Ihmisen terveystiedot syntymästä kuolemaan.
Tällainen kuva piirretään Suomen suurimman geenitutkimuksen FinnGenin sisäisessä materiaalissa, jonka Ylen MOT sai haltuunsa.
FinnGen on kerännyt yli puolen miljoonan suomalaisen geeni- ja terveystiedot. Tutkimus käynnistyi lähes 10 vuotta sitten. Mukana on useita kansainvälisiä lääkeyhtiöitä.
Hankkeen tavoitteena on ollut ymmärtää paremmin miten sairaudet syntyvät, miten niitä voitaisiin ennaltaehkäistä ja kuinka hoitoja sairauksiin voidaan kehittää. Myös tuloksia on tullut.
FinnGenin tutkimuslupa on päättymässä ensi vuonna. Hankkeessa suunnitellaan uutta vaihetta kovaa vauhtia.
MOT:n haltuunsa saamasta sisäisestä materiaalista käy ilmi, että hankkeen seuraavassa vaiheessa FinnGeniin haluttaisiin liittää koko Suomen väestön kattavat terveystiedot. Kyseistä materiaalia on esitelty yhteistyötahoille hankkeen edistämiseksi.
Sadat suomalaiset heräsivät vastustamaan
Kyseessä on FinRegistry-nimellä kulkeva aineisto, josta MOT uutisoi vuonna 2024. FinRegistry on ennennäkemättömän laaja yhdistelmä suomalaisten arkaluontoisia terveystietoja. Julkisoikeuden professori Tomi Voutilainen varoitti tuolloin aineistoon liittyvistä riskeistä.
Kun MOT uutisoi tapauksesta, useat sadat suomalaiset ilmoittivat vastustavansa terveystietojensa käyttöä.
FinnGenin johtaja Aarno Palotie ei näe riskejä siinä, että FinRegistry-aineisto liitettäisiin heidän tutkimushankkeeseensa. Palotie painottaa, että geenitutkimukseen osallistuneiden ihmisten osalta samat rekisteritiedot kuin FinRegistryssä ovat jo olemassa.
Hänen mukaansa muun väestön aineistoa tarvitaan muodostamaan yleiskuva.
– FinnGen-osallistujat ovat suureksi osaksi jo sairastavia ihmisiä, jolloin se poikkeaa siitä väestön yleisestä kuvasta. Tämä koko väestön terveysrekisteritieto auttaisi siihen, miten saamme verrattua FinnGen-osallistujia yleiseen kuvaan, Palotie perustelee.
Palotien mukaan ei voida puhua aineistojen yhdistämisestä. MOT:n saaman sisäisen materiaalin mukaan tavoitteena olisi kuitenkin saada koko väestön tiedot FinnGenin omaan tietoturvalliseen ympäristöön Sandboxiin tutkimushankkeen tutkijoiden käytettäväksi.
FinnGen-tutkimushankkeessa on tällä hetkellä mukana muun muassa suomalaisia yliopistoja, hyvinvointialueita, biopankkeja ja 15 kansainvälistä lääkeyhtiötä. Sandbox-käyttöympäristössä on tällä hetkellä noin 1200 käyttäjää.
Mukana kuolleiden tietoja
FinRegistry-aineistossa on mukana yli 7,1 miljoonan suomalaiset tiedot. Osa heistä on edesmenneitä.
Aineistossa on tietoja muun muassa suomalaisten tartuntataudeista, epämuodostumista, toimeentulotuen nostamisesta, hoitojaksoista, diagnooseista, tehohoidosta, avioliitoista ja sukulaisuussuhteista ja laboratoriovastauksista. FinRegistry-aineistossa ei ole ihmisten nimiä ja osoitteita.
Tietojen keräämiseen ei ole pyydetty kansalaisilta erikseen lupaa, vaan niitä pystytään hyödyntämään toisiolain puitteissa.
Helmikuussa Helsingin hallinto-oikeus päätti, ettei yksittäisellä kansalaisella ole oikeutta saada tietojaan poistetuksi FinRegistrystä. Tietojen käytön voi kuitenkin kieltää, jolloin kyseisen ihmisen tietoja ei luovuteta eteenpäin tutkimuksiin.
