Hur framskrider Vastaamo-fallet ur offrets perspektiv?

22.06.2021 08:55

Uppdaterad 15.9.2025 klockan 14.30

Dataintrånget i psykoterapicentret Vastaamo är en brottshelhet som aldrig tidigare skådats i Finland. På den här sidan går vi igenom olika möjligheter för vad som kan hända i processen ur offrens perspektiv. Det finns flera alternativ och behandlingen av fallen fortsätter troligen i flera år ännu.

Tingsrätten dömde våren 2024 Aleksanteri Kivimäki för dataintrånget och de händelser som följde. Domen har överklagats till Helsingfors hovrätt.

Statskontoret har öppnat en egen tjänstekanal för offren för dataintrånget vid Vastaamo. Statskontoret har inlett behandlingen av ersättningsansökningar relaterade till Vastaamo.

Statskontoret meddelar att de ger anvisningar om hur man ansöker om ersättningar under maj 2024. Statskontoret strävar efter en snabb och smidig ansökningsprocess för offren för dataintrånget på Vastaamo

Om du vill ha praktiska råd i rättsprocessen eller mentalt stöd kan du kontakta våra avgiftsfria tjänster:

Åklagarens brev i september 2025: Beslut att inte väcka åtal mot den som misstänks ha bistått Kivimäki

Åklagaren skickade i september 2025 ett brev till målsägandena där det meddelas att åtal inte väcks mot den person som misstänks ha bistått Kivimäki med att sprida uppgifter om Vastaamos klienter som kränker privatlivet.

Åklagaren har beslutat att fatta ett åtalsunderlåtelsebeslut beträffande medhjälp till spridning av uppgifter som kränker privatlivet.

Åklagaren väcker dock åtal mot samma person i ett annat ärende: hen åtalas för medhjälp till försök till grov utpressning riktad mot Vastaamo. Vastaamos klienter är inte målsägande i just detta brott.

Du har fått brevet eftersom lagen kräver att information om åklagarens beslut skickas personligen till alla som berörs.

På Åklagarmyndighetens webbplats finns mer information om ärendets handläggning samt svar på vanliga frågor och kontaktuppgifter: syyttajalaitos.fi/vastaamo

Åklagarmyndighetens kommunikation svarar på eventuella tilläggsfrågor vardagar kl. 9–15 på nummer 0295 620 829 eller per e-post till kyber.syyttaja@oikeus.fi

Polisen skickade brev till målsägandena i maj 2025 – ytterligare en person misstänkte för utpressning och spridning av uppgifter

I januari 2025 greps en annan person i Estland. Hen misstänks för medhjälp till utpressning i samband med psykoterapicentret Vastaamo och för medhjälp till spridning av klienternas uppgifter. Polisens förundersökning håller nu på att slutföras, och ärendet överförs till åtalsprövning den 19 maj. Läs polisens meddelande

Den 8 maj 2025 har polisen skickat ett brev (antingen per post eller digitalt via Suomi.fi-tjänsten) till cirka 9 000 av Vastaamos klienter, som i en tidigare brottsprocess konstaterats vara målsägande. Dessa personer har redan i den ursprungliga förundersökningen lämnat sina utlåtanden och framfört sina yrkanden.

De misstänkta brottsrubriceringarna är följande:

Medhjälp till grov spridning av information som kränker privatlivet, där målsägandena är cirka 9 000 av Vastaamos klienter
Medhjälp till försök till grov utpressning, där målsäganden är Vastaamo (i denna brottsrubricering är det endast psykoterapicentret Vastaamo som är målsägande – inte de personer vars uppgifter har spridits)

Varför skickades brevet och vad står det i det? I brevet informerar polisen mottagaren om att hen är målsägande i ärendet som gäller medhjälp till grov spridning av information som kränker privatlivet.

Brevet förtydligar också att målsäganden inte behöver göra någon brottsanmälan eller vidta några andra åtgärder i ärendet.

