Liikkeeltä ei viety kultaa vaan nimet

Elokuun viimeisenä sunnuntaina helsinkiläisen rahaliikkeen asiakashakupalvelussa oli haavoittuvuus ja sen läpi ulkopuolinen automaattinen järjestelmä haki tietoja asiakasrekisteristä. Yhtiö kertoi asiasta kolme päivää myöhemmin omalla sivullaan. Tiedotteessa on lause, joka kannattaa lukea hitaasti:

Vuoto koskee asiakkaidemme nimi- ja yhteystietoja, osoitetta sekä mahdollisesti henkilötunnuksia ja/tai tilinumeroita. Selvitämme parhaillaan vuodon laajuutta.

Toinen lause kertoo mittakaavan:

Vuoto koskee koko asiakasrekisteriämme eli tuhansia asiakasrekisterissämme olevan henkilön tietoja.

Tähän asti kertomus on tavallinen. Suomessa ilmoitetaan tietosuojavaltuutetulle vuosittain seitsemäntuhatta tietoturvaloukkausta ja vuodesta 2018 niitä on ilmoitettu yli 40 000. Loukkausilmoitukset ovat suurin yksittäinen asiaryhmä koko viraston työssä, yli puolet kaikesta vireille tulevasta. Tilastossa yksi rahaliike on yksi rivi.

Rivin alla on kuitenkin jotain, mikä ei ole tavallista.

Yhtiö on perustettu 1949 ja se on kaupparekisterissä nimellä, jossa lukee rahaliike. Se kertoo itsestään näin:

Palveluumme kuuluvat koru- ja kellomyymälä, kansainväliset huutokaupat sekä rahaliike.

Se ostaa kultaa kaikissa muodoissa, kultakoruista kultaharkkoihin ja romukultaan. Se ostaa myös timanttikoruja, hopeaa, kelloja, rahoja, seteleitä, kunniamerkkejä ja militariaesineitä. Se järjestää vuosittain neljä kansainvälistä huutokauppaa, joissa myydään keräilykohteita yksittäisistä esineistä laajoihin kokoelmiin.

Sitten on tämä, yhtiön omin sanoin:

Holmaston asiantuntijat tarjoavat arviointipalveluja yksittäisille esineille ja kokoelmille. Palvelumme kattaa niin vakuutusyhtiöiden kuin perikuntien tarpeet.

Arviointi vakuutusta varten tehdään esineelle, joka on olemassa ja jonkun hallussa. Perikunnan arviointi tehdään kokoelmalle, joka on jäänyt jonnekin. Kumpikaan ei ole kaupan tapahtuma vaan sen edellytys ja molemmat edellyttävät, että esine on jossain siihen asti.

Tästä ei seuraa, että asiakasrekisteri kertoisi kenelläkään olevan mitään tiettyä kotonaan. Rekisterissä on ostajia, myyjiä, huutokaupan tarjoajia ja arviointiasiakkaita, eikä pelkkä rekisterissä oleminen kerro kumpaan suuntaan kauppa kulki. Yhtiö ei ole sanonut mitään siitä, mitä sen rekisteri erittelee.

Se mikä siitä seuraa, on vaatimattomampi ja silti riittävä. Nimi ja osoite muuttuvat merkitykseltään sen mukaan, minkä yrityksen listalla ne ovat. Verkkokaupan asiakaslistassa nimi kertoo, että joku on ostanut jotain. Kultakaupan ja huutokauppatalon listassa nimi kertoo, että joku on asioinut paikassa, jonne mennään, kun on jotain arvokasta ostettavaa, myytävää tai arvioitavaa. Tieto ei ole varma yhdenkään yksittäisen ihmisen kohdalla ja juuri se tekee siitä käyttökelpoisen sille, joka etsii todennäköisyyksiä eikä varmuuksia.

Mitä tiedoilla tehdään

Nimi ja osoite yksinään ovat vähäinen vahinko, koska ne saa muutenkin. Henkilötunnus muuttaa asian kokonaan. Se on Suomessa käytännössä avain ja sen ja nimen yhdistelmällä avataan tilejä, haetaan kulutusluottoja ja pikavippejä sekä tilataan tavaraa laskulle. Osoite tekee hakemuksesta uskottavan, koska se näyttää oikealta. Tilinumero yhdessä henkilötunnuksen kanssa tekee huijauspuhelusta vakuuttavan, kun soittaja tietää oikean tilin.

