Oikeusasiamies Petri Jääskeläinen on antanut lausunnon, jonka mukaan sähköpostia ei saa käyttää terveystietojen lähettämiseen. Perustelu on sama kuin usein ennenkin: sähköposti ei ole turvallinen.
Miten ihmeessä suomalainen tietoyhteiskunta voi ikinä kehittyä, jos uusia työtapoja ei uskalleta ottaa käyttöön? Ihanko oikeasti vielä 2010-luvulla asiointi terveyskeskukseen pitäisi hoitaa puhelimella tai paperisella kirjeellä?
Oikeusasiamiehen lausunto on vastaus kansalaisen tekemään kanteluun. Asian yksityiskohdat eivät käy ilmi päätöksestä, mutta ilmeisesti kyse on tapauksesta, jossa joku terveydenhuollon edustaja on vastannut asiakkaan kysymykseen sähköpostilla. Ja niin ei saa tehdä -- tietosuojasyistä.
Ratkaisussa todetaan sairaanhoitopiirin menetelleen julkisuus- ja henkilötietolain vastaisesti, kun kantelijalle on lähetetty avoimessa verkossa sähköpostiviesti, josta käy ilmi, että hän on saanut sairaanhoitopiiristä terveydenhuollon palveluita. Viimeksi mainittu tieto on julkisuuslain mukaan salassa pidettävä.
Perusteluissa viitataan tietosuojavaltuutetun toimiston 3.1.2007 antamaan ohjeeseen, jonka mukaan salassa pidettävät tiedot eivät suojaamattomassa sähköpostissa ole suojattuja sivullisilta ja edelleen: jos asiakas lähettää esimerkiksi aikavarauksen sähköpostilla, siihen tulee vastata puhelimella tai kirjallisesti. Sama koskee myös muita tiedusteluja, joihin ei voida vastata yleisellä neuvolla paljastamatta asiakkaan nimeä tai muita asiakastietoja.
Suomessa on luultavasti maailman tiukin sähköisen viestinnän suoja. Sähköposti on kaikissa oloissa luottamuksellista viestintää, jota sen paremmin työnantajalla kuin puolisollakaan ei ole oikeus lukea. Miksi säädetään tiukkoja lakeja jos kuitenkin katsotaan, ettei viestintä ole luotettavaa? Mikä voisi viranomaisen mielestä olla se tilanne, jossa sähköposti voisi laillisesti päätyä vääriin käsiin? Jos sähköposti ei ole luotettava, miksi laki kuitenkin suojaa sitä ikään kuin se olisi?
Aina on tietenkin olemassa tahallisen urkinnan, näppihäiriön tai teknisen virheen vaara. Mutta yhtä hyvin joku voi urkkia kirjeen sisällön tai kirje voi päätyä väärälle vastaanottajalle. Ja puhelinsoitto se vasta turvaton onkin: utelias työtoveri tai perheenjäsen kuulee keskustelun helposti.
Kaikki kansalaiset eivät luota nettiasiointiin. Heillä tulisi jatkossakin olla oikeus kieltää sähköpostin käyttö oman mielenrauhansa takaamiseksi. Nyt nekään asiakkaat, jotka suorastaan pyytävät asiointia sähköpostilla, eivät voi saada sitä. Turvallisuussyistä. Tähän viittaa oikeusasiamiehen lausunnossa virke Asiaan ei vaikuta se, että kantelija on ilmeisesti itse lähettänyt tällaisia tietoja sisältävän viestin sairaanhoitopiriin.
Yleensä terveystiedot ovat melko harmittomia: verikokeen tuloksia, ajanvarauksia, lisätietojen kysymistä. Vaikka itse lähetän kyselyn ja terveystietoni sähköpostilla, minulle ei saa vastata samalla välineellä. Terveydenhuoltohenkilökunnan pitää suojella minua minulta itseltäni.
Tietosuoja on hyvä asia, mutta se ei voi olla itsetarkoitus eikä kehityksen este. Arkijärkeä saa käyttää, sillä Suomi tarvitsee kaikki ne kustannussäästöt, joita uudella tekniikalla voidaan saavuttaa.
-- seuraa Twitterissä, fanita Facebookissa
18 kommenttia:
NYT BLOGGARI NÄYTTI OLEVANSA TÄYSIN PIHALLA KEISKEISIMMÄSSÄ ASIASSA. :(
Yksityisyys on tänään kansalaisen ainoa omaisuus millä on arvoa. Kaikki sähköpostiliikenne vakoillaan ja valtiollisten ja kaupallisten toimijoiden toimesta. Varsinkin kun suurin osa käyttää amerikkalaisia palveluita. Olet täysin naivi tai sitten CIA:n asiamies. Jos Suomen eduskunnan jotain pitäisi puolustaa niin se olisi kansalaisten yksityisyydensuoja!
Hyvää yötä!
Hieno huomio!
Olen varma, että verikokeeni tulokset ovat varsin haluttua tavaraa länsimaisen vakoilun piirissä. Puhumattakaan rokotushistoriastani.
