«Sikker boks» ble stjålet – umulig å vite hvilke personopplysninger som kan være på avveie

For andre gang på kort tid har tyver stjålet beholderen for elektronikk til resirkulering fra elektrokjeden Power.

Det viser en avviksmelding til Datatilsynet som Digi har fått innsyn i.

Beholderen var den såkalte «S-boksen», som er låst og ment for elektronikk som kan inneholde personopplysninger.

Sletter ikke selv

– S-boksen er et tilbud der kunden kan levere inn EE-produkter med personopplysninger rett i en låst beholder, forklarer Ine Opseth i Power til Digi.

Siden boksen er låst og refereres til som sikker, er det store muligheter for at de som har avlevert varer der, ikke har sett behovet for selv å slette eller fjerne lagringsmedier.

– Det gjøres ingen sletting eller lignende på produkter før de puttes i S-boksen, med mindre kunden har gjort dette selv.

Vet ikke hvem, hvilke eller hvor mange

Enhetene inkluderer sannsynligvis PC-er, mobiltelefoner, nettbrett og annen forbrukerelektronikk som kan inneholde personlige opplysninger, bilder, video og annet som man helst ikke vil ha spredt til uvedkommende.

– Vi vet ikke hvem som har levert eller hvilke produkter.

Dermed kan man heller ikke varsle de som har levert, om at de kan ha personopplysninger som er på avveie.

Det er også sannsynlig at det dreier seg om mer enn bare noen få enheter.

– Det bestilles opphenting av beholderen ved behov, så denne har trolig vært nært full.

Power sender enhetene videre med Bring til Norsirk. Der sorteres de, og eventuelle lagringsmedier slettes eller kvernes opp, avhengig om de skal ombrukes eller ikke.

Snek seg inn med postbudet

Tyveriet skjedde ved Power City i Oslo sentrum, og i samme periode ble også avdelingen i Skien rammet av et lignende tyveri.

Døren til lageret der boksen sto, er i utgangspunktet låst, men kan fjernåpnes fra lagersjefens kontor. Han har forklart at han åpnet for å slippe inn postbudet, som ikke selv var til stede hele tiden.

Postbudet skal senere ha forklart at han så en kvinne gå inn på lageret gjennom den åpne døren, og at han så henne trille sikkerhetsboksen ut.

Power sier at de dessverre ikke har overvåkningsbilder av tyveriet, som skjedde 14. desember 2023, men ikke ble oppdaget før nesten 14 dager senere.

– Dette burde vært oppdaget tidligere, så her har det skjedd en menneskelig svikt, sier Opseth.

Tilfeldig? Neppe!

I avviksmeldingen skriver Power at de ikke tror det var et tilfeldig tyveri.

– Mistanken er i utgangspunktet at de som stjeler denne typen produkter, primært er på jakt etter råvarer på lik linje med de som stjeler annet EE-avfall, sier Opseth.

– Rutinene våre vedrørende overlevering av S-boksen til Bring, er nylig oppdatert, og alle varehus har blitt informert om at uønskede i det siste har vist interesse for S-boksen. I tilfellet på Power City har en uønsket person tatt seg inn på vårt lager og stjålet S-boksen, så dette anser vi som et innbrudd og tyveri.

De fleste saker henlegges

Saken er anmeldt til politiet, forteller Opseth, men Power har ikke fått noen oppdatering om saken siden.

– Vi jobber kontinuerlig med rutinene og prosessene rundt håndtering og sikring av alt EE-avfall, sier Opseth.

– Vi ser at tyver blir mer og mer utspekulerte og tar høyere risiko for å stjele slikt avfall. Disse sakene blir anmeldt, men vi opplever at de fleste saker blir henlagt. Dette ser vi på som utfordrende.

Viktig med gode rutiner

Seniorrådgiver og teknolog Narjes Al-Sultan i Datatilsynet sier til Digi at dette er et tydelig eksempel på hvor viktig det er å kontinuerlig håndtere personvern.

Elektroniske enheter som ofte kan inneholde en mengde person­opplysninger om forbrukeren, må derfor håndteres med stor forsiktighet fra levering til resirkulering eller destruksjon, påpeker hun.

– Enhver virksomhet som håndterer disse enhetene gjennom deres levetid, har et ansvar for å sikre personopplysningene de inneholder for å unngå konfidensialitetsbrudd.

Konsekvensene kan være alvorlige, inkludert identitetstyveri.

– Det er også viktig at virksomheter som tillater bruk av personlige enheter i jobbsammenheng, implementerer retningslinjer og gode rutiner, for eksempel fjernsletting av virksomhetsdata dersom det skulle være nødvendig.

Forbrukerne har også ansvar

– Det er også viktig at forbrukerne selv tar ansvar ved å slette person­opplysninger fra enhetene før de leveres inn til avfallsmottak eller resirkulering, sier hun.

Hun har følgende råd til forbrukere:

• Før du leverer enheten din til gjenvinning, anbefales det å gå grundig gjennom alle lagrede data, deaktivere tilkoblinger til eksterne tjenester og slette eventuelle lagrede passord.
• Det er også lurt å bruke enhetens tilbakestillingsfunksjon før levering for å sikre at alle personopplysninger slettes fullstendig.