Lahden lakkautetun koulun pihamaalta löytyi oppilaiden henkilötunnuksia – kaupunki ilmoitti tietosuojavaltuutetulle
Yksityishenkilön poliisille luovuttama kansio paljasti, miten paperiset henkilötiedot katosivat seurannasta koulun myynnin jälkeen.
Tiivistelmä
Nastolassa sijainneen, vuonna 2017 suljetun Männistön koulun pihamaalta löytyi kansio, jossa oli entisten oppilaiden henkilötunnuksia sisältäviä oppilaskortteja ja viranhaltijapäätöksiä. Lahden kaupunki ilmoitti löydöstä tietosuojavaltuutetulle ja ottaa yhteyttä kaikkiin asianosaisiin kirjeitse. Kaupungin tietosuojavastaava Tiina Häyrinen arvioi väärinkäytösriskin pieneksi, mutta muistuttaa henkilötunnuksen vuotamisen olevan aina vakava asia.
Ohut kansio löytyi Nastolassa sijainneen, lakkautetun Männistön koulun pihamaalta – sisällä oli entisten oppilaiden henkilötunnuksia.
Yksityishenkilö löysi kansion ja luovutti sen poliisille, joka toimitti sen edelleen Lahden kaupungille. Koulu suljettiin vuonna 2017, ja Yle kertoi löydöstä maanantaina 5. lokakuuta. Tiedot on vahvistettu myös Daily Northernin englanninkielisessä uutisoinnissa.
Kansiossa oli noin kaksikymmentä kopioitua paperia. Mukana oli viranhaltijapäätöksiä entisistä oppilaista ja useita oppilaskortteja, joihin oli merkitty oppilaiden henkilötunnukset. Arvosanoja, terveystietoja tai erityisen tuen tietoja ei kansiosta löytynyt.
Juuri henkilötunnukset tekevät löydöksestä arkaluonteisen. Yhdistettynä nimiin ne riittävät monen tunnistautumista vaativan palvelun väärinkäyttöön.
– On aina hirvittävän vakavaa, jos henkilötunnus tai muita henkilökohtaisia tietoja päätyy asiaankuulumattomille henkilöille, sanoo Tiina Häyrinen, Lahden kaupungin tietosuojavastaava.
Häyrinen huomauttaa, että henkilötunnuksella ja pelkällä syntymäajallakin voi tehdä nykyään paljon vahinkoa, jos niin halutaan. Hän pitää tapauksen riskiä kuitenkin pienenä.
– Nyt onneksi näyttäisi, että tällaisesta ei ole vielä kyse, hän toteaa.
Kansio jäi huomaamatta myynnin yhteydessä
Häyrinen arvioi, että kyse on unohtuneesta luokkahuoneen kansiosta, joka löytyi nuottien ja muistikirjojen läheltä.
– Tämä pieni, ohut kansio on jäänyt sinne, eikä ole huomioitu, että siinä on tietoturva-aineistoa, hän sanoo.
Koulurakennus myytiin aikanaan edullisesti, noin 7 000 eurolla, hämeenlinnalaiselle hotelliyhtiölle, eikä se ole enää kaupungin omistuksessa. Omistajanvaihdos on osa syytä siihen, miksi arkistoinnin aukko jäi pitkään huomaamatta.
Lahti ilmoitti löydöstä henkilötietojen tietoturvaloukkauksena tietosuojavaltuutetulle. Kaupunki tarkisti myös koko rakennuksen muun arkaluonteisen aineiston varalta, mutta muuta ei löytynyt. Asianosaisiin otetaan yhteyttä kirjeitse.
Mitä tehdä
Jos Lahden kaupunki ottaa yhteyttä kirjeitse, kannattaa ensin selvittää tarkkaan, mitä omia tietoja löydös koski.
Henkilötunnuksen väärinkäytön merkkejä voi seurata Suomi.fi:n identiteettipalveluiden ja Traficomin huijaustiedotteiden avulla. Epäillystä henkilötunnuksen väärinkäytöstä kannattaa tehdä rikosilmoitus poliisille.
Jos kaupungin toiminta ei tunnu riittävältä, asiasta voi tehdä selvityspyynnön tietosuojavaltuutetulle osoitteessa tietosuoja.fi. Yleisempi opetus koskee kaikkia rakennuksista luopuvia kuntia: ennen myyntiä tai purkua kannattaa varmistaa, ettei tiloihin ole jäänyt paperisia henkilötietoja.