8300 mobiler sporet på sykehus og krisesentre

Gjennom apper har titusenvis av nordmenn fått sine bevegelser sporet inne på sensitive områder. NRK har kartlagt hvordan disse bevegelsene samles inn og selges videre på det åpne markedet.

Lørdag fortalte NRK om det London-baserte selskapet Tamoco som satt på informasjon om Stavanger-mannen Karl Bjarne Bernhardsens bevegelser gjennom store deler av 2019.

Han er ikke alene. Titusenvis av nordmenn har installert gratisapper som røper hvor mobileieren har vært og beveget seg.

For 35.000 kroner kjøpte NRK en database som inneholdt bevegelsesdata fra 140.000 norske mobiler og nettbrett. I dette omfattende materialet fant vi også over 8300 mobiler som har vært innenfor områdene til blant annet norske sykehus og flere krisesentre.

Daglig leder i Krisesentersekretariatet, Idun Moe Hammersmark, håper at NRKs avsløringer fører til at norske myndigheter bedrer tilsynet med denne bransjen.

Tamoco er ett av mange selskaper som sanker inn data fra apper.

Selskapet ble opprettet i 2012, og oppgir at de tilbyr data til finans- og investeringsformål, markedsføring og byutvikling. Tamoco skriver på sin hjemmeside at de «gjør presise data tilgjengelig for alle».

Tidlig i prosessen hadde NRK hyppig dialog med Tamoco via telefon og e-post med representanter fra selskapet. Etter at NRK opplyste om at vi jobbet med en kritisk sak om selskapets håndtering av data, har de ikke besvart våre spørsmål og gjentatte henvendelser om intervju.

Slik avsløres helsedataene

Dataene som NRK har kjøpt omfatter hele 2019. Ved å telle antall mobiler som befinner seg innenfor områdene til norske sykehus, krisesentere og psykiatriske institusjoner, fant NRK over 8300 mobiltelefoner i dataene.

Besøk og opphold på sykehus, krisesentre og psykiatriske institusjoner er sensitive personopplysninger som har et særskilt vern.

NRK har valgt å ikke spore telefonene utenfor institusjonsområdene til for eksempel hjemmeadresse og arbeidssted, og kjenner ikke identiteten til noen av disse personene.

Hvem som helst som kjøper denne dataen kan imidlertid kartlegge identiteten til personene i materialet. Hver enkelt telefon har en unik identitet. Man kan dermed se på alle bevegelser til en spesifikk telefon, og se hvor eieren sover, jobber og oppholder seg på fritiden. Ofte vil det bare kreve noen minutters arbeid i kombinasjon med søk i sosiale medier å finne eierens navn og identitet.

Over 850 mobiltelefoner på Ullevål sykehus

Flest registreringer fant NRK ved Oslo Universitetssykehus avd. Ullevål. Dataene inneholdt 855 unike mobiltelefoner innenfor dette området. Totalt hadde disse mobilene etterlatt seg 61.000 punkter som viste deres bevegelser.

Detaljnivået i dataene som NRK har tilgang til er svært høyt. I kombinasjon med åpent tilgjengelige kart over norske sykehusområder er det mulig å se hvilken avdeling en mobiltelefon oppholdt seg i da den ble sporet.

Hver gang mobilen spores, loggføres også dato og tid for når sporingen fant sted. Ved å se på hvilke telefoner som har vært der jevnlig, kan man kartlegge hvem som er besøkende, ansatte eller pasienter.

– Det har et omfang som overrasker meg. Jeg synes det er urovekkende hvor mye informasjon man kan hente ut. Jeg føler meg fryktelig naiv når jeg sitter og ser på det dere har funnet fram til, sier pasient- og brukerombud i Oslo og Akershus, Anne-Lise Kristensen til NRK. Hun leder også kollegiet av pasientombud over hele landet.

Pasientombudet forteller at både hun, pasientene og andre nok i stor grad trykker OK på ulike brukervilkår og apper – uten å egentlig skjønne at dataene de samler inn kan havne i slike baser. Hun mener mange nok også tenker at «jeg har ikke noe å skjule».