Päätöksessä ei kielletä sähköpostin käyttöä, vaan edellytetään, että viranomaiset ryhtyvät käyttämään suojattua sähköpostiyhteyttä. Se edesauttaa tietoyhteiskuntakehitystä.
Juttu hipaisee valtavan paljon suurempaa asiaa: Suvereenin ihmisen/yksilön terveystiedot tulisi olla vain hänellä itsellään (hänen itsensä hallinnassa). Tämä olisi tietoteknisesti täysin mahdollista, vaikka heti.
Asiaan on hyvin yksinkertainen ratkaisu: Kryptattu sähköposti sallitaan. S/MIME on ollut tuettu jo Outlook Expressistä lähtien vuodelta 1997 tai jotain, ja löytyy käytännössä kaikista sähköpostiohjelmista. Webmaileissa tuki hieman vaihtelee, mutta käytännössä tietoturva on ihan samalla tasolla kuin jos hakisi viestinsä vaikka verkkopankista (eli luottaa SSL-sertifikaattijärjestelmään...mikä tosin on oma lukunsa sikäli että selaimiin on ilmestynyt ties mitä kiinalaisia rootticerttejä viime aikoina...)
Tässä on kaksi isoa asiaa:
1) Jos avoimen verkon sähköposti ei ole turvallista, miksi laki suojaa sähköpostia luottamuksellisena viestintänä?
Onko oikeasti riskinä se, että joku urkkii postin sisällön verkkoa salakuuntelemalla? Todella hankalaa verrattuna siihen, miten paljon helpompi tiedot on hakea suoraan päätelaitteelta tai salasana urkkimalla (ja nyt on kyse terveystiedoista, ei yrityssalaisuuksista). Jos tämä on se riski, ei tarvita edes S/MIMEä, vaan Gmail (SSL-asetuksella) riittää.
2) Tietotekniikasta ei saada hyötyä, jos ei olla valmiita uudistamaan myös prosesseja ja toimintamalleja. Ajatus siitä, että paperi ja puhelinsoitto ovat turvallisia mutta sähköposti ei, tekee tietotekniikan soveltamisen hyödyttömäksi. Valtion miljardin IT-budjetti käy jatkossakin vajaateholla.
@Anonyymi: "Päätöksessä ei kielletä sähköpostin käyttöä, vaan edellytetään, että viranomaiset ryhtyvät käyttämään suojattua sähköpostiyhteyttä."
Miten 'suojattu sähköpostiyhteys' tulisi ymmärtää tässä tapauksessa? 3G-datasiirto? Vai Gmail SSL-yhteydellä? Jos siirtoyhteyden salaaminen tekee sähköpostista suojatun, tietoturva on ymmärretty koko lailla väärin.
Petteri, EOA:n päätös velvoittaa viranomaisia, joiden on luotava turvallinen asiointikanava. Vastuuta palvelun laadusta ei siis siirretä - onneksi - asiakkaalle, vaan palvelun tarjoajalle. Tietoyhteiskuntakehityksen kannalta päätös luo kysyntää, jolloin insinöörien tehtävänä on kehittää oikeudellisesti laadukasta tarjontaa...
Petteri, ainakin kun on tehnyt PV:lle projekteja, niin "suojattu sähköpostiyhteys" tarkoittaa juurikin S/MIMEllä allekirjoitettua ja salattua viestintää, joissa salaus- ja allekirjoituscerttien CA:na on *suomalainen* rootticertti (eli käytännössä Soneran CA). PV:n käytäntöjä tuskin tosin voi yleistää kaikkia viranomaisia koskeviksi, mutta ehkä heiltä voisi ottaa mallia...
Puolustusvoimilla on ehkä *hieman* toisenlaiset uhkakuvat kuin terveydenhoitajan kanssa asioivalla kansalaisella. Alkaen vaikkapa ruotsalaisten FRA-järjestelmästä.
Väitän, että kansalaisen lääkäriasioinnissa suurempi uhka tietoturvalle on ihan muualla kuin viestiliikenteen salakuuntelussa. Jos salakuuntelu on uhka, miksei neuvota käyttämään Gmailia SSL:llä? Ei tarvitse suomalaisten kehittää mitään omaa.
Kokemusta on: olisin mielelläni asioinut terveydenhoitajan kanssa sähköpostitse asioissa, jotka eivät ole kiireisiä. Puhelinaika kun on vain tunti päivässä, ja jos ei sitten aina voikaan soittaa juuri silloin? Siinä tapauksessa sähköposti olisi erittäin kätevä: hoitajakin voisi vastata silloin kun hänelle parhaiten sopii. Enhän toki sähköpostitse mitään kiireellistä yrittäisikään hoitaa. Hän ilmoitti ettei käy, koska "Meille ei ole varattu siihen työaikaa. Kaikki aikani menisi sitten sähköposteihin vastaamiseen.". Jahas. Näin 2010-luvun Suomessa...
Mistä se vastapuoli tietää kuka siellä puhelimen toisessa päässä oikeasti on?