Toinen käyttö on kohdennettu kalastelu ja liike varoitti siitä itse. Ero tavalliseen roskapostiin on siinä, että lähettäjä tietää olevansa yhteydessä oikeaan asiakkaaseen ja voi puhua asiakkuudesta yksityiskohdilla, jotka täsmäävät. Juuri se saa varovaisenkin ihmisen uskomaan.

Kolmas on tämän rekisterin oma piirre eikä sitä sanota tiedotteessa. Kyseessä on jalometallikaupan asiakasrekisteri. Se ei ole nimilista vaan lista ihmisistä, joilla on todennäköisesti kultaa tai hopeaa hallussaan ja siinä on heidän kotiosoitteensa. Verkkokaupan asiakasrekisterissä ei synny samaa yhdistelmää.

Neljäs on yhdistely. Vuodettu aineisto ei jää yksin vaan se ristiinajetaan aiempien vuotojen kanssa ja jokainen uusi kenttä täydentää profiilia. Yksittäinen vuoto on harvoin se, joka aiheuttaa vahingon ja siinä on osa syytä siihen miksi näiden vakavuutta aliarvioidaan.

Aineistolla on myös hinta ja se määräytyy juuri niiden kenttien mukaan, jotka liike jätti epämääräisiksi. Rekisteri, jossa on henkilötunnukset, on moninkertaisesti arvokkaampi kuin rekisteri, jossa on vain nimiä.

Kaikki edellä sanottu koskee sitä, mitä tämäntyyppisillä tiedoilla yleisesti tehdään. Se ei kerro, mitä tässä tapauksessa on tapahtunut.

Se, mitä ei voi ottaa takaisin

Henkilötunnus on tässä oma lukunsa ja sen kohdalla kannattaa katsoa mitä laki lupaa.

Väestötietolaki sallii henkilötunnuksen muuttamisen, jos joku muu kuin sen haltija on tunnusta väärinkäyttänyt. Ehto on kirjoitettu näin:

muu kuin henkilötunnuksen haltija on toistuvasti väärinkäyttänyt tunnusta ja käytöstä on aiheutunut merkittävää taloudellista tai muuta haittaa tunnuksen oikealle haltijalle ja henkilötunnuksen muuttamisella voidaan tosiasiallisesti estää väärinkäytön haitallisten seurausten jatkuminen

Sanat ovat toistuvasti ja aiheutunut. Vuotanut henkilötunnus ei siis riitä. Vaaditaan, että väärinkäyttö on jo tapahtunut, että sitä on tapahtunut useammin kuin kerran ja että siitä on syntynyt näytettävissä oleva vahinko. Suoja alkaa siitä hetkestä, jossa sitä ei enää voi käyttää ennaltaehkäisyyn.

Digi- ja väestötietovirasto sanoo lisäksi suoraan sen, mikä tekee ehdosta johdonmukaisen:

Even if changing the personal identity code prevented the misuse of a person's data, the same risks would exist with the new personal identity code as well.

Uusi tunnus on yhtä altis kuin vanha, koska ongelma ei ole tunnuksessa vaan siinä, että sitä käytetään henkilöllisyyden todisteena paikoissa, joissa se on vain numero. Tämän tunnustaminen on rehellistä. Se on samalla myöntö siitä, ettei vuotaneen tunnuksen haltijalle ole tarjolla korjausta, on vain varovaisuutta.

Viranomaisohje kertoo, mitä varovaisuus käytännössä tarkoittaa. Luottokielto kolmeen eri rekisteriin. Muuttoilmoituksen estäminen väestötietovirastossa. Muuttoilmoituksen estäminen erikseen myös Postissa. Tilinumeron ilmoittamisen rajaaminen niin, että veronpalautus voi mennä vain yhtä reittiä. Rekisteröintikielto kaupparekisteriin, jottei kukaan perusta yritystä toisen nimissä.

Luettelo on lista siitä, mitä toisen nimellä voi tehdä. Nostaa luottoa. Ohjata posti muualle. Ohjata veronpalautus omalle tililleen. Perustaa yrityksen. Jokainen näistä on reitti, joka avautuu numerosta, jota ei ole tarkoitettu salasanaksi mutta jota käytetään sellaisena.

Miksi tämä ei näytä vakavalta

Vuoto on tapahtuma, jolla on päivämäärä. Sunnuntai 30. elokuuta, korjattu välittömästi havaitsemisen jälkeen, ilmoitettu tietosuojavaltuutetulle. Kaikki kolme ovat totta ja kaikki kolme kertovat menneestä ajasta.

