Autioituneesta kuntoutuskeskuksesta löytyi potilastietoja vielä vuosia siivouksen jälkeen
Pirkanmaan hyvinvointialueen johto kertoo saaneensa tiedon jatkuvista löydöistä vasta, kun toimittaja soitti asiasta.
Tiivistelmä
Pirkanmaan hyvinvointialue väitti vuonna 2021 siivonneensa autioituneen kuntoutuskeskuksen henkilötiedoista, mutta alueen uusi omistaja on löytänyt sieltä nimiä, henkilötunnuksia ja potilasmerkintöjä viime vuodesta lähtien. Alueen johto kertoo saaneensa tiedon jatkuvista löydöistä vasta toimittajan yhteydenotosta, ja on epäselvää, onko hyvinvointialue tehnyt asiasta tietosuojailmoitusta.
Suvi Rajala, kuntoutuskeskuksen uusi omistaja, on löytänyt Ylöjärven autioituneesta rakennusryhmästä henkilötietoja siitä lähtien, kun hän osti alueen viime vuonna. Osa asiakirjoista sisältää nimiä, henkilötunnuksia ja potilaskertomusten merkintöjä, osa pelkkää henkilöstön tietoa.
Pirkanmaan hyvinvointialueen kehitysvammaisille tarkoitettu Ylisen kuntoutuskeskus suljettiin vuonna 2015, kun toiminta siirtyi Nokialle Pitkäniemen alueelle. Noin 18 hehtaarin ja parinkymmenen rakennuksen kokonaisuus jäi sen jälkeen tyhjilleen lähes vuosikymmeneksi.
Vuonna 2021 alueen varastorakennuksesta löytyi asiakas- ja henkilöstötietoja sisältäviä asiakirjoja, ja tapaus kirjattiin tietosuojaloukkaukseksi. Pirkanmaan hyvinvointialue kertoi tuolloin hävittäneensä jäljelle jääneet asiakirjat, ja kohteeseen tehtiin tarkastuskäynti.
Rajala osti alueen tämän jälkeen, ja hän on ilmoittanut jokaisesta uudesta löydöstä hyvinvointialueelle sekä hävittänyt asiakirjat itse asianmukaisesti.
– Aika paljon sellaista materiaalia on löytynyt, mitä täällä ei kuuluisi olla, Rajala sanoo Ylelle.
Potilastietoja sisältäviä asiakirjoja hän arvioi nähneensä vain kolmesta neljään kappaletta. Sen sijaan rakennuksista on löytynyt pino asukkaille ja henkilökunnalle nimellä osoitettuja postikortteja sekä muita henkilökohtaisia tavaroita. Entisten asukkaiden nimiä on yhä kiinni kaapinovissa ja valokatkaisimissa, ja paikalta on löytynyt myös unohtuneita lääkkeitä.
Henkilötunnus ja potilasmerkintä samassa asiakirjassa ovat juuri se yhdistelmä, jota identiteettivarkaudessa käytetään lainan hakemiseen tai palvelun avaamiseen toisen nimissä. Vuosia autioituneena seissyt, vartioimaton kiinteistö on ollut koko sen ajan kenen tahansa kuljettavissa, joten tiedot ovat olleet alttiina vuosia pidempään kuin hyvinvointialue on julkisesti uskonut.
Johto sai tiedon vasta toimittajalta
Minna Kuusela, Pirkanmaan hyvinvointialueen vastaava sosiaalihuollon johtaja, sai tiedon jatkuvista löydöistä vasta, kun Yle otti häneen yhteyttä.
– On epäselvää, että kuka on ollut yhteydessä keneen, ja kuka asiaa on meiltä hoitanut. Mutta toki pyritään tämä asia selvittämään. Tämä asia tuli minullekin tietoon vasta tänä aamuna, Kuusela kertoo Ylelle.
Hän epäilee syyksi hyvinvointialueen sisäistä tietokatkosta ja kutsuu tilannetta valitettavaksi.
Ilmoitusvelvollisuus on aina rekisterinpitäjällä
Annina Hautala, apulaistietosuojavaltuutettu, kommentoi ilmiötä yleisellä tasolla ottamatta kantaa tähän yksittäiseen tapaukseen.
– Valitettavasti näitä vastaavia tapauksia tulee tietoomme aika ajoin, Hautala toteaa Ylelle.
Hänen mukaansa sillä ei ole suurta merkitystä, kuka tiedot lopulta hävittää, kunhan se tehdään asianmukaisesti. Tilat pitäisi silti tarkistaa huolellisesti jo muuton aikana, jotta tällaista ei pääsisi syntymään lainkaan, ja organisaatioilla tulisi olla selkeät ohjeet sekä nimetyt vastuut muuttotilanteita varten.
Hautala vahvistaa, että rekisterinpitäjällä, tässä hyvinvointialueella, on aina lakisääteinen velvollisuus ilmoittaa tietosuojavaltuutetulle, jos henkilötietoja päätyy ulkopuolisille tahoille, riippumatta siitä, oliko näillä pahoja aikomuksia. Yle uutisoi elokuun lopulla myös toisesta pirkanmaalaisesta tapauksesta, jossa opetustoimen arkistoja oli säilytetty tyhjillään olleessa ravintolassa ilman, että ulkopuolisten pääsyä tiloihin oli estetty.
Mitä tehdä
Tämä ei ole huijaus, johon voi suoraan varautua, mutta tietosuojaoikeudet koskevat jokaista.
Jos epäilee, että omia henkilötietoja on hävitetty asiattomasti, esimerkiksi entisestä työpaikasta tai hoitosuhteesta, asiasta voi ottaa suoraan yhteyttä tietosuojavaltuutetun toimistoon.
Organisaatiot ovat toimitilaa vaihtaessaan tai sulkiessaan lain mukaan velvollisia ilmoittamaan tietosuojavaltuutetulle, jos henkilötietoja päätyy ulkopuolisten käsiin, vaikka kyse ei olisi tahallisuudesta.
Kuusela ei osaa sanoa, onko hyvinvointialue tehnyt myöhemmistä löydöistä tietosuojailmoitusta tietosuojavaltuutetun toimistolle.