IT-rådgiver trakk egen arbeidsgiver for retten: − Jeg vil bare ha rettferdighet

På kveldsvakt på jobb i Politiets IT-enhet (PIT) senhøstes 2021, sitter IT-rådgiveren Alexander Karlsen og søker etter bruk av sårbarheten Log4Shell i politiets systemer.

Plutselig får han øye på det. Sin egen bruker-ID i navnet til et ferdig søk i lista. En ekstern konsulent har satt opp skriptet. Det fanger opp Karlsens av- og pålogginger, IP-adresse og lokasjon.

− Da ble jeg redd, sier Karlsen til Digi.

Skuldrene var allerede høye. I fire år hadde han følt at ledelsen i PIT hadde en torn i siden til ham. Nå følte han seg også overvåket.

Ett år senere møter han egen arbeidsgiver i Oslo tingrett.

I denne artikkelen forteller Karlsen sin historie. Politiet sier til Digi at de og Karlsen har ulike synspunkter på hendelsene, og at de ikke ønsker å kommentere enkeltpåstandene til Karlsen nærmere. Du kan lese hele svaret fra Politiet lengst ned i saken.

− Hadde aldri gjort det igjen

− Hadde jeg visst da hvordan det skulle bli, hadde jeg aldri gjort det, sier Karlsen.

Likevel: Skuldrene er lavere nå enn de har vært på lenge.

− Det var godt å få fortalt historien min, det er en lettelse, sier Karlsen.

For til tross for fem år med konflikt, Karlsen vil ikke slutte i jobben hos Politiets IT-enhet.

− Jeg vil bare ha rettferdighet, sier han.

Varsler, eller viktige innspill

Over fire dager i november har detaljer om kommunikasjonen mellom ledelsen i PIT og Karlsen blitt brettet ut i sal 275 i Oslo tingrett. Lydopptak fra møter og telefonsamtaler, avslag på søknad om studiedager, e-poster, møteinnkallinger og vitneobservasjoner har blitt lagt under lupen.

Nå er det opp til domstolen å vurdere:

Er Karlsen utsatt for gjengjeldelse etter å flere ganger ha varslet om brudd på arbeidsmiljøloven, personopplysningsloven og uforsvarlig arbeidsmiljø, eller er han kanskje litt av en kranglefant, som har bidratt i løpende forbedringsarbeid, og blitt behandlet rettferdig?

For selv om Karlsen og PIT i all hovedsak er enige om hva som har blitt sagt og gjort, er PIT verken enig i at det dreier seg om varsler, eller at det er snakk om noen gjengjeldelse.

− Saksøker har gitt mange viktige innspill til arbeidsgiver både som ansatt og tillitsvalgt. Saksøker har ikke anført at innspillene har vært varsler før nå i ettertid, skriver seksjonssjef for arbeidsrett i Politidirektoratet (POD), Frode Aarum, i en e-post til Digi.

− Turte ikke si ifra

I januar 2016 fikk nordlendingen med fagbrev i kontorservice og IKT-tjenester jobb i Politiets IKT-tjenester, i dag Politiets IT−enhet.

Han skulle jobbe både med brukerservice, å hjelpe politifolk og andre ansatte i politiet med IT-problemer, og med overvåkning av driftsmiljøene. Arbeidet var givende og meningsfullt, oppgavene interessante, kollegene trivelige.

I 2017 gikk avdelingen fra å jobbe vanlig kontortid, til døgnbemanning.

Da startet problemene.

Turnus-systemet, som opprinnelig ble utviklet til å fylle vaktene under Lillehammer OL, var på ingen måte feilfritt. Vakter ble stående tomme, det ble uforutsigbart når man skulle møte på jobb, og ansatte måtte trå til på ekstravakter.

Problemene varte og rakk.

Kolleger og fagforeningsfeller kom til Karlsen og fortalte om frykt for represalier og å bli kalt inn på teppet om de sa i fra om problemene. Han sendte flere e-poster om det han mente var brudd på arbeidstidsbestemmelser, og ga mange innspill til forbedringer.

