Suomen suurin tietovuoto, mikä on riski?

"Älä syytä itseäsi, ota rauhallisesti. Kukaan listalla oleva ei ole voinut estää tietovuotoa".

Näin alkaa Helsingin Sanomien ohje niille, joiden henkilötiedot ovat päätyneet nettiin Suomen tähän asti suurimman tietovuodon seurauksena. Näkyvän uutisoinnin seurauksena moni on hämmentynyt eikä tiedä, miten huolissaan tapahtuneesta pitäisi olla.

Ensinnäkin olisi kiva tietää, onko oma nimi listalla vai ei. Jos tieto olisi riittävän tärkeä, Viestintävirasto tai poliisi olisi varmaankin ilmoittanut asiasta rikoksen kohteeksi joutuneille. Mutta niin ei ole. Listalla on henkilön nimi, kotiosoite, puhelinnumero ja henkilötunnus. Valtaosalla ihmisiä kolme ensimmäistä ovat julkisia tietoja, jotka löytyvät avoimista rekistereistä.

Henkilötunnus on hankalampi tapaus. Moni kuvittelee, että henkilötunnus on salainen tieto, eräänlainen salasana. Todellisuudessa henkilötunnus on vain keino erottaa saman nimiset petterijärviset toisistaan ja tunnistaa heidät vielä naimisiinmenon tai nimenmuutoksen jälkeenkin.

Ongelmalliseksi asian tekee se, että yritykset ja viranomaiset käyttävät HETUa henkilöllisyyden todentamiseen, mikä on väärin. Henkilötunnuksen tietäminen ei ole merkki siitä, että henkilö on se, joka hän väittää olevansa.

Henkilötunnukset eivät ole lainkaan niin salaisia kuin moni luulee. Yrityksen vastuuhenkilöiden nimet ja henkilötunnukset löytyvät kaupparekisteristä. Jokaisen yrittäjän HETU on siis netissä ilman listaakin. Tieto on myös oikeudenkäyntiasiakirjoissa, kauppakirjoissa ja muissa virallisissa papereissa, joissa henkilön yksilöinti (ei todentaminen!) on tärkeää.

Taannoin Suomen rikkaimman miehen, Aatos Erkon, henkilötunnus julkaistiin vahingossa pörssitiedotteessa. Sanoma-yhtiön tiedottaja oli merkinnyt tunnuksen nimen perään, vaikka ilman sitäkin kaikille oli takuulla selvää, kenen osakepotti oli ylittänyt liputusrajan.

Koska HETUa voidaan käyttää eri rekisterien henkilötietojen yhdistämiseen, laki rajoittaa sen tallentamista. HETUa ei saa kysyä eikä tallentaa ilman erityistä syytä. Tällä pyritään parantamaan henkilön tietosuojaa, ei salaamaan itse HETUa.

Julkisten tietojen vuotaminen on joka tapauksessa vähemmän vaarallista kuin salaisten tietojen, esimerkiksi terveystietojen tai käyttäjätunnusten ja salasanojen, vuotaminen.

Miksi vuotanutta listaa sitten pidetään niin vaarallisena? Sillä voi olla ihmisiä, joiden osoitetiedot on suojattu luovutuskiellolla tai joiden puhelinnumero on salainen. Heidän kannaltaan on ikävää, että tiedot vuotavat julkisuuteen.

Tietenkin kyse on myös henkilötietorikoksesta. Laki velvoittaa rekisterinpitäjää huolellisuuteen juuri siksi, ettei tällaisia pääsisi tapahtumaan.

Entä sitten pelätyt identiteettivarkaudet? Tässä suhteessa en näe listaa kovinkaan vaarallisena. Jos joku haluaa tilata tavaroita väärillä tiedoilla, netissä on palveluita, jotka luovat hiiren klikkauksella vaikka tuhat täysin uskottavaa virtuaalista Suomen kansalaista kaikkine henkilötietoineen: kotiosoite, puhelinnumero, luottokortti, HETU ym.

Jos taas haluaa tehdä kiusaa tietylle henkilölle, on hyvin pieni todennäköisyys että lista paljastaisi juuri hänen HETUnsa. Todennäköisesti kyseisen HETUn saisi selville myös muuta kautta. Pari vuotta sitten huijarit ohjasivat veronpalautuksia omalle tililleen tekemällä muutosilmoituksen uhrien nimissä. HETUt oli kaivettu jostain. Ei se ole vaikeaa.

Joka tapauksessa nyt tapahtunut tietovuoto on hyvä muistutus tietoturvan merkityksestä ja toisaalta siitä avuttomuudesta, jota kansalainen kokee tietojensa päätyessä julkisuuteen tai vääriin käsiin.

PS. Tee käytännön koe: hae Googlella omaa henkilötunnustasi. Älä hämmästy, jos löydät. Viranomaisen sivuilta tunnusta ei saa pois, mutta jos kyse on yksityisen henkilön tai yrityksen sivusta, kannattaa pyytää poistamaan tieto. Kommentoi palautteeseen löysitkö HETUsi.

PS2. Tässä on tapahtunut (ainakin) kaksi rikosta: tietomurto ja henkilötietorikos. Jälkimmäisessä syytteen voi saada myös rikoksen uhri eli vastuullinen rekisterinpitäjä. Nyt tutkitaan, ovatko rekisteriselosteet olleet ajan tasalla ja onko niitä ylipäätänsä ollut. Onko HETUn tallentamiseen ollut erityinen syy? Pari päivää sitten näistä asioista keskusteltiin bonuskorttien asiakasrekisterien yhteydessä. Ironista kyllä, juuri HETUn vuotaminen auttaisi nyt selvittämään, mistä tiedot ovat peräisin: pitäisi vain verrata listalla olevia HETUja eri koulujen ym. rekistereihin ja katsoa, mistä löytyy paras vastaavuus.