Politiet bommet på sladden: Delte personopplysningene til 19-åring med hele verden

– Det er en meget alvorlig svikt i håndteringen av helt grunnleggende personopplysninger. Å publisere både personnummer og passnummer skal rett og slett ikke skje, og det er i strid med helt sentrale personvernregler verden over, sier Farid Bouras i advokatfirmaet Elden.

Fengslet i London

Han er advokat for den fengslede 19-åringen fra Stavanger som i disse dager møter i retten i London, tiltalt for drapsforbund og ulovlig oppbevaring av våpen.

Det var i forbindelse med denne rettssaken at britisk politi i forrige uke ga media tilgang til ulike bilder og videoer fra etterforskningen. I denne «pressepakken» var det også et bilde politiet hadde tatt av 19-åringens pass. På bildet, som ble publisert i en rekke medier, var alle personopplysningene i passet fullt synlige.

Da NRK først tok kontakt med Metropolitan Police og påpekte at de hadde sendt ut et usladdet bilde av passet til tiltalte, hevdet engelske politimyndigheter at de hadde sladdet passnummeret og personnummeret hans.

Men det stemmer ikke. Britisk politi hadde tilsynelatende forsøkt å sladde passnummer og personnummer, men sladden hadde forkjøvet seg en halv centimeter. Dermed dekket de svarte strekene ikke over disse viktige personopplysningene.

– Takk for at du rapporterte dette

Da NRK påpekte det på nytt, fikk vi følgende svar fra politiet:

– Takk for at du rapporterte dette – kan du bruke den vedlagte versjonen?

Britisk politi hadde da sendt NRK et nytt bilde, hvor både sladden var riktig plassert.

– Det var en menneskelig feil som gjorde at ikke alle numrene ble sensurert i versjonen som ble delt med media, innrømmer kommunikasjonssjef Callum Jones ved Metropolitan Police til NRK.

Britisk politi opplyser at de, rett etter at NRK hadde gjort dem oppmerksomme på feilen, tok kontakt med all media som hadde fått det usladdede bildet. Disse skal blitt bedt om at alle nettversjoner blir oppdatert med det nye bildet - eller at blir slettet.

Men da hadde det usladdede bildet allerede ligget ute på nettet i minst ett døgn, blant annet hos flere av de største, britiske nettavisene.

– Alvorlig og ulovlig

Advokat Brynjar Meling sier til NRK at det britiske myndigheter har gjort, er alvorlig og ulovlig.

– Dersom bildet viser hele passet med fullt navn, fødselsdato, passnummer og den maskinlesbare sonen nederst i dokumentet, kan det i prinsippet brukes til å verifisere identitet i grensekontroller verden over, mener Meling.

Han peker på at dette kombinert gir uvedkommende i praksis et komplett, digitalt identitetsdokument for en ung mann som sitter fengslet og ikke har noen mulighet til å beskytte seg selv.

– Det kan ikke reverseres. Passnummeret er ute.

Han mener dette er i kjernen av personvernreglene i Norge, og peker på at også britiske myndigheter etter britiske personlovgivning kan ilegges et gebyr som i ytterste konsekvens kan komme opp i flere millioner pund.

– Slik jeg ser det, har det britiske datatilsynet både myndighet og plikt til å granske dette.

Meling, som ikke har noe med den pågående straffesaken i London å gjøre, mener også at 19-åringen trolig har krav på erstatning – både for økonomisk tap og den krenkelsen dette i seg selv representerer.

– I og med at han er norsk statsborger, 19 år og befinner seg i fremmed varetekt, har norske myndigheter etter min mening et diplomatisk ansvar for å ta dette opp direkte med britiske myndigheter. Ikke avvente en forvaltningsprosess i London. Utenriksdepartementet bør komme på banen nå, sier Meling.

Mener det bryter med menneskerettighetene

19-åringens advokat, Farid Bouras, mener det fremstår veldig amatørmessig.

– Jeg har hatt saker i flere deler av verden, blant annet i Asia og Afrika, og har aldri opplevd at politiet har gjort så grove feil som i denne saken fra britisk politi, sier Bouras.

Han mener det ikke er snakk om en bagatell eller en glipp.

– Dette er svært alvorlig. Etter britisk rett er dette opplysninger som skal ha det strengeste vernet. I tillegg beskytter EMK-artikkel 8 retten til privatliv. Her foreligger det et klart brudd, mener Bouras.

I tillegg mener han det er direkte livsfarlig for 19-åringens og familiens sikkerhet, både i fengsel og utenfor. Han påpeker at det foreligger en risiko for identitetstyveri og misbruk.

– Når slike opplysninger spres globalt, kan det få uforutsigbare og svært alvorlige konsekvenser.

Nå vurderer Bouras og hans team å levere en anmeldelse og bringe saken inn for relevante tilsynsorganer. De vil også fremme erstatningskrav.

– Det må i tillegg kreves en fullstendig redegjørelse for hvordan et så alvorlig brudd på personvernet kunne oppstå, og hvilke systemsvikt som ligger bak.

- Inngripende

Fagdirektør i Datatilsynet, Atle Årnes, sier dette om publisering av slik personinformasjon:

– Generelt, av både sikkerhetsgrunner og personverngrunner skal slik informasjon fra personaliasiden i passet ikke publiseres, delvis sladdet eller ikke, sier Årnes, og mener at både pressen og politiet bør ta hensyn til det.

– Noen detaljer på denne personaliasiden i passet er mer inngripende å publisere enn andre, spesielt fødselsnummeret. Personopplysningene fra passets personalia-side kan brukes til blant annet identitetstyveri og svindel, advarer Årnes.

Fagdirektøren viser til prinsipper for behandling av personopplysninger i personvernforordningen artikkel 5 som gjelder for EØS i Europa.

Ber om gransking

Forsvarer Farid Bouras er klar på at denne feilen fra britisk politi bør få tydelige konsekvenser, og påpeker at etter britisk personvernlovgivning så har myndighetene et strengt ansvar for å beskytte slike opplysninger.

Han mener det bør gjennomføres en uavhengig gransking, og at ansvar må plasseres.

– Samtidig er det grunn til å understreke at slike amatørmessige feil aldri ville ha skjedd i Norge. Det reiser spørsmål om saken i utgangspunktet burde vært håndtert her i Norge, og fortsatt bør ses i et norsk spor.

Nå kan det få konsekvenser for rettssaken videre.

– Slike alvorlige feil svekker tilliten til etterforskningen og politiets håndtering av saken. Det reiser spørsmål om forsvarlighet og rettssikkerhet, også etter EMK-artikkel 6, sier han.

Han reagerer også på at Kripos ikke har uttalt seg om saken.

Ingen kommentar fra norske myndigheter

Kripos peker i stedet på britiske myndigheter.

– Det er britiske myndigheter som må svare for sine regler og rutiner for offentliggjøring av informasjon i en straffesak de fører for retten, skriver seniorrådgiver Jonas Fabritius Christoffersen i Kripos til NRK.

Utenriksdepartementet har så langt ikke besvart NRKs henvendelser.

Den tiltalte 19-åringen ble i mars i fjor pågrepet på et hotellrom i Huddersfield med to våpen. Ifølge tiltalen skal ha vært å drepe en - for politiet - ukjent person.

Det planlagte drapet skal ha vært på oppdrag for den svenske kriminelle organisasjonen Foxtrot.