Innovaatiku infosüsteemist, mida kasutavad hambaraviasutused, laaditi alla patsientide isikuandmeid, sealhulgas terviseandmeid. Esialgsetel andmetel puudutab leke üle 300 Eesti tervishoiuteenuse osutaja. Andmed ei lekkinud kliinikute endi arvutitest, vaid tarnija hallatud süsteemist.
Mis juhtus?
Innovaatik teatas augusti lõpus politseile, et ettevõtte hallatavasse süsteemi on korduvalt ebaseaduslikult sisse tungitud ja sealt on alla laaditud patsientide andmeid. ERR-i andmetel olid nende hulgas isikukoodid, e-posti aadressid ja terviseandmed. Enamik andmetest puudutas hambaravi, kuid nende seas võib olla ka muid terviseandmeid.
Keskkriminaalpolitsei pidas kolmapäeval, 2. septembril kinni 45-aastase Eesti kodaniku, kes oli varem ettevõttega seotud. Politsei kahtlustab, et ta pääses andmebaasile ebaseaduslikult ligi juuni lõpust alates. Politsei esialgse hinnangu kohaselt võis tema eesmärk olla juhtida tähelepanu süsteemi turvanõrkustele.
Tegemist on kahtlustusega, süü üle otsustab kohus. Prokuratuuri sõnul ei ole praegu alust arvata, et kahtlustatav andmeid edasi andis või neist koopiaid tegi. Allalaaditud andmed on tagasi saadud. Mitme patsiendi andmeid leke puudutab, selgub kriminaalmenetluse käigus.
Politsei hoiatab ka järelpettuste eest. Kui keegi nõuab väidetavalt lekkinud andmete eest raha, on see politsei sõnul tõenäoliselt kelmus.
Miks see puudutab ka teisi ettevõtteid?
Paljud väikeettevõtted ei hoia klientide andmeid oma serveris. Broneeringud, raamatupidamine, e-pood ja kliendiregister on sageli tarnija pilveteenuses. Kui tarnija süsteemis midagi juhtub, võivad teie klientide andmed lekkida ka siis, kui teie ise midagi valesti ei teinud.
Vastutus klientide ees jääb siiski teile. Isikuandmete kaitse üldmääruse ehk IKÜM-i järgi on andmeid koguv ettevõte üldjuhul vastutav töötleja ja tarkvaratarnija volitatud töötleja. Volitatud töötleja peab rikkumisest vastutavat töötlejat teavitama põhjendamatu viivituseta. Vastutav töötleja peab Andmekaitse Inspektsiooni (AKI) teavitama hiljemalt 72 tundi pärast rikkumisest teada saamist.
Mida oma tarkvaratarnijalt küsida?
Selle juhtumi kahtlustatav oli varem ettevõttega seotud. Kuidas ta süsteemi pääses, ei ole avalikult teada. Juhtum annab siiski hea põhjuse esitada oma tarnijatele mõned küsimused:
- Kuidas suletakse endiste töötajate ja lepingupartnerite ligipääs? Küsige ka, kui kiiresti see pärast lahkumist juhtub.
- Kas logitakse, kes teie andmeid vaatab ja alla laadib? Küsige, kas keegi logisid ka jälgib ja kas suurt allalaadimist märgatakse.
- Kui kiiresti teid rikkumisest teavitatakse? Pange tähtaeg lepingusse, et jõuaksite ise 72 tunni jooksul AKI-t teavitada.
- Kas süsteemi sisselogimisel on kaheastmeline autentimine? See puudutab nii tarnija töötajaid kui ka teie enda kasutajaid.
- Milliseid andmeid ja kui kaua süsteemis hoitakse? Andmed, mida ei ole, ei saa ka lekkida.
Mida teha, kui leke puudutab teie kliente?
- Küsige tarnijalt kirjalikult, kas rikkumine puudutab teie andmeid ja milliseid andmeliike.
- Teavitage AKI-t 72 tunni jooksul pärast rikkumisest teada saamist, kui see võib ohustada inimeste õigusi ja vabadusi. Teate saab esitada AKI veebilehel. IKÜM lubab infot anda ka osade kaupa, kui kõik ei ole veel teada.
- Teavitage inimesi, kui rikkumine on tõenäoliselt suur oht nende õigustele ja vabadustele.
- Hoiatage kliente pettuste eest. Öelge, et lekkinud andmete eest raha nõudja on tõenäoliselt kelm.
- Pange kirja, mis juhtus, mida otsustasite ja miks. Rikkumised tuleb dokumenteerida ka siis, kui AKI-t ei teavitata.
Kui vajate rikkumise korral abi, vaadake intsidendi korral tegutsemise lehte.
Allikad
- ERR: Hambaarstide infosüsteemist lekkisid patsientide terviseandmed
- ERR News: Patient health data leaked from dentists' information system
- Postimees: Suur andmeleke. Politsei kahtlustab meest hambaravi patsientide andmete varastamises
- Andmekaitse Inspektsioon: Rikkumisteade
- EUR-Lex: isikuandmete kaitse üldmäärus (EL) 2016/679
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
