Telia får miljonavgift efter för tidig radering av uppgifter
Post- och telestyrelsen, PTS, beslutade den 14 september att Telia Sverige ska betala en sanktionsavgift på 1 000 000 kronor. Bakgrunden är ett fel som uppstod när operatören genomförde en mjukvaruuppdatering. Uppgifter som lagrades för brottsbekämpande ändamål kunde därefter raderas efter tio dagar, trots att de skulle ha sparats i tio månader. Skillnaden mellan den avsedda och den faktiska lagringstiden var därmed betydande. Enligt PTS pågick felet i cirka tio månader innan det upptäcktes. Telia rapporterade själv incidenten till myndigheten. Beslutet visar samtidigt att egen rapportering inte hindrade en sanktionsavgift när felet hade varit långvarigt och berörde vad PTS beskrev som viktiga skyldigheter. Den praktiska utgångspunkten för verksamheter med fastställda lagringstider är därför att en genomförd uppdatering inte i sig visar att lagringsfunktionen fortfarande arbetar enligt avsedd tidsperiod. Den faktiska raderingen behöver kunna verifieras efter förändringen. Läs PTS redogörelse för sanktionsbeslutet.
Felet fick konsekvenser för Telias möjlighet att besvara förfrågningar från brottsbekämpande myndigheter. PTS uppger att omkring 100 frågor kan ha besvarats felaktigt. I dessa fall kan Telia ha lämnat beskedet att det inte fanns någon abonnent med en viss IP-adress, trots att en sådan abonnent kan ha funnits. Uppgifterna kan alltså ha saknats när frågan kom, inte därför att de aldrig hade funnits, utan därför att de kan ha raderats efter tio dagar. PTS bedömde att incidenten inneburit risk för skada, men kunde inte fastställa att någon faktisk skada hade uppstått. Sanktionsavgiften beslutades trots att faktisk skada inte hade kunnat konstateras. För organisationer som lämnar uppgifter till myndigheter innebär händelseförloppet en konkret kontrollfråga: ett svar om att en efterfrågad uppgift saknas kan påverkas av tidigare radering. Kvalitetssäkringen behöver därför omfatta både själva svaret och de systemförhållanden som avgör om materialet fortfarande finns tillgängligt. När lagrade uppgifter utgör underlag för externa svar räcker det inte att enbart kontrollera gränssnittet där sökningen görs. Även bakomliggande regler för bevarande och radering behöver följas upp, eftersom en felaktig tidsinställning annars kan ge ett tekniskt korrekt sökresultat men ett missvisande besked om vad som har funnits.
Den tydligaste lärdomen gäller förändringshanteringen. Eftersom felet uppstod i samband med en mjukvaruuppdatering behöver kontroller efter driftsättning uttryckligen omfatta lagringstid och raderingsfunktion när sådana egenskaper är centrala för verksamhetens skyldigheter. I Telias fall var den avsedda perioden tio månader, medan uppgifter kunde försvinna redan efter tio dagar. En kontroll behöver därför kunna fånga inte bara om data går att lagra och söka direkt efter en uppdatering, utan också om inställningar, regler och automatiska raderingsförlopp motsvarar den beslutade tiden. Att felet kvarstod i omkring tio månader visar också betydelsen av löpande kontroll efter den första verifieringen. Uppföljningen bör vara utformad för att synliggöra om uppgifter försvinner tidigare än planerat, så att avvikelser inte enbart upptäcks långt senare. Beslutet ger däremot inte stöd för att faktisk skada uppstod i det aktuella fallet; PTS stannade vid att konstatera en risk för skada. Det förändrar inte den operativa lärdomen: lagringstid, radering och svarskvalitet behöver behandlas som en sammanhängande kontrollkedja. När en mjukvaruförändring kan påverka alla tre delarna bör verifieringen omfatta hela kedjan från lagring till utlämnande.
