En blogg om teknologi og ledelse

Nylig ble jeg Flexus-bruker. Mangt har vært skrevet, sagt og ment om Flexus, men den delen av diskusjonen skal jeg la ligge.

Flexus er en elektronisk billett hvor jeg kan fylle på en eller flere billetter på kortet, for eksempel månedskort og enkeltreiser. Fordelene er åpenbare, at jeg kun trenger å forholde meg til ett kort, at jeg kan handle billetter på nett, at jeg sparer miljøet for enda litt papir og at det hele potensielt sett blir litt enklere å reise kollektivt.

Det jeg derimot har betenkeligheter med, er hvordan NSB og Ruter ønsker at jeg før hver eneste reise skal registrere reisen i en automat. Hensikten er at NSB og Ruter skal kunne tilby meg et produkt som er best mulig i forhold til mitt bruksmønster. Registrering er heldigvis frivillig, hvis ikke hadde jeg ikke blitt Flexus-bruker.

Det foreligger nemlig ingen opplysninger verken hos NSB, Ruter eller på Flexus.no om hvilke opplysninger som lagres ved registrering, hvor lenge de blir lagret, hvem som har tilgang til de eller hvordan de konkret skal brukes. Selv om man i følge personvernloven har rett til innsyn i egne data, er denne informasjonen ikke tilgjengelig på respektive nettsteder.

NRK Østlandssendingen varslet i februar at Datatilsynet vil ha full gjennomgang av Flexus og lagring av data. 7. juni forelå den foreløpige kontrollrapporten fra Datatilsynet. Rapporten påpeker blant annet de forhold jeg selv anser som kritikkverdige:

• Virksomheten må gi informasjon til den registrerte om de forhold som er omtalt i personopplysningsloven § 19. Det vises til rapportens punkt 5.2.
• Tilgangen til kundenes personopplysninger for egne ansatte og de aktuelle databehandleres ansatte, må begrenses til det som er nødvendig for å utføre de pålagte oppgaver, jf. personopplysningsloven § 13, jf. personopplysningsforskriften § 2-11. Det vises til rapportens 5.6.
• Opplysninger om den initierende validering må slettes senest tretti dager etter at billettens gyldighetsperiode har løpt ut, jf. personopplysningsloven § 28. Det vises til rapportens punkt 5.8.2.
• Opplysninger om de reisendes etterfølgende valideringer, som allerede er registrert og lagret på bakgrunn av utilstrekkelig rettslig grunnlag, må slettes, jf. personopplysningsloven § 27, jf. § 11. Det vises til rapportens punkt 5.8.3.

Foreløpig foreligger det, så vidt meg bekjent, ingen respons fra Ruter eller NSB. Det foreligger heller ingen informasjon til kundene på Ruter og NSBs nettsider relatert til Flexus og personvern. Inntil denne informasjonen er tilgjengelig, vil jeg forbeholde meg retten til å ikke registrere hver reise jeg foretar. Jeg oppfordrer alle andre Flexus-brukere til det samme.

Frustrasjoner