Vastaamon tietosuojarikoksesta tuomio - ex-toimitusjohtajalle 3 kk ehdollista vankeutta

Vuoden 2020 Vastaamon kiristystapauksen taustalla ollut tietosuojarikos on johtanut tuomioon. Yhtiön perustaja ja silloinen toimitusjohtaja sai kolmen kuukauden ehdollisen vankeustuomion. Rangaistus voi tuntua pieneltä verrattuna yli 30 000 ihmisen kärsimään häpeään ja ahdistukseen, joita tietojen hakkerointi ja kiristysyritys aiheuttivat, mutta siihen on juridisia syitä.

Vastaamo Kampissa kesäkuussa 2017, kun tarina oli vasta alussa.

Ehdollinenkin vankeusrangaistus on iso juttu, se mm. tarkoittaa että vastaaja joutuu maksamaan oikeudenkäyntikulunsa ja tuomio säilyy rekistereissä. Perimmäinen syy lievään tuomioon on kuitenkin siinä, ettei teko ollut lain tarkoittamalla tavalla tahallinen. Itse olen insinööri enkä juristi, joten johtopäätökseni voivat mennä metsään, paremmin tietävät korjatkoon.

Se, että laiminlyö tietoturvan kehittämisen ja asettaa yrityksen nopean kasvattamisen myyntikuntoon kaiken edelle, on jo melkein tahallista, tai ainakin törkeän huolimatonta. Molemmat täyttävät tietosuojarikoksen tunnusmerkistön. 

Oikeus voi tuomita vain siitä, mistä syytetään, ja vain niistä teoista, jotka voidaan näyttää toteen ja jotka eivät ole vanhentuneita. GDPR:ään liittyvä tietosuojarikos voi tuoda enintään yhden vuoden vankeustuomion. Syyttäjä vaati yhdeksää kuukautta, oikeus päätyi kolmeen. Kun maksimirangaistus on näin pieni, teot myös vanhenevat nopeasti. Oikeus katsoi, että ilmoitus tietoturvaloukkauksesta oli jätetty tekemättä, mutta siitä ei ole säädetty rangaistusta. Kyseeseen olisi voinut tulla väärän todistuksen antaminen viranomaiselle, mutta sekin oli tekona vanhentunut.

Lopulta tuomion perusteeksi jäi vain tietosuoja-asetuksen 32. artiklan ("käsittelyn turvallisuus") vaatimien toimenpiteiden laiminlyönti - käytännössä se, ettei tietokantaa oltu salattu eikä pseudonymisoitu tietomurtojen varalta.

Juristit löytävät tuomiosta paljon pureksittavaa, niin myös me insinöörit. Oikeus mm. totesi ettei ”parhaat käytännöt” ole sellainen konkreettinen ja tarkka käsite, jota laiminlyömällä henkilö voisi olla rikosoikeudellisessa vastuussa. Yksin sen perusteella, ettei jokin toteutettu toimenpide ole ollut tietoturva-alan parhaan käytänteen mukainen, ei voida katsoa, että toteutettu tapa ei olisi artiklassa tarkoitettu 42 (49) asianmukainen tekninen ja organisatorinen toimenpide. Tältä osin syyte on hylättävä. 

Olin kuuntelemassa oikeudessa sekä toimitusjohtajan että it-henkilön kuulemiset. Hiukset olivat nousta pystyyn it-henkilön kuvatessa, miten leväperäisesti toimitusjohtaja oli suhtautunut tietoturvaan ja tietosuojakoulutukseen. Kaikesta haluttiin päästä mahdollisimman halvalla ja helposti. Salasana oli seitsemän tavallista merkkiä eikä sitä oltu vaihdettu kahdeksaan vuoteen, varmuuskopiointi oli mitä sattui, dokumentaatiota ei ollut, root-tunnuksella ei ollut lainkaan salasanaa ja väärin konfiguroitu palomuuri päästi kaiken liikenteen läpi. 

Tietotekniikasta vastasi kaksi henkilöä nollatuntisopimuksilla. Heidän osaamisensa oli riittämätöntä ja työmäärä aivan liian suuri. Palomuuri jäi täysin auki eikä kukaan edes huomannut ratkaisevaa tietomurtoa. Jälkimmäinen 15.3.2019 tapahtunut murto oli erikoinen ja tulkinnanvarainen. Tietokanta oli tuhottu ja siihen oli lisätty 200 euron lunnasvaatimus. Sitä ei otettu vakavasti, eikä murrolla näyttänyt olevan seurauksia. Poliisitutkinnassa molemmat it-kaverit vapautettiin syytteistä, koska he olivat todistettavasti tuoneet puutteet toimitusjohtajan tietoon.

Toimitusjohtaja vastaa yrityksen toiminnasta. Tässä hän oli myös yrityksen suurin omistaja, vaikka sijoittaja olikin juuri ostanut yhtiön. Jos omistuspohja olisi ollut toinen, ehkä omistajat olisivat syyttäneet toimitusjohtajaa yhtiön tuhoamisesta. Nyt suurin kärsijä oli toimitusjohtaja itse. Yritys meni konkurssiin ja toisessa oikeudenkäynnissä ratkaistaan kiistaa myyjän ja ostajan välillä. 9 667 000 euron menettäminen jo sovitun kaupan jälkeen on kovempi rangaistus kuin lyhyt ehdollinen vankeus.

Oikeus piti rikosta vakavana, mutta alensi tuomiota tapauksen julkisuuden vuoksi. Toimitusjohtaja oli saanut tappouhkauksia ja luultavasti joutunut vilkuilemaan olkansa yli jo parin vuoden ajan, vaikka teknisesti oli syytön lopulliseen tuomioon asti. 

Käräjäoikeuden tuomio ei vielä ole lainvoimainen. Katsotaan, valittaako jompikumpi osapuoli päätöksestä. Joka tapauksessa tuomio antaa pohtimisen aihetta kaikille it-ammattilaisille, mutta myös toimitusjohtajille ja hallituksille. Mikä on todellinen tietoturvan taso yrityksessä ja kenellä on vastuu? Pelkkä nimi kalvolla ei vielä merkitse mitään. Vastaamossa tietosuojavastaavaksi oli merkitty it-kehittäjä. Joihinkin papereihin nimet oli merkitty vain, koska ne piti olla, eikä niitä ollut tarkoituskaan toteuttaa.

Miten johto voi varmistua siitä, että työntekijät osaavat asiansa? Mitkä ovat oikeasti välttämättömiä tietoturvahankintoja ja mitkä vain "nice to have" -osastoa? Jos jotain sattuu, kertovatko työntekijät siitä komentoketjussa ylöspäin eivätkä yritä peitellä omia mokiaan? Vastaamo osoitti, että työntekijä voi vapautua vastuusta raportoimalla havaitsemistaan ongelmista.