Så kommer en møteinnkalling som gir Karlsen en dårlig følelse i magen. Teamleder og personalleder vil snakke med ham. Han bestemmer seg for å ta lydopptak.

Opptaket fra møtet blir spilt av i rettsalen i november 2022.

−Ikke ett ord til

− Nå orker jeg snart ikke høre ett ord til om hva som er feil på turnusen, eller neste turnus eller forrige turnus, hører retten Karlsens teamleder si i opptaket.

Ordene falt i mai 2017, på et av PITs stillerom, et lite møterom uten vinduer og mulighet for innsyn, to stoler på hver side av bordet. Karlsen og hans tillitsvalgte på den ene siden, Karlsens teamleder og hans personalleder på den andre siden.

Riktignok hadde det vært problemer, men nå var det på tide å se fremover, mente lederne.

− Det er mange som ikke ønsker lenger å høre på deg, for å si det sånn, sier Karlsens personalleder i møtet.

Da hadde Karlsen nylig blitt valgt inn i styret i lokal-laget i fagforeningen. Senere ble han tillitsvalgt for turnus-arbeiderne i PIT.

Karlsen bruk av paragrafer og juridisk språk var med å «eskalere» konflikten, og skape et dårlig samarbeidsklima, mente lederne.

Karlsen har pekt på paragrafer, både i arbeidsmiljøloven og ferieloven. Men han vil ikke kalle seg selv kranglefant.

− Jeg oppfatter meg selv som en jovial nordlending. Jeg er pragmatisk, jeg liker ikke konflikt egentlig, sier han til Digi.

Men følelsen av at arbeidsgiver var ute etter ham, satt i ham etter møtet.

−Jeg følte meg forskjellsbehandlet

På samme tid har Karlsen bestemt seg for å heve egen kompetanse.

Han søker arbeidsgiver om støtte til studieavgift og lesedager for å begynne på en høyskoleutdanning innen informasjonsteknologi og digital etterforskning. Det kan ha få dersom arbeidsgiver mener studiet er relevant for oppgavene i virksomheten.

Det var det ikke, mente PIT.

Karlsen reagerte med vantro. Studiet var midt i blinken både for arbeidsoppgavene og sikkerhetstruslene avdelingen måtte håndtere, mente han. Senere har kolleger av Karlsen fått det samme studiet godkjent.

Han involverte fagforeningen, og klaget på avgjørelsen. I prosessen som fulgte vokste frustrasjonen.

−Jeg følte meg forskjellsbehandlet. At de bevisst valgte å holde tilbake det som måtte ses på som et gode for både dem og meg, sier Karlsen.

Sammen med fagforeningen tok han valget, han ville trekke arbeidsgiver til retten for å få studiedagene han trengte.

Der kunne historien sluttet, men dramaet hadde bare så vidt begynt.

Varsler Datatilsynet

Karlsen oppdager det han mener må være personvernbrudd i systemet Remedy, et verktøy politiet bruker for å melde inn IT-problemer. Sammen med feilmeldingene kommer ofte skjermbilder. Disse kan vise sensitiv informasjon om mistenkte, straffedømte, vitner eller andre involverte i politiets arbeid.

− Ikke greit, mente Karlsen, og oppretter sak i Jira, det interne saksbehandlingssystemet.

Saken diskuteres, men det skjer alt for lite, mener Karlsen. Seks måneder senere varsler han Datatilsynet. Et varsel som senere skal føre til at Datatilsynet kommer på stedlig tilsyn hos PIT.

Så kommer ryktene. Media har fått vite om noe de ikke burde visst. Kan noen har delt sensitive opplysninger fra politiets interne systemer med uvedkomne? Søkelyset rettes mot Karlsen.

Uten at Karlsen er klar over det, får sikkerhetssjefen i PIT satt opp et søk på hans bruker-ID, for å avdekke eventuell suspekt adferd. En konsulent fra Orange Cyberdefense får oppdraget og skriver søket. PIT finner ingenting, og avslutter saken. Karlsen hører ingenting.

