Michael Tetzschner (Høyre), 2014-05-08:
Denne interpellasjonens tema er rett og slett om hvorvidt enkelte følsomme personopplysninger innen banksektoren er på vei ut av kontroll. I slutten av mars ble det klart at Nets ikke bare selges ut av Norden, men ut av Europa. Nets forbindes av de fleste bankkunder i Norge som etterfølgeren til Bankenes BetalingsSentral, BBS. Men de fleste har vel, i likhet med meg selv, inntil nylig hatt ganske vage forestillinger om hva som ligger i skifte av firmalogo. De brevene vi tidligere fikk som bekreftet overførsler vi ønsket kvittering for, sto det BBS på. Senere kom akkurat de samme brevene med en ny logo: Nets. Nets har siden fusjonen av norske BBS og PBS, Dankort i Danmark utviklet seg til å bli det dominerende system for betaling i Norden. Nets’ produkter er velkjente varemerker – AvtaleGiro, Brevgiro, BankAxept, eFaktura, nettbank og mobilbank – og Nets leverer minibankløsninger. Gjennom sitt datterselskap Teller AS administreres betaling i Norden for de fleste betalingskort, med MasterCard og Visa som de mest kjente. Hittil har Nets’ organisering og eierskap vært ganske uproblematisk fordi bankene selv har hatt styringen. Akkurat som vi som kunder har hatt tillit til vår egen banks evne til å håndtere våre kundeopplysninger og kontobevegelser på en sikker måte, har digitale samarbeidsløsninger mellom flere banker vært åpenbart fornuftig. Felles utvikling senker kostnadene for deltagerne, og betalingsstrømmene flyter lettere mellom finansforetakene når den tekniske arkitekturen er felles. Selv om Nets har vært skilt ut som eget selskap, har den vært under kontroll av de som yter finansielle tjenester, nemlig bankene selv, og som igjen står i et direkte ansvarsforhold til sine kunder – deg og meg. Av de største aksjonærer i Nets finner vi i dag Nordea, Danske Bank, DNB og Danmarks Nationalbank, tilsvarende sentralbanken i Danmark. Av mellomstore eiere finner vi norske sparebankgrupperinger, Sydbank og Jyske Bank. Dette er seriøse samfunnsaktører som nyter stor tillit. Nå har disse eierne villet selge Nets, og argumentet er forståelig nok: Det er et stort og komplekst IT-selskap som ikke representerer bankenes kjernevirksomhet. I tillegg vil salget også frigjøre kapital i størrelsesorden 19 mrd. norske kr, som er kjøpesummen. Men Nets er blitt verdt så mye på grunn av sin dominerende markedsposisjon i Norden, først og fremst i Norge og Danmark. Når Nets nå selges ut av Skandinavia, reiser det seg spørsmål knyttet til behandlingen av et hav av følsomme opplysninger om norske borgere og norske bedrifter. Ikke bare de opplysningene som vi som kunder hver og en frivillig må oppgi når vi går inn i et kundeforhold, men også løpende metadata som gjennom egne dataprogrammer utviklet på grunnlag av algoritmer kan følge den enkeltes levevaner i den grad man bruker kort, og det gjør jo de fleste, som kjent. Den såkalte Patriot Act etter angrepet på New York i 2001 har utvidet de amerikanske myndighetenes muligheter for å kreve følsomme opplysninger utlevert, selv om de ikke er på linje med andre lands lover, hos oss mest typisk personopplysningsloven. Og heller ikke EUs regler for beskyttelse av personopplysninger, som for tiden Europaparlamentet arbeider for å oppdatere på bakgrunn av den teknologiske utviklingen, vil gjelde. Konsortiet som har kjøpt Nets, er ikke under europeisk jurisdiksjon alene. Selskapet er 97 pst. ikke-europeisk. Selv et seriøst amerikansk selskap som ønsker å opptre lovlydig, vil kunne komme i konflikt med norske personvernregler og EUs personverndirektiv på den ene siden og amerikansk lovgivning på den annen. Det amerikanske standpunkt har inntil nylig vært at amerikanske selskaper er forpliktet av innenlandske bestemmelser uansett hvor serverne måtte befinne seg, og de anser heller ikke lovgivningen på feltet som et internasjonalt spørsmål så lenge personvernet ligger i et juridisk ingenmannsland globalt. Noen interpellasjoner taper seg i aktualitet fra de blir anmeldt, til de blir besvart. Dessverre er denne interpellasjonen blitt mer aktuell. For et par uker siden ble det offentlig kjent at det danske Se og Hør hadde fått alle opplysningene de ønsket om danske kjente personer via en utro medarbeider i Nets. Opplysningene ga journalistene mulighet til løpende overvåking av de personer de interesserte seg for, hvilke varer og tjenester de benyttet, og ikke minst tid og sted for transaksjonene når de benyttet kort. Visstnok skal bare dronning Margrethe ha sluppet unna dette fordi hun ikke disponerer slike kort og står – slik vi forventer av monarkiet – litt ute av tiden, litt over tiden. Det har naturlig vært oppmerksomhet om sladrebladet og dets eier Aller-gruppen, som også er en betydelig presseaktør i Norge. De er bl.a. eier av Dagbladet. Vi står altså overfor heleri av personopplysninger i stor stil. Men oppmerksomheten bør i like stor – ja, kanskje enda større – grad rettes mot stjeleren, ikke bare mot heleren. Og grunnlaget for disse massive forbrytelsene er lagt av en svikaktig medarbeider, men ikke alene, også av et selskap som ikke har tatt personvern på alvor. Samtidig med opprullingen av presseskandalen er det blitt kjent at danske Datatilsynet har kritisert Nets for å ha ignorert advarsler om at firmaet ikke har beskyttet borgernes personlige opplysninger godt nok. Spørsmålet er altså ikke lenger bare om et selskap vi trodde tok ansvaret for å behandle og kryptere personopplysninger på en betryggende måte, og tok personvern alvorlig, men om de også skulle gjøre dette tilfredsstillende i fremtiden under nye eiere. Spørsmålet er nå like mye om salget av et selskap med dokumenterte sikkerhetshull, med dokumenterte sikkerhetsmangler, kan forventes å reparere disse hvis de kommer under en ny jurisdiksjon som ikke legger den samme vekten på personvern i konkurranse med andre hensyn, f.eks. innsyn av sikkerhetsgrunner og andre vurderinger. I den forbindelse er dette meget interessant – tror jeg – for Stortinget som er opptatt av personvern, i hvert fall er vi det når vi diskuterer Datatilsynets årsmelding. Stortinget er sikkert også interessert i å høre hvilke refleksjoner som regjeringen ved finansministeren gjør seg i denne forbindelse.