Psykoterapiakeskus Vastaamoon kohdistunut tietomurto on saanut monet pohtimaan henkilötunnuksen muuttamista.
Digi- ja väestötietovirasto (DVV) sai viime vuonna noin sata henkilötunnuksen muutoshakemusta. Luku on kymmenkertainen normaalivuoteen verrattuna. On todennäköistä, että hakemusten määrä kasvaa edelleen.
Hakemukset eivät yleensä mene läpi. Voimassa oleva lainsäädäntö ei mahdollista henkilötunnuksen muuttamista tietomurron vuoksi, ellei kyseessä ole tilanne josta aiheutuisi esimerkiksi toistuvaa taloudellista vahinkoa. Tunnusta ei voi vaihtaa myöskään väärinkäytösten ennaltaehkäisemiseksi.
Henkilötunnuksen vaihtaminen saattaa muuttua jatkossa helpommaksi. Se ei kuitenkaan ole toimivin tapa torjua identiteettivarkauden uhrille aiheutuvia hankaluuksia.
Henkilötunnuksen vaihtaminen ei suojaa rikoksilta
Valtiovarainministeriössä valmistellaan parhaillaan lakimuutosta (siirryt toiseen palveluun), joka mahdollistaisi henkilötunnuksen vaihtamisen nykyistä helpommin.
Lakia sovellettaisiin tilanteessa, jossa henkilötunnuksia on joutunut sivullisten käsiin rikollisen toiminnan seurauksena. Tavoitteena on myös, että tunnuksen voisi vaihtaa ennakoivasti väärinkäytön mahdollisuuden varalta.
Lakiluonnoksesta annettiin tammikuun puolivälissä päättyneellä kierroksella 53 lausuntoa.
Useimmissa lausunnoissa todetaan, että identiteettivarkauden kohteeksi joutuneiden ihmisten asemaa tulee parantaa, mutta henkilötunnuksen vaihtaminen ei ole tähän paras keino. Näin ajatellaan esimerkiksi tietosuojavaltuutetun toimistossa.
– Henkilötunnuksen muuttaminen ei ole ratkaisu ongelmaan, sanoo tietosuojavaltuutettu Anu Talus.
Myöskään Poliisihallituksen arvion mukaan henkilötunnuksen muuttamisella ei ole suurta vaikutusta henkilötietojen rikollisen käytön torjunnassa.
Henkilötunnus ei ole salainen tieto
Henkilötunnus on hallinnollinen nimi, jonka avulla samannimiset henkilöt erotetaan toisistaan. Sitä ei ole tarkoitettu ihmisen tunnistamiseen.
Joissakin poikkeuksellisissa tilanteissa henkilötunnuksen voi vaihtaa.
Tyypillisin syy henkilötunnuksen vaihtamiseen on sukupuolen korjaus. Lisäksi muuttaminen on mahdollista tilanteissa, joissa se on välttämätöntä henkilön suojelemiseksi terveyteen tai turvallisuuteen kohdistuvan uhkan vuoksi.
Myös tunnuksen väärinkäyttö mahdollistaa sen muuttamisen, mutta tällaiset tapaukset ovat erittäin harvinaisia. Viimeisten kymmenen vuoden aikana tunnuksen muuttaminen vakavien väärinkäytösten vuoksi on onnistunut vain yksittäisissä tapauksissa.
– Hakijan on pystyttävä osoittamaan, että väärinkäyttö on toistuvaa ja siitä on aiheutunut merkittävää taloudellista tai muuta haittaa, kertoo johtaja Jari Taipale DVV:sta.
Henkilötunnuksen vaihtamisesta valtavasti vaivaa
Tietovuodon tai identiteettivarkauden uhriksi joutuneelle aiheutuu paljon vaivaa omien tietojensa väärinkäytön estämisessä.
Vastaamon tietomurron jälkeen viranomaiset ovat koonneet neuvoja ja ohjeita (siirryt toiseen palveluun), mutta yksittäiset toimenpiteet kuten rikosilmoitus, henkilökohtainen luottokielto sekä muut suositellut toimet jäävät uhrin vastuulle. Myös DVV valmistelee parhaillaan palvelukokonaisuutta tietovuodon kohteeksi joutuneille.
