Varastettu läppärilaukku toi suomalaiselle terveydenhoitoalan yritykselle apulaisoikeusasiamiehen huomautuksen. Yritys ei ollut suojannut laitteilla olleita henkilötietoja riittävällä tavalla.
Laukussa oli sisällä henkilötietoja sisältäneen rekisterin ylläpitäjän kannettava tietokone sekä kaksi ulkoista kiintolevyä. Lisäksi laukussa oli myös asiakirjoja, kuten potilastietoja ja yrityksen helmikuun tilinpäätös.
Tietokone oli suljettu, ja sen sisäänkirjautuminen oli suojattu salasanalla. Tietokoneen massamuistia tai sen sisältämiä henkilötietoja ei kuitenkaan ollut salattu.
Tietoturvaloukkauksen kohteena olevien henkilöiden määräksi rekisterinpitäjä arvioi noin 3000 ihmistä. Rekisterinpitäjä teki itse asiasta ilmoituksen tietosuojavaltuutetulle ja hoiti ilmoittamisen asianosaisille rekisterin jäsenille ja muille asiaan liittyville terveydenhuollon toimijoille.
Apulaistietosuojavaltuutettu ei pitänyt pelkkää salasanaa riittävänä suojana koneella olleille tiedoille:
”Jos ulkopuolinen saa pääsyn laitteelle, vahvakaan kirjautumissalasana ei estä pääsyä tietokoneella oleviin tietoihin, ellei niitä ole salattu asianmukaisesti ja tehokkaasti. Ulkoisilla kiintolevyillä oleviin tietoihin pääsy voi olla vieläkin helpompaa. Tämän vuoksi erityisesti korkeariskiset henkilötiedot on tärkeää suojata riittävän vahvasti ja niitä sisältäviä välineitä on säilytettävä huolellisesti.”
Päätöksen mukaan salausohjelmien käyttäminen ei olisi vaatinut rekisterinpitäjältä kohtuutonta vaivaa tai resursseja.
Yhtiö selvisi tässä tapauksessa silti pelkällä huomautuksella, vaikka apulaistietosuojavaltuutetun mielestä yritys ei ollut täyttänyt tietosuoja-asetuksen mukaista velvollisuuttaan henkilötietojen asianmukaisesta suojaamisesta.
Päätös ei ole vielä lainvoimainen, eli yrityksellä on mahdollisuus valittaa päätöksestä ja hakea siihen muutosta.