GÅR FOR LANGT: Du kan faktisk ikke få vite folks personnummer eller gjøre en kredittvurdering av dem sånn helt uten videre, selv om NRK hevdet dette. Foto: NTB Scanpix
GÅR FOR LANGT: Du kan faktisk ikke få vite folks personnummer eller gjøre en kredittvurdering av dem sånn helt uten videre, selv om NRK hevdet dette. Foto: NTB ScanpixVis mer

Mediekritikk:

NRKs urealistiske skremmebilde

Når NRK lager et oppslag der hele poenget er hvor mye informasjon det er mulig å hente ut «kun ved hjelp av åpne kilder på nett», så må det være lov å forvente at de faktisk holder seg til sine egne kjøreregler

Meninger

Tidligere i januar publiserte NRK et oppslag på nett og TV om hvordan de hadde «kartlagt livet til Marthe (...) gjennom åpne, offentlige kilder og sosiale medier».

Spaltist

Doremus Schafer

er en mediekritisk spaltist og blogger. Han skriver under pseudonym for Dagbladet og Manifest Tidsskrift med støtte fra Fritt Ord, og blogger på doremusnor.wordpress.com.

Siste publiserte innlegg

NRK forklarer at de hadde søkt etter «en person som ville la oss finne ut så mye som mulig om vedkommendes liv kun ved hjelp av åpne kilder på nett», og at det ikke var lite de klarte å grave opp om den frivillige prøvekaninen:

«NRK har blant annet kartlagt Marthes nettvaner, funnet ut hvordan hun prater til vennene sine på nett og sett hvor hun og familien bodde gjennom hele barndommen. Men alt dette er bare en liten del av informasjonen vi klarte å hente ut.

Ved hjelp av hennes Facebook-konto, andre sosiale medier og sider som seeiendom.no, skattelistene, Brønnøysundregistrene og Eiendomsregisteret, fylte NRK tre fulle A4-sider med informasjon om Marthe.»

Men så kommer det noen mer påfallende opplysninger: NRK forteller også at «Via Folkeregisteret fikk vi tilgang til personnummeret hennes» - til tross for at lov og forskrift gjør det klart at dette ikke er noe som skal utleveres uten videre, men bare hvis man har «begrunnet behov» for nummeret «for å oppfylle en lovpålagt forpliktelse eller for å ivareta en lovmessig rettighet».

Artikkelen fortsetter under annonsen

Deretter forteller de at «Vi utførte også en kredittsjekk for å se om hun hadde noen betalingsanmerkninger» - noe som tilsvarende bare skal gjennomføres dersom den som bestiller kredittsjekken har en saklig grunn til å sjekke din betalingsevne.

Etter en henvendelse til NRK, bekrefter de etterhvert at når de fikk tak i hennes personnummer, så var dette takket være den særskilte tilgangen som pressen har (for å kunne drive «undersøkende journalistikk»). Og på oppfølgingsspørsmål om hvordan de fikk gjort kredittsjekk, viser seg at de hadde innhentet Marthes samtykke til å gjøre dette.

Disse to opplysningene (som må kunne sies å være de klart vesentlige/mest oppsiktsvekkende av alt de nevner), var altså aldeles ikke frembrakt gjennom noen «åpen, offentlig kilde» som hvem som helst kunne benyttet seg av, men takket være særegne tilganger som de hadde fått i kraft av sin rolle som «undersøkende journalister». (Til alt overmål har ordningen med pressens direktetilgang nå blitt strammet inn, slik at man i fremtiden må søke individuelt og begrunnet for å få tilgang til fødseslsnummer.)

Når NRK lager et oppslag der hele poenget er hvor mye informasjon det er mulig å hente ut «kun ved hjelp av åpne kilder på nett», så må det være lov å forvente at de faktisk holder seg til sine egne kjøreregler – ikke at de sper på informasjonstilfanget ved å også ta i bruk andre metoder som ikke er tilgjengelige for hvem som helst. Artikkelen hadde åpenbart fått adskillig mindre slagkraft dersom de hadde tilkjennegitt at de hadde benyttet seg av sine særegne presseprivilegier – og det blir regelrett absurd når NRK gjør et poeng av at de har skaffet seg informasjon om betalingsanmerkninger, uten å nevne at testobjektet har aktivt innvilget dem innsyn i dette.

At NRK også innser dette selv, blir ytterligere tydeliggjort av hvordan man har dratt føttene etter seg når det gjelder å korrigere artikkelen: Etter gjentatte henvendelser og opptil flere runder med rettinger, er formuleringen om at de skulle samle informasjon «kun ved hjelp av åpne kilder på nett» endret til «ved hjelp av ulike kilder på nett og sosiale medier» (uten noe «kun»), mens det står at de fikk tilgang til personnummeret hennes «Gjennom en søknad til Folkeregisteret». (Setningen om kredittsjekken står fortsatt i sin opprinnelige form, uten noe hint om at man måtte ha hennes samtykke til dette.)

Man har altså gått fra en formulering som var kategorisk usann, til noe som det går an å kverulere på at er formelt gyldig, men som er helt soleklart villedende - ingen leser kan skjønne av seg selv at «ulike kilder på nett» inkluderer ‘Folkeregisterets elektroniske søketjeneste som NRK er innvilget tillatelse til å bruke i kraft av å være et mediehus, men som ikke er tilgjengelig for allmennheten’. Man skjønner tydeligvis utmerket godt at store deler av artikkelen ville falt pladask til jorden dersom man hadde vært ærlige og tydelige om hvilke metoder man hadde brukt.

