Dataselskap kan ha brutt personvernloven
Datafirmaet Itslearning kan ha brutt personvernloven, etter at sensitiv informasjon har ligget tilgjengelig på nett. Det tok nesten tre måneder å tette sikkerhetshullet.
Feilen ble oppdaget da en elev på en skole i Hordaland via selskapets læresystem oppdaget at foreldrene hadde omsorg for et barnevernsbarn.
Grunnen var en systemfeil i den digitale læringsplattformen. Informasjonen var tilgjengelig på elevenes profilsider, ifølge NRK.
– I systemet kan en elev gå inn på sin profil, og trykke seg videre inn på sine foresatte. Her kommer det opp informasjon om barn som er registrert på foreldrene, forklarer Rohan Fininger i Utdanningsetaten.
Tok nesten tre måneder
Itslearning ble varslet om feilen 3. april, men det tok nesten tre måneder før feilen ble rettet. Grunnen er at Itslearning vurderte sikkerhetsbruddet som mindre alvorlig, noe selskapet nå tar selvkritikk for.
– Vi har ikke forstått konsekvensene dette hadde, og derfor tok det altfor lang tid. Perioden fra 3. april til 19. juni, der brukere i andre kommuner kunne komme over potensielt sensitiv informasjon, kunne vi enkelt ha redusert til et minimum, sier Arne Bergby, daglig leder i Itslearning.
Datatilsynet reagerer
Bjørn Erik Thon i Datatilsynet sier de vil se nærmere på saken.
– Slik informasjon skal ikke komme i feil hender, for dette er sensitiv, strengt personlig informasjon. Kun folk som jobber i Barnevernet skal vite hvem som er barnevernsbarn. Det er naturlig for oss å undersøke om personvernloven er blitt brutt i denne saken, sier Thon til NRK.
Mer enn hver tredje kommune er kunde
Itslearning er en av de større leverandørene av læreplattformer til skolen. Ifølge Leverandørdatabasen som Kommunal Rapport har etablert, hadde selskapet en omsetning i Kommune-Norge på minst 46 millioner kroner i 2015. Av de om lag 380 kommunene og fylkeskommunene som leverte data til basen for 2015, hadde 134 utbetalinger til Itslearning. Om lag en fjerdedel av selskapets omsetning kommer dermed fra kommuner og fylkeskommuner.