Forsøkte å varsle nettbutikken om brudd på personvernet, men fikk ingen respons

En kunde som skulle sjekke en ordre han hadde lagt inn hos Netonnet.no, fikk fredag ettermiddag se ikke bare sin egen ordre, men i tillegg flere andre bestillinger som han ikke kjente igjen.

Uvisst av hvilken grunn hadde andres ordre funnet veien inn på hans kundeside hos nettbutikken.

Både hva som ble bestilt, ordrenummer, når bestillingen ble gjort, leveringsadresse og estimert tid for levering var klart synlig. Betalingsmetode var også synlig, men ikke kredittkort- eller kontodetaljer.

Noen av ordrene skulle hentes på Netonnets lagershop på Alnabru, men de fleste skulle sendes til kundens hjemmeadresse og legges i postkassen.

Kunden, som ikke ønsker å stå frem med navn, forteller at ordredetaljene kom frem da han logget inn på sin brukerside på Netonnet, og han fikk se flere ordre som tilhørte andre da han gikk videre for å se på ordrehistorikken sin.

Totalt fikk han se syv ordre som tilhørte andre kunder.

— Jeg har forsøkt å kontakte Netonnet angående dette via telefon, men der fikk jeg bare opptattsignal. Jeg har sendt mail både til kundeservice og kundeombud, men har enda ikke fått noe tilbakemelding, skriver kunden i en e-post til Digi.

Han forteller videre at han synes dette er et relativt grovt brudd på personvernet, og muligens også på GDPR, og at han valgte å kontakte media for å få fortgang i å få problemet fikset da han ikke fikk noe svar fra nettbutikken.

— Jeg vet ikke om dette kun gjelder min ordrehistorikk eller om det berører flere personer, sier han.

Ikke enkelt å kontakte butikken

Når Digi forsøker å kontakte Netonnet.no for en uttalelse, viser det seg at selskapet ikke er direkte enkelt å få i tale. Chatboten er som chatboter flest og leder oss bare i sirkel tilbake til utgangspunktet, der vi får beskjed om å sende en e-post eller ringe.

Vi forsøker å ringe, men websiden til Netonnet opererer med tre ulike telefontider: «NetOnNets kundeservice har åpent mandag-fredag 09:00-17:00» finner vi på kontaktsiden deres, mens lenger nede på samme side står det «Telefontiden er torsdag og fredag 12:00-15:00». Chatboten, på sin side, oppgir «mandag til torsdag 09:00-12:00 og fredag 10:00-12:00».

Siden vi er innenfor minst én av de oppgitte tidene, forsøker vi oss på en telefon til det oppgitte servicenummeret. Der får vi en stemme som oppgir at telefontiden er torsdag og fredag 12:00-15:00, før samtalen – om man kan kalle den det – avsluttes. En melding til Facebook-siden deres har også vært resultatløs.

— Jeg vet ikke om Netonnet nå har fikset problemet, for ordrene har forsvunnet nå. Jeg ikke fått noe respons fra dem ennå, så det er enten fikset eller så er det en tilfeldig feil i nettsidene, skriver kunden i en e-post til Digi mandag ettermiddag.

Netonnet har en egen side om sitt kundeombud, men verken kunden eller Digi fikk noen respons derfra.

Som et siste forsøk finner vi ut hvem som står oppført som ansvarlig for domenenavnet og ringer nummeret som er oppgitt der. Det legges umiddelbart på, sannsynligvis automatisk.

Først etter å ha sendt en e-post til Netonnets personvern-adresse, får vi på tampen av mandagen en e-post om hvem vi kan henvende oss til.

Tirsdag morgen ligger dette svaret og venter i innboksen, sendt fra Netonnet klokken 16:48 ettermiddagen før:

Dette svarer Netonnet

Det var først om morgenen denne mandagen at vi fikk vite at noen av våre norske kunder kunne se andre kunders individuelle bestillinger på deres personlige medlemsside i vår kundeklubb. Den første kunden som kontaktet oss, hadde skrevet til oss sist fredag, men siden vi har en viss behandlingstid på e -postene som kommer inn til vår kundeservice, oppdaget ikke våre kundeserviceagenter denne e -posten før i dag på morgenen.

Innen 72 timer etter at vi ble kjent med hendelsen, vil vi rapportere det til Datatilsynet, i full overensstemmelse med regelverket. Vi håper å få et mer komplett bilde av det som skjedde, for å gi så fullstendig informasjon som mulig i vår rapport.

Basert på indikasjonene jeg har for øyeblikket, har noen få kunder meldt fra om lignende tilfeller. Vi beklager det som har skjedd, og jeg vil understreke at vi tar dette på største alvor og jobber nå hardt for å løse situasjonen som har oppstått.

Tirsdag klokken 11:14 kom så denne oppdateringen:

I går kveld identifiserte og utbedret vi feilen som vi ble lagt merke til av kunden vår. Feilen oppstod tirsdag 24. august, og resulterte i at noen kunder kunne se andre kunders kjøp, inkludert adresseinformasjon og betalingsmetoder når de logget inn på sine sider. Ingen personnummer eller kortdetaljer er gjort tilgjengelig eller avslørt. Vi ble gjort oppmerksom på feilen i går, mandag 30. august, og feilen ble utbedret samme kveld.

(NB! Netonnets svar er oversatt fra svensk og er noe forkortet på grunn av overlapping, oppdatering og av hensyn til lesbarhet.)

Misfornøyde kunder

Netonnet er en nettbutikk og varehuskjede som selger hjemmeelektronikk, den ble etablert i Sverige i 1999. Norsk avdeling kom i 2006. Ifølge Wikipedia ligger hovedkontoret og sentrallageret i Borås i Sverige, og selskapet har totalt omtrent 700 ansatte.

Netonnet har for øvrig vært i hardt vært tidligere, for eksempel da de i 2016 nektet å hjelpe en kunde som opplevde at datamaskinen hans gikk varm etter oppgradering til Windows 10. Det endte med at Forbrukerrådet tok saken til retten, og Netonnet bestemte seg da for å snu.

På Trustpilot er Netonnet rangert med 1,9 poeng på en skala fra 1 til 5, der 1 er lavest, og hele 49 prosent har i skrivende stund gitt dem bunnkarakter. 35 prosent har gitt dem toppkarakter.