Datatilsynet avslutter saken etter personvernbrudd hos Haugaland Kraft

Datatilsynet har avsluttet saken etter personvernbruddet hos Haugaland Kraft, der én kunde fikk tilgang til opplysninger om en annen kunde på selskapets kundeportal.

Personvern: Datatilsynet opplyser i et brev til Haugaland Kraft at saken etter meldingen om brudd på personopplysningssikkerheten nå avsluttes.

Bruddet ble tidligere meldt til Datatilsynet etter at en kunde fikk tilgang til en annen kundes opplysninger på minside.hkraft.no. Opplysningene som ble eksponert omfattet blant annet navn, telefonnummer, e-postadresse, bostedsadresse, kundenummer og fakturaopplysninger fra Altibox.

Feilen skyldtes ifølge Haugaland Kraft at et telefonnummer manuelt var blitt registrert på feil kunde.

Forutsetter at tiltak gjennomføres

Datatilsynet skriver at de legger til grunn at Haugaland Kraft gjennomfører nødvendige tiltak for å rette opp bruddet, hindre at tilsvarende hendelser skjer igjen og begrense eventuelle konsekvenser for de berørte.

Selskapet må også dokumentere oppfølgingen av hendelsen og kontrollere at tiltakene fungerer over tid.

– Vi avslutter saken med dette, skriver Datatilsynet i brevet.

Kan bli åpnet igjen

Datatilsynet understreker samtidig at Haugaland Kraft må varsle dersom det kommer fram nye opplysninger som kan ha betydning for saken.

Saken kan også bli gjenåpnet dersom det kommer ny informasjon eller dersom personer som er berørt av personvernbruddet sender inn klage.

Personvernbruddet ble oppdaget i april. Haugaland Kraft har tidligere opplyst at interne rutiner ikke ble fulgt godt nok, og varslet blant annet styrket opplæring av ansatte og en gjennomgang av sikkerheten rundt innlogging og kvalitetssikring av kundeopplysninger.