– De fleste vil tenke at legevakta er et sted du går fordi du har brukket armen eller noe annet som er helt uproblematisk om hele verden vet. Men plutselig har du vært på legevakta fordi det har skjedd noe helt annet. Da vil du ikke at folk skal vite det lenger - for du har ikke tenkt å dele det med noen, sier hun.

Da kan det bli problematisk om helsetilstanden din kan bli avslørt av sporing.

– Helsedata er et område vi vil ha kontroll på selv. Jeg ønsker å fortelle verden hvis jeg er syk, eller hvis jeg trenger helsehjelp. Jeg vil kontrollere hvem som vet helt fra de nærmeste i familien til resten av samfunnet, forklarer pasientombud Kristensen.

Kan spore mennesker på krisesentre

I datamaterialet NRK kjøpte på det åpne markedet har vi også funnet mobilregistreringer inne på krisesentre. Totalt fant NRK over 130 ulike mobiltelefoner som la igjen mer enn 10.000 registreringer i 2019.

Disse institusjonene ivaretar sikkerheten til mennesker som er utsatt for vold og seksuelle overgrep i nære relasjoner. Mange av dem har ikke offentlig adresse, som et ledd i å ivareta tryggheten til brukerne.

Daglig leder i Krisesentersekretariatet, Idun Moe Hammersmark, synes det er bekymringsverdig at man gjennom mobilapper kan få så mye informasjon om sårbare grupper og enkeltindivider.

– Det er viktig at vi gjør alt vi kan for å beskytte særlig sårbare grupper i samfunnet. Arbeidet som gjøres blant voldsutsatte er å sikre, beskytte og trygge at de voldsutsatte kan få et liv uten vold og uten å bli kontrollert av en voldsutøver, sier Hammersmark.

• Guide: Slik beskytter du deg mot mobilsporing

Hun sier at alle som jobber med voldsutsatte og krisesentere er klar over at stedstjenester kan utgjøre en utfordring. Hun håper flere i hjelpeapparatet får opp øynene for dette etter NRKs avsløring.

– Stedtjenester kan brukes som en forlengelse av et kontrollgrep voldsutdøvere ofte har. Det har en del å si for de som er voldsutsatt. At man aldri slipper helt fri fra det grepet i og med at stedtjenester ofte finnes i alle mulige slags apper, sier Hammersmark.

Vil ansvarliggjøre myndighetene

Lederen i Krisesentersekretariatet retter pekefingeren mot norske myndigheter og Datatilsynet.

– Jeg tenker at norske myndigheter og Datatilsynet må være sitt ansvar bevisst, og må ta et ekstra ansvar ovenfor sårbare grupper og ivareta deres sikkerhet. Det er viktig at de som bruker appene får lett tilgjengelig informasjon om hvor data havner, og at det må reguleres bedre, sier Hammersmark.

Datatilsynet: Åpner gransking av Tamoco

Seksjonssjef Tobias Judin i Datatilsynet sier at vern av personer i sårbare situasjoner er et stort fokusområde.

– Vi setter inn mye ressurser for å beskytte personopplysningene til dem som av en eller annen grunn er i kontakt med helsevesenet. Jeg vil si at vi gjør mye for dem. Når vi blir forelagt denne typen opplysninger som NRK har forelagt oss er det klart at dette er noe vi vil prioritere å se på fremover.

Judin sier at de har hatt mistanker om at slik data om nordmenn er til salgs, men at de ikke har sett konkrete bevis før NRKs avsløringer.

De vil nå åpne gransking av selskapet:

– Vi velger å se på denne saken siden vi mener den er svært alvorlig, det som har skjedd her virker svært grovt og er i alle fall krenkende for den som det gjelder, sier Judin.

• Les saken: Datatilsynet åpner gransking av dataforhandler etter NRK-avsløring

Distrikts- og digitaliseringsminister Linda Hofstad Helleland retter også tydelig kritikk mot Tamoco:

– Dette er rett og slett helt uakseptabelt. Om det er ulovlig eller ikke skal tilsynet finne ut av, men uansett er det etisk helt uakseptabelt, sier Helleland.