Nkom varsler norsk tilsyn etter danske SMS-avsløringer

Innen 15. januar må Telenor, Telia og Lyse Tele (som eier Ice) svare på en rekke detaljerte spørsmål om hvordan de bruker det KI-baserte antisvindelsystemet som skal stoppe masseutsendte svindel-SMSer.

I Danmark varslet den danske tilsynsmyndigheten for telebransjen tidligere i høst tilsyn mot danske mobilselskaper, etter at nettavisen Ingeniøren avslørte at ansatte i selskapene hadde lest private SMSer for å verifisere om SMSer som ble stoppet av systemet faktisk var svindel.

Flere av de norske mobilselskapene har overfor Digi bekreftet at de bruker de samme systemene som Digitaliseringsstyrelsen nå ettergår bruken av i Danmark. Det er også mistanke om at SMSer kan ha blitt lagret i strid med dansk lov.

– Når vi ser at samme system som det danske myndigheter nå undersøker, brukes i Norge, må vi forsikre oss om at behandlingen av SMS-data følger norsk lov, sier seksjonssjef i Nasjonal kommunikasjonsmyndighet (Nkom), Sander Norrøne Ask.

Krever dokumentasjon

I et brev til operatørene krever Nkom nå detaljerte opplysninger om hvordan systemene brukes hos de norske mobilselskapene.

Nkom har bedt mobilselskapene gi dem oversikt over systemene som brukes i antisvindelarbeid knyttet til SMS, og hvilke lagrings- og sletterutiner de har for SMS-data.

I tillegg vil tilsynsmyndigheten ha svar på følgende spørsmål:

• Hvilke parametere/kriterier brukes for å stoppe mistenkelige SMS?

• Hvilke hjemler legges til grunn for manuell lesing av innholdsdata i SMS?

• Hva er omfanget av SMS som blokkeres i systemet?

• Hva er omfanget av feilblokkerte SMS?

• Hva er omfanget av SMS som leses manuelt?

• Hvor mange personer har tilgang til å lese innholdsdata?

• Hvordan forsikrer virksomheten seg om sikkerhetsmessig skikkethet hos aktuelt personell?

• Hvilke prosedyrer og rutiner har virksomheten iverksatt for å regulere manuell lesing av innholdsdata i SMS og sikring av disse dataene?

– Det er viktig at kampen mot svindel ikke går på bekostning av brukernes rett til privat kommunikasjon. Derfor trenger vi en oversikt over hvordan dette antisvindel-systemet brukes i Norge, sier Ask.

Svært inngripende

Mobilselskapene bruker kunstig intelligens til å analysere og automatisk blokkere meldinger ved mistanke om svindel. I Danmark har denne bruken ført til en omfattende undersøkelse, etter at ansatte i flere selskap skal ha hatt innsyn i private meldinger for å trene opp filteret.

Den danske Digitaliseringsstyrelsen vurderer å politianmelde flere mobilselskaper for deres praksis. Nkom understreker at innsyn i elektronisk kommunikasjon også er strengt regulert i Norge.

– Innsyn i innholdet i elektronisk kommunikasjon er et inngripende tiltak. Operatørene må kunne dokumentere både nødvendighet og hjemmel dersom ansatte gis tilgang til SMS-innhold, sier Ask.

Nkom presiserer at behandling av SMS-data kan være lovlig ved konkret mistanke om svindel eller sikkerhetstrusler, men mener det er nødvendig med en gjennomgang for å sikre at norske borgeres kommunikasjonsvern er ivaretatt.

– Vi må sikre at praksisen er i tråd med regelverket, og tilsynet skal avklare nettopp dette. Vi har tro på at operatørene vil være åpne og vi får en god redegjørelse for hvordan dataene behandles og sikres, sier Ask.

Kortfattet respons

Da Digi i november kontaktet Nkom om avsløringene i Danmark, hadde de ikke planer om å gjennomføre noe tilsyn i Norge.

Ask skriver i en epost til Digi at da de første henvendelsene om denne saken kom til Nkom, var saken forholdsvis ny for dem.

– På det tidspunktet hadde vi ikke konkrete planer om tilsyn. Etter nærmere vurdering har vi besluttet å gjennomføre et tilsyn for å få bedre oversikt over systemene som benyttes, skriver han.

Telenor, Telia og Lyse Tele er alle ordknappe i kommentarene til at Nkom nå vil se dem nærmere i kortene.

– Vi har registrert at Nkom vil ha tilsyn, men har ikke noen spesiell kommentar ut over det nå. Vi vil svare på det Nkom spør om, og har en god dialog med dem, sier Lyse Teles kommunikasjonssjef, Andreas Veggland til Digi.

Telenors informasjonssjef Vetle Andersen bekrefter i en epost at selskapet har mottatt varsel om tilsyn og pålegg om dokumentasjon fra Nkom, og skriver at de allerede har satt i gang arbeidet med å svare på spørsmålene de har fått.

– Vi mener at vår behandling av SMS-data er i tråd med regelverket, og imøteser videre dialog med Nkom i denne saken, legger han til.

Telia Norges informasjonssjef Daniel Barhom bekrefter at de har mottatt varsel om tilsyn og pålegg om dokumentasjon fra Nkom knyttet til sine antisvindel-SMS-systemer.

– Vi vil svare Nkom innen fristen som er gitt, skriver han i eposten Digi har fått.