Dette er Stavanger. Lysene du ser er posisjonene til flere hundre mobiltelefoner.
Én av mobilene tilhører Karl Bjarne Bernhardsen (30).
Det siste året har mobilen hans avslørt hvor han har vært stort sett hele døgnet. Denne informasjonen er til salgs.
Karl har ikke visst noen ting.
Det gjør heller ikke titusenvis av andre nordmenn.

Avslørt av mobilen

Avslørt av mobilen

10. april 2019 er en dag Karl vil huske for alltid. Like før klokken åtte om kvelden kommer en perfekt liten gutt til verden på Stavanger universitetssykehus. Karl og samboeren Anne har blitt foreldre for første gang.

I dagene etter fødselen triller en stolt pappa sønnen gjennom sykehuskorridorene og korte turer ut i den milde vårlufta. Mobilen hans ligger i lomma.

Karl Bjarne står utenfor Stavanger Universitetssykehus med en barnevogn.

NRK sporet Karl Bjarne Bernhardsen til Stavanger universitetssykehus. Det viste seg at han var på sykehuset fordi samboeren og han ventet sitt første barn.

Foto: Privat

Noen dager senere sender Karls mobil signaler til en dataserver mange hundre mil unna. Serveren mottar informasjon om 30-åringens bevegelser rundt på syke­huset.

Eieren av dataserveren er et britisk selskap med kontorer sentralt i London. De lever av å selge informasjon om hvor folk er.

Dette vet Karl ingenting om. Ennå.

Posisjoner til salgs

Mobilen er med oss til og fra jobb, når vi henter i barne­hagen, trener, besøker noen vi er glad i på eldre­hjem og inn på soverommet om kvelden.

Den samler kontinuerlig informasjon om hvor vi er og hva vi liker.

Noen mobilapper ber om å få tilgang til mobilens posisjon. Hvis vi tillater dette, kan appen samle informasjon om hvor vi befinner oss. Slike data kalles posisjonsdata. Disse dataene er så verdifulle at de har skapt en helt ny industri. Mange som lager mobil­­apper, tjener penger på å selge posisjonsdata fra appen videre til andre selskaper.

Disse selskapene kalles gjerne dataforhandlere. Dataforhandlere selger posisjonsdata videre – til både kommersielle aktører, myndigheter og andre som er interessert i å vite hvor folk er.

Flere av selskapene som selger posisjonsdata hevder at dataene de selger er anonymiserte. De som kjøper posisjonsdata, skal altså ikke kunne klare å finne identiteten til mobileieren.

Men hvor godt anonymisert er egentlig dataene som selges? Og hvor sikre kan vi være på at de ikke havner i feil hender? Høsten 2019 begynte NRK å undersøke dette.

Fra punkter til personer

NRK spurte flere dataforhandlere om å få kjøpe posisjonsdata fra mobiler i Norge, uten at vi var åpne om at vi ville undersøke nærmere om dataene var fullstendig anonymisert. Vi skrev at vi skulle bruke dataene i et prosjekt om folks bevegelses­mønster og offentlig utbygging av kollektiv­transport.

Det britiske selskapet Tamoco var ett av selskapene som svarte NRK. Vi betalte selskapet 35.000 norske kroner, og fikk en omfattende oversikt som viste hvor titusenvis av nordmenn hadde beveget seg i 2019. Posisjons­dataen var fra over 140.000 unike mobil­­er og nettbrett.

NRK har gjentatte ganger forsøkt å stille spørsmål til Tamoco på telefon, e-post og ved å oppsøke deres kontorlokaler i London. Selskapet har ikke svart på henvendelsene. Oppdatert 3. juni: Etter publisering har Tamoco svart på NRKs henvendelser. Se saken her.

Alle moderne mobiltelefoner har en GPS-mottaker, som ved hjelp av satellitt kan spore telefonens eksakte posisjon med bare noen meters avstand.

Posisjons­dataene NRK kjøpte bestod av en tabell med fire hundre millioner kartkoordinater fra mobiler i Norge. Et tall i tabellen førte oss på sporet av Karl Bjarne Bernhardsen.

