Tapaus OYS

Yritysturvallisuus > Tietosuoja

Laaja tietosuojaloukkaus Pohjois-Pohjanmaan hyvinvointialueella

Pohjois-Pohjanmaan hyvinvointialueella tuli ilmi laaja tietosuojaloukkaus, joka on nostanut esiin vakavia kysymyksiä terveydenhuollon tietoturvasta, ammatillisesta vastuusta ja potilaiden yksityisyyden suojasta. Yli viisikymmentä terveydenhoidon ammattilaista mukaan lukien 20 lääkäriä on saanut syyttteen. Syytenimikkeenä on ensisijaisesti tietosuojarikos, ja virassa olleiden osalta myös tuottamuksellinen virkarikos.

Tapauksessa kymmenien työntekijöiden epäillään tarkastelleen yhden potilaan arkaluonteisia tietoja ilman asiallista perustetta, mikä on johtanut mittavaan rikostutkintaan ja oikeuskäsittelyyn. Asiaa tutkiva Oulun poliisi pitää kokonaisuutta poikkeuksellisen laajana, ja oikeusprosessi on käynnistynyt. Juttu on Oulun käräjäoikeuden käsiteltävänä.

Tapauksen erityispiirteenä on se, että tietojen kohteena ollut potilas oli itse terveydenhuollon työntekijä, ja epäilty tietojen urkinta liittyi työyhteisössä huomiota herättäneeseen hoitotilanteeseen.

Tapaus tuli ilmi potilaan omasta aloitteesta, kun hän alkoi epäillä tietojensa luvatonta käyttöä ja selvitti lokitietojen avulla, ketkä olivat tarkastelleet hänen tietojaan. Tämän seurauksena Pohjois-Pohjanmaan hyvinvointialue (Pohde) teki asiasta tutkintapyynnön poliisille sekä ilmoituksen tietosuojaviranomaisille.

Tämä tapaus toimii ajankohtaisena esimerkkinä siitä, miten haavoittuva potilastietojen suoja voi olla, jos tekniset järjestelmät, koulutus ja organisaatiokulttuuri eivät riittävällä tavalla tue tietosuojan toteutumista.

Samalla tapaus herättää laajemman kysymyksen siitä, missä määrin vastuu tietosuojasta kuuluu yksittäisille työntekijöille ja missä määrin organisaatiolle, joka mahdollistaa tietojen käsittelyn.

Tapahtumien kulku
Oulun poliisi ilmoitti käynnistäneensä aktiivisen esitutkinnan koskien marraskuussa 2023 paljastunutta tietosuojaloukkausta. Tapauksessa epäillään useita henkilöitä, ja rikosilmoituksia arvioitiin kirjattavan vähintään 50.

Tapauksen keskiössä on Pohjois-Pohjanmaan hyvinvointialue (Pohde), joka tiedotti, että noin 50 työntekijää oli tarkastellut yhden potilaan tietoja ilman työtehtäviin liittyvää perustetta. Tietojen asiaton käsittely ajoittui kevääseen ja kesään 2023. Erityisen merkittävää tapauksessa on, että:

Kohteena ollut potilas oli itse Pohteen työntekijä
Tapaus paljastui asianomaisen potilaan omasta aloitteesta
Pohde teki asiasta tutkintapyynnön poliisille sekä ilmoituksen tietosuojavaltuutetulle

Rikosoikeudellinen ulottuvuus
Oikeudenkäynti alkoi Oulun käräjäoikeudessa keskiviikkona 22.4.2026. Käräjäoikeudessa oli syytettynä yhteensä 51 henkilöä. Syytettyjen joukossa oli 20 lääkäriä sekä lukuisia sairaanhoitajia ja lähihoitajia. Istunnossa vahvistui, että urkinnan kohteena oli yksi jPohteen työntekijä, joka oli hoidettavana OYS:ssa. Tietoja oli katseltu useita kertoja eri työntekijöiden toimesta ilman selvää lääketieteellistä perustetta (käyttötarkoitussidonnaisuutta). Syyttäjän mukaan:

Tietoja katsottiin ilman perustetta
Tiedot liittyivät epäonnistuneeseen leikkaukseen
Suuri osa katseluista tehtiin leikkaustoiminnan ohjausjärjestelmä Lesun kautta.

Leikkaustoiminnan ohjausjärjestelmä Lesu osana tapausta
Keskeisessä roolissa Oulun tietosuojatapauksessa on leikkaustoiminnan ohjausjärjestelmä Lesu, joka on Esko Systems -yhtiön kehittämä ja osa laajempaa Esko-toiminnanohjausjärjestelmää. Järjestelmä on suunniteltu erikoissairaanhoidon tarpeisiin, ja sen tarkoituksena on tehostaa leikkaustoiminnan suunnittelua, koordinointia ja toteutusta.

Vaikka järjestelmä on ensisijaisesti toiminnanohjauksen työkalu, se sisältää väistämättä myös potilaskohtaista tietoa, kuten tunnistetietoja, toimenpiteisiin liittyviä lääketieteellisiä tietoja sekä hoidon etenemistä koskevia merkintöjä.

Juuri tämä piirre tekee Lesusta olennaisen tarkastelukohteen tietosuojan näkökulmasta. Vaikka käyttäjät saattavat mieltää järjestelmän hallinnolliseksi työkaluksi, sen sisältämät tiedot ovat lain näkökulmasta arkaluonteisia potilastietoja. Tästä seuraa, että niiden käsittelyyn sovelletaan samoja tiukkoja sääntöjä kuin varsinaisiin potilastietojärjestelmiin.

