Kommunen har nekta for at dei peikte på 13-åringen. No innrømmer dei å ha namngitt han til politiet

Ein 13 år gamal skuleelev i Bergen har fått inndratt datautstyret sitt etter at han fekk tilgang til og lagra personopplysingar om 35.000 personar.

Politiet konkluderte først med at guten sine handlingar skada kommune sitt omdømme, men trekte formuleringa etter sterke reaksjonar.

• Bakgrunn: Politiet straffar skuleeleven som varsla: – Han skada kommunen sitt omdømme

Intern e-post til leiarar i kommunen: – Mistanke om ein skuleelev

Det var Bergen kommune sjølv som melde saka til politiet i august i fjor.

Kommunen har heile vegen hevda at dei ikkje visste at det var ein elev som stod bak dei uautoriserte handlingane. Dette har dei gjenteke fleire gongar, både i bystyret og i media.

Men no viser dokumentasjon NRK har fått tilgang til at kommunen hadde konkret mistanke til sjuandeklassingen før dei gjekk til politiet.

16. august sende personvernombodet i kommunen ein e-post til Datatilsynet.

I e-posten oppsummerte personvernombodet arbeidet som hadde blitt gjort med å finna ut korleis 35.000 brukarnamn og passord plutseleg hamna på avvege.

Fleire leiarar i Bergen kommune sto på kopifeltet i e-posten – der det kjem fram at kommunen allereie har ein mistenkt.

«vi [har] logger som har gitt grunnlag for å mistanke om at det er en navngitt skoleelev som står bak», skriv personvernombodet.

Vidare står det i e-posten at saka no blir meldt til politiet.

«Senere i kveld har vi vært i møte med politiet og anmeldt forholdet, dette vil vi gå ut med i media etter at politiet har aksjonert i morgen».

Kommunen gav politiet namnet på guten

Også eit politidokument viser at informasjonen om sjuandeklassingen var kjent høgt oppe i kommuneleiinga.

Etter at kommunaldirektør Trine Samuelsberg, som var ein av mottakarane av e-posten, hadde kontakta politiet om saka, skreiv ein etterforskar følgjande i dokumentet NRK har sett:

«Det er derfor grunn til å anta at NN (namnet på guten) er gjerningsperson/mistenkte og at han har benyttet internett tilgangen hjemme hos seg selv».

NRK veit at det var kommunen som gav politiet namnet.

Tidleg neste morgon, 17. august, ringer tre etterforskarar og to teknikarar frå politiet på døra til den då 13 år gamle guten og hans familie.

Dei tar beslag i guten sin sjølvbygde private PC, skule-PC og diverse utstyr, og avhøyrer familiemedlemmane etter tur.

Sa ingenting offentleg

Utover e-posten og politidokumentet, er det fleire forhold som indikerer at kommunen heilt frå starten av mistenkte at ein elev stod bak.

«Flere tegn kan indikere at hendelsen er «rampestreker» utført av elever, blant annet har inntrengeren lagt til kontaktinformasjon i eFeide som åpenbart er falsk», skreiv kommunen i avviksmeldinga til Datatilsynet like etter datainnbrotet.

Men då kommunen gjekk ut med informasjonen om datainnbrotet i ei pressemelding 15. august, sto det ingenting om kven dei mistenkte i saka.

Men etter aksjonen heime hjå guten to dagar seinare, kunne NRK avsløra at det var ein barneskuleelev som sto bak det kommunen politimelde.

Kommunaldirektør Samuelsberg, som har ansvar for skule, hevda då overfor NRK at ho ikkje visste at det dreidde seg om ein elev.

– Me har blitt gjort kjent med dette i ettermiddag, sa Samuelsberg til NRK.

«Det var politiet som fann ut at det var ein elev»

I alle intervju i etterkant har Bergen kommune gjort det klart at dei ikkje visste at det var ein barneskuleelev som stod bak då dei melde saka til politiet.

– Me melde jo ikkje eleven til politiet. Det var politiet som fann ut at det var ein elev, sa skulebyråd Roger Valhammer (Ap) til NRK i september i fjor.