Tabell med GPS-koordinater, mobil-id og klokkeslett.
Alle koordinatene var knyttet til en dato, et klokkeslett og en bestemt mobil. Dermed viste koordinatene nøyaktig hvor en mobil eller et nettbrett hadde vært på et bestemt tidspunkt.
Kart med GPS-koordinater som oransje prikker.
NRK samkjørte mobilposisjonene med et kart over Norge. Hver posisjon ble markert på kartet som et oransje punkt.
Noen av prikkene er uthevet og man ser at de tilhører én mobiltelefon.
Noen mobiler hadde flere tusen slike oransje punkter, mens andre kun hadde et titalls.
Noen små prikker fordelt utover kart, to store sirkler der det er samlinger med mange prikker.
Hvis en mobil var på et sted gjentatte ganger og over lengre tid, dannet punktene større klynger.

Ville det være mulig for oss å finne identiteten til en mobileier ved å se hvor telefonen hadde vært, i kombinasjon med noen enkle nettsøk?

Vi valgte ut en tilfeldig mobil fra datasettet.

Disse punktene viser noen av bevegelsene til mobilen gjennom store deler av 2019.

Oversiktskart som viser lokasjoner i Stavangerområdet

Vi tok en nærmere kikk på stedene hvor mobilen hadde vært registrert mange ganger.

Sporing Stavanger

Vi så tydelig at personen var på denne adressen om natta. Kunne det være hjemmet til vedkommende?

Flybildet viser en adresse der det er registrert mange mobilposisjoner.

I ukedagene kjørte vedkommende hit om morgenen. Kanskje jobbet personen her?

Flybildet viser hvor det er registrert mobilposisjoner.

Av og til var personen innom denne adressen. Det så ut til at vedkommende besøkte noen.

Flybildet viser hvor det er registrert mobilposisjoner.

NRK søkte opp adressen hvor mobilen hadde etterlatt seg mange punkter om nettene. Søket viste at en mann og en kvinne bodde i huset.

Deretter søkte vi opp Facebook-profilene deres. Det var flere bilder av de to smilende sammen. Det virket som om de var kjærester. På mannens Facebook-profil stod det at han jobbet i et logistikkfirma.

Da vi søkte opp det aktuelle firmaet oppdaget vi at det lå på samme sted som personen pleide å kjøre til om morgenen.

Dermed hadde vi klart å spore personen som eide mobilen, selv om dataene ifølge Tamoco skulle vært anonymiserte.

Mannen bak de oransje punktene heter Karl Bjarne Bernhardsen og er 30 år gammel.

Hva mer kunne vi finne ut om Karls liv?

Karl Bjarne Bernhardsen

Mobilen til Karl har samlet informasjon om hvor han har vært gjennom store deler av 2019. Informasjonen var til salgs.

Foto: Eskil Wie Furunes

Sporet i over 200 dager

Karls mobil hadde ofte vært på en tredje adresse. Det var hjemmet til foreldrene hans.

I mer enn 200 dager i fjor røpet en eller flere apper på Karls mobil hvor han var noen ganger så ofte som minutt for minutt.

Da vi sjekket bevegelsene hans i mai, så vi at han gjorde noe utenom det vanlige i lunsjen.

kl. 06:00

Som vanlig begynte dagen med at han stod opp rundt klokken seks.

Deretter kjørte han til jobb. Vi kan ikke se akkurat når han kjørte, men tidligere hadde vi sett at han pleide å ta denne ruta til jobben.

kl. 11.35

Neste gang mobilen avslørte posisjonen hans, var utenfor jobben. Så forflyttet han seg raskt vestover. Tempoet tilsa at han kjørte bil.

kl. 11:50

Han kjørte til et industriområde i Risavika Havnering.

kl. 11:54

Karl kjørte først hit, men snudde etter få minutter.

kl. 12:03

Til slutt fant han frem og parkerte bilen.

kl. 13:00

Han var i dette bygget, og beveget seg litt rundt på området. Her var han i omtrent en time.

kl. 13:11

Så kjørte han tilbake til jobben.

Bare noen få personer visste at Karl var i Risavika på grunn av et jobb­intervju.

I datamaterialet så vi at han to uker senere endret kjørerute om morgenen. Han begynte å kjøre til Risavika Havnering, der han hadde fått seg ny jobb.

Karl er bare én av titusenvis av nordmenn som har blitt sporet av apper på mobilen. NRK har identifisert en rekke andre nordmenn i data­settet vi kjøpte.