Henkilötunnuksen muuttaminen voi kuulostaa helpolta tavalta päästä eroon hankalista, uhrin elämää hankaloittavista kielloista ja estoista.
Käytännössä muutoksen tekeminen on kaikkea muuta kuin helppoa.
Tunnuksia ei ole suunniteltu vaihdettavaksi eivätkä käytössä olevat tietojärjestelmät tue muutoksia. Käytännössä muutosten tekeminen on tällä hetkellä käsityötä, mikä lisää virheiden mahdollisuutta.
Esimerkiksi poliisilla on käytössään kymmeniä tietojärjestelmiä, joiden muutoskustannukset voisivat nousta miljooniin euroihin. Myös sosiaali- ja terveyssektorilla henkilötunnusten laaja muuttaminen edellyttäisi kalliita tietojärjestelmähankintoja.
Henkilötunnuksen muuttamisesta seuraa huomattava määrä työtä, kuluja ja harmia myös henkilölle itselleen.
Uusittavaksi tulevat esimerkiksi passi, ajokortti sekä pankki- ja luottokortit. Kuinka todistaa yhteys vanhan ja uuden henkilötunnuksen välillä esimerkiksi erilaisissa todistuksissa? Entä tiedonkulku eri viranomaisten välillä, potilasturvallisuus tai pelkästään paperisessa muodossa olevat tiedot?
Muun muassa näistä syistä moni asiantuntijataho suhtautuu asiaan kriittisesti.
Tietojohtamisen väitöskirjatutkija Juha Lemmetti ja tietojohtamisen professori Samuli Pekkola Tampereen yliopistosta toteavat lausunnossaan, että lakiesityksen jatkovalmistelussa tulisi kiinnittää huomiota nimenomaan seurauksiin, joita henkilötunnuksen vaihtamisesta yksilölle koituu.
Lemmetti ja Pekkola arvioivat, että seuraukset ovat laajoja, arvaamattomia ja kauaskantoisia. Lisäksi henkilötunnuksen muuttamisen tarjoaminen apukeinona sysää vastuun rikoksen ehkäisemisestä rikoksen uhrille itselleen.
– On moraalisesti väärin vastuuttaa uhri tekemään tällanen suuritöinen operaatio suojautuakseen rikoksen seurauksilta. Myös tietojärjestelmien näkökulmasta muutos olisi erittäin vaikea toteuttaa, Lemmetti toteaa.
Henkilötunnuksilla tehtaillaan petoksia
Henkilötunnuksen päätyminen vääriin käsiin kuulostaa monen korvissa pelottavalta.
Tyypillisesti rikoksentekijällä on tiedossaan uhrin henkilötunnus, nimi sekä osoite. Verkkokaupassa tekijä tekee tilauksen uhrin tiedoilla, ja valitsee maksutavaksi laskun tai osamaksun.
Yhteystietoihin tekijä syöttää usein oman puhelinnumeronsa sekä sähköpostiosoitteen, jonne tulee tieto paketin saapumisesta. Toimitustavaksi tekijä valitsee pakettiautomaatin.
Myöhemmin rikoksen uhri saa laskun tuotteesta, jota ei ole tilannut, ja reklamoi laskun lähettänyttä yritystä.
Käräjäoikeudessa tapauksia käsitellään yleensä petoksina ja identiteettivarkauksina. Samalla tekijällä on usein monia tapauksia.
– Jos yksi tekijä syyllistyy vaikka sataan lievään petokseen, hän saa tuomion lievistä petoksista. Ne eivät yhdessä muodosta petosta tai törkeää petosta, vaikka saavutettu rikoshyöty olisi merkittävä, sanoo tietoverkkorikosten torjuntaan perehtynyt poliisitarkastaja Kimmo Ulkuniemi Poliisihallituksesta.
Sekä poliisi että tietosuojavaltuutettu korostavat, että henkilötunnuksen ja nimen väärinkäytöstä ei seuraa uhrille taloudellisia vaikeuksia.
Petoksen uhri ei joudu maksamaan aiheettomia laskuja, mutta asian selvittelystä aiheutuu vaivaa. Uhri tekee petoksesta rikosilmoituksen.