Også i bystyret, under spørjetimen 19. september, sa Valhammer (Ap) fleire gonger at kommunen ikkje visste at det var ein elev som sto bak.

– Eg vil og understreka, gitt at det har vore påstandar om noko anna i media, at kommunen anmeldte forholdet, ikkje eleven.

Dette sa Valhammer uoppfordra då han omtala sjuandeklassingen:

– Det var politiet som fann ut at det var ein elev og det var i etterkant at ein fann ei samanheng med varselet i mai, sa skulebyråden.

Det same har kommunaldirektør Samuelsberg gjentatt i fleire intervju med NRK og andre medium.

– Først seinare viste det seg at det var ein elev som tidlegare hadde varsla, sa ho til BT i desember i fjor.

Presentert for NRKs dokumentasjon, vedgår no Valhammer at namnet på sjuandeklassingen var del av informasjonen som kommunen overleverte til politiet.

– Politiet fekk informasjon om namnet til 13-åringen frå kommunen?

– Slik eg har forstått det, så har politiet fått informasjon om IP-adressen og kor mange som kan ha brukt ho inn mot kommunen sine system, inklusiv eleven og broren, seier Valhammer.

Men det betyr ikkje at ein visste at det var han som sto bak, ifølgje byråden.

Høgre vil vurdera mistillit

Henning Warloe (H) er nestleiar i skulekomiteen. Han reagerer sterkt på at byråden både i bystyret og i fleire intervju har halde fast ved at kommunen ikkje var klar over at det kunne vera snakk om ein elev.

– Det stemmer jo ikkje. Eleven sitt namn dukkar jo opp i intern korrespondanse i tida rundt politimeldinga. Dette har vore kjent informasjon for kommunen, og eg synest det då er påfallande at byråden har sagt det motsette.

Warloe seier Høgre no vil vurdera mistillitsforslag, spesielt på bakgrunn av Valhammer sine kommentarar i bystyret 19. september.

– Eg reagerer på at det har skjedd frå bystyrets talarstol. Det blei presisert at kommunen ikkje visste at ein elev stod bak. Informasjonen me har no, tilseier at det var feil. Då har byråden feilinformert bystyret, om han visste dette på det tidspunktet. Det er alvorleg, seier Warloe.

Byråden: – Andre kunne ha brukt IP-adressa

Valhammer, som er Ap sin byrådsleiarkandidat til haustens val, fortel i dag til NRK at kommunen gjorde søk opp mot itslearning for å finna ut kva brukarkontoar som blei brukt i dei uautoriserte innloggingane. Då avdekte dei at IP-adressa til sjuandeklassingen sto bak.

Byråden viser til at politiet i møte med kommunen slo fast at dei ikkje kunne vita at det var guten som stod bak, sjølv om IP-adressene og aktiviteten knytt til hans brukar indikerte det.

– Det kunne også vera andre som brukte den IP-adressa utanfrå. Det ønskte politiet å finna ut av, og dei ønskte å etterforska det sjølv utan at kommunen etterforska.

– Men politidokument namngir 13-åringen som den antekne mistenkte, på bakgrunn av namneopplysingar politiet har fått frå kommunen. Korleis harmonerer det med kommunen sine gjentatte utspel om at det var politiet, ikkje kommunen, som fann ut at det var ein elev?

– Politiet var tydeleg i dialogen med oss på at ei IP-adresse ikkje var eit avgjerande bevis for kven det var. Det kunne ha vore familie eller eksterne som brukte adressa. Politiet ønskte å koma til botns i saka, og gitt at det var eit alvorleg datainnbrot, var det kommunen si vurdering at det var rett å overlata saka til politiet, seier skulebyråden.

– Har ikkje gitt uriktige opplysningar

– I den interne e-posten som blei sendt 16. august blir det også poengtert at ein elev truleg står bak. I den første avviksmeldinga skriv kommunen at det truleg dreier seg om rampestreker. Når du seier at de faktisk har gitt politiet namnet på 13-åringen, samstundes som de heile vegen har sagt at det var politiet som fann ut at det var 13-åringen, så høyrest det ut som at de ikkje har gitt riktige opplysingar i bystyret og til media. Er du ueinig i det?

