Millionbot fra Datatilsynet til Trumf

La du inn kontonummeret til noen du kjente i medlemsprofilen din på Trumf.no, fikk du innsyn i hvor de hadde handlet, når de hadde handlet og hva de hadde handlet.

Trumf sjekket nemlig ikke om den som la inn kontonummeret på medlemssiden, var den som eide kontoen.

– Ikke godt nok personvern, konkluderer Datatilsynet og skriver ut en bot på fem millioner kroner.

Nå har Trumf endret systemet, og alle medlemmer har fått melding om å gå inn på egen profil for å verifisere kontonummeret.

– En omfattende informasjonsjobb, sier kommunikasjonssjef Kine Søyland i Norgesgruppen til Digi.no.

Står ved varsel

Det er litt over et halvt år siden Datatilsynet varslet vedtaket.

– Trumf ga uttrykk for at en slik verifikasjon snarlig ville bli implementert i 2016. Datatilsynet avsluttet derfor saken. I 2020 fikk vi informasjon om at en slik verifikasjonsløsning likevel ikke hadde blitt innført, sa juridisk seniorrådgiver Ida Småge Breidablikk i Datatilsynet da.

Trumf er ifølge vedtaket ikke «fullt ut enig i Datatilsynets vurdering», men har tatt varselet om vedtaket til etterretning og aksepterer fremdeles det varslede gebyret. Det bekrefter Trumf i en kort pressemelding.

Sendte ikke avviksmeldinger

Rundt regnet 950 ganger i året har Trumf fått beskjed fra kunder om feilregistrerte kontonumre.

Disse tilfellene er ikke godt nok dokumentert og ikke varslet om skikkelig, mener Datatilsynet, som anslår at det minst må ha vært 2000 brudd på GDPR etter at den trådte i kraft i 2018.

– Datatilsynet har ikke mottatt noen meldinger om brudd på personopplysningssikkerheten fra Trumf. Vi konkluderer derfor med at Trumf gjentatte ganger har brutt sin forpliktelse […] om å sende Datatilsynet meldinger om brudd på personopplysningssikkerheten, heter det i vedtaket.

Datatilsynet mener vel å merke ikke at Trumf skulle sendt over avviksmelding for hvert eneste brudd, men samlet flere hendelser i samme melding.

– Alvorlig

Allerede i 2016 sa Datatilsynet fra til Trumf om at de «så alvorlig på situasjonen». Trumf svarte med at de snart ville ta i bruk ene løsning som skulle hindre at medlemmer kunne legge inn andres kontonummer. Men vinteren 2017 ble det klart at denne løsningen ikke lot seg innføre.

– At Trumf brøt sin meldeplikt under slike forhold, må karakteriseres som alvorlig, heter det i vedtaket.

Samtidig rammer svakheten potensielt svært mange. To og en halv million nordmenn er registrert hos Trumf.

Fem millioner kroner i bot blir resultatet. Ifølge Datatilsynet ligger dette «helt i nederste sjikt» av hva de har myndighet til å skrive ut i bøter.

GDPR åpner nemlig for bøter på opptil 2 prosent av den samlede globale årsomsetningen.

Norgesgruppen ASA har en omsetning på over 100 milliarder kroner, så en bot på fem millioner utgjør cirka 0.005 prosent av omsetningen.

Alle kunder må verifisere kontonummer

Nå må alle kunder bruke BankID til å bekrefte at det faktisk er de som eier kontoen som er registrert på Trumf-profilen. Har du ikke verifisert kontonummeret, har du ikke lenger tilgang til kjøpshistorikk på profilsiden din.

Ignorerer du meldingene og ikke gjør noe, vil bankkontoen etter hvert bli slettet fra Trumf-medlemskapet. Medlemskapet eksisterer fortsatt, men for å få bonus når du handler, må du ha registrert et kontonummer på profilen din, forklarer Søyland.

Trumf har i flere omganger sendt ut meldinger der de ber medlemmene bekrefte bankkortet sitt.

– Arbeidet med å verifisere kontonumre går bra, nærmere 80 prosent har allerede verifisert, sier Søyland.

Av rundt to og en halv million medlemmer, er det nå først og fremst eldre og medlemmer som ikke bruker Trumf aktivt, som det gjenstår å overtale.

– Alternativet er at du bruker det fysiske Trumf-kortet. Men det som er bra med Trumf, er jo nettopp at du slipper å tenke på å ha med deg et ekstra kort, sier hun.

Selv om endringene i interne IT-systemer har vært små, beskriver Søyland prosessen som tidkrevende.

– Det er ressurskrevende og tar tid, sånn er det med endringer, og her har hvert medlem måttet gjøre en jobb selv. Vi er veldig glad for at vi har kommet så langt. Så må vi jobbe med å få på plass de siste, sier hun.