NRK ringer Karl og forteller at han har blitt sporet av mobilen sin. 30-åringen virker overrasket og litt paff, men sier ja til å møte oss for å få vite mer. Vi finner et tidspunkt som passer.

– Du trenger kanskje ikke adressen min? sier han.

Familietur til Dyreparken

Januar i år tar 30-åringen imot oss hjemme i rekkehuset der han bor. Hjemmet ligger skjermet til, i et boligstrøk utenfor Stavanger sentrum.

Karl skal få se hva vi har funnet ut om han. Han er tydelig spent. Vi setter oss ved kjøkken­bordet. Så viser vi ham mange av stedene han har etterlatt seg spor.

Karl Bjarne sitter sammen med NRKs journalist ved kjøkkenbordet og kikker på en pc-skjerm.

NRKs reporter Trude Furuly viser Karl noen av stedene han har blitt sporet til i fjor.

Foto: Eskil Wie Furunes

– Hva hvis kriminelle hadde fått tilgang til dette, eller jeg hadde vært en rik person?

30-åringen synes det er ubehagelig å få vite hvor detaljert han har blitt sporet.

– I feil hender kan det bli misbrukt av hvem som helst. Dette er noe vi bør bli beskyttet mot av staten, sier Karl.

Noe av det mest ubehagelige for Karl, er at han også har blitt sporet på sykehus da sønnen ble født og da han var på ferie med familien. En helg i juni leide familien hytte i Mandal. Karls foreldre, søsken, nieser, nevøer og Anne og sønnen var med.

Lørdagen dro de til Dyreparken i Kristiansand. NRK har bedre oversikt over hva han gjorde den dagen, enn han selv kan huske i dag.

Lørdag 22. juni

Dyreparken i Kristiansand

kl. 10:25

Dette er det første stedet NRK finner spor etter Karl inne i Dyreparken – utenfor Soko mat.

kl. 11:57

Litt senere så familien på apekatter i «Jungelen». Karl tok dette bildet, som NRK har fått i ettertid.

Bildet viser en apekatt på en gren.

kl. 14:39

Familien gikk rundt i området «Båtbasaren» der det selges is og kioskvarer.

Bildet viser en kiosk i dyreparken i Kristiansand.

kl. 14:46

Rundt sju minutter senere gikk de videre mot Kjuttaviga. Her pleier Kaptein Sabeltann å ha store show, men familien så ikke noen forestilling denne dagen.

kl. 14:59

De stoppet utenfor Laumanns lager, en av dyreparkens største souvenirbutikker. Her var de i rundt et kvarter, før de gikk videre.

kl. 15:59

En time senere var familien her, i «Nordisk villmark». De så på gauper, jerv, ulv, rev og elg.

Bildet viser en gaupe som ligger i gress.

kl. 18:15

Til slutt gikk familien til bilen. Kort tid senere satte de kurs mot hytta.

Dere vet jo mer enn meg. Jeg husker ikke alt dette. Dere har alt på pc-en. Det er ganske sykt, sier Karl.

Så stiller 30-åringen to spørsmål.

– Hva blir informasjonen brukt til? Og setter de noen grenser for hvem som får den?

Nordmenns data selges på det åpne markedet

De siste årene har selskapers salg av posisjons­data fått mer oppmerksomhet. Både The New York Times og svenske Dagens Nyheter har skrevet om hvor lett det er å spore og finne enkelt­personer med posisjons­data.

NRKs funn viser hvordan også nordmenns posisjonsdata selges på det åpne markedet.

Forbrukerrådet reagerer kraftig på NRKs avsløring.

– Det er helt utvilsomt ulovlig, og ikke i tråd med personvernlovgivningen, verken i Norge eller i Europa, sier direktør Inger Lise Blyverket i Forbruker­rådet.

Hun mener det er nærmest umulig for forbrukere å vite hvor deres personlige data havner når de laster ned apper og godtar brukervilkårene.

Dette er selskaper som ingen av oss kjenner og som har en forretnings­modell som på ulovlig vis sammen­stiller informasjon om oss, og sprer det videre uten at verken selskapene eller forbrukerne har kontroll, sier Blyverket.