– Eg er ueinig i det. Me avdekker to hendingar samstundes (inntrenging i eFeide og uautoriserte handlingar i itslearning, journ. merk.) og finn ei IP-adresse knytt til den eine hendinga. Då finn me at det er to elevar som har tilgang til den (sjuandeklassingen og veslebroren, journ. merk.), og at det er aktivitet knytt til fleire brukarar. Politiet seier at dette kan vera eit innbrot utanfrå, og at det kan vera nokon eksterne som brukar denne IP-adressa. Dei seier at me ikkje kan vita med sikkerheit kven dette er. Då synest eg det er vanskeleg å påstå noko anna.

– Så kommunen gav politiet namnet på 13-åringen, men mistenkte at den som stod bak ikkje var 13-åringen?

– Kommunen hadde vanskeleg for å vita det, men etter dialog med politiet var det klart at det ikkje var noko bevis for at det faktisk var 13-åringen som stod bak. Det har vore vår inngang heile vegen, og eg har gitt informasjon til bystyret ut frå det. Våre datafolk kunne vanskeleg sjå for seg at ein 13-åring kunne stå bak dette. Det var såpass avansert.

Beklagar overfor 13-åringen

Skulebyråden gjentar orsakinga for at eleven ikkje blei høyrt då han gav beskjed om mappa med brukarnamn og passord i mai i fjor.

Valhammer viser til at kommunen måtte handla raskt då dei oppdaga at nokon hadde tatt seg inn i datasystemet.

– Men me må læra meir av det som blei gjort knytt til politimeldinga og sjå om me kunne ha gjort meir for å faktisk finna ut kven dette var, for å unngå at eleven opplevde at politiet kom og tok beslag i datautstyr, seier byråden.

– Trudde ikkje elev kunne stå bak

Digitaliseringsdirektør i Bergen kommune, Kjetil Århus, var involvert i saka frå starten. Han seier datainnbrotet var så avansert at dei i starten ikkje trudde sjuandeklassingen kunne stå bak.

– Me trudde ikkje at ein elev var i stand til å stå bak dette. Og me ville ikkje gå på døra til familien eller oppsøka skulen i tilfelle det var nokon som styrte dette utanfrå. Du kan sjå for deg kritikken me ville fått dersom me hadde tatt kontakt med feil familie og stilt spørsmål, seier Århus.

– Sett i ettertid, meiner du at kommunen handterte dette på ein god måte?

– Eg tenker at varselet frå eleven i mai burde ha blitt tatt tak i. Det har me vedgått og beklaga. Når det gjeld episoden i haust, meiner eg framleis det var riktig av oss å melda eit så alvorleg avvik til politiet. Me hadde to alvorlege hendingar på same tid, og kunne ikkje med hundre prosent sikkerheit vita kven som stod bak. Me overlét til politiet å finna ut av det.

– Men etter kvart som me har fått ny informasjon, er det lett å stilla spørsmål ved dei vurderingane som blei gjort, seier Århus.

Orsakar til guten og hans familie

Onsdag stilte Warloe spørsmål til skulebyråden om kvifor han feilinformerte bystyret.

Valhammer var heime med sjukt barn. Difor kommenterte byrådsleiar Harald Schjelderup (Ap) saka, for første gong offentleg.

– Mine første ord i denne saka er at Bergen kommune vil koma med ei orsaking utan vilkår til guten og hans familie.

Han hevda at den einaste sikre informasjonen kommunen sat med, var ei kopling mellom ein itslearningkonto og ei IP-adresse.

– Me har gått ganske grundig inn i denne saka, og eg stiller meg bak det Valhammer sa. Faktum er at me ikkje kunne ha meldt guten til politiet, fordi me ikkje visste at det var han då me melde saka. Det kjem tydeleg fram i politimeldinga, sa byrådsleiaren.

– Så eg vil avvisa premisset i Warloe sitt spørsmål.