Haugaland Kraft meldte personvernbrudd til Datatilsynet

Haugaland Kraft har meldt et personvernbrudd til Datatilsynet etter at én kunde fikk tilgang til en annen kundes opplysninger på selskapets kundeportal.

Personvern: Feilen skyldtes en manuelt registrert feil telefonnummer, og opplysningene var tilgjengelige i ni dager før de ble rettet.

Personvern

Ifølge avviksmeldingen oppdaget en kontaktperson feilen 20. april 2026, da vedkommende varslet Haugaland Kraft om at han hadde tilgang til en annen kundes opplysninger på minside.hkraft.no. Feilen ble imidlertid ikke rettet før 28. april. Virksomheten opplyser at interne rutiner for håndtering av personvernbrudd ikke ble fulgt godt nok.

Fikk innsyn i kundeopplysninger

Personopplysningene som ble eksponert omfattet navn, telefonnummer, e-postadresse, bostedsadresse, kundenummer og Altibox-fakturaopplysninger. Haugaland Kraft opplyser at det er kjent at én person fikk tilgang til opplysningene.

Selskapet beskriver hovedårsaken til avviket som menneskelig svikt. Feilen oppstod etter at et telefonnummer ble registrert manuelt på feil kunde.

Setter inn tiltak

Haugaland Kraft opplyser at de vil styrke opplæringen av ansatte i håndtering av personvernbrudd, gjennomgå sikkerheten rundt påloggingsløsningene, vurdere automatiske påminnelser om kvalitetssikring av kundeopplysninger og revidere interne rutiner.

Da avviksmeldingen ble sendt til Datatilsynet 8. mai, opplyste selskapet at den berørte kunden ennå ikke var informert, men at dette skulle skje uken etter.

Datatilsynet har i et svar på et innsynskrav bekreftet at deler av dokumentene er unntatt offentlighet etter personopplysningsloven, og har derfor oversendt en sladdet versjon av avviksmeldingen.