Lesua käyttävät useat eri ammattiryhmät, kuten lääkärit, hoitajat, anestesiahenkilöstö sekä hallinnolliset työntekijät. Laaja käyttäjäkunta on toiminnan kannalta välttämätön, mutta se lisää myös riskiä tietojen asiattomaan käyttöön, mikäli käyttöoikeuksia ei ole rajattu riittävän tarkasti tai henkilöstö ei ole saanut riittävää koulutusta.

Järjestelmässä on lähtökohtaisesti käytössä henkilökohtaiset tunnukset, roolipohjainen käyttövaltuushallinta sekä lokitiedot, joiden avulla voidaan jälkikäteen selvittää tietojen katselut.

Oulun tapauksessa juuri nämä lokitiedot mahdollistivat epäillyn tietojen urkinnan havaitsemisen. Samalla tapaus on tuonut esiin mahdollisia puutteita järjestelmän käytössä ja siihen liittyvässä ohjeistuksessa.

Puolustuksissa on vedottu muun muassa siihen, että käyttäjät eivät olleet tietoisia kaikkien näkyvien tietojen arkaluonteisuudesta tai siitä, missä tilanteissa tietojen katselu on sallittua.

Lesu-järjestelmän rooli tapauskokonaisuudessa havainnollistaa laajempaa ongelmaa terveydenhuollossa. Tietosuoja ei ole pelkästään tekninen kysymys, vaan se kytkeytyy olennaisesti käyttäjien osaamiseen, organisaation toimintatapoihin ja siihen, miten järjestelmien käyttöä ohjataan ja valvotaan.

Puolustuksen näkökulmat
Syytetyt kiistävät pääosin syyllisyytensä. Puolustukset jakautuvat useisiin eri argumentteihin:

1. Inhimilliset virheet

Tietoja on katsottu vahingossa
Kyseessä on ollut virheklikkaus

2. Tietämättömyys

Kaikki eivät ymmärtäneet tietojen olevan potilastietoja
Järjestelmän käyttöliittymä ei ollut selkeä

3. Työhön liittyvä peruste

Tietoja katsottiin koulutustarkoituksessa
Tarkastelu liittyi hoidon valvontaan

4. Tekninen vastuu

Tietoja katsottiin toisten tunnuksilla
Työasemia jätettiin lukitsematta, mikä oli yleinen käytäntö

5. Organisaation vastuu
Puolustukset kritisoivat Pohdetta erityisesti:

Puutteellisesta koulutuksesta
Epäselvistä ohjeistuksista
“Mestari–kisälli”-malliin perustuvasta perehdytyksestä

Syyttäjän näkökulma
Aluesyyttäjä korostaa ammatillista vastuuta. Terveydenhuollon henkilöstön oletetaan ymmärtävän tietosuojan periaatteet jo koulutuksensa kautta. Keskeiset argumentit:

Tietosuojaosaaminen kuuluu ammattitaitoon
Potilastietojen käsittelyä säätelevät selkeät lait
Jokaisella työntekijällä on henkilökohtainen vastuu

Lainsäädännöllinen tausta
Tapauksen arvioinnissa keskeisiä ovat:

EU:n yleinen tietosuoja-asetus (GDPR)
Suomen tietosuojalaki
Laki potilaan asemasta ja oikeuksista
Rikoslaki (salassapitorikos, tietosuojarikos)

Tietosuojarikos voi täyttyä, jos henkilö käsittelee henkilötietoja ilman laillista perustetta. Terveydenhuollossa tämä kynnys on erityisen matala, koska tiedot ovat arkaluonteisia.

Eettinen näkökulma
Vaikka osa teoista olisi tapahtunut ilman pahantahtoisuutta, eettinen ongelma on silti merkittävä. Potilaan luottamus järjestelmään vaarantuu, jos:

Tietoja katsellaan uteliaisuudesta
Käyttöoikeuksia ei valvota
Organisaatiokulttuuri sallii välinpitämättömyyden

Luottamus on terveydenhuollon perusta. Ilman sitä potilaat eivät välttämättä uskalla kertoa kaikkia hoidon kannalta olennaisia tietoja.

Tapahtuman erityispiirteet
Tapaus on poikkeuksellinen useista syistä:

Syytettyjen suuri määrä
Kohde oli organisaation oma työntekijä
Järjestelmällinen, ei yksittäinen, toiminta
Laaja julkinen ja oikeudellinen huomio

Lisäksi rinnalla tutkitaan toista tapausta, jossa entistä työntekijää epäillään salassapitorikoksesta ja yksityiselämää loukkaavan tiedon levittämisestä.

Johtopäätökset
Oulun tapaus paljastaa useita rakenteellisia ongelmia:

Koulutuksen puutteet
Tietosuojaosaamista ei ole varmistettu riittävästi

Järjestelmäongelmat
Käyttöliittymät ja käyttöoikeudet eivät estä väärinkäyttöä

Organisaatiokulttuuri
Lukitsemattomat koneet ja epäselvät käytännöt

Yksilön vastuu vs. järjestelmän vastuu
Vastuu jakautuu, mutta ei poistu keneltäkään

Lopuksi
Tapauksen oikeudenkäynti jatkuu syksyllä 2026, jolloin saadaan tarkempi oikeudellinen arvio tapahtuneesta. Lopputulos tulee todennäköisesti vaikuttamaan laajemmin suomalaisen terveydenhuollon käytäntöihin.

Tapaus toimii varoittavana esimerkkinä siitä, että tietosuoja ei ole pelkkä tekninen kysymys, vaan olennainen osa ammattietiikkaa, organisaatiokulttuuria ja oikeusvaltiota.