Forespørselen kom fra et ekte myndighetsdomene

Det som teller for et personvernombud er verken kundetallet eller selskapets navn. Det er at opplysningene gikk ut gjennom en legitim kanal, godkjent av en person som gjorde det hun var lært opp til: å svare på en forespørsel fra en myndighet. Ingen brannmur kunne stoppet det. Det som ga etter er en rutine, og i de fleste virksomheter står den rutinen ikke skrevet noe sted.

• Fødselsdato, post- og e-postadresser, telefonnumre.
• Kopier av identitetsdokumenter: pass og førerkort.
• Selfier for identitetsverifisering.
• Kontoutskrifter og transaksjonshistorikk.

Om klassifiseringen er det ingen tvil: dette er et brudd på personopplysningssikkerheten. Definisjonen i artikkel 4 nr. 12 omfatter uautorisert utlevering, og utlevert ble det — til en mottaker uten rett til det. At bedrageriet var godt laget, endrer ikke klassifiseringen: det påvirker på sin høyde vurderingen av aktsomhet, og den kommer etterpå.

Mottiltakene er trivielle, og derfor hoppes de over. En uavhengig tilbakekanal: man ringer organet på nummeret som står på dets eget nettsted, ikke på det som er oppgitt i forespørselen. Én utpekt person godkjenner utleveringer til myndigheter, ikke den som tilfeldigvis åpner posten. Et register over mottatte og besvarte forespørsler, med dato, grunnlag og mottaker — nettopp det man trenger for å vise aktsomhet når noe går galt. Og regelen om at ingen hast påberopt av den som spør, forkorter kontrollen: hastverket er spaken dette bedrageriet hviler på.