Tietomurto Virosta paljasti suomalaisten potilasgeenit

Virolaisen tutkimusyhtiön haittaohjelmahyökkäys paljasti viime vuonna kymmeniä suomalaispotilaiden tietoja. Tapauksen laajuus ja tiedon arkaluonto nostavat esiin kysymyksiä tietosuojasta, geenitiedon herkkyydestä ja siitä, miten terveydenhuollon toimijat viestivät potilaille kyberincidenttien yhteydessä.

Mitä tapahtui?

Hyökkäys kohdistui marraskuussa 2023 geenitutkimuksia tekevässä Asper Biogene -yhtiössä. Yrityksen mukaan hyökkäyksessä vaarantui kaikkiaan noin 10 000 asiakkaan ja 42 organisaation tiedot. Ylen saamien asiakirjojen perusteella rikollisten haltuun ajautui myös noin 50 suomalaisen potilastietoa.

Suomesta kärsineet asiakkaat liittyivät Varsinais-Suomen, Pirkanmaan ja Etelä-Pohjanmaan hyvinvointialueisiin. Alueet olivat hankkineet palveluita virolaiselta toimijalta joko suoraan tai Fimlabin kautta. Vuotaneissa aineistoissa oli henkilötietoja, tutkimukseen liittyvää koodia ja kymmenen potilaan osalta silmäsairauksiin liittyvää geenitietoa.

Miksi geenitiedot ovat ongelma?

Geenitieto on pysyvää ja erittäin henkilökohtaista: se voi paljastaa perinnöllisiä sairauksia, alttiuksia ja sukulaisuussuhteita. Toisin kuin salasana, geenitietoa ei voi vaihtaa. Tämän vuoksi sen luvaton paljastuminen voi aiheuttaa pitkäkestoista haittaa, stigmatisaatiota tai vakuutuksiin ja työnsaantiin liittyviä riskejä.

Miksi potilaita ei ilmoitettu?

Varsinais-Suomen hyvinvointialueen Varha päätti olla tiedottamatta potilaita vedoten arvioituun matalaan riskiin ja haluun välttää ”turhaa stressiä”. Varhan väliaikainen johtajaylilääkäri kertoi, että päätös perustui tilanteen arvioon ja vuotojen laajuuteen. Hän myös totesi, että asiaa käsitellään edelleen tietosuojavastaavan kanssa ja että jälkikäteinen tiedottaminen on mahdollista.

Mitä asiantuntijat sanovat?

Tietoturva-asiantuntijat pitävät epätodennäköisenä, että suomalaisia kiristettäisiin juuri näillä tiedoilla, mutta korostavat silti riskejä yksityisyydelle ja tutkimusetiikalle. Tärkeää on arvioida uudelleen sopimusten tietoturvavaatimuksia, varmistaa salauksen käyttö ja parantaa ilmoitusprosessia GDPR-vaatimusten mukaisesti.

Mitä seuraavaksi?

Hyvinvointialueiden ja tutkimuskumppaneiden tulee käydä läpi, ketkä ovat mahdollisesti osallisina, arvioida yksilöllinen haitanriski ja tarvittaessa tarjota tukea tai seurantaa asianomaisille potilaille. Lisäksi on syytä tiukentaa valvontaa ja auditointia, jotta vastaavilta tietomurroilta voidaan suojautua tehokkaammin tulevaisuudessa.