Tietojen luovutusta voi vastustaa esimerkiksi Findatan sivuilla, joka ylläpitää FinRegistry-valmisaineistoa.
Myös FinnGenin geenitutkimukseen on voinut päätyä tietämättään. MOT uutisoi jo vuonna 2019, että FinnGenissä on mukana biopankkien vanhoja näytteitä, joiden siirtämisestä biopankkeihin ei koskaan kysytty näytteenantajien lupaa.
Julkisoikeuden professori Tomi Voutilainen näkee useita riskejä FinRegistry-aineiston liittämisessä geenihankkeeseen.
Voutilaisen mukaan riskit liittyvät siihen, ketkä tietoa käsittelevät, minkälainen suojausjärjestelmä tietoihin tulee, miten pitkään tietoja käsitellään ja millaisiin tutkimuksiin sitä käytetään.
– Keskeinen ongelma on myös se, että rekisteröity (kansalainen) itse ei kyllä tiedä omien tietojensa käsittelystä käytännössä yhtään mitään.
Ongelmia Voutilaisen mukaan tuo lisäksi se, että FinRegistry-aineistossa on tietoja lukuisista THL:n ylläpitämistä rekistereistä, joiden sisältämän arkaluontoisen terveystiedon keräämisestä ja käsittelystä ei ole perustuslain edellyttämällä tavalla tarkkaan säädetty laissa.
Apulaisoikeuskansleri on huomauttanut asiasta jo vuonna 2014. Lainsäädännön puuttuminen on todettu myös kahdessa eri selvityksessä tänä vuonna. Voutilainen on ollut itse mukana toteuttamassa selvityksiä.
– Olen huolestunut kokonaisuudessaan laillisuusnäkökulmasta. Nyt tehdään asioita ilman lainsäädäntöä, niin kyllä se on iso ongelma.
Voutilainen peräänkuuluttaa valvontaviranomaisten vastuuta ja toimien tehokkuutta, mikäli valtavien tietoaineistojen liittäminen etenee ilman riittävää sääntelyä.
Satoja tuhansia tietoja livahti ”väärälle puolelle”
Tämän vuoden keväällä kiinalainen verkkokauppa Alibaba ilmoitti myyvänsä puolen miljoonan britin terveystietoja. Tiedot olivat peräisin brittiläisestä biopankista. Britannian hallitus vahvisti, että kyse oli aidoista terveystiedoista.
The Guardianin tutkimusten mukaan biopankin tietoja oli vuotanut nettiin useita kertoja.
Tapaus on tuttu myös Aarno Palotielle. Hän vakuuttaa, että FinnGenissä kaikki tietoturvaloukkausten riskit on minimoitu.
FinnGenin ylläpitämissä tiedoissa ei ole ihmisten nimiä, osoitteita tai puhelinnumeroita. Tietoja on karkeistettu, jolloin esimerkiksi lääketieteellisten toimenpiteiden tarkat päivämäärät on häivytetty. Heidän rakentamansa tietoturvaympäristö on auditoitu, eikä sieltä saa yksittäisen ihmisen tietoja ulos.
Ihmisten henkilötunnukset on pseudonymisoitu eli tilalle on luotu uusi tunniste, jonka avulla tietoja eri rekistereistä voidaan yhdistellä.
Vaikka tieto olisi pseudonymisoitu, asiantuntijoiden mukaan ihmisen tunnistaminen useiden muuttujien avulla on mahdollista. Pitäisikö tällaisista tiedoista ottaa pois Suomen puolustukselle tärkeät henkilöt, kuten presidentti ja ministerit?
– Tuo on ihan hyvä pointti. Nämä ovat minusta sellaisia asioita, joita pitää kyllä miettiä, Palotie toteaa.
MOT:n hankkimista asiakirjoista selviää, että FinnGen on ilmoittanut tietoturvaloukkauksista vuosina 2020 ja 2023.
Olen suorastaan vähän neuroottinen siitä, että kaikki raportoidaan ja näkyy, että me reagoimme niihin.
