Üle 300 raviasutuse andmeleke: kahtlustatav kinni

Autor: Praakla.ee toimetus
Avaldatud: 3. septembril 2026

Keskkriminaalpolitsei pidas kolmapäeval kinni 45-aastase Eesti kodaniku, keda kahtlustatakse Innovaatiku hallatavasse arvutisüsteemi ebaseaduslikus sisenemises ja patsientide andmete allalaadimises. Esialgsel hinnangul puudutas juhtum enam kui 300 Eesti tervishoiuteenuse osutaja andmeid.

Politsei teatel ei ole kahtlustataval enam süsteemile juurdepääsu. Uurimise praeguse versiooni järgi saadi ebaseaduslikult alla laaditud andmed kätte ning nende laiem levik suudeti tõenäoliselt ära hoida. Innovaatiku kiire teade võimaldas politseil alustada kohe lekke ulatuse kindlakstegemist ja andmete edasise liikumise takistamist.

Juhtum tõstatab ühtlasi küsimusi küberturvalisuse rollist Eesti digiriigi edasises arengus, sest tervishoiuteenuste osutamisel töödeldakse andmeid, mida inimene ei saa lekke korral lihtsalt välja vahetada.

Alla laaditi isikukoode ja terviseandmeid

Innovaatik pakub infosüsteemiteenust hambaravi osutajatele. Ettevõte teatas augusti lõpus politseile, et tema hallatavasse arvutisüsteemi oli korduvalt loata sisenetud ja sealt patsientide isikuandmeid alla laaditud.

Andmestik sisaldas muu hulgas isikukoode, e-posti aadresse ja terviseandmeid. Suurem osa teabest puudutas inimeste hambaravi, kuid politsei sõnul võisid kirjed sisaldada ka muud raviajalugu.

Rohkem kui 300 tervishoiuteenuse osutajat kirjeldab juhtumi esialgset institutsionaalset ulatust, mitte teadaolevat patsientide arvu. Kui paljude inimeste andmed kahtlustatavani jõudsid ning milliste raviasutuste ja patsientide kirjed täpselt juhtumiga seotud olid, selgitab keskkriminaalpolitsei küberkuritegude büroo kriminaalmenetluses.

Praeguse uurimisversiooni järgi tegutses kahtlustatav andmebaasis ebaseaduslikult alates juuni lõpust. Politsei on tuvastanud, et mehel oli Innovaatikuga varasem seos. Tema oletatav motiiv oli esialgsel hinnangul juhtida tähelepanu infosüsteemi turvaaukudele, kuid see ei muutnud andmetele juurdepääsu seaduslikuks.

Andmete edastamise kohta tõendeid ei ole

Riigiprokurör Vahur Verte sõnul ei ole uurijatel praegu alust arvata, et kahtlustatav oleks patsiendiandmeid kuritarvitanud, teistele edastanud või neist varukoopiaid teinud. See on menetluse praegusele teabele tuginev hinnang, mitte lõplik järeldus, ning võib uurimise jätkudes täpsustuda.

Keskkriminaalpolitsei küberkuritegude büroo juht Jete Luik nimetas juhtumit ulatuslikuks andmelekkeks. Tema sõnul alustati kohe pärast teate saamist lekke täieliku ulatuse kindlakstegemist ja andmete edasise liikumise takistamist.

Kiire reageerimise tähtsus tuleneb andmete olemusest. Parooli saab lekke järel vahetada, kuid inimese isikukoodi või raviajalugu ei saa samal viisil asendada. Terviseandmed võivad avaldada inimese kohta väga delikaatset teavet ka siis, kui nende nähtava kuritarvitamise kohta tõendeid ei ole.

Teavitamine ja kriminaalmenetluse järgmised sammud

Patsiendid ei pea politsei teate põhjal ise Innovaatikuga ühendust võtma. Kui konkreetse inimese teavitamine osutub vajalikuks, teeb seda tema tervishoiuteenuse osutaja. Enne tuleb menetluses välja selgitada, kelle andmed alla laaditi ja kui ulatuslik oli iga asjaomane andmekogum.

Politsei hoiatas, et teadet andmelekkest võivad ära kasutada ka kelmid. Kui keegi võtab inimesega ühendust, väidab, et tema andmed lekkisid, ning nõuab raha, on politsei hinnangul tõenäoliselt tegemist pettusega. Raha nõudjale ei tule teha makset ega anda täiendavaid isiku-, panga- või autentimisandmeid.

Kriminaalmenetlus alustati arvutisüsteemile ebaseadusliku juurdepääsu hankimist käsitleva paragrahvi alusel. Uurimist viib läbi keskkriminaalpolitsei küberkuritegude büroo ja menetlust juhib Riigiprokuratuur. Patsientide täpne arv, juhtumiga seotud andmete ulatus ja lõplik hinnang nende võimalikule edasisele levikule selguvad uurimise käigus.

Source: Estonian Police and Border Guard News