SAS anmäler dataläcka på 350 164 resenärer till IMY men väljer att inte informera de drabbade
Obehöriga tog sig in i Amadeus bokningssystem med stulna inloggningsuppgifter, enligt GDPR får bolaget självt bedöma risken — och bedömer att risken är låg
SAS har anmält en misstänkt dataincident till Integritetsskyddsmyndigheten (IMY) efter att bokningsuppgifter kopplade till 350 164 personer läckt via IT-leverantören Amadeus bokningssystem. Samtidigt har flygbolaget beslutat att inte informera de resenärer som berörs. Bedömningen är att incidenten inte utgör en hög risk enligt dataskyddsförordningen.
Enligt SAS använde en extern aktör stulna systeminloggningsuppgifter för att ta sig in i Amadeus bokningssystem och genomförde sedan automatiserade sökningar där. Det exponerade materialet består av bokningsreferenser, datumuppgifter, flygrelaterade detaljer och antal passagerare, och rör främst äldre bokningar och genomförda resor. SAS uppger att inga ytterligare kategorier av personuppgifter hittills identifierats.
Bolaget har uppgett för SVT Nyheter att man känner till säkerhetsincidenten som Amadeus rapporterat, att man fått besked om att viss bokningsinformation kopplad till SAS påverkats, och att man följer utvecklingen noggrant medan leverantörens utredning pågår.
Här syns en strukturell svaghet i regelverket som är värd att uppmärksamma. Dataskyddsförordningen kräver att incidenter anmäls till tillsynsmyndigheten, vilket SAS gjort. Men skyldigheten att underrätta de drabbade personerna gäller endast när läckan sannolikt medför hög risk för deras rättigheter — och den första risken bedöms av företaget självt, alltså av den part som har störst incitament att ner.spela problemet. SAS:s resenärer får reda på incidenten endast om flygbolaget reviderar en bedömning som flygbolaget självt har tagit fram. Företaget noterar att beslutet kan ändras om ny information framkommer. Ett system där den misstänkte får avgöra om det finns skäl till misstanke är knappast utformat för att skydda den enskilde.
Det finns dessutom goda skäl att ifrågasätta bedömningen. NRK rapporterade i fredags att obehöriga kan ha haft tillgång till data i Amadeus bokningssystem i upp till tre år, och att passuppgifter i vissa fall var åtkomliga. Den norska rapporteringen rörde resenärer hos flygbolaget Norwegian och resebyrån Berg-Hansen, och beskriver samma system genom vilket SAS:s bokningar passerat. Tre års obemänd åtkomst till ett system som hanterar hundratusentals resenärer pekar på ett allvarligt kontrolltomrum hos leverantören — ett tomrum som kunderna ändå förväntas lita på.
Amadeus utredning pågår. SAS:s siffra för antalet berörda personer är exakt — 350 164 — och antalet av dem som flygbolaget har underrättat är noll. Skillnaden mellan dessa två tal säger en del om hur ansvarsfördelningen fungerar i praktiken: kostnaden för transparens ligger hos företaget, medan kostnaden för tystnad i första hand bärs av resenärerna.