Forbrukerrådet krever tiltak: – Uholdbart at opplysninger om så mange forbrukere er på avveie

I lys av datalekkasjen hos Norkart der i underkant av 3,3 millioner fødselsnumre havnet på avveie, går Forbrukerrådet nå ut og ber Datatilsynet, bransjen og politiske myndigheter om å handle så fort som mulig.

De reagerer sterkt på at over 3 millioner nordmenn må rydde opp når det skjer noe langt utenfor forbrukernes kontroll. Til Digi.no kaller direktør i Forbrukerrådet, Inger Lise Blyverket, dagens system for forbrukerfiendtlig.

– Vi vet foreløpig lite om denne datalekkasjen, men at over 3 millioner forbrukere i praksis selv blir bedt om å følge med og vurdere om de skal legge inn sperre for kredittopplysninger hos fire ulike kredittinformasjonsselskaper er uakseptabelt. Vi trenger ett felles system for dette, sier hun.

Ber om konkrete råd fra myndigheter

Noen av selskapene har siden angrepet på Norkart ble kjent onsdag, hatt problemer med stabilitet på sine nettsider. For Experian er det blitt så stor pågang at de sliter med nettsidene, og har lagt inn autosvar hvis e-poster omhandler kredittopplysninger. Nå ber Blyverket om anbefalinger fra myndighetene.

– Forbrukerne trenger også et konkret råd fra myndighetene. Å selv vurdere om vi skal legge inn sperre hos fire ulike selskaper som mange ikke har hørt om eller noensinne hatt et forhold til, gjør oss bare forvirret. Nå er det også flere anbefalinger som fremmes og det er ekstra viktig at Datatilsynet gir et klart råd om hva forbrukerne nå bør gjøre, sier hun.

Blyverket legger til at ingen forbrukere har forutsetninger for å vite om datainnbruddet rammer dem, og at de kun får vite at det kan hende de er i fare for å bli utsatt for ID-tyveri.

Når Digi.no ber Datatilsynet om et konkret råd viser Konstituert direktør i Datatilsynet, Janne Stang Dahl, til datatilsynets nettsider, og svarer Digi.no på e-post:

– Vårt konkrete råd er at hvis du ser noen bevegelser eller hendelser som kan virke mistenkelige, for eksempel en uvanlig transaksjon, kredittsjekker du ikke kjenner til eller unormale brev eller e-poster om nye kundeforhold, sperr for kredittsjekk med én gang. Hvis man er bekymret og ikke ønsker å ta noen som helst risiko, kan man vurdere å sperre for kredittsjekk uansett.

Datatilsynets råd er ikke så forskjellige fra rådet vi får fra Barne- og familiedepartementet. Departementet skriver til Digi.no:

– Vi vil anbefale at alle er ekstra varsomme dersom de blir kontaktet av noen som opplyser å ha tilgang til fødselsnummer og for eksempel ber om å få oppgitt andre personopplysninger, for eksempel bankkontonummer eller liknende.

Krever endring

Forbrukerrådet har stilt tre krav som de nå mener må gjennomføres.

Dette krever forbrukerrådet:

• Forbrukerne må få et klart råd om hva de skal foreta seg. Bør de eller bør de ikke legge inn sperre hos kredittopplysningsselskapene?
• Bransjen må snarest etablere ett felles system for å reservere seg hos kredittopplysningsselskapene. At forbrukere har ansvaret for å vite hvor mange selskaper som finnes og logge inn hos hver enkelt er ikke akseptabelt. Med ett felles innloggingspunkt blir det i alle fall litt enklere når vi står i situasjoner som dette. Om bransjen ikke lager det selv, bør det komme som et hastevedtak fra politiske myndigheter.
• Dersom faren for å bli misbrukt er vurdert som stor, må det også vurderes om vi varig eller for en begrenset periode skal snu funksjonen slik at alle forbrukere står som reservert for kreditt hos samtlige kredittinformasjonsselskaper, og at de som ønsker kredittsjekk selv må be om det.

Blyverket understreker at det siste kravet er svært inngripende, men bør ikke utelukkes.

– Dagens system er basert på at det skal være svært enkelt å ta opp lån og kreditt, mens forbrukerne sitter igjen med risikoen. Det er åpenbart for Forbrukerrådet at denne krisen må brukes for å lære og at forbrukerne må beskyttes bedre i fremtiden.

Både Datatilsynet og departementet enige med Forbrukerrådet

Som krav nummer to på listen til forbrukerrådet, krever de at det blir én felles løsning for sperre hos kredittopplysningsselskapene. Der er både Datatilsynet og Barne- og Familiedepartementet enige med Forbrukerrådet.

Dahl sier at denne saken viser hvor viktig det er å ha en felles løsning.

– Vi er helt enige med Forbrukerrådet i at det bør opprettes en fellesløsning for kredittsjekk. Uten et felles sperreregister, vil det bli vanskelig for folk å vite hvor man skal henvende seg for å sette en kredittsperre. Denne saken viser hvor viktig dette er, og vi håper dette kommer på plass.

Barne- og familiedepartementet er enige med Forbrukerrådet og Datatilsynet, og antar at bransjen vil etablere en felles løsning.

– Departementet er ellers enig i at det kunne vært nyttig med en felles løsning for kredittsperre. I dag må forbrukeren ta kontakt med hvert enkelt kredittopplysningsforetak for å være sikre på å være sperret. Vi antar imidlertid at bransjen selv er nærmest til å etablere en slik felles registreringsordning. Det er finansforetakene som er ansvarlige for å sikre at det ikke ytes kreditt på grunnlag av uriktige opplysninger. Da bør det også være i bransjens interesse å bidra til at det finnes effektive løsninger for kredittsperre og identitetskontroll.

Departementet understreker samtidig at det på tross av den enorme lekkasjen ikke er grunn til å snu systemet rundt slik forbrukerrådet tar til orde for. De mener en løsning der man aktivt må åpne opp for kredittsjekk kun vil skape problemer for både forbruker og bransje.

Digi har også sendt en henvendelse til Justis- og beredskapsdepartemenet der vi spurte departementet hvilken beredskap departementet har for å håndtere større IT-kriser. På spørsmålet om beredskap for å håndtere større IT-kriser viser departementet til Nasjonal strategi for digital sikkerhet. De viser også til råd og anbefalinger innenfor digital sikkerhet fra NSM, Hvordan forebygge og oppdage identitetstyveri hos Datatilsynet. Departemenet kommer ikke med noe spesifikke råd rettet direkte mot saken.

De har også kommet med en generell uttalelse om at angrep som dette er alvorlige.

«Dataangrepet som rammet Norkart er en alvorlig hendelse. Siste tids hendelser viser at det er et skjerpet risikobilde i det digitale rom. På generelt grunnlag er hendelsen en påminnelse om viktigheten av å ha et godt forebyggende sikkerhetsarbeid. Vi oppfordrer på det sterkeste alle virksomheter til å følge råd og anbefalinger fra nasjonale sikkerhetsmyndigheter.»