Universitetet i Oslo sendte studentenes personnummer på medlemsblad

I det nyeste eksemplaret av tidsskriftet Stud.jur. ble mottakernes fødselsdato og personnummer trykket i adressefeltet ved en feil.

Stud.jur. gis ut syv ganger i året, og sendes ut til alle semesterregistrerte studenter ved Det juridiske fakultet på UiO.

Onsdag kveld sendte Juristforeningen og Det juridiske fakultet ut en e-post til de 4329 studentene som er berørte i saken og informerte dem om trykkfeilen.

Der blir de blant annet bedt om å stryke ut opplysningene.

• Les også: EU-organ: Rekordmange personopplysninger på avveie

NRK har vært i kontakt med Juristforeningen, som ikke ønsker å kommentere saken.

– Studenter i sjokk

En jusstudent som ønsker å være anonym forteller at hun er én av dem som er rammet av trykkfeilen. Hun forklarer at studentene er sjokkert over at en slik feil kunne skje.

– Det kan jo få store konsekvenser! Heldigvis har jeg mottatt mitt blad og makulert det. Men noen av vennene mine har ikke mottatt sitt ennå, så de er relativt stresset.

Hun sier at hun ikke la merke til trykkfeilen før e-posten ble sendt ut.

– Hadde informasjonen min kommet på avveie og blitt misbrukt, kunne jeg nok tenkt tanken om å søke oppreisningserstatning. Denne informasjonen som har kommet ut er jo det mest personlige om oss, sier studenten som mener det er skremmende at personopplysninger kan utgis så lett ved en feil.

– Det er jo ganske ironisk at dette skal skje ved det juridiske fakultet, legger jusstudenten til.

• Les også: IT-ekspert om datainnbrot: – Skremmande dårleg sikkerheit

– Svært beklagelig

Avdelingsdirektør Hanna Eikeli ved UiO forklarer at det skjedde en teknisk feil da navnelistene skulle eksporteres.

Feilen førte til at fødsels- og personnummer ble liggende i to skjulte kolonner, som ikke ble oppdaget før bladet var trykket og sendt ut.

– Det er selvfølgelig svært beklagelig og UiO tar saken på største alvor. Vi vil også beklage på det sterkeste overfor de studentene det gjelder.

– Er dere redd for at personnummer og navn kan være på avveie, og potensielt bli brukt til identitetstyveri?

– Vi har foreløpig ikke vurdert det som en stor fare. Vår første prioritet har vært å varsle Datatilsynet og de berørte studentene.

Frykter ID-tyveri

Fagdirektør Martha Eike i Datatilsynet mener saken er alvorlig, og sier at eksponering av personopplysninger er noe som skjer for ofte.

– Opplysningene kan brukes til å søke om kredittkort, ta opp lån i andres navn og å opprette falske profiler. Det er uendelig med farer.

– Hva gjør Datatilsynet når dere får en rapport om avvik?

– Hvis vi skal pålegge noe kan det være snakk om organisatoriske eller tekniske tiltak. I tillegg har vi mulighet til å gi overtredelsesgebyr, men det er for tidlig å si hva som blir aktuelt i denne saken.

– Begrenset spredningsfare

Stian Schilvold i Bull & CO advokatfirma sier at Juristforeningen og fakultetet har fulgt regelverket ved å informere de som er berørte i saken og varsle Datatilsynet.

Han beskriver saken som uheldig, men understreker at den ikke kan karakteriseres som veldig alvorlig.

– Bladet med opplysningene har blitt sendt til den enkelte abonnenten. I tillegg er det spredt analogt, ikke digitalt, så faren for viderespredning er nokså begrenset.

Kan kreve erstatning

Advokaten sier videre at avsender kan bli holdt rettslig ansvarlig, dersom personopplysningene som har blitt trykket skulle bli brukt i kriminelle handlinger.

– Dersom det skulle skje identitetstyveri som leder til økonomisk tap på grunn av trykkfeilen, kan studentene kreve erstatning. Da vil det bli gjort en vurdering på om Juristforeningen er ansvarlig eller ikke.

Han trekker samtidig frem den nye personvernforordningen til EU (GDPR), som trådte i kraft i mai. Den åpner for at de som får personopplysninger eksponert kan kreve oppreisningserstatning.

– Artikkel 82 i GDPR gir hjemmel for at man kan kreve erstatning også for ikke-økonomiske tap. Vanligvis har slike beløp vært begrenset til mellom 50.000 og 100.000 kroner. Men i dette tilfellet vil nok det høye antallet berørte påvirke en eventuell erstatningsutmålingen.

NRK presiserer: I en tidligere versjon av denne saken sto det at Juristforeningen og det juridiske fakultet ved UiO trykket studentenes personnummer sammen med fullt navn og adresse i medlemsbladet. Det medfører ikke riktighet. Det er et eksternt trykkeri som trykker bladet. Videre var det fakultetet som sendte personopplysningene til trykkeriet, ikke Juristforeningen.