Todistustaakka kaupan osapuolista on lähtökohtaisesti aina myyjällä.
– Jos ostajan henkilöllisyyttä ei ole varmistettu riittävän hyvin, jää vahinko kaupittelijan vastuulle, Anu Talus muistuttaa.
Tietoverkkorikosten määrä kasvaa vuosi vuodelta
Vastaamon tietomurto on lisännyt ymmärrystä tietoverkkorikosten luonteesta.
– Aiemmin tietoverkkorikokset on nähty uhrittomina rikoksina. Vastaamon tapaus osoittaa, että sellaisetkin henkilöt, jotka eivät ole koskaan käyttäneet älylaitteita, voivat joutua uhriksi koska heidän henkilötietojaan käsitellään jossain tietoverkoissa, kuvailee Kimmo Ulkuniemi.
Identiteettivarkaus tuli rikoslakiin vuonna 2015 ja siitä lähtien tapausten määrät ovat vuosi vuodelta kasvaneet. Vuonna 2020 poliisin tietoon tuli 4 320 identiteettivarkautta. Viidessä vuodessa luku on kasvanut noin 29 prosenttia. Viime vuoden luvuissa Vastaamo ei vielä näy, sillä mahdolliset rikokset tulevat viiveellä.
Tietomurtojen osalta poliisin tietoon tulleiden tapausten määrä on kasvanut vuodesta 2016 peräti 168 prosenttia. Viime vuonna poliisin tietoon tuli 1097 tietomurtoa. Vain pieni osa tietomurroista tulee poliisin tietoon.
Identiteettivarkauden kohteeksi joutuneet ihmiset ovat löysässä hirressä.
– Uhrin kannalta tilanne on erittäin epämiellyttävä. On hankalaa arvioida, millä todennäköisyydellä ja milloin voi joutua rikoksen uhriksi, Ulkuniemi toteaa.
Vahva tunnistaminen estää henkilötietojen väärinkäyttöä
Monimutkaisessa vyyhdissä asiantuntijat muistuttavat henkilötunnuksen alkuperäisestä tehtävästä.
– Sen merkitys ei ole niin dramaattinen kuin yleensä ajatellaan. Se on yksilöinnin väline eikä sitä pitäisi käyttää liiketoiminnassa tunnistamiseen, sanoo DVV:n Jari Taipale.
Väitöskirjatutkija Juha Lemmetin mielestä henkilötunnuksen muuttaminen on liian järeä ja hankala toimenpide. Hänen mukaansa huomio pitäisi suunnata niihin, jotka myyvät tavaraa luotolla henkilötunnuksen perusteella.
– Tällä hetkellä mikään ei pakota Klarnan ja Svean kaltaisia toimijoita muuttamaan järjestelmiänsä luotettavammaksi. Sähköinen vahva tunnistaminen maksaisi 5–10 senttiä ostotapahtumaa kohden. Sekin on näille liikaa, koska se olisi tuloksesta pois, Lemmetti summaa.
Oikeusministeriössä on suunnitteilla kuluttajaluottoja koskevan lainsäädännön tarkistaminen. Oikeusministeri Anna-Maja Henriksson on esittänyt, että esimerkiksi verkko-ostosten maksaminen luotolla vaatisi jatkossa vahvan sähköisen tunnistamisen.
Käytännössä sähköinen tunnistaminen tapahtuu esimerkiksi verkkopankkitunnuksilla tai mobiilivarmenteella.
Vahvan tunnistamisen laajentaminen saa kannatusta myös poliisilta. Toisen nimellä ja henkilötunnuksella ei pitäisi olla mahdollista tehdä ostoja.
– Jos henkilötietojen väärinkäyttäminen ei ole enää mahdollista, rikoksentekijöiden kiinnostus näitä tietoja kohtaan vähenee, sanoo Poliisihallituksen Kimmo Ulkuniemi.
Aiheesta voi keskustella lauantai-iltaan kello 23.00 saakka.
Lue myös:
Kuka saa kysyä henkilötunnustasi ja milloin sitä ei kannata kertoa? Tietosuojavaltuutettu vastaa