Kunde fikk tilgang til en annen kundes personnummer og strømforbruk i nesten åtte år

En feil hos Haugaland Kraft Energi gjorde at en kunde kunne få full tilgang til en annen kundes kundeforhold. Avviket kan ha eksistert fra september 2018 til mai 2026 og omfattet blant annet personnummer, fakturaopplysninger, adresse og strømforbruk.

Personvern: Det går fram av en avviksmelding Haugaland Kraft Energi sendte til Datatilsynet 13. mai. Radio Haugaland har fått innsyn i meldingen fra Datatilsynet.

Ifølge selskapet startet problemet 9. september 2018. Da ble et telefonnummer endret på en kundekonto. Kunden skal selv ha lagt inn et telefonnummer som i realiteten tilhørte en annen kunde. Numrene skilte seg med bare ett siffer.

Fikk full tilgang til kundeforholdet

Konsekvensen ble at den andre kunden kunne logge inn på «Min side» med sitt eget telefonnummer, men fikk tilgang til den første kundens kundeforhold.

Haugaland Kraft opplyser at vedkommende hadde «full tilgang» og blant annet endret e-postadressen på kundekontoen til sin egen.

Feilen ble først oppdaget 12. mai 2026, nesten åtte år etter at telefonnummeret ble registrert.

Det skjedde etter at den opprinnelige kunden bestilte en strømavtale på et nytt målernummer. Den andre kunden mottok deretter flere e-poster om strømavtalen og tok kontakt fordi hun ikke kjente til bestillingen.

Personnummer og strømforbruk berørt

Avviket omfattet en rekke personopplysninger. Haugaland Kraft lister opp navn, fakturaopplysninger, adresse, telefonnummer, strømforbruk, e-postadresse, personnummer, målernummer og målepunkt-ID.

Den rammede kunden er ifølge avviksmeldingen også ansatt i virksomheten.

Haugaland Kraft opplyser at personopplysninger fra strømavtalen har befunnet seg hos begge kundene. Selskapet antar at ingen andre har sett informasjonen.

Selskapet vurderer risikoen for konsekvenser som lav, men konstaterer i meldingen at kunden har fått personopplysninger på avveie.

Varslet Datatilsynet

Avviket ble oppdaget 12. mai og meldt til Datatilsynet dagen etter. Haugaland Kraft oppgir «menneskelig svikt» som hovedårsak til hendelsen.

Den berørte kunden er informert på telefon.

For å hindre at noe lignende skjer igjen opplyser Haugaland Kraft at selskapet vil se på tekniske løsninger som skal sikre at riktige kundedata blir registrert på riktig kunde. Det skal også gjennomføres intern opplæring.