I 2018 trådte en ny og strengere personvernlov (GDPR) i kraft for Norge og Europa. For at selskaper lovlig skal kunne lagre person­opplysninger som navn, telefon­nummer, og hvor noen oppholder seg, må de ha en god grunn som er grundig dokumentert. Dette kalles behandlings­grunnlag.

Har ikke selskapene et godt nok behandlings­grunnlag risikerer de å få store bøter.

Tamoco

Bak denne døra i Holborn i det sentrale London, holder selskapet Tamoco til. På sin hjemmeside skriver de at gjør data tilgjengelig for alle.

Foto: Johan Bull/NRK

Tamoco ble opprettet i 2012, og oppgir at de tilbyr data til finans- og investeringsformål, markedsføring og byutvikling. Tamoco skriver på sin hjemmeside at de «gjør presise data tilgjengelig for alle».

NRK har gjort Tamoco kjent med den konkrete kritikken mot selskapet, og bedt dem kommentere den.

Tidlig i prosessen hadde NRK hyppig dialog via telefon og e-post med representanter fra selskapet. Etter at NRK opplyste om at vi jobbet med en kritisk sak om selskapets håndtering av data, har de ikke besvart våre spørsmål og gjentatte henvendelser om intervju.

Oppdatert 3. juni: Etter publisering har Tamoco svart på NRKs henvendelser. Se saken her.

Ukjent omfang

Det er umulig å anslå nøyaktig hvor mange nordmenn som spores av apper. Det er også vanskelig som forbruker å vite hvilke apper som deler data videre. Noen data­forhandlere oppgir at de deler posisjons­data med hverandre, og flere selskaper kan også motta data fra én og samme app.

Inger Lise Blyverket mener flere av selskapene opererer i strid med loven.

– Ingen av oss vet hva disse opplysningene brukes til, og hvem de selges til. Når så mye data selges om oss uten kontroll, så vet vi heller ikke hvor de ender, sier hun.

Portrettbilde av Inger Lise Blyverket.

– Dette er alvorlig og uakseptabelt, sier Inger Lise Blyverket i Forbrukerrådet.

Foto: Annika Byrde / NTB

Blyverket mener historien om Karl viser hva slike data kan brukes til, og at mange ikke er klar over at apper de laster ned deler person­data videre.

– Jeg tror mange blir lurt inn i noe de ikke kan se konsekvensene av, sier Blyverket.

Tilbake til Stavanger. Karl sier at han blir sint av å tenke på at posisjonsdata som den vi har om han er til salgs.

– Jeg blir forbanna, egentlig. Det er smålig at de kan strekke seg så langt og dra strikken for hva som er etisk og uetisk, sier 30-åringen.

NRK har gjennomgått Karls mobilapper, men har ikke kunnet fastslå med sikkerhet hvilken av appene som har delt data om ham.

Karl Bjarne står utenfor inngangsdøra til hjemmet til foreldrene.

Data fra Karls mobil viste at han ofte besøkte denne adressen, foreldrenes hus i Stavanger.

Foto: Eskil Wie Furunes

– Kommer til å slette apper

Karl frykter først og fremst konsekvensene sporing kan få for andre enn ham selv.

– Folk er vanemennesker, og beveger seg på mange av de samme plassene. Det er skummelt hvor godt kartlagt folk kan bli.

Han håper flere blir bevisste på at salg av posisjonsdata foregår.

– Jeg håper politikere tar det opp og at folk blir klar over at det skjer, slik at de kan ta sine forholds­regler og kun ha apper med premisser som passer dem.

Selv sier 30-åringen at han skal ta en runde på hvilke apper han har på telefonen.

– Jeg kommer til å slette en del apper. Alle unntatt de mest nødvendige, sier Karl.


I oversiktsgrafikken har NRK justert datapunktene for å gjøre dem mindre identifiserbare.

Oppdatert 3. juni: Saken er oppdatert med en henvisning til et intervju med Tamoco.

Bidragsytere:

Research og presentasjon: Øyvind Bye Skille, Ståle Grut, Ingeborg Rygh Hjorthen, Øyvind Rønning Nyborg, Mari Grafsrønningen, Harald K. Jansson Foto: Eskil Wie Furunes/NRK, Dyreparken i Kristiansand, NTB Scanpix Flyfoto: Kartverket, Norge i bilder Dronefoto i intro: Arild Eskeland/NRK