Min pension polisanmäler digital tjänst för missbruk

Min pension, som är oberoende tjänst som finansieras till hälften av staten och till hälften av pensionsbolagen, misstänker att tjänsten bryter mot flera lagar och anser att den skadar tilltron till e-legitimation.

Aktören Seeqest har utvecklat en digital tjänst som till övervägande del bygger på att kopiera uppgifter från Min pension. Min pension har polisanmält bolaget för att få klarhet i rättsläget och få till stånd ett prejudikat för framtiden. Det framgår av ett pressmeddelande.

– Det pågår en oroande utveckling i det digitala samhället där allt fler aktörer har börjat missbruka e-legitimationer genom att förmå användare att bruka sina e-legitimationer på ett otillåtet sätt, säger Johan Hellman, vice vd på Min pension i en skriftlig kommentar.

Juridisk expertis som Min pension har konsulterat bedömer att det sannolikt är ett brott att göra intrång och olovligen kopiera uppgifter på det sätt som Seeqest gör på Min pension. Därför har Min pension tydligt informerat Seeqest om att de inte får kopiera uppgifter från Min pension om pensionsspararna.

Seeqest säger sig vilja främja hållbarhet med sin app. Min pension är självklart för hållbara pensionsplaceringar men vänder sig emot att Seeqest hämtar information till sin app-tjänst genom att missbruka Min pension.

– Vi har upplyst dem om att det finns andra, lagliga metoder att hämta de uppgifter som deras tjänst behöver. Trots detta fortsätter de med sin verksamhet. Eftersom kontakterna med Seeqest inte har lett till något resultat känner vi oss tvingade att göra en polisanmälan för att skydda våra användare, säger Johan Hellman.

Appen åberopar legitimering med användarens e-legitimation så att Seeqest kan hämta uppgifter på Min pension. Förenklat skriver app-användaren in sitt personnummer i app-tjänsten istället för hos Min pension. Min pension vilseleds därmed att tro att det är användaren som har loggat in på Min pension när det i själva verket är Seeqest. Seeqest placerar sig alltså mellan användaren och minPension, en så kallad ”man-in-the-middle-attack”, och får därmed tillgång till uppgifter om användaren som kopieras och som sedan kan utnyttjas för helt andra syften.

– Det här är allvarligt eftersom vi anser att e-legitimationen används på ett vilseledande och felaktigt sätt. Tilltron till den samhällsviktiga funktionen e-legitimation kan därmed komma att urholkas. Ju fler användare appen får, desto fler uppgifter kommer Seeqest hämta från oss olovligen, säger Johan Hellman.

Den information som hämtas om användarna är integritetskänslig, som uppgifter om användarnas lön, storlek på framtida pension, uppgifter om kollektivavtal, vilka pensionsbolag som förvaltar kapitalet, hur stort det är och var det är placerat (exempelvis i vilka fonder).

– Vi måste givetvis skydda pensionsspararnas uppgifter mot risker för missbruk av olika slag, det har vi förbundit oss i avtal att göra. Vi polisanmäler för att förhindra liknande händelser i framtiden. Utöver polisanmälan har vi nyligen genomfört en rad tekniska skyddsåtgärder för att så långt möjligt försvåra missbruk av Min pension, säger Johan Hellman.