Men PIT glemmer å slette søket.

Ble overvåket

Men når sikkerhetsmarerittet treffer senere på året, kommer søket igjen til overflaten.

En sårbarhet i Log4j åpner for fjernkjøring av kode. Mange av politiets systemer er sårbare.

PIT setter krisestab. Alle som kan må bidra. Også Karlsen.

De fikk en liste over predefinerte søk som skulle kjøres. På lista sto også andre søk. Det var da han så det. Søket med sin egen BID.

– Jeg synes det var rart. Så tenkte jeg: Jeg kjører søket og ser hva det er noe. Vi skal jo være proaktive, kanskje var det meningen jeg skulle bruke den også, tenkte jeg, sier Karlsen.

Han kjørte søket. Tilbake kom alle hans aktiviteter i politinettet, når han logget inn og ut, fra hvor, hvilke IP-adresser med mer. Noen har overvåket meg, tenkte Karlsen.

Han ringte advokaten og ba om råd. Sammen med sin tillitsvalgte ba han ledelsen om en forklaring.

Morgenen etter en nattevakt våkner Karlsen med tapte anrop på telefonen.

− Du må ringe sikkerhetssjefen snarest, var beskjeden.

Karlsen har tatt lydopptak av telefonsamtalen. Også dette opptaket blir lagt frem for retten.

I fare for å miste autorisasjonen

− Jeg vil egentlig helst bare legge meg igjen, sier Karlsen i telefonen.

Sjefen vil ha et fysisk møte. Det er mange temaer som skal diskuteres.

Gjennom samtalen kommer det frem: Karlsens autorisasjon kan bli trukket tilbake.

Senere får Karlsen et ultimatum, forteller han Digi.

− Enten kunne jeg få fri med lønn, eller så suspenderte de autorisasjonen min, sier han.

Uten autorisasjonen var det flere av oppgavene han ikke kunne gjøre.

− Mørkeste jula i mitt liv

− Jeg gikk på veggen. Det var den mørkeste jula jeg hadde i mitt liv, sier Karlsen.

Han følte seg motarbeidet. Han følte han ble sett som en bråkmaker.

Kort tid senere kom tilbudet om sluttpakke med flere måneders etterlønn på bordet. Den vil Karlsen ikke ha.

Heller ikke de lukrative forlikene som ble tilbudt over bordet før rettsaken var han interessert i.

Nekter å slutte

− Jeg trives veldig godt i PIT. Det er en del ledere som kanskje burde gått på noen lederkurs, men arbeidskollegaer og lokale fagforeningsklubben, vi har det så artig i lag, og vi trives veldig godt, sier Karlsen.

Nå har han vært sykemeldt et år. Målet er å komme tilbake til PIT.

− Karlsen er ansatt i PIT og er velkommen tilbake, svarer Frode Aarum på Digis spørsmål om hvorvidt Karlsen er velkommen tilbake til PIT.

− Kampen er over

Nå venter han på dommen, som kanskje faller før jul.

− Jeg tenker ikke så langt fremover, la oss si at jeg taper rettsaken.

− Hva gjør du da?

− Jeg har ikke peiling, og hvis jeg vinner.. Jeg har ikke peiling, sier Karlsen og ler.

Han har bestilt flybillett hjem til Nord-Norge og gleder seg til å feire jul med familien.

−Jeg ser mye lysere fremover på ting. Den mørke skya av skam som jeg føler har blitt påført meg har løsna. Men jeg må nok jobbe mye med meg selv fremover, for å få tillit til arbeidsgivere igjen, sier Karlsen.

Men å ha fått fortelle sin side av historien, i rettsalen og til media, det har vært sjelerensende.

− Nå er den verste kampen over. Den tunge ryggsekken er borte nå. Det er over et år siden jeg har vært så lykkelig som jeg er nå, sier Karlsen.