Tietopyyntö johti tietoturvaloukkaukseen!

Organisaatiolle tuli tietopyyntö erossa asuvalta lapsen isältä. Pyynnössä isä väitti olevansa lapsen huoltaja, ja siten oikeutettu saamaan lapsen terveystietoja. Isä sai tietopyynnössä puhelinyhteystiedot äidistä, lapsen vanhemmuuteen liittyvää tietoa, toisen lapsen tietoja, lastensuojelutietoja poliisiraporttina sekä myös sosiaalihenkilöiden tietoja.

Viranomainen määräsi organisaatiolle 40 000 punnan sanktiot, sillä tietovuoto oli vakava. Väärälle henkilölle ja ilman oikeutusta päästä tietoihin käsiksi toimitettiin arkaluonteista tietoa sekä alaikäisten tietoja.

Organisaatio kärsi maineriskistä, oikea huoltaja kärsi stressistä, ja tietosuojaa rikottiin. Tietoja pyytävän henkilön osalta ei varmistettu hänen oikeuttaan päästä tietoihin. Tarkemmassa läpikäynnissä todettiin, että tietopyyntöä ei oltu käsitelty prosessina eikä koulutusta tai valvontaa ollut.

Valitettavasti yllä oleva on todellinen tietopyyntö Englannista vuodelta 2016.

Monessa organisaatiossa ja sivuston ”tietosuojaselosteessa” on selviä virheellisiä ajatuksia siitä, miten tietopyyntö pitäisi toteuttaa, ettei samalla itse syyllistytä tietoturvaloukkaukseen. Esimerkkejä alla.

• Henkilöä vaaditaan tulemaan paikan päälle. Tästä muodostuu kömpelö prosessi, eikä ainakaan asiakasmyönteinen kokemus.
• Henkilölle ei anneta vaihtoehtoa saada tietoja sähköisesti. Tätä ei toteuteta, koska organisaatio ei ole valmistautunut tähän. Organisaation täytyy toimittaa tiedot sähköisessä muodossa, jos henkilö niitä sähköisesti pyytää.
• Henkilöä ei todenneta riittävällä tavalla, ja luotetaan esim. sähköpostin lähettäjätietoon. Organisaation velvollisuus on todentaa henkilöllisyys riittävällä tavalla. Tässä täytyy myös suhteuttaa keskenään pyydetyt tiedot ja niihin liittyvä mahdollinen riski.
• Henkilöä pyydetään todentamaan henkilöllisyytensä esim. pyytämällä skannattu kopio passista, ja pyydetään passikopio lähetettäväksi sähköpostin välityksellä. Organisaatiolla ei todennäköisesti ole mitään passissa olevia tietoja, joita se vertaisi pyydettyyn passiin.

Fakta – rekisterinpitäjän on pystyttävä vahvistamaan tietosuojaoikeuksiaan käyttävän rekisteröidyn henkilöllisyys riittävällä tavalla.

Haluaisitko Sinä, että tietosi annetaan jollekulle täysin tuntemattomalle ihmiselle, tai ne poistetaan väärän ihmisen toimesta? Niinpä, en minäkään haluaisi.