Vad händer härnäst? Ärendet har överförts till åtalsprövning. I åtalsprövningen beslutade åklagaren att väcka åtal för medhjälp till försök till grov utpressning riktad mot Vastaamo, men att inte väcka åtal för medhjälp till spridning av uppgifter som kränker privatlivet.

Kan jag få ytterligare ersättning om även den andra misstänkta döms? Du kan inte få ersättning två gånger för samma sak. Att en andra misstänkt går till åtalsprövning påverkar inte ersättningarna från Statskontoret. Det är bra att också följa Statskontorets kommunikation.

Om du har ingått en förlikning i ärendet, kan du be om mer information från den advokatbyrå som hanterat ditt avtal.

Tingsrätten beslutade i den tidigare rättegången mot Kivimäki att behandla brottsoffrens skadeståndskrav i en separat process. Tidsplanen för detta meddelas senare.

Jag har inte fått något brev men är målsägande – vad kan jag göra? Brevet har den 8 maj 2025 skickats digitalt via Suomi.fi-tjänsten till de personer som använder tjänsten.

Du kan läsa meddelanden i Suomi.fi-tjänsten på adressen suomi.fi/viestit

Rättsprocess mot personen som gjort dataintrånget

Brottmålets behandling i tingsrätten har avslutats och beslutet har publicerats på Västra Nylands tingsrätts webbplats: Domstolsbehandlingen av Vastaamo-helheten vid Västra Nylands tingsrätt

Tingsrätten beslöt redan i början av rättegången att åtskilja de ärenden som gäller offrens skadeståndsanspråk till en separat behandling i en civilprocess. Tidsplanen för detta meddelas senare.

Flera instanser kan vara skadeståndsansvariga

Gärningsmannen är inte den enda instansen som kan vara skadeståndsskyldig i fallet. EU:s dataskyddsförordning definierar krav för organisationer för insamling, lagring och hantering av personuppgifter och försummelse av dessa kan leda till sanktioner. I förordningen definieras även två roller som sköter om behandlingen av personuppgifter. Den personuppgiftsansvarige beslutar om syftet med och sättet för behandlingen av personuppgifterna och personuppgiftsbiträdet lagrar och hanterar uppgifterna för den personuppgiftsansvarige.

Vastaamo har huvudsakligen fungerat som personuppgiftsansvarig för personuppgifterna som läckt ut vid dataintrånget. Undantag här utgörs av situationer där en hälsovårdsorganisation har köpt tjänster från Vastaamo – då har ifrågavarande hälsovårdsorganisation varit personuppgiftsansvarig medan Vastaamo har fungerat som personuppgiftsbiträde.

Enligt dataskyddsförordningen har Vastaamo i egenskap av personuppgiftsansvarig haft ansvar för dataskyddet. På så sätt har rättshandlingar även riktats mot Vastaamo eftersom man anser att Vastaamo brutit mot detta ansvar. För företag har sanktionerna i dataskyddsbrott genomförts med administrativa sanktioner. Professorn i offentlig rätt Tomi Voutilainen från Östra Finlands universitet berättade våren 2021 att med avseende på personen som utfört dataintrånget behandlas ärendet enligt skadeståndslagen och för Vastaamos del behandlas ärendet enligt skadeståndsbestämmelserna som föreskrivs i dataskyddsförordningen.

Voutilainen påpekar att Vastaamos och gärningsmannens skadeståndsansvar inte gäller samma skador. Till exempel ligger den av gärningsmannen orsakade skadan, som inte längre är bunden till den personuppgiftsansvarige, inte på den personuppgiftsansvariges ansvar. Vetskapen om den här skillnaden är även väsentlig ur offrens perspektiv eftersom skadeståndsprocesserna för Vastaamo och gärningsmannen är mycket olika.

