksella ei voitaisi täysin torjua väärinkäytösten uhkaa. ”Jos vanha henkilötunnus on jo vuotanut johonkin, henkilöä ei pystytä erottamaan tunnuksesta siten, etteikö henkilöä sitä kautta pystyttäisi tunnistamaan aina jotenkin.”
Henkilötunnus kuitenkin vaihtuu automaattisesti osana sukupuolen juridisen vahvistamisen prosessia, joka ei huhtikuun alussa voimaan tulevan uuden lain mukaan vaadi lääketieteellistä selvitystä.
“Kun henkilötunnus vaihtuu, entisten henkilötietojen säilymistä ei voida estää täysin”, kertoo Kaisa Myrsky Digi- ja väestötietovirastosta. Tiedot jäävät väestötietojärjestelmään ja arkistoituihin asiakirjoihin, eikä niiden muuttaminen ei ole mahdollista jälkikäteen.
Vastaamon uhrit oman onnensa nojassa
Kun Vastaamon tietomurto paljastui, rikosilmoituksia tehtiin alkuun runsaasti. Tällä hetkellä ilmoituksia tehdään tapauksen tutkinnanjohtaja rikoskomisario Marko Leposen mukaan kuukausitasolla ”joitain kymmeniä”.
Keskusrikospoliisin tiedon mukaan paikallispoliisilaitoksiin on tehty yhteensä tällä hetkellä noin 23 000 rikosilmoitusta Vastaamo-tapaukseen liittyen. Tietokannassa, johon murto kohdistui, on Leposen mukaan noin 33 000 henkilöä. Poliisi ei voi olla yhteydessä uhreihin, jotka eivät ole tehneet rikosilmoitusta, sillä korkeimman oikeuden linjauksen mukaan poliisi ei saa tutkia Vastaamon asiakastietoja.
Erityisen haasteellista Vastaamo-tapauksen uhreille on ollut se, että rikoksilta suojautuminen on jäänyt heidän itsensä vastuulle.
”On vielä mahdollista, että meillä on henkilöitä, jotka eivät edes tiedä olevansa tämän rikoksen uhreja”, Leponen toteaa. Hän arvioi, että rikosilmoitusten vähyyttä voivat selittää myös tietomurron uhrien henkilökohtaiset syyt. ”Tämä rikos osui tietyllä tavalla sellaisiin henkilöihin, jotka ovat yhteiskunnassa arassa asemassa.”
Suurin riski tietojen vuotamisessa liittyy mahdollisuuteen joutua identiteettivarkauden ja petosten uhriksi. ”Jos mietitään asiaa jatkorikosten uhriksi joutumisen kannalta, henkilötiedot on se vaarallisin tieto, joka tietoverkkoon on vuotanut.”
Erityisen haasteellista Vastaamo-tapauksen uhreille on ollut se, että rikoksilta suojautuminen on jäänyt heidän itsensä vastuulle. ”Heidän on itse täytynyt hankkia suojakeinoja oman henkilöllisyytensä turvaamiseksi. On tehtävä erilaisia kieltoja ja rajoitteita, jotka saattavat vaikeuttaa heidän elämäänsä”, Leponen toteaa. Eräs tällainen keino on maksullinen itse asetettu luottokielto.
Kenen vastuulla on tietoturva?
Käytännössä aina kun henkilötietoja tallennetaan, tietosuojarikkomusten kuten tietomurtojen ja identiteettivarkauksien riski on olemassa. Tietosuojarikkomus voi tapahtua myös täysin tahattomasti esimerkiksi siten, että henkilötietoja sisältävä lomake hävitetään huolimattomasti niin, että se päätyy ulkopuolisten käsiin.
Tietoa keräävien organisaatioiden täytyy huomioida sekä tietosuoja – mitä tietoja ihmisestä saa kerätä, kenelle tiedon saa luovuttaa ja mitä ihmisille täytyy kertoa, kun heistä kerätään tietoja – että tietoturva eli kuinka huolehditaan tietojärjestelmien turvallisuudesta, tiedon luottamuksellisuudesta ja järjestelmien käytettävyydestä.
”Kun ihminen käy jonkun toimijan nettisivuilla, sieltä lähtee helposti tietoa eteenpäin jopa yli sataan paikkaan, jos suostuu kaikkien evästeiden käyttöön. Voi myös valita vaihtoehdon, ettei salli evästeiden avulla tiedon laajaa keräämistä. Tai olla ainakin tietoinen siitä, mihin todellisuudessa suostuu. Vaatiminen on työläämpää. Käytännössä tämä tarkoittaa esimerkiksi yksityisyyden suojasta huolehtivien palvelujen suosimista.”
Evästeiden avulla käyttäjästä kerätään esimerkiksi tietoa siitä, mistä verkko-osoitteesta ja mitä selaintyyppiä käyttäen verkkosivuille on tultu. Tietosuojavaltuutettu peräänkuuluttaa myös parempaa viestintää verkkoalustoilta. ”Kun tietoja kerätään, pitäisi antaa selkokielistä tietoa siitä, miksi niitä kerätään”, summaa tietosuojavaltuutettu Anu Talus.
Tietoturvataitoja voitaisiin myös opettaa kansalaistaitona, jotta kukin tiedostaisi itse, milloin hänestä kerätään tietoja, milloin niiden on mahdollista päätyä myös jonkin ulkopuolisen tahon käsiin, ja valita ja vaatia yksityisyydensuojan kannalta parempia vaihtoehtoja. ”En ehkä rajoittaisi opetusta pelkästään tietoturvaan, vaan ottaisin siihen muitakin asioita. Esimerkiksi informaatiovaikuttaminen on tällä hetkellä keskeinen osa digitalisoituvaa yhteiskuntaa”, lisää Talus.