Vuodon seuraus ei ole tapahtuma. Nimi ei vanhene. Osoite muuttuu, kun ihminen muuttaa, muttei sitä ennen. Henkilötunnus ei muutu koskaan, paitsi ehdolla, joka edellyttää, että vahinko on jo syntynyt. Tiedot, jotka lähtivät elokuun viimeisenä sunnuntaina, ovat käyttökelpoisia vuoden päästä ja viiden vuoden päästä, eikä kukaan ilmoita siitä hetkestä, jolloin niitä käytetään.

Tämä on se kohta, jossa yleisyys tekee työnsä. Seitsemäntuhannen vuosittaisen ilmoituksen joukossa jokainen niistä alkaa näyttää siltä miltä seitsemäntuhannes osa näyttää. Tapaus uutisoidaan sinä päivänä, kun se kerrotaan ja seuraavana päivänä on toinen tapaus. Lukija oppii, että näitä sattuu. Oppiminen on oikeaa: näitä todella sattuu. Väärä on se johtopäätös, joka siitä seuraa, eli että koska tämä on tavallista, tämä on siedettävää.

Tilaston näkökulmasta yksi vuoto on yksi tapaus. Ihmisen näkökulmasta se ei ole tapaus vaan tila, joka alkoi eikä pääty.

Mitä laki vaatii kerrottavaksi

Tietosuoja-asetus velvoittaa ilmoittamaan rekisteröidylle, kun loukkaus todennäköisesti aiheuttaa korkean riskin hänen oikeuksilleen ja vapauksilleen. Ilmoituksessa on kuvattava selkeällä ja yksinkertaisella kielellä, mistä on kyse.

Yksi yksityiskohta asetuksessa on kiinnostava. Rekisteröidylle annettavassa ilmoituksessa ei vaadita kerrottavaksi sitä, montako ihmistä loukkaus koskee. Se tieto kuuluu viranomaiselle. Yksittäiselle ihmiselle kerrotaan, mitä hänelle tapahtui, ei sitä kuinka moni muu on samassa tilanteessa. Sana tuhansia on siis enemmän kuin laki vaatii, eikä sen epätarkkuus ole laiminlyönti.

Ilmoituksen saa jättää tekemättä kolmessa tilanteessa: jos tiedot oli salattu, jos riski on jälkikäteen poistettu, tai jos yhteydenotto vaatisi kohtuutonta vaivaa. Viimeinen näyttää portilta, jonka läpi pääsee helposti, mutta ohje sulkee sen: kohtuuton vaiva tarkoittaa tilannetta, jossa yhteystiedot ovat hävinneet tai niitä ei ole koskaan ollutkaan. Se ei tarkoita, että soittaminen olisi työlästä tai kallista.

Rahaliikkeen tiedote teki asian, jota ohje nimenomaan pyytää. Se kertoi, että yhtiön omissa viesteissä ei ole linkkejä eikä liitteitä ja että Holmaston nimissä lähetetty viesti, jossa on linkki ei ole yhtiöltä. Se on konkreettinen neuvo, jonka voi panna toimeen lukematta yhtään lakipykälää.

Kuka hyötyy siitä ettei mitään voi tehdä

Hyötyjää ei tarvitse etsiä motiivista. Riittää katsoa, kenen asema paranee siitä, että korjauskeinoa ei ole.

Se, joka sai tiedot hyötyy siitä, että ne kelpaavat pitkään. Palvelu, joka hyväksyy henkilötunnuksen henkilöllisyyden todisteena, hyötyy siitä ettei sen tarvitse rakentaa parempaa tunnistusta, koska vastuu väärinkäytöstä ei osu sille vaan sille, jonka nimi väärinkäytettiin. Rekisterinpitäjä, joka ilmoitti ajoissa ja korjasi haavoittuvuuden, on tehnyt sen mitä laki vaatii ja laki lakkaa vaatimasta siihen. Kukaan näistä ei tarkoita mitään. Rakenne toimii heidän hyväkseen riippumatta siitä mitä he tarkoittavat.

Häviäjä on eri kokoluokkaa ja hän on yksin. Hän on ihminen, jonka nimi, osoite ja henkilötunnus ovat jossain ja jonka ainoa käytettävissä oleva toimi on kieltää itseltään asioita: luottoa ei saa ottaa, osoitetta ei voi muuttaa ilman lisävaihetta, veronpalautus kulkee vain yhtä reittiä. Suojautuminen tarkoittaa oman toimintavapauden kaventamista ja sen tekee se, joka ei tehnyt mitään väärin.