No henkilö tietty todennetaan kertakäyttösalasanan avulla: "Mikä se sun henkilötunnuksesi on?".
Onhan se koomista, ettei (kai) ole valmista protokollaa sille että jokaisessa webmail-sovelluksessa hotmailista gmailiin olisi TUNNISTAUDU-nappi, jolla saisi pankkitunnuksilla tunnistautumalla mahdollisuuden lähettää turvalliseksi tunneloitua spostia virallisemmissa asioissa.
Keskustelijoilla, Petteri mukaanlukien, ei taida olla paljon kokemusta aiheesta. Mediassa valittavat ne, jotka haluaisivat käyttää esim. sähköpostia. Minun pöydälleni tulevat ne tapaukset, jotka eivät olisi halunneet. Niitä on vähintään samanverran kuin mediassakin.
Tulee sellainen tunne, että sähköpostia halutaan käyttää, kunnes jotain sattuu omalle kohdalle. Olkoon vaikka pop-up kun kone onkin kiinni tykissä.
Tiedot ovat sairaalaan vastuulla kunnes ne on luovutettu. Potilas itse voi kyllä levittää niitä miten haluaa. Sähköpostissa tämä tarkoittaa sitä, että sairaala vastaa turvallisuudesta kunnes maili on avattu. Ei sellaista riskiä kukaan ota.
>Mediassa valittavat ne, jotka
>haluaisivat käyttää esim.
>sähköpostia. Minun pöydälleni
>tulevat ne tapaukset, jotka eivät
>olisi halunneet.
Tarkoitatko tapauksia, joissa sairaala on oma-aloitteisesti ja lupaa kysymättä lähettänyt tietoja asiakkaalle sähköpostilla? Tuntien ihmisten pelot olen samaa mieltä siitä, että sähköpostin käyttöön pitäisi kysyä lupa.
Mutta jos asiakas ensin itse lähettää sähköpostia, eikö voida olettaa että hän hyväksyy myös vastauksen sähköpostilla?
>Sähköpostissa tämä tarkoittaa
>sitä, että sairaala vastaa
>turvallisuudesta kunnes maili on
>avattu. Ei sellaista riskiä
>kukaan ota.
Päteekö sairaalan vastuu myös kirjepostiin?
Viestinnän luottamuksellisuuden ja lain kannalta sähköposti ja kirjeposti ovat samanarvoisia. Jos niitä käytännössä kohdellaan eri tavalla, eron pitäisi näkyä myös lainsäädännössä.
Hmm... hieman googlaamalla löysin ihan suomalaisen ratkaisun jossa sähköpostin liitetiedostot voidaan salata / holvata niin että täysin tietoturvallisesti voidaan lähettää sähköpostissa arkaluontoista / salausta vaativaa tietoa niin organisaation sisällä kuin sen ulkopuolelle.
Ymmärtääkseni tuolla ratkaisulla esim. terveystietojen toimittaminen sähköpostilla onnistuisi erittäin helposti.
Envault Corporation
t. googleman
Tuossa ainakin meillä on(2013) käytössä kadunvarressa oikeat postilaatikot mistä kuka tahansa voi napata tavapostit. Tai laittaa ulostetta tai käsikranaatin sinne. Tätä en ole kuullut käyvän sähköpostin yhteydessä. Roskapostia tulee tavallisiin laatikoihin, jonkin verran myös. Meikäläisen pyllyvaivat tuskin CIA:ta kiinnostaa. Ellei mahdollista räjäytystä oteta huomioon. Voihan olla että CIA:n automaattinen kääntäjähaistelija reagoi juuri tällaiseen ja virkailijat saavat hyvät naurut. En ole kokenut vielä, että Suomessa yksilöä kunnioitettaisiin sen vertaa, että tällaiseen yksityisyyden suojaamiseen olisi tarvetta.
Ehkä halutaan suojata terveyskeskuksen viranomaisia työnteolta, mutta sekin on virheellinen johtopäätös.
Heilläkin työ ja työstressi hoitotakuiden takia lisääntyvät, kun pieniä yksinkertaisia asioita ei voida hoitaa pois alta sähköpostilla.
Siksi tällaiset päätökset ovatkin ylilyöntejä ja haisevat aivan muulle.
Kyllä tässä terveyskeskuksiin lobatussa totaalikieltäytymisessä on kyse normaalista lakia säätävien viranomaisten laiskuudesta, ammattitaidottomuudesta ja typeryydestä sekä änkyryydestä.
Petteri Järvinen totesi tosiasian: "Pitää voida valita."
Tämä ei kuitenkaan ole normaalin viranomaiskäytännön takia mahdollista.
Siinähän aina luodaan sääntö jossa kaikille tuupataan sama menettely.
PC-vammaisiltakin ja senioreilta aletaan yhtäkkiä edellyttää sähköpostin pakollista sähköpostin käyttöä.
Tämä on sitten tiettyjen epäonnistuneiden lobbaustahojen kosto
tappiostaan.
Kuulostaa niiiin Suomalaiselta byrokratialta, että itku pääsee!
Lähetä kommentti