Og mens NRKs retningslinjer for endringer i nettartikler uttrykkelig sier at alle vesentlige presiseringer/rettelser skal angis med en egen tekst i starten av artikkelen, er det ikke tilføyd noen som helst slik kommentar i dette tilfellet – til tross for at man altså har fjernet en direkte usannhet i selve artikkelens bærende premiss. Og de som nøyer seg med å se på videoinnslaget om saken, blir fortsatt fortalt av journalisten at «Det eneste jeg visste om henne på forhånd var navnet hennes» – uten å tilføye at han dessuten har innhentet hennes skriftlige samtykke til å kredittvurdere hennes økonomi.

De andre opplysningene som NRK har fått kloa i, er tross alt noen hakk mindre invaderende eller oppsiktsvekkende: Inntekt og skatt for fjoråret (fra de åpne skattelistene), navn på aller nærmeste familie, nåværende og tidligere bosted (inkl. gårds- og bruksnummer) og flyttetidspunkter, hvor og når hun giftet seg (og når hun og ektemannen først ble sammen), hvor hun har vært på ferie, og litt om hennes «nettvaner».

NRK medgir selv at mye av dette «kan høres ut som triviell informasjon» – men fremholder at «mange bruker slik informasjon for å lage passord til ulike påloggingssider på nett», og minner om at dette kan gjøre oss sårbare og at man bør «lage lange passord som ikke kan kobles til personlige opplysninger».

Deretter advarer NRK oss om at

«Summen av all informasjonen vi finner om Marthe, kan brukes til å gjøre ting som

  • Ta opp et lån i hennes navn
  • Tømme sparekontoen hennes
  • Stjele identiteten hennes»

På direkte spørsmål om hvordan konkret man kan gjøre disse skumle tingene med denne informasjonen, presiserer NRK at alt dette bygger på premisset om at offeret har valgt seg så elendige passord at man kan knekke dem ved å kjenne til relativt triviell informasjon som hvor du har bodd eller hvem du er i familie med.

I videoinnslaget nevnes det imidlertid ikke et kvidder om denne temmelig vesentlige og innsnevrende forutsetningen – her konstaterer journalisten uten forbehold at:

«Med denne informasjonen er det nesten ubegrenset hva jeg kan gjøre med livet ditt. Jeg kan ta opp et lån i ditt navn, jeg kan tømme sparekontoen din, jeg kan stjele identiteten din, og jeg kan gjøre mye, mye mer.»

Også artikkelen formidler et soleklart budskap om at NRKs innsamlede informasjon er tilstrekkelig for slik svindel: IKT-Norges Torgeir Waterhouse siteres på at «Det er sikkert flere banker som sier at du ikke får gjort disse tingene hos dem» – men fastholder at «med den informasjonen du har samlet inn er det nesten ingen begrensing på hva en med litt kompetanse kan gjøre».

På henvendelse fra meg modererer derimot også Waterhouse dette betydelig, til at personnummer i utgangspunktet ikke i seg selv muliggjør slik svindel. men kan være et viktig første skritt på veien mot å tilrane seg ytterligere sensitiv informasjon. Dette er selvsagt en gyldig og viktig advarsel om betydningen av å verne om eget (og andres) personnummer, men er noe ganske annet enn hans/NRKs fremstilling om at deres opplysninger om Marthe gjør det fritt frem for å tømme hennes sparekonto.

Tilsvarende er det absolutt verdifullt og på sin plass å heve folks bevissthet omkring hva de deler av personlige opplysninger, og hvilke konsekvenser det potensielt kan få – og ikke minst å innprente dem at de uansett ikke bør bruke slike personlige opplysninger til å lage passord (særlig med tanke på alle de tjenestene som direkte oppfordrer deg til å legge inn sikkerhetspørsmål av typen «Hva var din mors pikenavn» – informasjon som det åpenbart er potensielt mulig for uvedkommende å grave opp, uansett hvor forsiktig du er).

Men slik advarende folkeopplysning må åpenbart ta utgangspunkt i en redelig og noenlunde nøktern fremstilling – ikke hausse opp temaet med overdrevne skremmebilder og utelate helt sentrale premisser, slik NRK valgte å gjøre. Og man bør også ha i bakhodet at dersom man tegner et altfor dystopisk bilde av påtrengende trusler, så vil det fort ha stikk motsatt effekt, ved at folk blir demotiverte fra å gjøre noe og inntar en fatalistisk holdning om at det ikke nytter uansett hva man gjør.

Det er for eksempel relevant å oppfordre folk til å være mer forsiktige med sitt personnummer – men leserne blir snarere påvirket i retning av å konkludere med at det ikke har noen hensikt å ta slike forholdsregler, når de fortelles at dette er opplysninger som hvemsomhelst uansett kan få tak i «via Folkeregisteret». Og når denne feilinformasjonen om tilgangen på personnummer blir kombinert med urealistiske skremmebilder om at dette alene er nok til å stjele alle sparepengene dine, beveger NRK seg milelangt utenfor det å sette en legitim og berettiget støkk i publikum, og ut i det uredelig tabloide.

En lengre og mer detaljert versjon av artikkelen er publisert på forfatterens blogg.