Kokoero on tässä poikkeuksellisen selvä. Yhtiöllä on tiedottaja ja lakimies. Vakuutusyhtiöllä ja pankilla on riskienhallinta. Väärinkäytön kohteeksi joutuneella on lomake ja puhelinnumero ja hänen tapauksessaan tapahtunut on hänen ainoa tapauksensa.

Nimi ja kulta

Vanha sananlasku sanoo asian tavalla, joka osuu tässä kirjaimellisesti:

Nimi on kalliimpi suurta rikkautta, suosio hopeata ja kultaa parempi.

Sananl. 22:1

Lause on kirjoitettu maailmaan, jossa hopea ja kulta olivat mitattavaa varallisuutta ja nimi tarkoitti mainetta, luotettavuutta ja sitä, että ihminen tunnetaan. Liike, jonka rekisteri vuoti käy kauppaa hopealla ja kullalla. Siltä ei viety kultaa. Siltä vietiin nimet.

Nimi on Raamatussa muutakin kuin tunniste. Se on se, mistä ihminen tunnetaan ja mihin hänet kutsutaan:

Mutta nyt, näin sanoo Herra, joka loi sinut, Jaakob, joka valmisti sinut, Israel: Älä pelkää, sillä minä olen lunastanut sinut, minä olen sinut nimeltä kutsunut; sinä olet minun.

Jes. 43:1

Nimeltä kutsuminen on tässä omistamisen vastakohta siinä mielessä, että se ei ota vaan tunnistaa. Identiteettivarkaus tekee saman liikkeen toisin päin: se ottaa nimen käyttääkseen sitä ja käyttää sitä paikassa, jossa nimeä ei tunneta vaan luetaan.

Aarteista on toinen sana ja se ei ole kehotus olla omistamatta mitään:

Älkää kootko itsellenne aarteita maan päälle, missä koi ja ruoste raiskaa ja missä varkaat murtautuvat sisään ja varastavat.

Matt. 6:19

Koi, ruoste ja varas ovat kolme tapaa menettää. Ne on lueteltu peräkkäin siksi, että ne kaikki tekevät saman: ne osoittavat, ettei maanpäällinen omaisuus pysy pelkästään siitä syystä, että se on hankittu. Luetteloon on kahdentuhannen vuoden aikana tullut neljäs kohta ja se on outo lisä. Nyt voidaan viedä myös se tieto, että jollakulla on jotain. Varas ei enää murtaudu sisään ensimmäisenä. Hän lukee ensin listan.

Se mikä jää

Tapaus on kirjoitushetkellä kolmen vuorokauden ikäinen, eikä yksikään viranomainen ole sanonut siitä julkisesti mitään. Se ei ole moite. Se on ajan kulumista ja arviointi kuuluu tietosuojavaltuutetulle, jolle asia on ilmoitettu.

Se mikä on jo nyt luettavissa, ei koske tätä yhtiötä vaan sitä ketjua, johon vuoto putosi. Rekisterinpitäjä havaitsi, korjasi ja ilmoitti. Laki vaatii häneltä juuri sen. Viranomainen ottaa ilmoituksen vastaan ja sellaisia ilmoituksia tulee seitsemäntuhatta vuodessa. Asiakas saa tiedon ja luettelon siitä, mitä hän voi itse kieltää. Ketjun päässä ei ole ketään, jonka tehtävä olisi palauttaa se mikä lähti, koska sitä ei voi palauttaa.

Tämän toteaminen ei vähättele eikä liioittele. Se sanoo, mikä on korjattavissa ja mikä ei. Haavoittuvuus korjattiin samana päivänä. Nimeä, osoitetta ja henkilötunnusta ei korjata ja niiden kohdalla ainoa käytettävissä oleva teko on varovaisuus, joka jatkuu niin kauan kuin tiedot ovat käyttökelpoisia. Se on pitkä aika, eikä sille ole ilmoitettu päättymispäivää.

Lähteet

• Yleinen tietosuoja-asetus (EU) 2016/679, 33 ja 34 artikla; johdanto-osan 26 kappale
• Tietosuojatyöryhmän suuntaviivat WP250 rev.01 henkilötietojen tietoturvaloukkauksen ilmoittamisesta
• Väestötietolaki 661/2009, 12 §
• Tietosuojavaltuutetun toimiston toimintakertomukset 2021–2025
• Digi- ja väestötietoviraston tiedote 9.8.2024; Suomi.fi-opas "Suojaudu väärinkäytöksiltä"
• Patentti- ja rekisterihallituksen avoin yritystietorajapinta
• Yhtiön oma tiedote 2.9.2026 ja verkkosivujen yritysesittely
• Pyhä Raamattu 1933/1938, sanatarkkoina