FinnGenin tietoturvaympäristössä tiedot on jaettu punaiseen ja vihreään kirjastoon. Punaisessa kirjastossa säilytetään pseudonymisoitua yksilötietoa ja vihreässä tilastotason tietoa.
Molemmissa tietoturvaloukkauksissa kyse oli siitä, että punaisen kirjaston tietoja oli vuotanut vihreän kirjaston puolelle.
Tietoturvaloukkausilmoituksen mukaan vuonna 2020 vihreään kirjastoon oli vuotanut 97 000 henkilön tiedot, ja tilanne huomattiin vasta lähes kaksi vuotta myöhemmin.
Vuonna 2023 vuotaneiden tietojen tarkka lukumäärä ei ollut selvä, mutta hankkeessa arvioitiin, että väärällä puolella oli enintään 350 000 henkilön tietoja. Tiedot olivat siellä lähes vuoden.
FinnGenin näkemyksen mukaan tietoturvaloukkauksesta aiheutuva riski on ollut vähäinen, koska tiedot olivat pseudonymisoituja ja tietoihin pääsy on edellyttänyt kaksivaiheista tunnistautumista tietoturvalliseen ympäristöön.
Nämä ovat Palotien mukaan merkittävimmät tietoturvaloukkaukset FinnGenin uran ajalta, vaikka joka vuosi tapahtuu jotain.
– Väittäisin, että olen suorastaan vähän neuroottinen siitä, että kaikki raportoidaan ja näkyy, että me reagoimme niihin. Me opimme niistä joka kerta. Mutta oleellista on tietenkin se, ettei mitään valu näiden turvallisuusympyröiden ulkopuolelle.
Tutkimuksia voi tehdä toisten tietämättä
MOT:n tietopyynnöllä hankkimista asiakirjoista paljastuu, että FinnGenin toiminnasta on herännyt huolia myös tutkimushankkeen sisällä.
Vuonna 2023 biopankit nostivat esiin huolensa siitä, että FinnGenin hankkeessa on mahdollista tehdä niin sanottuja ”bespoke”(mittatilaus)-analyysejä, jotka ovat kattaneet käytännössä lähes kaiken FinnGenissä olevan yksityiskohtaisen datan.
Näitä analyysejä voidaan tehdä muiden tutkimushankkeen jäsenten tietämättä. Palotie vahvistaa, että mahdollisuus näihin mittatilausanalyyseihin on FinnGenissä yhä olemassa.
– Ja myönnettäköön, se oli sellaista, minkä lääkeyhtiöt näkivät tärkeäksi. Kun he lähtivät tavallaan avoimeen pöytään, eivätkä tienneet mihin tämä juttu lähtee, niin siellä haluttiin tällainen mahdollisuus.
Palotien mukaan kyseistä mahdollisuutta on käytetty alle 10 kertaa. Hän painottaa, että ennen kuin tällaisen analyysin pääsee tekemään, sen arvioivat FinnGenin vastuuhenkilöt ja nykyisin myös biopankkien edustaja.
Hankkeen alkuvaiheessa vuonna 2019 tietosuojavaltuutettu arvosteli FinnGeniä kovin sanakääntein. Palotien mukaan asiat käytiin tuolloin läpi ja FinnGenin perusteet ”pantiin kuntoon”.
– En nyt rupea vertaamaan kehenkään muuhun, mutta meillä on niin paljon pelissä tässä, niin paljon ihmisiä tekee työtä tämän ympärillä. Me emme voi pelleillä näiden asioiden kanssa.
Palotie muistuttaa, että jokaisessa arkipäivän toiminnassa on hyötyjä ja riskejä. Terveysdatan käsittelyssä Palotien mielestä hyödyt ylittävät riskit. Hän muistuttaa FinnGenin olevan maailmanlaajuinen menestys.
– Kaikessa voi olla riskinsä. Mitä paremmin ne riskit tunnistaa etukäteen, niin sitä paremmin niihin voi varautua ja yrittää niitä minimoida. Sehän on tietysti täysin riskitöntä, että pannaan kaikki johonkin luolaan ja kukaan ei tee mitään, Palotie toteaa.
