Frykter regelbrudd etter pålagt datasystem

Tidligere i år påla Kunnskapsdepartementet NTNU å gå over til et felles system for identitets- og tilgangsstyring (Felles IAM) i sektoren.

NTNU og UiO har i dag egne IAM-systemer. De er begge basert på det norskutviklede systemet Cerebrum. Mange har reagert på at KD vil gå over til ett felles amerikansk system.

Etter pålegget fra KD utreder de to universitetene nå risikoen ved å gå over til det nye systemet. De har også engasjert et advokatfirma for å vurdere følgene for personvernet.

 – Vi risikerer at dette systemet bryter med EUs personvernregler, altså GDPR, sa direktør for organisasjon og infrastruktur, Bjørn Haugstad, under torsdagens styremøte.

Statsråden forsvarer omstridt IT-pålegg til NTNU

Krever bedre beslutningsgrunnlag

Departementet begrunner pålegget med at en felles løsning vil styrke sikkerheten og gi stordriftsfordeler. At flere tar i bruk løsningen skal også hindre at kostnadene blir fordelt på for få institusjoner.

Felles IAM har blitt dyrere enn planlagt. Samtidig har færre institusjoner enn forventet tatt den i bruk.

– Vi har et velfungerende system i dag, som vi selv har kontroll over, sa Haugstad under styremøtet.

Han understreket at departementet har rett til å gi NTNU et slikt pålegg. Samtidig mener han at NTNU har krav på et bedre beslutningsgrunnlag.

– Vi mener at vi har rett til å insistere på et beslutningsgrunnlag som belyser risikoene og de påregnelige konsekvensene av et slikt pålegg.

Utreder risiko

Haugstad beskriver Identity and Access Management (IAM) som en elektronisk koblingsboks som skal sikre at flere titusen brukere har tilgang til det de trenger i NTNUs systemer, men ikke mer. Han understreker at store mengder sensitive personopplysninger går gjennom løsningen.

– Dette er noe vi absolutt må ha kontroll på, og som er helt nødvendig for en institusjon som vår, sa han.

Ettersom UiO er i samme situasjon som NTNU har de to universitetene vært i dialog siden styremøtet i juni.

De to universitetene utreder risikobildet hver for seg. Deretter skal de sammenligne notater og vurdere hvordan de skal gå videre i dialogen med Kunnskapsdepartementet.

Brudd kan gi betydelige bøter

NTNU og UiO har også kontakt med et advokatfirma. Firmaet skal hjelpe universitetene med å vurdere hvilke følger Felles IAM kan få etter EUs personvernregler, GDPR.

– Vi risikerer at systemet bryter med reglene. Brudd på GDPR er forbundet med et betydelig potensial for mulkt, altså økonomisk straff, sa Haugstad.

På den måten kan NTNU komme i en vanskelig skvis. Universitetet må følge departementets pålegg, men kan samtidig risikere å bryte personvernreglene.

– Dette er blant forholdene vi skulle ønske at Kunnskapsdepartementet hadde innhentet bedre råd om før de påla oss et slikt system

Erkjenner mangelfull informasjon

Forsknings- og høyere utdanningsminister Sigrun Aasland har tidligere svart at opplysningene i Felles IAM var begrenset til personnummer og e-postadresser, og at leverandøren ikke kunne lese dem.

Forrige uke omtalte Morgenbladet at Felles IAM behandler langt flere personopplysninger enn forskningsminister Sigrun Aasland hadde opplyst til Stortinget.

Dokumentene Morgenbladet fikk innsyn i, viste at en rekke personopplysninger kan utleveres til USA. Det gjelder fullt navn, mobiltelefonnummer, aktivitets- og bruksdata, kjønn, IP-adresse, personlig pin-kode til adgangskontrollsystem, profilbilde, ansettelsesforhold og gruppetilknytning for studenter.

Aasland erkjente til avisen at informasjonen til Stortinget hadde vært «upresis og mangelfull». Nå ber hun Sikt redegjøre for saken.

Styret skal holdes orientert

Når den er klar kan resultatet av NTNUs utredning bli lagt fram for universitetsstyret. Samtidig mener Haugstad at utredningen i første omgang skal brukes for å fornye og forsterke dialogen med Kunnskapsdepartementet.

– Men om konsekvensene er av en slik art at de må legges fram for styret, vil vi selvsagt gjøre det, forsikret Haugstad.

Han lovet videre at styret skal holdes orientert om saken.