QR-kode i kantine-kampanje ledet til helseopplysninger

MF vitenskapelig høgskole i Oslo ville ha studentene til å foreslå nytt navn på kantina. Kommunikasjonsavdelingen hadde laget en invitasjon med QR-kode som ble vist ved høgskolens inngangsparti.

Men det hadde skjedd en feil, og QR-koden ledet ikke dit den skulle. I stedet kom man til et påmeldingsskjema for studenter som var blitt benyttet i forbindelse med fadderuka høsten 2024.

Inneholdt også diagnoser

Her kunne man se diverse opplysninger om de 20 påmeldte studenter, som navn, telefonnummer, e-postadresse, studieretning og klesstørrelse (i forbindelse med bestilling av T-skjorte). 

Skjemaet inneholdt også helseopplysninger (diagnoser) til én av studentene.

Det går fram avviksmeldingen som høgskolen sendte til Datatilsynet i november i fjor, der de beskriver hva som har skjedd.

Mindre alvorlig enn først antatt 

I en e-post sendt dagen etter avviksmeldingen skriver imidlertid MF at saken er mindre alvorlig enn først antatt.

Dette fordi QR-koden ikke ga direkte tilgang til besvarelsene i spørreskjemaet. For å få tilgang til faddernes svar, måtte en klikke på en fane i spørreskjemaet som viser de innsendte svarene.

«Vi vurderer det som lite sannsynlig at noen har lest gjennom svarene i spørreskjemaet, både fordi det krever at en bevisst klikker på fanen med svar, og fordi vi tror at få studenter eller ansatte i det hele tatt har benyttet QR-koden. MF fikk nemlig ingen tilbakemeldinger om at det var brukt feil QR-kode i kampanjen før MF selv (IT-avdelingen) oppdaget dette», skriver høgskolen.

Da feilen ble oppdaget, endret høgskolen QR-koden på TV-skjermen, og koblingen mellom QR-koden og skjermen ble stengt.

Som følge av hendelsen har studentrådet fått en påminnelse om at det ikke skal bruke løsningen Google forms som påmeldingsskjema, står det i avviksmeldingen. Feilen skyldtes menneskelig svikt, sier prorektor Hilde Brekke Møller til Khrono.

— Vi tar det selvfølgelig på alvor, og det er derfor vi har rapportert det til Datatilsynet, sier hun. 

personvern

UiT meldte Borch-lekkasje til Datatilsynet