Fullt lesbart bak svarte bokser: – Dette skal ikke forekomme

I flere sladdede EØS-dokumenter sendt fra Skattedirektoratet til Finansdepartementet, er informasjon som skal være unntatt offentlighet dekket med svarte bokser.

Men sladdingen er kun kosmetisk. Med en enkel «klipp og lim» kunne Digi hente ut teksten som skjulte seg bak de svarte boksene.

Det som fremsto som sensurert tekst for det blotte øye, lå fullt lesbart i dokumentene. Metoden krevde ingen avanserte hacker-verktøy, kun en vanlig PDF-leser.

Et av dokumentene røper detaljer om en persons helseopplysninger, ytelser fra utlandet og en pågående tvist med etaten.

Legger seg flate

Digi har forelagt funnene for Skattedirektoratet. De bekrefter feilen, men peker på at dokumentene opprinnelig ble sladdet av Finansdepartementet før de ble videresendt.

Dette bekrefter departementet overfor Digi.

– Begge dokumenter er sladdet av Finansdepartementet på en feil måte, skriver seniorrådgiver Cecilie Skjennald i en e-post.

Finansdepartementet innrømmer at de ikke har fulgt sine egne prosedyrer. De har verktøy som fungerer, men i dette tilfellet ble feil programvare benyttet av saksbehandler.

– Departementet har rutiner for sikker sladding av dokumenter i innsynssaker. Rutinene våre sier at et spesifikt dataprogram skal brukes. Programmet sørger for at det ikke er mulig å gjenskape tekst bak sladdede områder, forklarer Skjennald.

Menneskelig svikt

På spørsmål om hvordan svikten kunne skje, peker departementet på menneskelig feil.

– I dette tilfellet ble dessverre ikke rutinene fulgt. Det er beklagelig, skriver Skjennald.

Departementet varsler nå at de vil gå ut med en påminnelse til de ansatte om hvilke rutiner som gjelder.

– For å unngå at dette skjer igjen, vil vi minne våre ansatte på de skriftlige rutinene. Denne type feil skal ikke forekomme, konstaterer hun.

Når Digi spør hvordan de vurderer alvoret i at sensitiv informasjon har ligget åpent, svarer departementet:

– Departementet har ansvar for at dokumenter er sladdet på riktig måte når det gis delvis avslag på et innsynskrav. Vi har som sagt ikke grunn til å tro at dette er en feil som går utover aktuelle sak.

Meldes til Datatilsynet

Selv om feilen oppsto i departementet, var det Skatteetaten som utleverte filene.

– Det er imidlertid beklagelig at Skatteetaten har gitt innsyn i et dokument der sladdingen ikke var tilstrekkelig gjennomført, sier seksjonssjef Ragna Fossen i Skatteetaten.

Finansdepartementet bekrefter overfor Digi at saken nå blir rapportert inn som et avvik.

– Skatteetaten vil varsle Datatilsynet om avviket, opplyser Skjennald.

Skatteetaten opplyser samtidig at de har tatt stikkprøver av egne saker der deres egen programvare er benyttet, uten å finne tilsvarende feil.

Seks av ti statsforvaltere rammet i lignende sak

Funnet kommer kort tid etter avsløringer om en lignende sak hos statsforvalterne. Ifølge Gudbrandsdølen Dagningen er det avdekket feil ved seks av ti statsforvalterembeter.

Den saken gjaldt en feil der metadata i PDF-filer gjorde det mulig å rekonstruere skjult informasjon. Statsforvalter Knut Storberget i Innlandet har kalt den hendelsen «svært alvorlig».

Funnene Digi nå har gjort, indikerer at problemet med manglende dokumentsikkerhet ikke er isolert til én del av forvaltningen. Mens saken hos statsforvalterne handlet om metadata, er feilen i dokumentet fra Finansdepartementet mer elementær: Her er sladdingen lagt på som et grafisk lag oppå teksten, uten at informasjonen under er fjernet fra filen.