Millioner av dokumenter: Sender ut usensurerte grunnbøker fulle av personnumre

«Selvbetjening gammel grunnbok» er en automatisert tjeneste som ble utviklet fordi det var stor etterspørsel etter gamle grunnbøker. I stedet for å håndtere alle forespørslene manuelt utviklet Arkivverket – som eier Digitalarkivet – en digital tjeneste som skulle ta unna all arbeidsmengden som ble påført etaten.

Leveres ut umiddelbart

Dermed blir grunnbøkene utlevert umiddelbart til alle som ber om det.

Grunnboken er et register over rettigheter i norske eiendommer – grunnboksarkivet har informasjon over boligeiere for flere hundre år tilbake og inneholder millioner av dokumenter.

I disse grunnbøkene finner vi enorme mengder usensurerte personnumre.

digi.no har foretatt en uhøytidelig sjekk, og vi har funnet flere grunnbøker med personnumre som fortsatt benyttes i dag.

– Dokumentene inneholder mye håndskrevet informasjon, og personnumrene dukker opp rundt omkring i dokumentene i ulike former.

– Per i dag har ikke løsningen innebygget teknologi for å finne og maskinelt sladde alle disse forekomstene, noe som betyr at det blir gitt innsyn i grunnbokbladene slik de er, sier fagdirektør Anette Skogseth Clausen til digi.no.

Tar en rekke forholdsregler

Hun opplyser at Digitalarkivet tok en rekke forholdsregler da løsningen ble utviklet.

På forespørsel blir grunnbøkene automatisk hentet opp hos Digitalarkivet, deretter genereres det en PDF av boken, før den sendes ut via en sikker lenke til vedkommende som har bedt om utskriften. PDFen ligger kun på nett i en begrenset periode før den så blir slettet, opplyser Digitalarkivet til digi.no.

Samtidig er det lagt inn sperrer for massenedlastinger, og en rekke epostjenester er blokkert. Dette gjøres for at roboter ikke skal få tilgang til dokumentene slik at de kan misbrukes til blant annet ID-tyveri.

(artikkelen fortsetter under)

Ikke sensitive opplysninger

«En identitetstyv kan lykkes med mindre svindelforsøk om han eller hun har tilgang til noens personopplysninger slik som navn, adresse, fødselsnummer og e-post. Det har vist seg at disse opplysningene har vært tilstrekkelig for å for eksempel kunne tegne et falskt mobilabonnement på nett.», skriver Datatilsynet på egne nettsider.

Selv om personnumre ikke regnes som sensitive opplysninger, har Datatilsynet tidligere vært klare på at de ikke ønsker at fødselsnumre legges ut på internett. De mener dette også tydelig kommer frem i forskriften til offentlighetsloven.

Det statlige tilsynsorganet har åpnet flere tilsynssaker der norske kommuner har skannet inn kontrakter med synlige personnumre og levert ut opplysningene på forespørsel via offentlighetsloven.

Andre vurderinger

– Om Digitalarkivet har hjemmel til å publisere disse dokumentene uten å sensurere dem først vil det overraske meg.

– For meg gjør de noe de klart ikke har lov til å gjøre, og de kan ikke skylde på at de ikke har teknologi til å sensurere disse opplysningene, sa juridisk fagdirektør Knut Kaspersen i Datatilsynet til digi.no da vi først tok kontakt med ham i forrige uke.

Men Digitalarkivet vurderte det dit hen at kravet til å gi offentligheten tilgang til de gamle grunnbøkene veide tyngre en kravet til personvern da de utviklet nettløsningen.

Den offentlige etaten mener også at de har sitt på det tørre hva gjelder juridiske vurderinger.

– Vi er nå i prosess der vi ser på løsningen for å vurdere om vi kan gjøre tiltak som bedre ivaretar personvernet.

– Det beste hadde selvfølgelig vært om vi leverte sladdede grunnbokblader, men i dag begrenser altså teknologien oss, konstaterer fagdirektør Anette Skogseth Clausen i Arkivverket til digi.no.

Skal møtes

Etter å ha vært i dialog med Arkivverket har Knut Kaspersen i Datatilsynet moderert seg. Han opplyser nå at Datatilsynet vil ha møter med Digitalarkivet for å gå igjennom og vurdere nettløsningen som er utarbeidet.

Det er foreløpig ikke fastsatt en dato for denne gjennomgangen.

– Den automatiserte løsningen må vurderes konkret opp mot offentlighetsloven slik at vi kan vurdere om den er i konflikt med lovverket eller ikke. Foreløpig er det litt uklart for oss om den er i konflikt med loven, sier Kaspersen til digi.no og fortsetter:

– I utgangspunktet regulerer forskriften publisering av denne typen opplysninger på nett, men løsningen til Digitalarkivet har en rekke sikkerhetsmekanismer som gjør det vanskelig for oss å vurdere om den er i konflikt med lovverket eller ikke. Saken må derfor belyses skikkelig før vi kan komme med vår endelige vurdering i saken, argumenterer Kaspersen til digi.no.