Vastaamo försattes i konkurs i februari 2021 och dess verksamhet såldes till ett annat bolag i februari. Skulderna på miljontals euro blev kvar hos Vastaamo. Läs mer: Ansökan om skadestånd från Vastaamos konkursbo

I december 2021 konstaterade Dataombudsmannens byrå att Vastaamo har brutit mot bestämmelserna i den allmänna dataskyddsförordningen och ålagt Vastaamo en administrativ påföljdsavgift. Dataombudsmannens byrå: Påföljdsavgift för dataskyddsöverträdelser åt psykoterapicentret Vastaamo

Påföljdsavgiften på 608 000 euro ska betalas till staten och leder således inte till direkta ersättningar för offren. ”Administrativa böter utgör en efterställd fordran i en konkurs. Påföljdsavgiften förminskar alltså inte de medel som är tillgängliga för övriga konkursfordringar, såsom eventuella skadestånd”, står det i dataombudsmannens beslut.

Vad är Vastaamos ansvar?

Vastaamos klienter har rätt att kontrollera vilka uppgifter som har sparats om dem själva i företagets register. Eftersom Vastaamos verksamhet har upphört förvaras inga klientuppgifter där länge. Om du har varit Vastaamos klient via kommunen, samkommunen, sjukvårdsdistriktet eller någon annan motsvarande organisation kan du be om dina klientuppgifter via ifrågavarande organisation.

Alla andra klientuppgifter har överförts till Fpa för arkivering. Från Fpa kan klienten begära information genom krypterad e-post: Anvisningar för begäran om information från Fpa

Enligt dataskyddsförordningen ansvarar Vastaamo i egenskap av personuppgiftsansvarig både för dataintrångets materiella och immateriella skador om man anser att de försummat dataskyddsförordningen. Materiell skada kan till exempel syfta till ekonomisk förlust och en immateriell skada till exempelvis psykiskt lidande. I detta fall kan det vara fråga om båda typerna av skador.

Läs mer: Ansökan om skadestånd från Vastaamos konkursbo

Konkursen inverkar inte på situationen för de offer som har remitterats från till exempel sjukvårdsdistriktet för vård till Vastaamo. I dessa fall ligger ansvaret hos det remitterande sjukvårdsdistriktet till vilket yrkandet på skadestånd ska lämnas in i enlighet med dataskyddsförordningen.

Sjukvårdsdistriktens roll och ansvar i dataintrånget

Några sjukvårdsdistrikt har remitterat klienter till Vastaamos tjänster. Sjukvårdsdistrikten har då agerat som självständiga personuppgiftsansvariga och Vastaamo som personuppgiftsbiträde för sjukvårdsdistriktens del.

Dataombudsmannens byrå har utrett behandlingen av personuppgifter för de personuppgiftsansvariga för vilka Vastaamo har agerat som biträde och gett några personuppgiftsansvariga en anmärkning.

På Dataombudsmannens byrås webbsidor finns ytterligare information om skadeståndsanspråk. På webbsidan rekommenderas bland annat att i första hand framställa skadeståndsanspråk direkt mot den personuppgiftsansvarige eller personuppgiftsbiträdet som brutit mot dataskyddsförordningen. Läs mer: Dataombudsmannen: Att yrka på skadestånd vid överträdelse av dataskyddsförordningen

Hur går man vidare?

Offrens rätt till ersättning för skada till följd av brottet skyddas av specialbestämmelser. Skadeståndsskyldigheten upphör inte under tiden då åtal väcks, då ärendet behandlas i domstol eller då den åtalade besvärar sig över beslutet till hovrätten eller högsta domstolen. Specialbestämmelsen grundar sig på att rättegångar och relaterade besvärsprocesser i värsta fall kan anhängiggöra ärendet i flera år.

Enligt polisen kan offret i det här skedet invänta ytterligare information. Dessutom ska till exempel utpressningsmeddelanden och eventuella andra kontaktförsök eller bevis sparas och exempelvis en skärmdump tas. Anvisningar för brottsanmälan finns på polisens webbsidor.

Läs mer

Källor

Konsumentförbundet (på finska), YLE (på finska) och Dataombudsmannens byrå